Dostęp do systemu, dane i podszywanie się
Najczęstsze sprawy z tego obszaru nie dotyczą włamań, lecz sytuacji zwyczajnych: zalogowania się na cudze konto, korzystania z firmowego systemu po zakończeniu współpracy, skopiowania bazy klientów przed odejściem. Włoskie prawo traktuje je jako dostęp bez uprawnienia — a karalne jest również samo pozostanie w systemie wbrew woli uprawnionego.
Najważniejsze w skrócie
- Dostęp do systemu informatycznego bez uprawnienia jest przestępstwem, również bez łamania jakichkolwiek zabezpieczeń.
- Karalne jest również pozostanie w systemie wbrew woli uprawnionego, mimo pierwotnie legalnego wejścia.
- Zagrożenie rośnie przy systemach o znaczeniu publicznym oraz przy nadużyciu uprawnień służbowych.
- Oszustwo informatyczne jest czynem odrębnym od oszustwa zwykłego i ma własne, szersze znamiona.
- Podszywanie się pod inną osobę w sieci jest karalne niezależnie od tego, czy przyniosło korzyść majątkową.
- Skopiowanie danych pracodawcy przed odejściem rodzi zwykle trzy odrębne zarzuty naraz, także wobec nowego pracodawcy.
- Firma zaatakowana ma własne obowiązki zgłoszeniowe i własne ryzyko, niezależne od odpowiedzialności sprawcy.
Na czym to się opiera
| Zagadnienie | Podstawa |
|---|---|
| Dostęp bez uprawnienia do systemu | art. 615-ter kodeksu karnego |
| Bezprawne posiadanie kodów dostępu | art. 615-quater k.k. |
| Oszustwo informatyczne | art. 640-ter k.k. |
| Podszywanie się pod inną osobę | art. 494 k.k. |
| Uszkodzenie danych i systemów | art. 635-bis i nast. k.k. |
| Tajemnica przedsiębiorstwa | art. 623 k.k. |
| Zaostrzenie kar | ustawa nr 90 z 2024 r. |
Ostatni wiersz warto odnotować przy sprawach świeżych: reforma z 2024 roku podniosła zagrożenia w tej grupie i rozszerzyła okoliczności zaostrzające, zwłaszcza przy systemach o znaczeniu publicznym oraz przy nadużyciu uprawnień służbowych. Przy czynach sprzed jej wejścia w życie stosuje się natomiast stan wcześniejszy, o ile jest łagodniejszy.
Dostęp bez uprawnienia
Tak brzmi kwalifikacja, pod którą kryje się większość spraw. Nie wymaga ona łamania zabezpieczeń: wystarczy wejście do systemu chronionego bez tytułu albo pozostanie w nim po ustaniu uprawnienia.
| Zachowanie | Ocena |
|---|---|
| Logowanie się cudzymi danymi, także za zgodą | zwykle dostęp bez uprawnienia |
| Korzystanie z systemu po zakończeniu współpracy | karalne, choć hasło działało |
| Wejście do skrzynki małżonka lub partnera | karalne, brak zgody wystarcza |
| Przeglądanie danych ponad zakres obowiązków | przekroczenie uprawnienia |
| Kopiowanie bazy klientów przed odejściem | zwykle kilka zarzutów naraz |
| Dostęp do systemów o znaczeniu publicznym | zagrożenie wyraźnie wyższe |
Wiersz drugi jest najczęstszy w sporach pracowniczych: pracodawca nie zamknął konta, były pracownik nadal z niego korzysta i uważa, że skoro hasło działa, to wolno. Działające hasło nie jest jednak tytułem — liczy się wola uprawnionego.
Wiersz czwarty dotyczy zaś osób, które dostęp mają: przeglądanie danych bez związku z obowiązkami bywa oceniane jako przekroczenie granic uprawnienia i traktowane tak samo.
Kopiowanie danych przy zmianie pracy
Sytuacja, która wydaje się naturalna — zabranie „swoich" kontaktów, projektów, korespondencji — generuje zwykle kilka zarzutów jednocześnie: dostęp bez uprawnienia, przywłaszczenie danych, ujawnienie tajemnicy przedsiębiorstwa, a przy danych osobowych klientów również sprawę z zakresu ochrony danych.
Reguła jest prosta i warto ją znać przed, a nie po: dane wytworzone w ramach zatrudnienia należą do pracodawcy, niezależnie od tego, kto je wpisał. Kontakty klientów, oferty, cenniki, dokumentacja projektowa.
Ten sam problem dotyczy nowego pracodawcy: przyjęcie i wykorzystanie takich materiałów tworzy odpowiedzialność również po jego stronie, wraz z odpowiedzialnością spółki.
Oszustwo informatyczne i podszywanie się
Oszustwo informatyczne polega na osiągnięciu korzyści przez ingerencję w system albo w dane. Obejmuje przechwycenie płatności, zmianę numeru rachunku w fakturze, wykorzystanie cudzych danych płatniczych.
Osobno karalne jest podszywanie się pod inną osobę — założenie profilu, konta, adresu na cudze nazwisko. Nie wymaga to korzyści majątkowej: wystarczy wprowadzenie w błąd.
Dla pokrzywdzonych obu tych czynów istotny jest czas: zabezpieczenie zapisów, adresów, nagłówków wiadomości i danych transakcji ma sens w pierwszych dniach. Później dane są usuwane w normalnym trybie i nie da się ich odtworzyć.
Firma jako ofiara i jako podejrzany
Po ataku przedsiębiorstwo jest pokrzywdzone, ale ma równocześnie własne obowiązki: zabezpieczenie śladów, zgłoszenie naruszenia ochrony danych w krótkim terminie, zawiadomienie osób, których dane dotyczą, gdy ryzyko jest wysokie.
Ich niedopełnienie może obrócić sytuację: z pokrzywdzonego firma staje się podmiotem badanym pod kątem niewystarczających zabezpieczeń. Nie ocenia się przy tym, czy atak dało się powstrzymać — ocenia się, czy organizacja odpowiadała stanowi wiedzy i czy zareagowano prawidłowo.
Kolejność czynności jest zawsze ta sama: najpierw zabezpieczyć, potem odtwarzać. Odwrócenie jej niszczy dowody i pozbawia firmę możliwości wykazania, co rzeczywiście wypłynęło.
Podejrzenie wobec pracownika
Jeżeli firma podejrzewa osobę z wewnątrz, nie może po prostu przeszukać jej poczty i urządzeń. Kontrola pracownika podlega ograniczeniom, a materiał zdobyty z ich naruszeniem bywa niewykorzystywalny — i tworzy odrębną sprawę przeciwko pracodawcy.
Właściwa kolejność: ustalić, jakie źródła są dopuszczalne, zabezpieczyć je we właściwej formie, dopiero potem analizować. To kosztuje dwa dni i ratuje całe postępowanie.
Najczęstsze pytania
Czy zalogowanie się cudzym hasłem jest przestępstwem?
Zwykle tak, jako dostęp bez uprawnienia do systemu chronionego. Nie trzeba łamać żadnych zabezpieczeń ani używać narzędzi technicznych: wystarczy wejście bez tytułu prawnego. Dlatego zalogowanie się na cudze konto przy użyciu hasła, które ktoś kiedyś podał albo które zostało zapamiętane w przeglądarce, wypełnia znamiona tego czynu.
Konto działało po zakończeniu współpracy.
Działające hasło nie jest tytułem prawnym do wejścia. Karalne jest ponadto pozostanie w systemie wbrew woli uprawnionego, więc również sytuacja, w której wejście było początkowo legalne, a uprawnienie w międzyczasie wygasło. Typowy przykład: były pracownik korzystający z konta, którego nikt nie zablokował po jego odejściu.
Czy mogę zabrać swoje kontakty, zmieniając pracę?
Dane wytworzone w ramach zatrudnienia należą do pracodawcy, niezależnie od tego, kto je fizycznie zbierał i utrzymywał. Ich skopiowanie przed odejściem rodzi zwykle trzy zarzuty naraz: dostęp do systemu bez uprawnienia, naruszenie tajemnicy przedsiębiorstwa oraz przetwarzanie danych osobowych bez podstawy prawnej.
Czy nowy pracodawca też ryzykuje?
Tak. Przyjęcie i wykorzystanie takich materiałów tworzy odpowiedzialność po stronie nowego pracodawcy, a przy oczywistym pochodzeniu bazy również odpowiedzialność spółki. Praktycznym zabezpieczeniem jest pisemne oświadczenie pracownika o pochodzeniu wnoszonych materiałów oraz wyraźny zakaz wnoszenia baz z poprzedniego zatrudnienia.
Czym jest podszywanie się?
Założeniem profilu, konta albo adresu poczty na cudze nazwisko, a także prowadzeniem korespondencji w cudzym imieniu. Nie wymaga to korzyści majątkowej: wystarczy wprowadzenie kogokolwiek w błąd co do tożsamości. Przy jednoczesnym wykorzystaniu cudzych danych osobowych dochodzi odrębna kwalifikacja z zakresu ochrony danych.
Co robić po ataku na firmę?
Najpierw zabezpieczyć ślady i kopie logów, dopiero potem odtwarzać systemy — odwrotna kolejność niszczy jedyny materiał dowodowy. Równolegle biegną obowiązki zgłoszeniowe z zakresu ochrony danych, z bardzo krótkimi terminami. Ich niedopełnienie odwraca sytuację: firma z pokrzywdzonej staje się podmiotem badanym.
Podejrzewamy pracownika, możemy sprawdzić jego pocztę?
Nie bez ustalenia, jakie źródła są w ogóle dopuszczalne. Materiał zdobyty z naruszeniem reguł kontroli pracowniczej bywa niewykorzystywalny — również wtedy, gdy potwierdza nadużycie — a samo jego zebranie tworzy sprawę przeciwko pracodawcy. Dlatego przy podejrzeniu nadużycia najpierw ustala się dopuszczalne źródła, potem analizuje.