Nielegalny dostęp do systemów medycznych - art. 267 KK i obrona

Systemy zarządzania usługami medycznymi przetwarzają dane szczególnie wrażliwe - informacje o zdrowiu pacjentów. Uzyskanie do nich dostępu bez uprawnienia, przełamanie zabezpieczeń czy nielegalne pozyskanie danych może być przestępstwem z art. 267 Kodeksu karnego. Poniżej wyjaśniamy, co dokładnie penalizuje ten przepis, jaka kara faktycznie grozi i na czym może opierać się obrona.

Art. 267 KK - co jest karalne

Art. 267 § 1 KK penalizuje uzyskanie bez uprawnienia dostępu do informacji nieprzeznaczonej dla sprawcy przez przełamanie albo ominięcie zabezpieczeń (elektronicznych, magnetycznych, informatycznych lub innych). Kolejne paragrafy obejmują uzyskanie dostępu do całości lub części systemu informatycznego (§ 2), zakładanie podsłuchu lub stosowanie urządzeń przechwytujących (§ 3) oraz ujawnienie pozyskanej informacji innej osobie (§ 4). Przestępstwo to jest ścigane na wniosek pokrzywdzonego (§ 5).

Realna kara - bez powielania błędnych liczb

Czyn z art. 267 KK jest zagrożony grzywną, karą ograniczenia wolności albo karą pozbawienia wolności do lat 2. Warto to podkreślić, bo w obiegu krążą zawyżone informacje (np. o karze do 5 lat czy grzywnie 50 000 euro) - nie odpowiadają one polskiemu przepisowi. Surowsze kwalifikacje (do 5 lat) mogą wchodzić w grę przy odrębnych czynach, np. sabotażu komputerowym z art. 269 KK, ale nie przy podstawowym nieuprawnionym dostępie z art. 267 KK.

Możliwe linie obrony

W sprawach o czyn z art. 267 KK obrona może koncentrować się na: braku przełamania lub ominięcia zabezpieczeń (znamię konieczne dla § 1); istnieniu uprawnienia do dostępu (np. zakres obowiązków, zgoda administratora); braku zamiaru - art. 267 KK to przestępstwo umyślne, więc nieumyślne, przypadkowe wejście do danych nie wypełnia jego znamion; oraz na kwestionowaniu legalności i dopuszczalności dowodów. Każda z tych linii wymaga oceny konkretnego stanu faktycznego.

Wymiar cywilny i ochrona danych

Niezależnie od odpowiedzialności karnej, nieuprawniony dostęp do danych o zdrowiu może rodzić odpowiedzialność cywilną i administracyjną na gruncie RODO. Osoba, której dane naruszono, może dochodzić odszkodowania (art. 82 RODO), a administratorowi grożą kary nakładane przez Prezesa UODO. Dane o zdrowiu należą do szczególnych kategorii danych (art. 9 RODO), objętych wzmożoną ochroną.