Jest projekt – nielegalny dostęp do systemu informatycznego będzie skuteczniej karalny
Rząd przyjął projekt zmian w kodeksie karnym mających przeciwdziałać atakom na systemy informatyczne oraz nielegalnemu wykorzystywaniu narzędzi hakerskich. Nowe przepisy pozwolą skuteczniej ścigać osoby, które nie tylko przeprowadzają ataki, ale także przygotowują lub udostępniają narzędzia do ich popełniania. Dzięki temu zwiększyć ma się poziom bezpieczeństwa w internecie i ochrona danych.
Proponowana nowelizacja prawa karnego to implementacja dyrektywy Parlamentu Europejskiego i Rady 2013/40/UE z 12 sierpnia 2013 r. dotyczącej ataków na systemy informatyczne, która harmonizuje prawo karne państw członkowskich w zakresie penalizacji ataków na systemy informatyczne. Ustanawia minimalne standardy definicji przestępstw oraz sankcji karnych, a także wzmacnia współpracę organów ścigania, w tym policji, Eurojustu, Europolu i ENISY. Zrealizowany w ten sposób zostanie cel unijnej dyrektywy, zobowiązującej państwa członkowskie do zagwarantowania, by umyślne i bezprawne uzyskiwanie dostępu do całości lub jakiejkolwiek części systemu informatycznego, było karalne jako przestępstwo.
Dyrektywa reguluje karalność umyślnych, bezprawnych czynów przeciwko systemom informatycznym i obejmuje następujące przestępstwa:
- niezgodny z prawem dostęp do systemów informatycznych,
- niezgodna z prawem ingerencja w systemy, powodująca zakłócenia ich funkcjonowania,
- niezgodna z prawem ingerencja w dane komputerowe, w tym ich usuwanie lub modyfikacja,
- niezgodne z prawem przechwytywanie niepublicznych transmisji danych,
Przepisy penalizują wytwarzanie, sprzedaż, dystrybucję lub udostępnianie narzędzi (programów komputerowych, haseł dostępu) przeznaczonych do popełniania powyższych przestępstw.
Kary za ataki hakerskie i narzędzia do ich przeprowadzania
Dla polskiego prawa karnego wdrożenie unijnych standardów oznacza rozszerzenie przepisów kodeksu karnego o karalność wytwarzania, pozyskiwania, zbywania i udostępniania urządzeń lub programów komputerowych przystosowanych do uzyskania nielegalnego dostępu do systemów informatycznych lub nielegalnego przechwytywania danych. Karalne będą nie tylko ataki hakerskie, ale także wytwarzanie, sprzedaż lub udostępnianie narzędzi służących do ich przeprowadzenia - jeśli odbywa się to w celu popełnienia przestępstwa (np. specjalnych programów komputerowych lub haseł umożliwiających włamanie do systemu). Wyeliminowane mają być też luki w prawie poprzez uzupełnienie istniejących przepisów o dodatkowe odesłania, aby jasno obejmowały wszystkie formy cyberprzestępczości wymagane przez prawo UE.
Czytaj: Rząd wzmacnia krajowe systemy cyberbezpieczeństwa>>
Potrzebne pełne dostosowanie do dyrektywy
Ministerstwo Sprawiedliwości, które przygotowało projekt, przyznało, że Polska nie dokonała pełnej transpozycji artykułu 7 dyrektywy 2013/40/UE, co świadczy o braku penalizacji niektórych przestępstw, o których mowa w tej unijnej regulacji. Zgodnie z dyrektywą karalne jako przestępstwo powinno być umyślne wytwarzanie, sprzedaż, dostarczanie w celu użycia, przywóz, rozpowszechnianie lub udostępnianie w inny sposób jednego z następujących narzędzi, jeżeli zostało dokonane bezprawnie i umyślnie w celu popełnienia któregokolwiek z przestępstw: - programu komputerowego, zaprojektowanego lub przystosowanego głównie do celu popełniania przestępstw, o których mowa w art. 3-6; - hasła komputerowego, kodu dostępu lub podobnych danych umożliwiających dostęp do całości lub części systemu informatycznego.
Obecnie – zawarty w art. 269b polskiego kodeksu karnego – przepis dotyczący bezprawnego wykorzystania programów i danych obejmuje swoją dyspozycją m.in. czyn karalny określony w art. 267 par. 3 k.k., czyli niezgodne z prawem zakładanie lub posługiwanie się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem. Natomiast zgodnie z art. 267 par. 2 k.k. karany może być niezgodny z prawem dostęp do systemów informatycznych oraz na podstawie art. 267 par. 1 k.k. – niezgodne z prawem przechwytywanie. - Projektowana zmiana, polegająca na rozszerzeniu odesłania w art. 269b par. 1 k.k. również na art. 267 par. 1 i 2 k.k., jest uzasadniana przez projektodawcę koniecznością pełnej transpozycji art. 7 dyrektywy 2013/40/UE dotyczącej ataków na systemy informatyczne. Z perspektywy formalnej ta argumentacja jest spójna: dyrektywa obejmuje bowiem penalizację obrotu narzędziami służącymi zarówno do nielegalnego dostępu do systemów informatycznych, jak i do nielegalnego przechwytywania danych, podczas gdy dotychczasowe brzmienie art. 269b par. 1 k.k. odwoływało się wyłącznie do art. 267 par. 3 k.k. – wyjaśniła Prawo.pl Małgorzata Durlej-Piotrowska, adwokat, prowadząca w Warszawie kancelarię specjalizującą się w tej problematyce.
Dodatkowe czyny objęte dyspozycją karną
Ministerstwo Sprawiedliwości w projektowanej ustawie zaproponowało też zmianę odnośnika nr 1 do tytułu ustawy – Kodeks karny poprzez dodanie pkt 4, który będzie wskazywał regulację unijną wdrożoną do krajowego systemu porządku prawnego.
Zmodyfikowana ma być też treść art. 269b par. 1 k.k., dotyczącego bezprawnego wykorzystania programów i danych, poprzez umieszczenie w tej regulacji dodatkowego odesłania do art. 267 par. 2 k.k. – w zakresie przestępstwa, o którym mowa w art. 3 dyrektywy 2013/40 – niezgodny z prawem dostęp do systemów informatycznych – oraz do art. 267 par. 1 k.k. – w zakresie przestępstwa, o którym mowa w art. 6 dyrektywy – niezgodne z prawem przechwytywanie, obok już istniejącego odesłania do par. 3 tego przepisu. Zdaniem autorów projektu proponowane rozwiązania legislacyjne poszerzą zakres zastosowania art. 269b k.k. poprzez objęcie jego dyspozycją dodatkowych czynów karalnych.
Ryzyko nadmiernej kryminalizacji działań z zakresu cyberbezpieczeństwa
Projektowana zmiana jest bardziej działaniem o charakterze porządkującym i doprecyzowującym, mającym na celu usunięcie potencjalnych wątpliwości co do zakresu implementacji prawa unijnego, niż odpowiedzią na realną lukę penalną w polskim prawie karnym – oceniła mec. Małgorzata Durlej-Piotrowska.
Ponieważ jej zdaniem, obecnie obowiązujące przepisy kodeksu karnego już zapewniają szeroką ochronę przed zachowaniami, które projektodawca wskazuje jako problematyczne. I w tym kontekście zwraca uwagę na potencjalne ryzyka związane z rozszerzeniem zakresu art. 269b par. 1 k.k. - Przepis ten dotyczy bowiem wytwarzania, posiadania czy udostępniania narzędzi informatycznych „w celu popełnienia przestępstwa”, a ustalenie takiego celu w praktyce bywa trudne. Bez ostrożnej wykładni może to prowadzić do nadmiernej kryminalizacji działań podejmowanych w ramach legalnej działalności z zakresu cyberbezpieczeństwa, testów penetracyjnych czy badań nad bezpieczeństwem systemów informatycznych. Kluczowe znaczenie będzie więc miało ścisłe interpretowanie strony podmiotowej czynu oraz stosowanie zasady proporcjonalności - podkreśliła.
Czytaj również: Firmowe i urzędowe systemy IT lepiej chronione przed cyberatakami >>
