ΠΟΙΝΙΚΗ ΑΞΙΟΛΟΓΗΣΗ ΤΟΥ HACKING-ΠΡΟΣΕΓΓΙΣΗ ΤΟΥ 370Γ ΠΑΡ. 2 ΤΟΥ ΠΚ-ΜΕΡΟΣ ΔΕΥΤΕΡΟ

Καταχώρηση 2013/01/06

Β. Χωρίς δικαίωμα

Η φράση «χωρίς δικαίωμα» σημαίνει την απουσία οποιασδήποτε μορφής συναινέσεως εκ μέρους του νομίμου κατόχου των προγραμμάτων ή στοιχείων [1]και την μη ύπαρξη σχετικού δικαιώματος εκ του νόμου [2]. Δηλαδή, σύμφωνα με τη βούληση του νομίμου κατόχου, τα  στοιχεία αυτά, κατά τον χρόνο τέλεσης, δεν επιτρέπεται να βρίσκονται στην σφαίρα εξουσίας του δράστη.

Επίσης δικαίωμα του δράστη δεν υφίσταται, όταν υπάρχει υπέρβαση των όρων που έχουν τεθεί για την πρόσβαση στα στοιχεία αυτά [3]. Σε περίπτωση που το δικαίωμα πρόσβασης είναι παράγωγο, η απάντηση στο ερώτημα αν ο δικαιούχος επιτρέπεται να μεταβιβάσει την εξουσία που του έχει παρασχεθεί σε τρίτον, εξαρτάται από τις εκάστοτε συμφωνίες με τους  ειδικότερους όρους χρήσης, τόσο ανάμεσα στον αρχικό κάτοχο και τον δικαιούχο όσο και ανάμεσα στον τελευταίο και τον τρίτο.

Ζήτημα δημιουργείται στην περίπτωση που ο δράστης έχει δικαίωμα πρόσβασης στα στοιχεία, αλλά χρησιμοποιεί την εξουσιοδότηση για διαφορετικό σκοπό (ulterior purpose) [4] από αυτόν που του έχει δοθεί (π.χ υπάλληλος τράπεζας που έχει πρόσβαση στο αρχείο των υποχρεώσεων των πελατών της εταιρίας, χρησιμοποιεί τη δυνατότητά του αυτή για να δώσει πληροφορίες σε τρίτα πρόσωπα).

Εάν η εξουσιοδότηση πρόσβασης έχει δοθεί σιωπηρά ή ρητά για την επίτευξη συγκεκριμένου σκοπού και για συγκεκριμένο κομμάτι των αρχείων, η απόκτηση πρόσβασης για την εκπλήρωση διαφορετικού σκοπού  θα πρέπει να θεωρηθεί ότι γίνεται χωρίς δικαίωμα. Εάν δεν έχει ορισθεί συγκεκριμένος σκοπός δε θα πρέπει να θεωρηθεί ότι γίνεται χωρίς δικαίωμα[5].

370Γ παρ.3 ΠΚ

Λύση στο θέμα αυτό δίνει το 370Γ παρ.3 ΠΚ, το οποίο ορίζει ότι, όταν ο δράστης βρίσκεται στην υπηρεσία του νόμιμου κατόχου των στοιχείων, απαιτείται επιπρόσθετα να απαγορεύεται ρητά από εσωτερικό κανονισμό ή έγγραφη απόφαση του κατόχου ή αρμοδίου υπαλλήλου του. Επομένως προστίθεται ένα επιπλέον στοιχείο στην αντικειμενική υπόσταση και ουσιαστικά δημιουργείται ένα «τεκμήριο» υπάρξεως συγκατάθεσης εκ μέρους του νόμιμου κατόχου των στοιχείων όσον αφορά τους υπαλλήλους του και αντίστοιχα θεσμοθετείται δικαίωμα πρόσβασης του υπαλλήλου στα δεδομένα του προϊσταμένου του.

Σε κάθε περίπτωση θα πρέπει να γίνει δεκτό ότι η παρ. 3 του 370Γ ΠΚ αφορά μόνο τα στοιχεία του νομίμου κατόχου που έχουν σχέση με την επαγγελματική του δραστηριότητα και όχι άλλα προσωπικά του στοιχεία που είναι αποθηκευμένα στον Η/Υ του. Για αυτό το λόγο καθίσταται ιδιαίτερα δυσχερής η εφαρμογή της διάταξης αυτής, γιατί σε πολλές περιπτώσεις είναι πιθανό π.χ σε ένα λογαριασμό ηλεκτρονικού ταχυδρομείου που χρησιμοποιείται για τους εταιρικούς σκοπούς να περιέχονται τόσο επαγγελματικά όσο και προσωπικά ηλεκτρονικά μηνύματα.

Σε αυτές τις περιπτώσεις προκύπτει ζήτημα εάν προστατεύονται τα προσωπικά μηνύματα του κατόχου ή υφίσταται εικαζόμενη συναίνεση-συγκατάθεση του κατόχου (αφού γνωρίζει ότι πρόκειται για εταιρικό λογαριασμό ηλεκτρονικού ταχυδρομείου, στον οποίο ενδεχομένως έχουν πρόσβαση και άλλοι υπάλληλοι) που αποκλείει την πλήρωση της αντικειμενικής υπόστασης ή εάν ο δράστης μπορεί να επικαλεστεί πραγματική πλάνη, αφού πίστευε ότι ανοίγει έναν εταιρικό λογαριασμό ηλεκτρονικού ταχυδρομείου με μηνύματα με αμιγώς επαγγελματικό περιεχόμενο. Σε αυτή την περίπτωση καθοριστική θα είναι τυχόν υπάρχουσα απαγόρευση χρήσης του εταιρικού λογαριασμού ηλεκτρονικού ταχυδρομείου για μη επαγγελματικούς σκοπούς, οπότε θα είναι ευκολότερο να στοιχειοθετηθεί πραγματική πλάνη του δράστη.

Έννοια του κατόχου

Σημασία έχει να προσδιοριστεί ειδικότερα η έννοια του κατόχου, εφόσον η εκ μέρους του συγκατάθεση είναι δυνατόν να οδηγεί στη μη πλήρωση της αντικειμενικής υπόστασης του εξεταζόμενου εγκλήματος, όπως θα αναφερθεί στην συνέχεια. Ο νόμιμος κάτοχος, ο οποίος είναι και ο φορέας του προστατευόμενου έννομου αγαθού, είναι αυτός που έχει την εξουσία διάθεσης επί των δεδομένων, με την έννοια ότι είναι σε θέση να ορίζει σε ποιους αποκλείεται και σε ποιους επιτρέπεται η πρόσβαση σε αυτά.

Για τον ειδικότερο προσδιορισμό του θα πρέπει να γίνει διάκριση ανάμεσα σε αποθηκευμένα δεδομένα και δεδομένα που βρίσκονται σε διαδικασία διαβίβασης. Στην πρώτη περίπτωση, ο βασικός δικαιούχος είναι ο δικαιούχος της θέσης αποθήκευσης, εκείνος που συγκεντρώνει κάθε φορά τα δεδομένα και τα αποθηκεύει στον υλικό φορέα τους [6] ή τουλάχιστον αυτός κατ’εντολήν του οποίου πραγματοποιείται η πράξη εγγραφής [7]. Αντίστοιχα για τα δεδομένα που σε διαδικασία διαβίβασης, δικαιούχος  διαθέσεως μπορεί να είναι και ο παραλήπτης τους κατά το «κατέβασμα» ή κατά την ολοκλήρωση της λήψης τους [8].

Επίσης θα μπορούσε να υποστηριχθεί ότι, εκτός από τον έχοντα την εξουσία διαθέσεως επί των δεδομένων, προστατεύεται από τη συγκεκριμένη διάταξη και αυτός τον οποίο αφορά το περιεχόμενο των δεδομένων [9]. Αν γίνει δεκτό κάτι τέτοιο, δεν τελεί το έγκλημα του 370Γ παρ.2 ΠΚ, αυτός που «κατεβάζει» από μία ξένη τράπεζα πληροφοριών (π.χ το αρχείο μία τράπεζας) δεδομένα που τον αφορούν χωρίς σχετική άδεια. Ενδεχομένως, όμως, να τελεί το έγκλημα του άρθρου 22 παρ.4 του Ν. 2472/1997, αν και μάλλον θα πρέπει να γίνει δεκτό ότι, εφόσον αποκτά πρόσβαση μόνο στα δικά του μόνο προσωπικά δεδομένα, δεν προσβάλλεται το προστατευόμενο έννομο αγαθό και δεν θα πρέπει να θεωρηθεί ότι παραβιάζει τις οικείες διατάξεις.

Συνέπεια

Κατά συνέπεια, κριτήριο δεν είναι η κυριότητα επί του υλικού φορέα των δεδομένων, καθώς, αυτουργός μπορεί να είναι και ο ίδιος ο κύριος, αν αυτός δεν έχει το δικαίωμα διαθέσεως των δεδομένων που είναι αποθηκευμένα στο φορέα του [10]. Το ίδιο ισχύει και όταν ο ζημιωθείς παραδίδει σε κάποιο τρίτο δικά του δεδομένα προς επεξεργασία (όπως συμβαίνει στην πράξη όταν μία επιχείρηση παραδίδει τμήμα των αρχείων της σε κάποιο γραφείο για λογιστικό έλεγχο) ή όταν αυτός έχει δικαιώματα κατοχής ή χρήσης επί αυτών των δεδομένων.

Όπως είναι λογικό στην περίπτωση του Διαδικτύου η χωρίς δικαίωμα πρόσβαση θα πρέπει να περιορισθεί μόνο στις περιπτώσεις που έχουν ληφθεί μέτρα ασφαλείας, όπως κώδικες εισόδου, κωδικοποίηση των δεδομένων κτλ. Διαφορετικά η πρόσβαση στα δεδομένα αυτά είναι ελεύθερη, οπότε δεν τίθεται φυσικά ζήτημα πρόσβασης χωρίς δικαίωμα, αφού όλες οι ιστοσελίδες και τα ευρισκόμενα σε αυτές δεδομένα είναι ελεύθερα προσβάσιμα  και θεωρείται ότι προορίζονται και για τον δράστη.

Αμερικανική έννομη τάξη

Στο πλαίσιο της αμερικανικής έννομης τάξης, σε σειρά αποφάσεων έχει θεωρηθεί χωρίς δικαίωμα η πρόσβαση σε ιστοσελίδες στο Διαδικτύου κατά  παράβαση των όρων χρήσης (Terms of use) που θέτει ο δικαιούχος της ιστοσελίδας και υιοθετείται το καθαρά υποκειμενικό κριτήριο της βούλησης του κατόχου των στοιχείων [11].

Σύμφωνα με όσα αναφέρθηκαν πρωτίστως ο κάτοχος των στοιχείων μπορεί να ορίσει πότε η πρόσβαση σε αυτά είναι χωρίς δικαίωμα. Ωστόσο το δικαίωμα αυτό δεν είναι δυνατόν να θεωρηθεί ότι είναι απεριόριστο και δε θα πρέπει να γίνει δεκτό ότι η απλή παραβίαση των εύλογων, παράλογων ή αποδοκιμαζόμενων από την έννομη τάξη [12] όρων που θέτει ο δικαιούχος των στοιχείων θεμελιώνει ποινική ευθύνη αυτού που τους παραβιάζει.

Στις περιπτώσεις αυτές θα πρέπει να θεωρηθεί, με βάση το άρθρο 5^α παρ. 2 του Συντάγματος, το οποίο προστατεύει το δικαίωμα του ατόμου για συμμετοχή στην κοινωνία της πληροφορίας, ότι μη δικαιολογημένοι όροι που περιορίζουν την πρόσβαση σε στοιχεία, τα οποία κατά τα λοιπά είναι ελεύθερα προσβάσιμα στο Διαδίκτυο, δεν δεσμεύουν τον αποκτώντα πρόσβαση σε αυτά και σε καμία περίπτωση δεν μπορούν να δημιουργήσουν ποινική ευθύνη.

Στοιχεία

Ο δικαιούχος των στοιχείων αυτών από την στιγμή που τα καθιστά προσιτά στο ευρύ κοινό δε μπορεί να περιορίσει με όρους που έρχονται σε αντίθεση με συγκεκριμένες διατάξεις νόμου την πρόσβαση σε αυτά. Αν όμως η πρόσβαση σε μια τράπεζα πληροφοριών ανήκει μεν σε περισσότερους, εξαρτάται όμως και από την προηγούμενη πλήρωση ορισμένων προϋποθέσεων (όπως π.χ η καταβολή αντιτίμου), τα δεδομένα γίνονται διαθέσιμα στο δράστη μόνο όταν εκπληρωθεί ο σχετικός όρος, όταν π.χ καταβληθεί η συγκατάθεση του δικαιούχου για πρόσβαση στα στοιχεία.

Τέλος θα πρέπει να αναφερθεί ότι η διάταξη δεν διακρίνει ανάμεσα στη χωρίς δικαίωμα χρήση Η/Υ και τη χωρίς δικαίωμα πρόσβαση σε δεδομένα Η/Υ [13](π.χ ο Α χρησιμοποιεί τον Η/Υ του Β, χωρίς την άδειά του, για να αποκτήσει πρόσβαση σε δεδομένα που δεν του απαγορεύεται η πρόσβαση – όπως μία ιστοσελίδα – και το αντίθετο παράδειγμα όπου ο Α χρησιμοποιεί τον Η/Υ του Β, με την άδειά του, για να αποκτήσει πρόσβαση σε δεδομένα για τα οποία δεν έχει δικαίωμα πρόσβασης).

Η ιδιαίτερα ευρεία διατύπωση της διάταξης θα πρέπει να θεωρηθεί ότι περιλαμβάνει και τις δύο αυτές συμπεριφορές, ενώ σε κάθε περίπτωση μία τέτοιου είδους διάκριση δεν είναι δυνατή σε πρακτικό επίπεδο. Αυτός που απλώς χρησιμοποιεί ένα Η/Υ εκ των πραγμάτων αποκτά και πρόσβαση στα δεδομένα που είναι αποθηκευμένα σε αυτόν, ενώ αναγκαστικά βλέπει τουλάχιστον ορισμένα από αυτά αποτυπωμένα στην οθόνη του Η/Υ που χρησιμοποιεί χωρίς δικαίωμα.

Γ. Στοιχεία

Ως στοιχεία νοούνται τα ηλεκτρονικά δεδομένα, τα οποία δεν είναι δυνατόν να διαβαστούν χωρίς την χρήση Η/Υ ή κάποιας άλλης ηλεκτρονικής συσκευής. Προφανώς από τον ορισμό αυτό αποκλείονται στοιχεία τα οποία είναι αποθηκευμένα με παραδοσιακό τρόπο, π.χ σε βιβλίο, παραδοσιακό αρχείο. Τα στοιχεία είναι δυνατόν να αποτελούν προϊόντα λειτουργίας των προγραμμάτων, πληροφορίες που δημιουργούμε. Επίσης στοιχεία αποτελούν και τα προγράμματα που επιτρέπουν στον ηλεκτρονικό υπολογιστή να λειτουργήσει (λειτουργικά προγράμματα) ή να εκτελέσει διάφορες ειδικότερες λειτουργίες που ενδιαφέρουν τον χρήστη.

Στοιχεία του Η/Υ θα πρέπει να θεωρηθούν, όχι μόνο οι πληροφορίες που είναι προορισμένες να εξυπηρετούν τη διαδικασία επεξεργασίας, αλλά και άλλους σκοπούς, όπως λ.χ τον έλεγχο λειτουργίας της εγκατάστασης ή την προστασία της εισόδου στα δεδομένα μη εξουσιοδοτημένων προσώπων, όπως οι συνθηματικοί κώδικες. Επίσης δεν είναι απαραίτητο η ύπαρξη των στοιχείων στον υπολογιστή να εξυπηρετεί κάποιο συγκεκριμένο σκοπό, αλλά μπορεί απλά να είναι αποθηκευμένα σε αυτόν, ενώ δεν απαιτείται να αποτελούν προϊόν πνευματικής ιδιοκτησίας[1].

Κώδικας DIN – Norm 44300 Nr 19

Ο νόμος δεν ορίζει την έννοια των στοιχείων. Αυτό γίνεται προφανώς γιατί ένας ενδεχόμενος ορισμός των στοιχείων θα περιόριζε το πεδίο εφαρμογής της διάταξης, ενώ θα άφηνε εκτός πιθανές μελλοντικές εξελίξεις της τεχνολογίας και αλλαγές στην έννοια και τη μορφή τους. Στον κώδικα DIN – Norm 44300 Nr 19 (επεξεργασία δεδομένων), ως στοιχεία ορίζονται τα σημεία ή οι συνεχείς λειτουργίες με βάση γνωστές ή αποδεδειγμένες συμβάσεις, προς το σκοπό επεξεργασίας περιγεγραμμένων πληροφοριών.

Ο ορισμός αυτός, τον οποίο περιελάμβανε η παλιά 268 εδ.2 StGB, θεωρήθηκε στενός, αφού εστίαζε σχεδόν αποκλειστικά στην επεξεργασία των δεδομένων και με βάση αυτόν δεν ενέπιπταν στην έννοια των δεδομένων, τα στοιχεία εκείνα που δε χρειάζονταν επεξεργασία ή των οποίων η επεξεργασία είχε ολοκληρωθεί. Στο 202^α παρ.2 StGB προσδιορίζεται αρνητικά η έννοια των δεδομένων και ορίζεται ότι: «Δεδομένα, κατά την έννοια του εδαφίου 1, είναι μόνο αυτά, τα οποία είναι αποθηκευμένα ή μεταβιβάζονται με ηλεκτρονικό, μαγνητικό ή άλλο τρόπο, που δεν μπορούν να διαβαστούν άμεσα»[2]. Ο ορισμός αυτός θα πρέπει να θεωρηθεί πιο επιτυχημένος και καλύπτει ουσιαστικά κάθε μορφή δεδομένων, αφού η αναφορά σε οποιοδήποτε «άλλο τρόπο» αποθήκευσης αποτελεί πρόβλεψη και για οποιαδήποτε μελλοντική εξέλιξη της τεχνολογίας.

Δ. Που έχουν εισαχθεί σε υπολογιστή ή σε περιφερειακή μνήμη υπολογιστή ή μεταδίδονται με συστήματα τηλεπικοινωνιών

Αποθηκευμένα είναι τα στοιχεία, όταν αυτά συγκεντρώνονται και τυποποιούνται σε έναν υλικό φορέα δεδομένων. Η καταστροφή του υλικού φορέα στα οποία είναι αποθηκευμένα σημαίνει αναγκαία και την καταστροφή των στοιχείων αυτών. Θα πρέπει να θεωρηθεί ότι προστατεύονται όλα τα στοιχεία που είναι αποθηκευμένα στον υλικό φορέα, ακόμα και αν έχουν αποθηκευτεί προσωρινά σε αυτόν, λόγω της αυτόματης αποθήκευσης που μπορεί να έχει επιλέξει ο χρήστης ή γίνεται αυτόματα από τα προγράμματα που χρησιμοποιεί (π.χ αποθήκευση cookies από την περιήγηση στο Διαδίκτυο).

Διαφορετικά, εάν απαιτείτο να βρίσκονται ήδη για κάποιο χρονικό διάστημα αποθηκευμένα στον υλικό φορέα, θα περιοριζόταν υπερβολικά το πεδίο εφαρμογής της διάταξης.

Μεταβίβαση

Σε κατάσταση μεταβίβασης, από την άλλη πλευρά, βρίσκονται τα στοιχεία, όταν, στα πλαίσια κάποιου δικτύου (τοπικού/διεθνούς), μεταβιβάζονται από τον έναν Η/Υ στον άλλον. Η καταστροφή του ενός εκ των δύο υλικών φορέων ή και των δύο υλικών φορέων του αποστολέα και του παραλήπτη δεν σημαίνει απαραίτητα την απώλεια των στοιχείων αυτών.

Αντίθετα η μεταφορά των ίδιων των υλικών φορέων (π.χ χέρι με χέρι παράδοση μίας δισκέτας) δεν αρκεί για να αποδοθεί η συγκεκριμένη ιδιότητα στα ενσωματωμένα στο φορέα στοιχεία. Επίσης στην ανωτέρω κατηγορία ανήκουν και τα στοιχεία που βρίσκονται στη διαδικασία της επεξεργασίας[3]. Δε συμβαίνει όμως το ίδιο με τα στοιχεία, τα οποία πρόκειται να εισαχθούν, χωρίς να έχει ακόμα ξεκινήσει η σχετική διαδικασία, ούτε τα στοιχεία που έχουν απομακρυνθεί από τους φορείς αποθήκευσης, π.χ εκτυπώθηκαν.

Έννοια Η/Υ

Ο νόμος δεν ορίζει την έννοια του Η/Υ ή της περιφερειακής μνήμης ούτε και την έννοια των τηλεπικοινωνιών. Ως Η/Υ είναι δυνατόν αν ορισθεί οποιαδήποτε ηλεκτρονική, μαγνητική, ηλεκτροχημική ή άλλου είδους συσκευή, η οποία έχει τη δυνατότητα να πραγματοποιεί με μεγάλη ταχύτητα λογικές ή αριθμητικές λειτουργίες ή να αποθηκεύει δεδομένα[4].

Ως περιφερειακή μνήμη υπολογιστή θα πρέπει να ορισθεί οποιαδήποτε ηλεκτρονική, μαγνητική ή άλλου είδους συσκευή είναι σχεδιασμένη να λειτουργεί ως χώρος αποθήκευσης στοιχείων για τη χρησιμοποίησή σε Η/Υ[5]. Οι τηλεπικοινωνίες ως όρος θα πρέπει να ερμηνευτεί με ευρύτητα, ώστε να συμπεριλάβει οποιαδήποτε μορφή επικοινωνίας με ηλεκτρομαγνητικά κύματα (electromagnetic waves), ραδιοκύματα (radio waves), υπέρυθρες (infrared), μικροκύματα (microwaves), με οπτικά σήματα (για τα δίκτυα οπτικών ινών) ή με οποιοδήποτε άλλο μέσο χρησιμοποιείται για την επικοινωνία ηλεκτρονικών συσκευών.

Καλληδώνης Νικόλαος

Δικηγόρος

ΜΔΕ Αστικού και Ποινικού Δικαίου

nkallidonis@yahoo.com