Втручання в роботу інформаційно-комунікаційних систем: кримінальна відповідальність

Набрання чинності законом й особливості його дії

Закон «щодо підвищення ефективності боротьби з кіберзлочинністю в умовах дії воєнного стану» від 24 березня 2022 р. №2149-IX набрав чинності 3 квітня 2022 р.

Згідно з ч. 6 ст. 361 Кримінального кодексу України (далі – КК), «Дії, передбачені частинами першою – четвертою цієї статті, не вважаються несанкціонованим втручанням в роботу інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж, якщо вони були вчинені відповідно до порядку пошуку та виявлення потенційних вразливостей таких систем чи мереж».

Прикінцеві положення Закону вимагають від Кабінету Міністрів розробити та забезпечити введення в дію у місячний строк з дня прийняття цього Закону (тобто до 24 квітня 2022 р.) порядку пошуку та виявлення потенційних вразливостей інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж.

До часу введення в дію порядку стаття 361 КК через однозначну бланкетність її диспозицій фактично діяти не може.

Проте, станом на 26 квітня 2022 р. зазначений порядок не затверджено.

Суть змін до КК та їх значення

1. У статтях 361 і 361-1 КК слова «електронно-обчислювальні  машини (комп’ютерів), автоматизовані системи, комп’ютерні мережі чи мережі електрозв’язку» замінені словами «інформаційні (автоматизовані), електронні комунікаційні, інформаційно-комунікаційні системи, електронні комунікаційні мережі» – з метою приведення термінології КК у цій частині у відповідність до термінології Закону «Про електронні комунікації» від 16 грудня 2020 р. №1089-IX й іншого законодавства України у сфері кібербезпеки.

Значення деяких термінів, застосованих у статтях 361 і 361-1 КК:

1) інформаційна (автоматизована) система – організаційно-технічна система, в якій реалізується технологія обробки інформації з використанням технічних і програмних засобів (ст. 1 Закону «Про захист інформації в інформаційно-комунікаційних системах»)

2) електронні комунікаційні системи – визначення в законодавстві немає. Є тільки е.к. мережа

3) інформаційно-комунікаційна система – сукупність інформаційних та електронних комунікаційних систем, які у процесі обробки інформації діють як єдине ціле (ст. 1 Закону «Про захист інформації в інформаційно-комунікаційних системах»)

4) електронна комунікаційна мережа – комплекс технічних засобів електронних комунікацій та споруд, призначених для надання електронних комунікаційних послуг (п. 26 ст. 2 Закону «Про електронні комунікації»)

2. Наслідки у виді «витоку, втрати, підробки, блокування інформації, спотворення процесу обробки інформації або до порушення встановленого порядку її маршрутизації», що були передбачені в ч. 1 ст. 361 КК, з цієї частини виключені і визначені у новій частині 3 ст. 361 КК. При цьому злочин, передбачений ч. 1 ст. 361 КК, який карався, зокрема, позбавленням волі на строк до трьох років, трансформовано у кримінальний проступок.

Тут має місце помилка законодавця – надмірна криміналізація.

Так, саме по собі несанкціоноване втручання в роботу згаданих систем чи мереж не є кримінальним правопорушенням, оскільки не створює жодних наслідків, які можна було б охопити поняттям істотної шкоди (див. ст. 11 КК).

Наприклад, колега по роботі бажає подивитися новини з використанням ПК іншого працівника, поки свій в ремонті, включає його і робить пошук на сайтах. Це – малозначне діяння.

В інших схожих випадках прокурори і суди зобов’язані будуть застосовувати положення статей 45 і 46 КК щодо звільнення від кримінальної відповідальності.

3. Наслідки у виді значної шкоди, що раніше були передбачені в ч. 2 ст. 361 КК, вилучені з неї і перенесені до нової ч. 4 цієї статті, в якій визначено кваліфікований склад злочину: «Дії, передбачені частиною 1 або 2 цієї статті, якщо вони заподіяли значну шкоду чи створили небезпеку тяжких технологічних аварій або екологічних катастроф, загибелі або масового захворювання населення чи інших тяжких наслідків».

Тут має місце помилка законодавця, оскільки саме по собі передбачене у ч. 1 ст. 361 КК несанкціоноване втручання в роботу вказаних систем чи мереж, – без витоку, втрати, підробки, блокування інформації, спотворення процесу обробки інформації або до порушення встановленого порядку її маршрутизації, – не здатне спричинити жодного зі згаданих наслідків.

Законодавець повинен був у ч. 4 ст. 361 КК вказати на «дії, передбачені частиною 3 цієї статті». Лише дії, які призвели до витоку, втрати, підробки, блокування інформації, спотворення процесу обробки інформації або до порушення встановленого порядку її маршрутизації, можуть спричинитизначну шкоду чи створили небезпеку тяжких технологічних аварій або екологічних катастроф, загибелі або масового захворювання населення чи інших тяжких наслідків.

4. Статтю 361 КК доповнено новою частиною 5, в якій визначено особливо кваліфікований склад злочину: «Дії, передбачені частиною третьою або четвертою цієї статті, вчинені під час дії воєнного стану».

Водночас ст. 361 КК доповнено новою частиною 6, в якій визначено: «Дії, передбачені частинами 1–4 цієї статті, не вважаються несанкціонованим втручанням в роботу інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж, якщо вони були вчинені відповідно до порядку пошуку та виявлення потенційних вразливостей таких систем чи мереж».

Тут також має місце помилка законодавця: дії, передбачені частиною 5 ст. 361 КК, про яку не згадано у ч. 6 цієї статті, ніби слід визнавати злочином, навіть якщо вони були вчинені відповідно до порядку пошуку та виявлення потенційних вразливостей таких систем чи мереж. Насправді ні, адже згідно зі ст. 62 Конституції України, усі сумніви щодо доведеності вини особи тлумачаться на її користь. Довести ж вину особи у діянні, протиправність якого не визначена відповідно до принципу юридичної визначеності, неможливо.

5. Згідно з приміткою до ст. 361 КК значною шкодою у статтях 361–363-1 КК відтепер вважається шкода, яка не в сто, а в триста і більше разів перевищує неоподатковуваний мінімум доходів громадян (далі – нмдг).

Таким чином, в цій частині новий закон поліпшив становище особи, раніше засудженої за несанкціоноване втручання в роботу електронно-обчислювальних машин (комп’ютерів), автоматизованих систем, комп’ютерних мереж чи мереж електрозв’язку, що призвело до витоку, втрати, підробки, блокування інформації, спотворення процесу обробки інформації або до порушення встановленого порядку її маршрутизації, та заподіяло значну шкоду. Якщо на час засудження ця шкода перевищувала 100 нмдг, але не сягала 300 нмдг, то вирок підлягає перегляду відповідно до ч. 3 ст. 74 КК, а покарання за кримінальне правопорушення – зниженню до максимальної межі покарання, встановленої санкцією ч. 1 ст. 361 КК в редакції до 24 березня 2022 р.

Те саме стосується й осіб, які раніше були засуджені за ч. 2 ст. 361-1 КК, якщо на час їх засудження ця шкода перевищувала 100 нмдг, але не сягала 300 нмдг.

6. Назву і частину 1 статті 361-1 КК перед словами «використання, розповсюдження або збуту» доповнено словом «протиправне». Ця зміна не є потрібною, оскільки всі діяння, передбачені КК, караються виключно за умови їхньої протиправності. Це прямо випливає з ч. 1 ст. 1, ч. 3 ст. 3, ч. 2 ст. 4, частин 1, 2, 4 ст. 5, ч. 1 ст. 11 та інших положень КК.

Звільнення від кримінальної відповідальності

1) У випадку вчинення діяння, передбаченого ч. 1 ст. 361 КК, суд зобов’язаний звільнити особу від кримінальної відповідальності, якщо вона:

• після вчинення кримінального правопорушення щиро покаялася, активно сприяла розкриттю кримінального правопорушення і повністю відшкодувала завдані нею збитки або усунула заподіяну шкоду (ст. 45 КК) або
• вперше вчинила це діяння, примирилася з потерпілим та відшкодувала завдані нею збитки або усунула заподіяну шкоду (ст. 46 КК).

2) У випадку вчинення діянь, передбачених ч. 2 ст. 361, частинами 1 і 2 ст. 361-1 КК, суд може звільнити особу від кримінальної відповідальності:

• з передачею її на поруки колективу підприємства, установи чи організації за їхнім клопотанням, якщо вона вперше вчинила таке діяння та за умови, що вона протягом року з дня передачі її на поруки виправдає довіру колективу, не ухилятиметься від заходів виховного характеру та не порушуватиме громадського порядку (ст. 47 КК); або
• якщо вона вперше вчинила таке діяння і на час кримінального провадження внаслідок зміни обстановки це діяння втратило суспільну небезпечність або ця особа перестала бути суспільно небезпечною (ст. 48 КК).