Subskrybuj nas na Youtube
Wyzwaniem dla prawodawcy jest określenie granic kryminalizacji przestępstw komputerowych i nadążanie za zmianami technicznymi w sferze informatyki.
Sąd Najwyższy rozpoznał 5 marca 2019 r. interesującą sprawę. Dotyczyła ona prawnej kwalifikacji zachowania oskarżonego, które polegało na tym, że w ustalonym okresie, w krótkich odstępach czasu, w wykonaniu z góry powziętego zamiaru oraz w celu osiągnięcia korzyści majątkowej, po uprzednim podłączeniu się i przełamaniu fizycznych oraz elektronicznych zabezpieczeń systemu szyfrowania pamięci flash dekoderów dużego operatora telewizji satelitarnej, świadczył usługi poprzez wydobywanie tzw. kluczy parujących (kluczy transmisyjnych) z tych dekoderów. Następnie udostępniał je swoim klientom na stronie internetowej (prowadził działalność gospodarczą pod własną firmą). Wobec odmowy wszczęcia postępowania przez oskarżyciela publicznego, osoba ta została oskarżona przez oskarżyciela subsydiarnego – m.in. o popełnienie czynu z art. 267 par. 1 i 4 k.k.
Ta z pozoru skomplikowana przez zawiłości techniczne sprawa okazała się dla wymiaru sprawiedliwości łatwa. Interesująca jest natomiast z dwóch powodów.
Pierwszym jest sposób rozumienia informacji na gruncie art. 267 k.k. (przestępstwo bezprawnego uzyskania informacji). Chodzi o prawidłowe rozumienie dobra chronionego określonego w rozdziale XXXIII kodeksu, zatytułowanym „Przestępstwa przeciwko ochronie informacji”. Jednocześnie też – niejako w tle – sprawa dotyka normatywnego rozumienia nazw używanych przez ustawodawcę w innych przepisach tego rozdziału kodeksu karnego, np.: kod dostępu, dane umożliwiające nieuprawniony dostęp do informacji czy system teleinformatyczny (m.in. w art. 269b par. 1 k.k.). Z pewnością jednak na gruncie niniejszej sprawy najistotniejsze pozostanie określenie prawnego charakteru tzw. klucza parującego (zwanego też kluczem dostępu) w kontekście normatywnego znaczenia nazwy „informacja” jako przedmiotu ochrony prawa karnego.
Usługa: omijanie zabezpieczenia
Wypada jednak najpierw pokrótce przedstawić stan faktyczny sprawy. Działalność oskarżonego sprowadzała się do oferowania i wykonywania usługi polegającej na usunięciu zabezpieczenia istniejącego między dekoderem telewizyjnym a kartą dostępu (jest na wyposażeniu niektórych dekoderów, w tym konkretnym systemie: boxkey). W największym uproszczeniu: kod ten pełni taką samą funkcję jak kod, który łączy urządzenia wyposażone w odbiornik bluetooth (np. telefon komórkowy z telewizorem). W tym jednak przypadku dekoder i karta są do siebie dopasowane na zasadzie pełnego sparowania, tzn. że jeden dekoder może współpracować wyłącznie z jedną kartą. Operator telewizyjny zakłada, że będzie to uniemożliwiać odbiór udostępnianego sygnału telewizyjnego na większej niż ustalona w umowie liczbie odbiorników. Klucz parujący, który funkcjonuje między kartą a dekoderem, stanowi więc zabezpieczenie przed używaniem innego sprzętu (np. z nieautoryzowanym oprogramowaniem). Klucz parujący jest elementem zabezpieczenia tego systemu. Nie jest znany użytkownikowi i jest dość dobrze zabezpieczony; do jego wydobycia konieczny jest zestaw w miarę drogich narzędzi specjalistycznych (ich wartość została ustalona w sprawie kilka lat temu na około 10 tys. zł) oraz fachowe umiejętności z dziedziny informatyki i kryptografii.
Klucz parujący przypomina szyfr albo kod, gdyż przybiera postać ciągu znaków: np. liter i cyfr, który umożliwia połączenie i tworzenie systemu do odbioru telewizji m.in. przez dekoder i kartę. Jest to więc zabezpieczenie elektroniczne. Działalność oskarżonego sprowadzała się do ingerencji w urządzenie (przełamanie fizycznych zabezpieczeń), co wymagało dość skomplikowanej operacji polegającej na wylutowaniu (poprzez podgrzanie) pamięci flash (w postaci kości), w której przechowywany jest klucz parujący. Następnie kość pamięci była wpinana do specjalistycznego urządzenia podłączonego do komputerowej stacji roboczej. Na tym etapie wydobywano (wyszukiwano) ów klucz (kod). Na koniec kość pamięci flash była z powrotem wlutowywana do karty (chciałoby się rzec: „Polak potrafi”).
To (jeszcze) nie przestępstwo
Orzekające w tej sprawie sądy powszechne nie uznały takiego zachowania oskarżonego za przestępstwo, o które został oskarżony. Przypomnieć należy brzmienie art. 267 par. 1 k.k.: kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Istota sprawy sprowadzała się więc do rozumienia pojęcia „informacje”, którym ustawodawca posłużył się w tym przepisie. Literatura i orzecznictwo z tej dziedziny są już dość bogate, natomiast z uwagi na stały postęp cywilizacyjny w dziedzinie telekomunikacji i informatyki pojawiają się co pewien czas problemy z interpretacją, czy określony stan faktyczny z dziedziny technik komputerowych można uznać za odpowiadający nazwom, którymi posługuje się ustawodawca, penalizując poszczególne zachowania w przestępstwach stypizowanych w tym rozdziale. Taka sytuacja zaszła też w niniejszej sprawie. Problem sprowadzał się do tego, czy klucz parujący między kartą dekodera telewizyjnego a samym dekoderem stanowi informację w rozumieniu art. 267 par. 1 k.k., względnie czy nawet czysto hipotetycznie, niezależnie od zarzutu przedstawionego w subsydiarnym akcie oskarżenia, stanowić on może desygnat nazwy „kod dostępu”, o której mowa w dodanym ustawą z 18 marca 2004 r. o zmianie ustawy – Kodeks karny, ustawy – Kodeks postępowania karnego oraz ustawy – Kodeks wykroczeń (Dz.U. z 2004 r. nr 69, poz. 626) art. 296b par. 1 k.k. W obu przypadkach Sąd Najwyższy udzielił odpowiedzi negatywnej, pozostawiając ewentualną wskazówkę, że penalizacja zachowania, którego dopuścił się oskarżony, winna być w dzisiejszym stanie prawnym traktowana jedynie jako postulat de lege ferenda.
Dlaczego klucz parujący nie jest informacją, tak jak przyjmuje się rozumienie tego pojęcia na gruncie rozdziału XXXIII kodeksu karnego? Sąd Najwyższy wskazał, że konieczne rozróżnienie między pojęciami informacji i kodu parującego sprowadza się do tego, że ten drugi jest jedynie pewnym ciągiem znaków w postaci liter lub cyfr, który sam informacji nie stanowi, bowiem nie niesie żadnego znaczenia poza funkcją w systemie teleinformatycznym (jeżeli za takowy uznamy dekoder TV i kartę dostępu). Nie posiada on żadnej treści, sensu – nie jest więc wiadomością, z którą można utożsamiać informację. Do sprawy miała zastosowanie uchwała Sądu Najwyższego z 22 stycznia 2003 r. (sygn. I KZP 43/02, OSNKW, 2003/1-2/5), która choć wydana na podstawie odmiennego stanu faktycznego (dotyczyła bezprawnego podłączenia odbiornika telewizyjnego do sieci kablowej) kilkanaście lat temu, to pozostaje aktualna. W szczególności istotny pozostaje przegląd stanowisk doktryny prawniczej na temat, czym jest informacja jako pojęcie, o którym mowa w art. 267 par. 1 k.k. Przytaczając fragment rozważań tam zawartych, Sąd Najwyższy już w 2003 r. zwrócił uwagę na pogląd prof. W. Wróbla, „że na gruncie kodeksu karnego z 1997 r., (…) początkowo informację rozumiano czasownikowo, jako przekazywanie określonych wiadomości, a więc w istocie jako proces informowania. (…) Obecnie przez termin ten należy rozumieć wiadomość, a więc określony znak, dźwięk, zapis, szyfr, kryjący określoną treść” (por. W. Wróbel, Kodeks karny. Część szczególna, red. A. Zoll, Komentarz do art. 117–277 kodeksu karnego, Kraków 1999, s. 968–969). Podobnie zdaje się rozumieć informację B. Kunicka-Michalska, wychodząc z treści definicji zaproponowanej przez B. Michalskiego. Ten ostatni wyrażał pogląd, że informacja to „suma wiadomości o sytuacjach, stanach rzeczy, wydarzeniach i osobach przedstawionych w formie pisemnej tomicznej, wizualnej i każdej innej możliwości do odbioru przy pomocy zmysłów” (B. Kunicka-Michalska, Przestępstwa przeciwko ochronie informacji i wymiarowi sprawiedliwości. Rozdział XXX i XXXII kodeksu karnego. Komentarz, Warszawa 2000, s. 246; B. Michalski, Prawo dziennikarza do informacji, Kraków 1974, s. 9 i n.). Zarówno w literaturze, jak i w orzecznictwie SN z dziedziny rozumienia pojęcia informacji w kontekście tzw. przestępstw komputerowych wskazuje się na bezwzględną konieczność odróżnienia tego pojęcia od terminu „dane”, które żadnych wiadomości (treści) same w sobie nie zawierają. Aktualne pozostają w tym kontekście uwagi Andrzeja Adamskiego, który już na gruncie kształtującego się sposobu rozumienia terminu informacji po wejściu w życie kodyfikacji karnej z 1997 r. wskazywał właśnie na „rozróżnienie pomiędzy pojęciem informacji oraz danych”, co było istotne w realiach omawianej tu sprawy wydobywania kluczy parujących z dekoderów TV. Jak zauważa ten autor, „posiadanie dostępu do danych nie zawsze bowiem oznacza możliwość zapoznania się z treścią zawartych w nich informacji” (por. A. Adamski, Przestępstwa komputerowe w nowym kodeksie karnym, Warszawa 1998, s. 28).
Bo klucz nie jest kodem
SN akcentował w motywach rozstrzygnięcia, że informacja na gruncie art. 267 par. 1 k.k. (ale też szerzej, w rozumieniu Rozdziału XXXIII k.k.) to pewna wiadomość, której można przypisać jakieś znaczenie. Wyposażona jest więc w atrybut sensu, treści itp. Klucz parujący jako zespół znaków takim kryteriom nie odpowiada – jest więc informacją jedynie w potocznym rozumieniu. Podobnie wskazywał Kazimierz Ajdukiewicz, definiując znaczenie jako „sposób rozumienia przyporządkowany w danym języku jakiemuś wyrażeniu” (por. K. Ajdukiewicz, Zarys logiki, Warszawa 1958, s. 11). Znaczenie zatem to przyjęta w danym języku dyrektywa polegająca na wiązaniu określonych obiektów (desygnatów) natury konkretnej albo abstrakcyjnej z danymi nazwami albo wyrażeniami. Nawiązanie do tej koncepcji znaczenia przez SN jest jak najbardziej zasadne, bowiem to ona wykorzystywana jest w nadal uznawanej za istotną w prawoznawstwie polskim semantycznej teorii wykładni prawa Jerzego Wróblewskiego. Teoria ta akcentuje pierwszeństwo wykładni językowej oraz ograniczanie wykładni do zwrotów, które budzą wątpliwości znaczeniowe; zatem ogranicza wykładnię do sytuacji, gdy nie można ustalić znaczenia danego terminu w oparciu o dyrektywy sensu funkcjonujące w danym języku. SN musiał więc na gruncie omawianej sprawy ustalić, jakie jest prawnicze znaczenie nazw „informacja” i „klucz parujący”. Ta pierwsza, jak już zauważono, oznacza obiekty, dzięki którym człowiek nabywa określoną wiedzę o świecie, zatem nie jest odpowiednikiem takich terminów używanych w zakresie przestępstw komputerowych, jak: kod dostępu, hasło, szyfr, dane, jak również – będące w polu niniejszych rozważań – klucz parujący. Prócz argumentu wynikającego z wykładni językowej (różnoznaczność nazw) warto zaakcentować różnice wynikające z ustalenia funkcji obiektów, które tym nazwom odpowiadają. Pomocne stało się w tym przypadku poszukiwanie różnicy między terminem „klucz parujący” a innymi terminami informatycznymi używanymi przez prawodawcę w rozdziale XXXIII kodeksu karnego, w szczególności kodem dostępu (art. 269b par. 1 k.k.). Jest to istotne, bowiem analiza zmian treści normatywnej przestępstw z tego rozdziału wskazuje, że z biegiem lat, wraz z postępem cywilizacyjnym i towarzyszącymi mu nowymi zachowaniami kryminogennymi, ustawodawca decydował się na penalizację nowych zachowań z dziedziny przestępstw komputerowych. Wydobycie klucza parującego nie jest jednak w dalszym ciągu zachowaniem, które odpowiada znamionom jakiegokolwiek czynu z rozdziału XXXIII kodeksu karnego. W szczególności nie jest ani uzyskaniem informacji w rozumieniu art. 267 par. 1 k.k., ani kodu dostępu – przykładowo – w rozumieniu art. 269b par. 1 k.k. Znawca problematyki Filip Radoniewicz zauważa, że kod dostępu to ciągi znaków „umożliwiające uzyskanie dostępu do informacji przechowywanych w systemach informatycznych” (por. F. Radoniewicz, Odpowiedzialność karna za hacking i inne przestępstwa przeciwko danym komputerowym i systemom informatycznym, Warszawa 2016, s. 332). Kodem dostępu jest więc indywidualne hasło dostępu użytkownika do komputera, ale także sieci WiFi czy dekodera TV. Nie jest nim jednak klucz parujący, bo nie uzyskuje się dzięki niemu dostępu do informacji. Jak zauważył SN na gruncie omawianej sprawy (w ślad za F. Radoniewiczem), role (funkcje) tych elementów systemu informatycznego są różne. Kod dostępu chroni informację, podczas gdy klucz parujący łączy określone segmenty systemu informatycznego w postaci np. fizycznej (karta dostępu – urządzenie). Klucz parujący żadnej informacji nie chroni. Służy łączności między składnikami systemu. W konsekwencji nazwa „klucz parujący” ma inne znaczenie niż pojęcia informacji i kodu dostępu.
Klucz parujący nie jest więc informacją w rozumieniu prawno-karnym, chociaż omawiana sprawa jest dobrym przykładem tego, jak dynamiczny jest rozwój przestępstw informatycznych i jakie ewentualne zagrożenie mogą one nieść dla podmiotów funkcjonujących na tym rynku, zajmujących się zabezpieczaniem systemów informatycznych.
Stały postęp w dziedzinie telekomunikacji i informatyki powodują problemy z interpretacją, czy określony stan faktyczny można uznać za odpowiadający nazwom, którymi posługuje się ustawodawca, penalizując poszczególne zachowania w kodeksie karnym
