Przejdź do treści 
Art. 269b KK dotyczy określonych urządzeń, programów oraz danych dostępu związanych z cyberprzestępczością. Nie oznacza to, że każdy administrator posiadający program do testowania sieci popełnia przestępstwo. Trzeba ustalić właściwości przedmiotu, konkretne zachowanie i umyślność. Ustawa przewiduje także odrębną regułę dla działania wyłącznie w celu zabezpieczenia systemu lub opracowania takiego zabezpieczenia.
Jakie zachowania wskazuje przepis?
§ 1 wymienia wytwarzanie, pozyskiwanie, zbywanie i udostępnianie innym osobom. Nie wolno zastępować tych znamion samym ogólnym opisem zainteresowania bezpieczeństwem IT. W sprawie trzeba ustalić, jakie działanie rzeczywiście podjęto, czego dotyczyło i w jakich okolicznościach.
Przy przekazaniu programu istotne mogą być jego funkcje, opis przeznaczenia, zakres modyfikacji i korespondencja dotycząca udostępnienia. Przy danych dostępu znaczenie ma ich rzeczywista treść i to, do jakiej informacji pozwalały uzyskać nieuprawniony dostęp. Sam plik nazwany „hasła” albo marketingowy opis programu nie zastępuje analizy jego właściwości.
Program musi odpowiadać ustawowemu zakresowi
Przepis dotyczy urządzeń i programów przystosowanych do popełnienia przestępstw z wyliczonego katalogu: art. 165 § 1 pkt 4, art. 267 § 1–3, wskazanych postaci art. 268a, art. 269, art. 269a, art. 270 § 1 lub art. 270a § 1 KK. Nie jest to dowolny zbiór wszystkich naruszeń popełnianych przy komputerze. Należy porównać konkretne narzędzie z właściwą jednostką katalogu.
Możliwość wykorzystania zwykłego programu również w niewłaściwym celu nie rozwiązuje jeszcze pytania o ustawowe „przystosowanie”. Ocenie podlegają rzeczywiste funkcje i przeznaczenie, a nie wyłącznie nazwa pliku. Przy wiadomościach specjalnych może być potrzebna opinia właściwego biegłego; organ nie powinien poprzestawać na potocznym określeniu „program hakerski”.
Hasła, kody i inne dane dostępu
§ 1 obejmuje także hasła komputerowe, kody dostępu lub inne dane umożliwiające nieuprawniony dostęp do informacji przechowywanych w ustawowo wskazanym systemie albo sieci. Nie każde przekazanie danych w firmie odpowiada temu opisowi. Trzeba sprawdzić zakres uprawnień i znaczenie udostępnionych informacji.
Ocena samego uzyskania nieuprawnionego dostępu jest odrębnym pytaniem od oceny narzędzia lub danych. Również niszczenie danych lub zakłócanie pracy systemu ma własne znamiona. Nie trzeba mechanicznie utożsamiać przygotowania lub obrotu wskazanym przedmiotem z dowodem dokonania całego późniejszego ataku.
Wyłącznie ochronny cel działania — art. 269b § 1a
Nie popełnia przestępstwa z § 1 osoba działająca wyłącznie w celu zabezpieczenia systemu informatycznego, teleinformatycznego lub sieci teleinformatycznej przed wskazanym przestępstwem albo opracowania metody takiego zabezpieczenia. Znaczenie ma rzeczywisty, wyłączny cel. Samo nazwanie działań „testem bezpieczeństwa” nie zapewnia zastosowania § 1a.
Przydatne mogą być zakres zlecenia, zgody, opis środowiska i raporty z prac. Są to przykłady materiału do ustalenia okoliczności, a nie zamknięty katalog ustawowych załączników. § 1a nie daje ogólnej zgody na dowolne wejście do cudzego systemu. Odrębny art. 269c odnosi się do określonych czynów z art. 267 § 2 lub art. 269a i ma własne warunki; nie należy go przedstawiać jako uniwersalnej podstawy wyłączenia art. 269b.
Umyślność, kara i przepadek
Art. 269b nie zawiera odrębnej postaci nieumyślnej. Zastosowanie wymagają reguły zamiaru z art. 8 i 9 KK. Nie wystarcza samo ustalenie zawodu, miejsca zatrudnienia lub tego, że dana osoba korzystała z komputera. Trzeba ocenić wiedzę i zamiar dotyczące ustawowych znamion.
§ 1 przewiduje karę pozbawienia wolności od 3 miesięcy do 5 lat. Przy skazaniu sąd orzeka przepadek wskazanych przedmiotów; gdy nie stanowiły własności sprawcy, ustawa przewiduje możliwość jego orzeczenia. Zabezpieczenie sprzętu w toku postępowania nie jest jeszcze prawomocnym przepadkiem. W sprawach historycznych potrzebna jest analiza właściwej ustawy według art. 4 KK.
Co przygotować do konsultacji?
Zachowaj opis zarzutu, protokoły dotyczące sprzętu, dokumenty określające zakres prac i legalnie posiadaną korespondencję. Nie uruchamiaj dla demonstracji narzędzi w cudzym systemie ani nie przesyłaj dalej przejętych danych dostępu. Wyjaśnienie funkcji programu powinno odbywać się z poszanowaniem uprawnień i zabezpieczenia dowodów. Pomoc w sprawie karnej dotyczącej narzędzi i danych może objąć analizę roli, celu działania i dokumentacji, bez zakładania z góry wyniku.
Źródło
Kodeks karny — art. 4, 8–9, 269b i 269c oraz wskazany w art. 269b katalog.
