Infractiunile informatice prevazute delegea 161/2003

I. Demersuri internationale

La data de 23 noiembrie 2001, statele membre ale Consiliului Europei (avand ajutorul Canadei, Statelor Unite, Japoniei si al Africii de Sud in calitate de observatori) au redactat si semnat"Conventia asupra criminalitatii cibernetice". Ulterior, in data de 28 ianuarie 2003, s-a inaintat spre semnare statelor membre "Protocolul Aditional pentru Conventia asupra criminalitatii cibernetice, privindincriminareaactelor de natura rasiala si xenofoba comise prin intermediul sistemelor informatice" . Romania a semnat si acest Protocol Aditional la data de 9 octombrie 2003.

Conventia si Protocolul Aditional stabilesc cadrul de baza pentru anchetarea si sanctionarea penala a infractiunilor comise cu ajutorul computerului, precum si pentru cooperarea interstatala, necesara stoparii acestui flagel.

Conventia aduce in prim-plan necesitatea incriminarii penale a unor fapte precum: accesul ilegal la un sistem informatic, interceptarea ilegala a transmisiilor informatice, falsul informatic,fraudainformatica, pornografia infantila pe Internet, violari ale drepturilor deproprietatesi alte drepturi conexe etc.

II. Masurile legislative adoptate de Romania

Parlamentul Romaniei a incercat sa transpuna aceste directive prinLegea 161/2003privind unele masuri pentru asigurarea transparentei si exercitarea demnitatilor publice a functiilor publice si in mediul de afaceri, prevenirea si sanctionarea coruptiei, mai exact, prin Titlul III al Cartii I (Prevenirea si combaterea criminalitatii informatice, art. 34 - 67).

Scopul acestui act normativ este prevenirea si combaterea criminalitatii informatice, prin masuri specifice de prevenire, descoperire si sanctionare a infractiunilor savarsite prin intermediul sistemelor informatice, asigurandu-se respectarea drepturilor omului si protectia datelor personale (art. 34).

Actul normativ nu ofera o definitie a "infractiunii informatice" (cum de altfel nu o face nici Conventia Consiliului Europei). O astfel de definitie este in realitate foarte greu de formulat, avand in vedere marea diversitate a aspectelor infractionale care au fost descoperite pana in prezent, dar si avalansa cotidiana a noilor acte infractionale in acestdomeniu.

Daca "criminalitatea informatica" reprezinta "totalitatea faptelor comise in zona noilor tehnologii ...", "infractionalitatea informatica" ar putea fi definita ca "totalitatea faptelor de natura penala comise in spatiul informatic".

Pentru prevenirea si descoperirea infractiunilor informatice, legea cere concursul autoritatilor si institutiilor publice cu competente in domeniu, furnizorilor de servicii, organizatiilor neguvernamentale, reprezentantilor societatii civile care promoveaza politici, practici, masuri, proceduri si standarde minime de securitate a sistemelor informatice, Ministerului Justitiei, Ministerului Administratiei si Internelor, Ministerului Comunicatiilor si Tehnologiei Informatiei, Serviciului Roman de Informatii si Serviciului de Informatii Externe (care trebuie sa constituie si sa actualizeze continuu baza de date privind criminalitatea informatica), Institutului National de Criminologie

III. Infractiuni contra confidentialitatii si integritatii datelor si sistemelor informatice

In Capitolul III, Sectiunea I, sunt reglementate infractiunile contra confidentialitatii si integritatii datelor si sistemelor informatice.

A) Constituie infractiune (art. 42 alin.(1)) "accesul faradreptla un sistem informatic". Fapta este mai grava daca "este savarsita in scopul obtinerii de date informatice" (alin. (2)). De asemenea, fapta prevazuta de alin. (1) sau (2) are o gravitate sporita daca "este savarsita prin incalcarea masurilor de securitate" (alin. (3)).

Obiectul juridic special al acestei infractiuni il constituie relatiile sociale referitoare la securitatea sistemelor informatice, fie ca sunt deinteressi utilitate publica, fie ca apartin sferei deinteresprivat.

Obiectul material al infractiunii il constituie chiar sistemul informatic atacat (prin "sistem informatic" se intelege oricedispozitivsau ansamblu de dispozitive interconectate sau aflate in relatie functionala, dintre care unul sau mai multe asigura prelucrarea automata a datelor, cu ajutorul unui program informatic).

Subiectul activ al infractiunii poate fi oricepersoana fizicace intruneste conditiile de varsta si responsabilitate, prevazute de legea penala.

Infractiunea este susceptibila departicipatie penalain toate formele sale coautorat,instigaresicomplicitate.

Subiectul pasiv estepersoana fizicasau juridica careia i s-a cauzat in acest mod unprejudiciu.

Latura obiectiva. Elementul material prin care se realizeazainfractiuneaconsta intr-oactiunesi anume, "accesul fara drept" la un sistem informatic.

Pentru existenta infractiunii, fapta trebuie comisa "fara drept" si trebuie sa fie indreptata impotriva unui "sistem informatic", asa cum este el definit de art. 35 alin. (1) lit. a). Pentru existenta variantei agravante, este necesara indeplinirea unei conditii legate de scopul savarsirii infractiunii, si anume, "pentru obtinerea de date informatice" (art. 35 alin. (1) lit. d)).

"Prin date informatice se intelege orice reprezentare a unor fapte, informatii sau concepte intr-o forma care poate fi prelucrata printr-un sistem informatic. In aceasta categorie se include si orice program informatic care poate determina realizarea unei functii de catre un sistem informatic". Fapta reprezinta o gravitate deosebita daca a fost savarsita prin incalcarea masurilor desecuritate. Prin "masuri de securitate", se intelege folosirea unor proceduri, dispozitive sau programe informatice specializate, cu ajutorul carora accesul la un sistem informatic este restrictionat sauinterzispentru anumite categorii de utilizatori).

Prin "acces" intelegem "a programa, a executa un program, a intercepta, a instrui, a comunica cu ..., a depozita/arhiva/stoca) in ..., a recupera date din sau in oricare altafolosintaa unei surse oferita de computere, incluzand date sau programe pentru computere, sisteme de computere, retele de computere sau baze de date".

Legea precizeaza sfera persoanelor care actioneaza "fara drept", adica persoane care se afla in una din urmatoarele situatii: nu sunt autorizate in temeiul legii sau al unui contract, depasesc limitele autorizarii, nu au permisiunea din partea persoanei fizice sau juridice competente potrivit legii sa o acorde, de a folosi, administra sau controla un sistem informatic, ori de a desfasura cercetari stiintifice sau de a efectua orice alta operatiune intr-un sistem informatic.

Urmarea imediata consta intr-o stare de pericol generata prin accesul nepermis la un sistem informatic si chiar printr-opagubade natura materiala, daca in urma acelui acces s-au produs titularului sistemului informatic prejudicii.

Raportul de cauzalitate rezultaex re.

Latura subiectiva fapta poate fi savarsita prinintentiedirecta sau indirecta.

Forme infractiuneaeste susceptibila de tentativa, care se pedepseste (art. 47).

Modalitati fapta poate fi savarsita printr-o multitudine de modalitati faptice.

Sanctiuni: fapta prevazuta de alin. (1) se pedepseste cuinchisoarede la 3 luni la 3 ani sau cu amenda, cea prevazuta la alin. (2) se pedepseste cuinchisoarede la 6 luni la 5 ani, iar varianta cea mai grava se pedepseste cuinchisoarede la 3 la 12 ani.

Un exemplu privind necesitatea incriminarii acestei infractiuni: presedintele companiei Cinenet din Simi Valley California, Jim Jarrard - a hotarat sa lase calculatorul sa mearga peste noapte pentru a termina un download de mari dimensiuni. In lipsa sa, un hacker i-a accesat PC-ul prin conexiunea DSL si a instalat un program care i-a permis sa controleze calculatorul, sa fure fisiere importante si sa stearga informatii de pe hard-discuri. Jarrard a scapat de catastrofa datorita unei blocari a sistemului, iar mesajul deeroarepe care l-a gasit a doua zi i-a indicat faptul ca ceva nu este inregula. El a pierdut doua saptamani cu investigatii asupra problemei, timp in care a aflat mai mult decat dorea despre hackeri, in final trebuind sa formateze hard-discul pentru a scapa de programul auto-multiplicant al hacker-ului. Acest caz nu este nici pe departe singular. Zilnic aflam din mass-media despre cazuri cand hackeri ataca diverse site-uri sau chiar sisteme de securitate ale unor banci sau importante institutii, fie cu scopul de a le perturba activitatea, fie cu scopul de a savarsi o alta infractiune cum este cea defurtprin mijloace informatice.

B) Constituie infractiune (art. 43) "interceptarea, fara drept, a unei transmisii de date informatice care nu este publica si care este destinata unui sistem informatic, provine dintr-un asemenea sistem sau se efectueaza in cadrul unui sistem informatic", precum si "interceptarea faradrepta uneiemisiielectromagnetice provenite dintr-un sistem informatic ce contine date informatice care nu sunt publice".

Obiectul material al infractiunii il constituie chiar sistemul informatic atacat, mai exact transmisia de date informatice generata de acel sistem sau care este destinata unui astfel desistem. Prin "date referitoare la traficul international" se intelege "orice date informatice referitoare la o comunicare realizata printr-un sistem informatic si produse de acesta, care reprezinta o parte din lantul de comunicare, indicand originea, destinatia, ruta, ora, data, marimea, volumul si durata comunicarii, precum si tipul serviciului utilizat pentru comunicare" (art. 35 alin. (1) lit. f)). Aceasta transmisie de date nu trebuie sa fie publica.

Subiectul activ al infractiunii poate fi oricepersoana fizicace intruneste conditiile de varsta siresponsabilitateprevazute de legea penala.

Infractiunea este susceptibila departicipatie penalain toate formele sale coautorat,instigaresicomplicitate.

Subiectul pasiv estepersoana fizicasau juridica careia i s-a cauzat in acest mod unprejudiciu.

Elementul material consta intr-o actiune, mai precis, "interceptarea" unor transmisii de date sau deemisiielectromagnetice (program transmis prin interactiunea dintre curentii electrici si campurile magnetice). Interceptarea trebuie sa fie faradrept.

Raportandu-ne la "Conventia europeana asupra criminalitatii cibernetice" , in "Raportul explicativ" al acesteia, se arata ca prin termenul de "interceptare ilegala"se intelege "violarea confidentialitatii comunicatiilor, fie ca este vorba despre transferul unor date prin mijloace computerizate, fie ca este vorba despre un transfer de date prin intermediul unui post telefonic, fax, e-mail toate acestea intrand sub sfera deatributiea articolului 8 din Conventia Europeana a Drepturilor Omului".

Urmarea imediata consta intr-o stare de pericol generata prin interceptarea unor informatii care nu sunt de ordinpublicsi chiar printr-opagubade natura materiala, daca in urma acelui acces s-au produs titularului sistemului informatic prejudicii (de exemplu, acele informatii au fost folosite de un concurent in afaceri).

Raportul de cauzalitate rezultaex re.

Latura subiectiva fapta poate fi savarsita prinintentiedirecta sau indirecta.

Forme infractiuneaeste susceptibila de tentativa, care se pedepseste (art. 47).

Modalitati fapta poate fi savarsita printr-o multitudine de modalitati faptice.

Sanctiuni: fapta prevazuta de alin. (1) se pedepseste cuinchisoarede la 2 ani la 7, cea prevazuta la alin. (2), se pedepseste cuinchisoarede la 2 la 7 ani.

Despre necesitate incriminarii acestei infractiuni: in ultimul timp a cunoscut o amploare deosebita fenomenul interceptarii cumparaturilor on-line facute de diversi cetateni romani sau straini, care au ales ca modalitate de plata cardul de credit, interceptari care au avut ca scop furtul datelor aflate pe respectivele carduri, pentru ca acestea sa fie folosite ulterior de catre alte persoane decat adevaratii titulari.

In prezent, traficantii de informatii desfasoara activitati in principal, in sfera financiara si cea de afaceri, de cele mai multe ori incercand sa vanda informatiile interceptate unor companii rivale.

C) Constituie infractiune (conform art. 44 alin. (1)) "fapta de a modifica, sterge sau deteriora date informatice ori de a restrictiona accesul la aceste date, faradrept". De asemenea, constituie infractiune (conf. art. 44 alin. (2)) "transferul neautorizat de date dintr-un sistem informatic" si "transferul neautorizat de date dintr-un mijloc de stocare a datelor informatice".

Obiectul material al infractiunii il constituie datele informatice asupra carora se exercita o influenta neautorizata.

Subiectul activ al infractiunii poate fi orice persoana care intruneste conditiile de varsta siresponsabilitateprevazuta de legea penala.

Infractiunea este susceptibila departicipatie penalain toate formele sale coautorat,instigaresicomplicitate.

Subiectul pasiv estepersoana fizicasau juridica careia i s-a cauzat in acest mod unprejudiciu.

Latura obiectiva. Elementul material prin care se realizeaza infractiunea, poate consta in una dintre urmatoarele actiuni: modificare (alterarea formei initiale a datelor informatice), stergerea (inlaturarea datelor informatice din sistemul informatic sau alte dispozitive pe care sunt stocate), deteriorarea (modificari aduse continutului respectivelor date informatice, avanddreptconsecinta imposibilitatea folosirii acestor date in scopul in care au fost generate) sau prin restrictionarea accesului (folosirea unor metode specifice care afecteaza aria de destinatie a acelor date informatice).

Infractiunea prevazuta de alin. (2) se savarseste prin "transferul neautorizat" de date dintr-un sistem informatic sau in varianta prevazuta de art. 3, a unor date aflate intr-un mijloc de stocare a datelor informatice. Transferul neautorizat presupune deturnarea datelor informatice fara permisiunea proprietarului, detinatorului sau a cuiva autorizat de catreproprietarsau detinator catre o altapersoana. Mijloacele de stocare pot fi hard-discuri interne sau externe ale unui sistem informatic, alte mijloace de stocare magnetica sau benzi perforate (unitati floppy, CD-ROM, CR-R, DVD, unitati zipp-drive sau orice alte dispozitive de backup).

Urmarea imediata consta intr-o stare de pericol si chiar crearea unuiprejudiciumaterial.

Raportul de cauzalitate rezulta ex re.

Latura subiectiva fapta poate fi savarsita prinintentiedirecta sau indirecta.

Forme infractiuneaeste susceptibila de tentativa, care se pedepseste (art. 47).

Modalitati fapta poate fi savarsita prin actiunea de modificare, deteriorare, restrictionare de acces sau in varianta prevazuta de alin. (2) si (3), printr-un transfer neautorizat. Fapta in sine poate fi savarsita printr-o multitudine de modalitati faptice.

Sanctiuni: fapta prevazuta de alin. (1) se pedepseste cuinchisoarede la 2 ani la 7, cea prevazuta la alin. (2) si (3), se pedepseste cuinchisoarede la 3 la 12 ani.

Despre necesitatea incriminarii acestei infractiuni cotidianul rus Vedomosti anunta ca hackerii rusi pot paraliza orice pagina deInternet(restrictionare de acces prin metoda DDoS Distributed Denial of Service), oferindu-se ca pentru sume ceva mai mari sa blocheze accesul publicului la pagini de internet, precum cea a Kremlinului sau chiar site-ul Microsoft. Metoda DDoS consta in infectarea unui numar ridicat de computere cu anumiti virusi, care duc la accesarea fortata (la comanda) a unui site. Serverul ajunge astfel sa nu mai faca fata cererilor, iar accesul la pagina este blocat.

D) Constituie infractiune (conform art. 45) "fapta de a perturba grav, fara drept, functionarea unui sistem informatic prin introducerea, transmiterea, modificarea, stergerea sau deteriorarea datelor informatice sau prin restrictionarea accesului la aceste date".

Elementul material al acestei infractiuni consta in una din urmatoarele operatiuni: introducerea, transmiterea, modificarea, stergerea, deteriorarea sau restrictionarea functionarii unui sistem informatic.

Pentru gravitatea ei, fapta se pedepseste cuinchisoarede la 3 la 15 ani.Tentativase pedepseste.

In sfera de cuprindere a acestei infractiuni se inscriu fapte grave desabotajcomputerizat sau chiar de terorism informatic.

De exemplu, in 1995, cineva a inchis computerele care controlau aparatele de mentinere in viata a 12 pacienti din spitalul Guy din Londra. Bolnavii incauzaau putut fi salvati datorita eforturilor personalului medical, care i-a mentinut in viata manual, atata timp cat a durat repunerea aparatelor in stare de functiune.

Ne putem imagina urmatoarea ipoteza: un grup terorist reuseste virusarea sistemului informatic care coordoneaza traficul pe un aeroport international si astfel, preia conducerea operationala a aeroportului, punand in pericol mii de vieti, desi s-ar putea afla la mii de kilometrii distanta.

E) Legea pedepseste si fapta "de a produce, vinde, de a importa, distribui sau de a pune la dispozitie, sub orice alta forma, fara drept, a unuidispozitivsau program informatic conceput sau adaptat in scopul savarsirii uneia dintre infractiunile prevazute la art. 42 - 45", precum si fapta "de a produce, vinde, de a importa, distribui sau de a pune la dispozitie, sub orice alta forma, faradrepta unei parole, cod de acces sau alte asemenea date informatice, care permit accesul total sau partial la un sistem informatic, in scopul savarsirii uneia dintre infractiunile prevazute de art.42-45".

Art. 46 alin. (2), prevede ca infractiune si fapta constand in "detinerea, faradrepta unui dispozitiv, program informatic, parola, cod de acces sau data informatica dintre cele prevazute la alin.1, in scopul savarsirii uneia dintre infractiunile prevazute la art. 42 - 45".

Aceste fapte sunt pedepsite cuinchisoarede la 1 la 6 ani.Tentativase pedepseste.

IV. Infractiuni informatice

Art. 48 incrimineaza "fapta de a introduce, modifica sau sterge fara drept, date informatice ori de a restrictiona faradreptaccesul la aceste date, rezultand date necorespunzatoare adevarului, in scopul de a fi utilizate in vederea producerii unei consecinte juridice".

Fapta se pedepseste cuinchisoarede la 2 la 7 ani.Tentativase pedepseste.

Art. 49 incrimineaza aceiasi fapta, adaugand ca modalitate de savarsire "impiedicarea in orice mod a functionarii unui sistem informatic",daca prin aceasta cauzeaza unprejudiciupatrimonial unei persoane, in scopul de a obtine unbeneficiumaterial pentru sine sau pentru altul. In acest caz,pedeapsaeste inchisoarea de la 3 la 12 ani.Tentativase pedepseste.

In ce pot consta consecintele juridice? De exemplu, in interpretarea si modificarea unei transmisii de natura comercial-contractuala intre doua companii (transmisie neprotejata printr-un mijloc de criptare sau printr-o semnatura electronica), prin alterarea continutului comunicarii, in urma careia se produce un importantprejudiciumaterial pentru una sau pentru ambele companii de catre unangajatal unei companii rivale.

Fapta unui hacker care paralizeaza accesul la un site de tranzactii on-line, aduce fara indoiala importante prejudicii materiale pentru proprietarii acelui site. De cele mai multe ori, hackerii realizeaza acest lucru cu intentia de a pretinde o suma debanipentru deblocarea accesului la acel site.

Fata de aceste fapte se recomanda folosirea unor mijloace tehnice si software de securizare. Din pacate, aceste solutii de securitate sunt si costisitoare. De exemplu, celebrul motor de cautare Internet, Google, investeste peste 20 milioane de dolari anual, pentru a diminua numarul de atacuri din partea hackerilor.

V. Pornografia infantila prin sisteme informatice

Avand in vedere amploarea deosebita a acestui fenomen in reteaua internet, legiuitorul a decisincriminareaexpresa a pornografiei infantile, savarsite prin mijloace informatice, mai exact "producerea in vederea raspandirii, oferirea sau punerea la dispozitie, raspandirea sau transmiterea, procurarea pentru sine sau pentru altul de materiale pornografice cu minori ... ori detinerea, fara drept, de materiale pornografice cu minori".Pedeapsaesteinchisoarede la 3 la 12 ani.Tentativase pedepseste.

"Conventia asupra criminalitatii cibernetice" defineste in art. 9 "pornografia infantila" ca "incluzand material pornografic (obscen, impotriva valorilor morale), care infatiseaza vizual unminorimplicat intr-un act sexual explicit, imagini realiste reprezentand unminorimplicat intr-o activitate sexuala". In acelasi text, prinminorse intelege "orice persoana sub 18 ani, sau infunctiede legislatia nationala, o persoana care nu are peste 16 ani".

Aceste prevederi raspund unei preocupari la nivel mondial pentru combaterea acestui fenomen, printre care Protocolul Organizatiei Natiunilor Unite asupra drepturilor copiilor.

VI. Concluzie

In lupta cu criminalitatea informatica este nevoie de un cadru legislativ bine pus la punct in ceea ce priveste prevenirea, descoperirea si sanctionarea acestorfapte. Prin actele internationale la care este parte, Romania este obligata sa-si dezvolte un sistem legislativ specific acestui tip deinfractiuni. Mai mult decat atat, infractiuni vechi se savarsesc astazi prin mijloace moderne (furtul informatic), la distante de mii de kilometri, cooperarea internationala fiind vitala pentru combaterea acestui flagel. Recent, mass-media anunta crearea unei noi generatii de virusi care ataca terminale GSM si din pacate, nu este decat o nouadirectiea acestor atacuri.Legea 161/2003reprezinta un inceput, dar pentru a tine pasul diversitatii infractionale uriase care se desfasoara cu o simpla tastatura si cu un simplu clic de mouse, activitatea legislativa nu trebuie sa se opreasca aici.