Nielegalny dostęp do systemów medycznych (art. 267 KK) – obrona i odpowiedzialność

Systemy zarządzania placówkami medycznymi – elektroniczna dokumentacja medyczna, systemy HIS, platformy e-zdrowia, aptecznne bazy danych – gromadzą jedne z najwrażliwszych informacji o człowieku: diagnozy, wyniki badań, dane o leczeniu psychiatrycznym, uzależnieniach czy chorobach przewlekłych. Polskie prawo chroni te dane podwójnie: na gruncie karnym (przestępstwa przeciwko ochronie informacji z art. 265–269b Kodeksu karnego) oraz administracyjnym i cywilnym (RODO oraz ustawa z 10 maja 2018 r. o ochronie danych osobowych, a także ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta). Osoba oskarżona o nieuprawnione pozyskanie informacji z takiego systemu – pracownik placówki, informatyk, były współpracownik czy osoba z zewnątrz – staje wobec ryzyka odpowiedzialności karnej, dyscyplinarnej i odszkodowawczej jednocześnie. Ten artykuł wyjaśnia, na czym polega znamię czynu z art. 267 KK, jakie realne kary grożą według polskiego prawa i jak wygląda skuteczna linia obrony oparta na braku zamiaru, uprawnieniu dostępowym i kwestionowaniu dowodów.

Art. 267 KK – na czym polega nieuprawniony dostęp do informacji

Zgodnie z art. 267 § 1 KK kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Paragraf 2 obejmuje uzyskanie dostępu do całości lub części systemu informatycznego bez uprawnienia. Paragraf 3 karze tak samo tego, kto w celu uzyskania nieuprawnionych informacji zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym (np. keyloggerem). Co istotne praktycznie: ściganie przestępstwa z art. 267 KK następuje na wniosek pokrzywdzonego (art. 267 § 5 KK) – placówka medyczna lub pacjent muszą złożyć wniosek, by uruchomić postępowanie. Kluczowe znamiona to brak uprawnienia oraz przełamanie albo ominięcie zabezpieczenia – jeśli któregokolwiek brakuje, czyn może w ogóle nie wyczerpywać znamion.

Dane medyczne jako dane szczególnej kategorii – warstwa RODO

Dane o stanie zdrowia to dane szczególnej kategorii w rozumieniu art. 9 RODO. Niezależnie od odpowiedzialności karnej osoby fizycznej, naruszenie ochrony tych danych rodzi odpowiedzialność administratora (placówki) i podmiotu przetwarzającego. Sam fakt nieuprawnionego dostępu pracownika do dokumentacji pacjenta jest naruszeniem ochrony danych, które administrator co do zasady musi zgłosić Prezesowi Urzędu Ochrony Danych Osobowych w ciągu 72 godzin (art. 33 RODO) oraz – jeśli ryzyko dla praw i wolności jest wysokie – zawiadomić samych pacjentów (art. 34 RODO). Za naruszenia RODO grożą administracyjne kary pieniężne (art. 83 RODO), a osobno – kara z art. 107 ustawy o ochronie danych osobowych za przetwarzanie danych bez podstawy prawnej (grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2, a w przypadku danych wrażliwych do lat 3). Obrońca musi rozdzielać te reżimy: odpowiedzialność administratora-placówki nie przesądza winy konkretnego pracownika, a kara administracyjna RODO nie jest karą kryminalną.

Rola zamiaru – umyślność jako warunek odpowiedzialności z art. 267 KK

Przestępstwa z art. 267 KK można popełnić wyłącznie umyślnie. Oznacza to, że oskarżony musi chcieć uzyskać dostęp do informacji dla niego nieprzeznaczonej (zamiar bezpośredni) albo przewidując taką możliwość, godzić się na to (zamiar ewentualny). Czyn z paragrafu 3 (urządzenie podsłuchowe) wymaga dodatkowo działania w celu uzyskania informacji – to przestępstwo kierunkowe. W praktyce obronnej to fundamentalna różnica: nieumyślne, przypadkowe otwarcie nie swojej kartoteki, błędne zalogowanie się do cudzego profilu wskutek wadliwie skonfigurowanego systemu czy dostęp w przekonaniu o posiadaniu uprawnienia nie wypełniają znamion umyślności. Sąd ocenia stan świadomości sprawcy w chwili czynu – stąd waga zabezpieczenia logów, ustawień uprawnień i historii szkoleń, które mogą wykazać, że pracownik działał w błędzie co do zakresu swojego dostępu (art. 28 KK).

Linie obrony w sprawach o nieuprawniony dostęp do danych medycznych

Skuteczna obrona zwykle łączy kilka argumentów. Po pierwsze – brak przełamania lub ominięcia zabezpieczenia: jeśli dane były dostępne bez żadnej bariery (np. otwarty udział sieciowy, brak haseł, konto współdzielone), znamię z art. 267 § 1 może nie być spełnione. Po drugie – istnienie uprawnienia dostępowego: pracownik medyczny przetwarzający dane w ramach obowiązków służbowych co do zasady działa legalnie; spór dotyczy wtedy zakresu, nie samego faktu dostępu. Po trzecie – brak zamiaru i działanie w błędzie. Po czwarte – kwestionowanie legalności i dopuszczalności dowodów uzyskanych przez oskarżenie (np. sposób zabezpieczenia nośników, ciągłość dowodu cyfrowego, prawidłowość oględzin). Po piąte – w razie skazania – okoliczności łagodzące: brak szkody, dobrowolne naprawienie, niekaralność, co otwiera drogę do warunkowego umorzenia (art. 66 KK) przy zagrożeniu do 5 lat. Często warto zlecić opinię biegłego z zakresu informatyki śledczej, by zweryfikować, kto i jak faktycznie uzyskał dostęp.

Czyn ciągły, zbieg przepisów i kwalifikacja powiązana

W sprawach systemowych rzadko mamy do czynienia z jednym wejściem do bazy. Wielokrotne nieuprawnione logowania w krótkich odstępach, w wykonaniu z góry powziętego zamiaru, mogą zostać potraktowane jako czyn ciągły (art. 12 KK), co wpływa na wymiar kary. Jeżeli sprawca pozyskane dane następnie ujawnił lub wykorzystał, w grę wchodzi art. 268 KK (niszczenie lub utrudnianie dostępu do informacji), art. 269a KK (zakłócanie pracy systemu) lub art. 269b KK (wytwarzanie, pozyskiwanie narzędzi hakerskich). Sprzedaż albo przekazanie danych pacjentów osobom trzecim może też wyczerpywać znamiona naruszenia tajemnicy zawodowej (lekarskiej, art. 40 ustawy o zawodach lekarza i lekarza dentysty) oraz odpowiedzialności z ustawy o ochronie danych osobowych. Obrońca analizuje, czy oskarżyciel nie kumuluje sztucznie kwalifikacji oraz czy nie zachodzi pomijalny zbieg przepisów.

Odpowiedzialność pracownicza, dyscyplinarna i odszkodowawcza

Postępowanie karne to tylko jeden front. Pracownik placówki medycznej, który nieuprawnienie sięgnął po dane pacjenta, naraża się na rozwiązanie umowy o pracę bez wypowiedzenia z winy pracownika (art. 52 Kodeksu pracy) – ciężkie naruszenie podstawowych obowiązków pracowniczych. Personel medyczny może odpowiadać dyscyplinarnie przed właściwym samorządem zawodowym. Niezależnie od tego pacjent, którego dane ujawniono, może dochodzić zadośćuczynienia za naruszenie dóbr osobistych – prawa do prywatności i tajemnicy informacji o stanie zdrowia (art. 23 i 24 w zw. z art. 448 Kodeksu cywilnego) oraz odszkodowania na podstawie art. 82 RODO. Dla osoby oskarżonej oznacza to konieczność prowadzenia obrony równolegle w kilku reżimach, z dbałością, by oświadczenia w jednym postępowaniu nie obciążały jej w pozostałych.

Profilaktyka po stronie placówki – jak ograniczyć ryzyko

Z perspektywy placówki i jej personelu najlepszą obroną jest zapobieganie. Podstawą jest zasada minimalnego niezbędnego dostępu: każdy pracownik widzi tylko dane potrzebne do swoich zadań, a uprawnienia są nadawane imiennie i odbierane natychmiast po ustaniu zatrudnienia. Konieczne są indywidualne (nie współdzielone) loginy, rejestrowanie i okresowy przegląd logów dostępu, dwuskładnikowe uwierzytelnianie oraz szyfrowanie. Równie ważne są regularne, udokumentowane szkolenia z RODO i tajemnicy medycznej oraz jasna polityka przetwarzania danych – ich istnienie i przestrzeganie bywa później dowodem, że ewentualne naruszenie miało charakter incydentalny, a nie systemowy. Pracownik, który chce sprawdzić zakres swoich uprawnień, powinien zwrócić się do inspektora ochrony danych (IOD) placówki – działanie w jego porozumieniu eliminuje znamię braku uprawnienia.