Fałszowanie podpisu elektronicznego: co grozi i jak broni się obrońca

Podpis elektroniczny coraz częściej zastępuje podpis odręczny: podpisujemy nim umowy, deklaracje podatkowe, pisma do urzędów czy dokumenty w bankowości elektronicznej. Wraz z jego upowszechnieniem pojawiają się sprawy karne o jego podrobienie lub nadużycie, na przykład podpisanie dokumentu cudzym profilem zaufanym, użycie przejętego klucza prywatnego albo przerobienie już podpisanego pliku. W polskim prawie nie ma jednego przestępstwa o nazwie fałszowanie podpisu cyfrowego; w grę wchodzi przede wszystkim fałszerstwo dokumentu z art. 270 Kodeksu karnego, a obok niego przestępstwa komputerowe (nieuprawniony dostęp, oszustwo komputerowe). Ten artykuł wyjaśnia, jak te czyny są kwalifikowane, co realnie grozi i na czym polega obrona. Nie zastępuje porady prawnej w konkretnej sprawie, bo wynik zależy od dowodów, ustalonego zamiaru i okoliczności technicznych.

Czym jest podpis elektroniczny w polskim prawie

Status prawny podpisów elektronicznych w Polsce wyznacza unijne rozporządzenie eIDAS (rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014) oraz ustawa z 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej. eIDAS rozróżnia trzy poziomy: podpis elektroniczny zwykły (np. zeskanowany podpis, kliknięcie akceptuję), podpis zaawansowany (powiązany jednoznacznie z podpisującym i pozwalający wykryć późniejszą zmianę danych) oraz podpis kwalifikowany, składany przy użyciu kwalifikowanego urządzenia i kwalifikowanego certyfikatu. Tylko podpis kwalifikowany ma z mocy prawa skutek równoważny podpisowi własnoręcznemu (art. 25 ust. 2 eIDAS, art. 78(1) Kodeksu cywilnego). W praktyce administracyjnej dużą rolę odgrywa też profil zaufany (ePUAP) i podpis osobisty z e-dowodu. Od tego, jaki podpis podrobiono, zależy ciężar gatunkowy sprawy i sposób dowodzenia.

Fałszowanie podpisu jako fałszerstwo dokumentu (art. 270 KK)

Podstawą kwalifikacji jest art. 270 par. 1 Kodeksu karnego, który karze tego, kto w celu użycia za autentyczny podrabia lub przerabia dokument albo takiego dokumentu jako autentycznego używa. Jest to przestępstwo umyślne, popełniane wyłącznie z zamiarem bezpośrednim (w celu użycia za autentyczny). Zagrożenie ustawowe to grzywna, kara ograniczenia wolności albo pozbawienia wolności od 3 miesięcy do 5 lat. Istnieje też typ uprzywilejowany wypadku mniejszej wagi (art. 270 par. 2a KK) zagrożony grzywną, ograniczeniem wolności lub pozbawieniem wolności do 2 lat. Kluczowe jest, że dokumentem w rozumieniu prawa karnego jest każdy przedmiot lub zapis na nośniku informacji, z którym jest związane określone prawo albo który ze względu na zawartą treść stanowi dowód prawa, stosunku prawnego lub okoliczności mającej znaczenie prawne (art. 115 par. 14 KK). Dokument podpisany elektronicznie mieści się w tej definicji, dlatego podrobienie podpisu elektronicznego pod takim dokumentem może wyczerpywać znamiona z art. 270 KK.

Gdy podpis fałszuje się środkami informatycznymi: przestępstwa komputerowe

Samo fałszerstwo dokumentu to nie zawsze koniec kwalifikacji. Jeżeli sprawca uzyskał dostęp do cudzego klucza prywatnego lub profilu zaufanego przez włamanie, phishing albo przełamanie zabezpieczeń, w grę wchodzi art. 267 KK (nieuprawniony dostęp do informacji i systemu), zagrożony karą do 2 lat pozbawienia wolności. Wykorzystanie sfałszowanego podpisu do wyłudzenia środków przez wpływ na automatyczne przetwarzanie danych (np. zlecenie przelewu) może wypełniać znamiona oszustwa komputerowego z art. 287 KK, zagrożonego karą od 3 miesięcy do 5 lat. Tworzenie lub udostępnianie narzędzi służących do takich czynów jest karalne na podstawie art. 269b KK. Przepisy te często łączą się ze sobą i z art. 270 KK w realnym lub kumulatywnym zbiegu, co rzutuje na kwalifikację i wymiar kary. Dodatkowo, jeśli celem było osiągnięcie korzyści majątkowej kosztem innej osoby, równolegle może pojawić się klasyczne oszustwo z art. 286 KK.

Kluczowe znaczenie zamiaru i dowodów technicznych

Ponieważ art. 270 KK wymaga zamiaru bezpośredniego (działania w celu użycia dokumentu za autentyczny), strona podmiotowa jest sercem większości spraw. Nie każde posłużenie się cudzym podpisem jest przestępstwem; trzeba odróżnić podrobienie od działania w granicach udzielonego umocowania (np. pełnomocnictwa) lub zgody dysponenta podpisu. Dowodzenie opiera się na materiale technicznym: logach systemowych, znacznikach czasu, metadanych pliku, danych certyfikatu i ścieżce uwierzytelnienia (np. kodach SMS, danych logowania do profilu zaufanego). Istotna jest integralność dowodu cyfrowego, czyli udokumentowany łańcuch postępowania z danymi, tak aby wykluczyć ich modyfikację po zabezpieczeniu. W sprawach spornych powołuje się biegłego z zakresu informatyki śledczej, który bada autentyczność podpisu, ważność certyfikatu w chwili podpisania i ewentualne ślady manipulacji.

Jak wygląda obrona w sprawie o fałszowanie podpisu

Obrona opiera się na analizie akt i przepisów, a nie na obietnicach wyniku. Adwokat lub radca prawny typowo: weryfikuje, czy w ogóle wykazano zamiar bezpośredni i czy podpis rzeczywiście jest podrobiony, a nie tylko zakwestionowany; bada, czy nie doszło do działania za zgodą lub w ramach umocowania; analizuje legalność i poprawność zabezpieczenia dowodów cyfrowych oraz ciągłość łańcucha dowodowego; kwestionuje opinię biegłego, jeśli pomija ważność certyfikatu lub alternatywne wyjaśnienia (np. współdzielenie urządzenia, przejęcie danych przez osobę trzecią). Możliwe linie obrony to brak znamion (czyn nie jest podrobieniem), brak zamiaru, błąd co do okoliczności, a w sprawach drobnych wniosek o przyjęcie wypadku mniejszej wagi (art. 270 par. 2a KK) lub o warunkowe umorzenie postępowania, jeśli spełnione są przesłanki z art. 66 KK.

Możliwe sposoby zakończenia sprawy

Sprawa karna o fałszowanie podpisu nie zawsze kończy się wyrokiem skazującym w pełnym procesie. Przy mniejszym ciężarze czynu i niekaralności sprawcy realne bywa warunkowe umorzenie postępowania (art. 66 i 67 KK), które nie jest skazaniem i nie figuruje jako kara w Krajowym Rejestrze Karnym, choć dane o nim są tam ujawniane przez okres próby. Możliwe jest też dobrowolne poddanie się karze (art. 387 Kodeksu postępowania karnego) lub skazanie bez rozprawy na wniosek prokuratora (art. 335 KPK), zwykle przy przyznaniu się i naprawieniu szkody. Naprawienie szkody i pojednanie z pokrzywdzonym mają istotne znaczenie dla wymiaru kary i mogą skłonić sąd do łagodniejszego rozstrzygnięcia. Warto pamiętać, że art. 270 KK nie należy do przestępstw ściganych na wniosek, więc samo wycofanie pretensji przez pokrzywdzonego nie kończy automatycznie postępowania.

Jak ograniczyć ryzyko nadużycia własnego podpisu

Wiele spraw bierze się z nieostrożnego obchodzenia się z danymi do podpisu. Praktyczne zasady to: nigdy nie udostępniać nikomu loginu i hasła do profilu zaufanego ani kodów SMS, chronić kartę i PIN do podpisu kwalifikowanego oraz token z kluczem prywatnym, włączyć uwierzytelnianie wieloskładnikowe wszędzie, gdzie to możliwe, i nie podpisywać dokumentów na cudzych lub niezaufanych urządzeniach. Jeśli podejrzewasz, że ktoś przejął Twój podpis lub profil zaufany, należy niezwłocznie unieważnić certyfikat u kwalifikowanego dostawcy usług zaufania lub zablokować profil zaufany, zmienić dane logowania, a w razie szkody złożyć zawiadomienie o przestępstwie. Dla firm istotne są procedury wewnętrzne: imienne certyfikaty, ewidencja podpisów i rozdzielenie uprawnień, dzięki czemu w razie sporu łatwiej wykazać, kto i kiedy faktycznie podpisał dokument.