Nielegalne pozyskanie danych z systemów służb ratowniczych – jaka kara i jak się bronić

Systemy zarządzania kryzysowego i dyspozytorskie służb ratowniczych – takie jak System Wspomagania Dowodzenia Państwowego Ratownictwa Medycznego (SWD PRM), System Powiadamiania Ratunkowego obsługujący numer 112 czy systemy dyspozytorskie Państwowej Straży Pożarnej i Policji – przetwarzają dane szczególnie wrażliwe: lokalizacje zgłoszeń, dane osobowe i medyczne osób wzywających pomoc, dane funkcjonariuszy oraz informacje o rozmieszczeniu sił i środków. Bezprawne uzyskanie dostępu do takich systemów lub do przesyłanych nimi danych jest w polskim prawie przestępstwem. W tym artykule wyjaśniamy, jakie konkretnie czyny są karalne, jakie grożą za nie sankcje oraz – z perspektywy obrony – jak buduje się linię obrony osoby, której postawiono taki zarzut. Tekst ma charakter informacyjny i nie zastępuje porady adwokata lub radcy prawnego w konkretnej sprawie.

Jakie przepisy Kodeksu karnego mają zastosowanie

Podstawowym przepisem jest art. 267 Kodeksu karnego (tzw. hacking i nielegalny podsłuch). Zgodnie z art. 267 § 1 KK kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Art. 267 § 2 KK rozszerza odpowiedzialność na uzyskanie dostępu do całości lub części systemu informatycznego bez uprawnienia. Art. 267 § 3 KK karze tak samo zakładanie lub posługiwanie się urządzeniami podsłuchowymi w celu pozyskania informacji, a art. 267 § 4 KK – ujawnienie innej osobie informacji uzyskanej w sposób opisany wyżej. Ściganie następuje na wniosek pokrzywdzonego (art. 267 § 5 KK), choć w praktyce wniosek taki składa instytucja publiczna będąca administratorem systemu.

Sabotaż komputerowy i niszczenie danych – art. 268–269a KK

Jeśli sprawca nie tylko podejrzał dane, ale je usunął, zmienił albo utrudnił dostęp do nich osobie uprawnionej, w grę wchodzą surowsze przepisy. Art. 268 § 1 KK karze niszczenie, uszkadzanie, usuwanie lub zmianę zapisu istotnej informacji albo udaremnianie lub utrudnianie zapoznania się z nią. Jeśli czyn dotyczy danych informatycznych, zagrożenie wynosi do 3 lat pozbawienia wolności (art. 268 § 2 KK). Art. 269 KK przewiduje od 6 miesięcy do 8 lat pozbawienia wolności za niszczenie, uszkadzanie lub zmianę danych informatycznych o szczególnym znaczeniu dla obronności, bezpieczeństwa w komunikacji, funkcjonowania administracji rządowej, innego organu państwowego lub instytucji państwowej albo samorządu terytorialnego – a systemy służb ratowniczych często mają taki właśnie charakter. Art. 269a KK karze (od 3 miesięcy do 5 lat) zakłócanie pracy systemu informatycznego lub sieci, np. przez atak typu DDoS na infrastrukturę dyspozytorską.