Преступления в сфере компьютерной информации
Понятие и общая характеристика преступлений в сфере компьютерной информации
Несмотря на то что в настоящее время в гл. 28 УК включено всего три статьи (меньшего числа нет ни в одной главе Особенной части), можно с уверенностью сказать, что количество составов преступлений, включенных в эту главу, будет постоянно увеличиваться, а значение охраны компьютерной информации — возрастать. Связано это с тем, что в настоящее время компьютеры используются практически во всех областях жизнедеятельности общества и применение их постоянно расширяется. В отдельных сферах компьютеры являются ключевым элементом функционирования производственных или исследовательских процессов. Необходимость уголовно-правовой охраны компьютерной информации обусловлена, прежде всего, тем, что нарушение работы ЭВМ, системы или сети ЭВМ как ключевого звена в обеспечении тех или иных процессов может привести к весьма тяжелым последствиям. Например, неправомерное изменение информации в ГАС «Выборы» может привести к незаконному удержанию (не обязательно насильственному) власти лицами, которые должны были бы оставить свои должности в соответствии с истинной волей избирателей. Поскольку преступления в сфере компьютерной информации могут повлечь причинение тяжких последствий в самых разнообразных сферах жизнедеятельности общества, гл. 28 помещена в раздел IX УК. Родовым объектом преступлений в сфере компьютерной информации является общественная безопасность и общественный порядок. Видовой объект — безопасность информации, хранящейся на машинных носителях ЭВМ.
Поскольку речь во всех статьях данной главы идет об информации, хранящейся на машинных носителях ЭВМ, прежде всего необходимо уяснить значение этого термина. ЭВМ — вычислительная машина, в которой основные функциональные элементы (логические, запоминающие, индикационные и др.) выполнены на электронных приборах. В зарубежной, а с 80-х гг. — и в отечественной литературе для обозначения ЭВМ применяется термин «компьютер». ЭВМ используются преимущественно при научно-технических расчетах, обработке информации (в том числе планировании, учете, прогнозировании и др.), автоматическом управлении. В специальной литературе ЭВМ определяется как «автоматическое устройство для обработки информации с помощью электронных схем». Анализ понятия «компьютерная информация» дается в § 2 данной главы. В статье 274 УК законодатель использует термин «информация ЭВМ». Очевидно, его следует понимать как синоним понятия «компьютерная информация». Нужно сказать, что такие термины, употребляемые при конструировании составов преступлений данной главы, как «ЭВМ», «компьютерная информация», «машинный носитель», нуждаются либо в законодательном разъяснении, либо в толковании Пленумом Верховного Суда РФ, поскольку в общем значении они могут толковаться достаточно широко, и в ходе применения закона, во-первых, может быть искажена воля законодателя, а во-вторых, может возникнуть недопустимый разнобой в правоприменительной практике.
Деяния, составляющие объективную сторону преступлений данной главы, совершаются в форме действия, за исключением преступления, предусмотренного ст. 274 УК, совершение которого возможно и путем бездействия. Два из трех основных составов преступления (ч. 1 ст. 272 и ч. 1 ст. 274 УК) сконструированы как материальные. В части 1 ст. 273 УК содержится преступление с формальным составом. Все квалифицированные составы преступлений, предусмотренных статьями рассматриваемой главы, — материальные. По конструкции субъективной стороны большая часть преступлений — умышленные (ст. 272 и 273 УК). Статья 274 УК предусматривает ответственность за неосторожные преступления. По степени общественной опасности квалифицированные виды преступлений, предусмотренных ст. 272 и 273 УК, относятся к категории тяжких. Посягательства, предусмотренные ч. 1 ст. 272 и 273 УК, а также ч. 2 ст. 274 УК, относятся к категории преступлений средней тяжести. Наименее опасным является преступление, предусмотренное ч. 1 ст. 274 УК (небольшой тяжести). Преступления, предусмотренные ст. 273 УК, ч. 1 ст. 272 УК (а также ч. 2 ст. 272 УК, когда оно совершается группой лиц по предварительному сговору), могут быть совершены общим субъектом. Преступления, предусмотренные ст. 274 УК (а также ч. 2 ст. 272 УК, кроме деяний, совершенных группой лиц по предварительному сговору), совершаются только специальным субъектом.
Характеристика конкретных видов преступлений в сфере компьютерной информации
Неправомерный доступ к компьютерной информации (ст. 272 УК). Норма, закрепленная в ст. 272 УК, направлена на защиту информации, хранящейся (записанной) в определенном формате. Предметом преступления является собственно информация, обладающая рядом обязательных характеристик:
- она должна охраняться законом;
- должна быть записана в формате, позволяющем ее использование (ознакомление, передачу, копирование и т.п.) в ЭВМ.
Возможно два подхода к толкованию признаков предмета анализируемого преступления. Можно считать, что закон охраняет информацию в узком смысле: информацию, представляющую собой программу или базу данных для ЭВМ, записанную на специальном языке программирования и пригодную для использования только посредством ЭВМ. Второй подход заключается в понимании информации в широком смысле. При этом подходе в предмет преступления следует включать не только специфическую информацию, описанную выше, но и любую другую (художественные произведения, описание изобретений, оперативно-розыскную информацию, агентурные данные разведки и т.п.). Иными словами, информацию, которая может быть записана любыми другими способами, помимо машинных носителей, и использована без посредства ЭВМ.
Сложно определить волю законодателя относительно предмета преступления, поскольку из формулировки то есть информации на машинном носителе» следует понимание информации в широком смысле, поскольку на машинный носитель может быть записана абсолютно любая информация. В то же время такие последствия неправомерного доступа, как «нарушение работы ЭВМ, системы ЭВМ или их сети», возможны лишь, если речь идет об информации в узком смысле.
Судебная практика исходит из понимания информации «в широком смысле».
Общественная опасность неправомерного доступа к компьютерной информации заключается не столько в том, что наступает одно из последствий, перечисленных в диспозиции статьи, сколько в том, что сами эти последствия (уничтожение информации, нарушение работы ЭВМ и др.) являются отправной точкой — причиной наступления последствий более значительных и тяжких. Однако это не отражено в норме, и потому наступление таких последствий требует квалификации по совокупности. Неправомерный доступ к компьютерной информации может являться частью иного преступного замысла. Например, получая неправомерный доступ к информации о паролях и логинах для доступа в Интернет, лицо копирует такую информацию, а затем использует ее для бесплатного пользования услугами Сети. Таким случаям в судебной практике дается квалификация по совокупности: соответствующая часть ст. 272 УК и соответствующий пункт и часть ст. 165 УК.
Представление об информации как «охраняемой законом» основывается на том, что: 1) информация не находится в открытом доступе (ее не может получить любое лицо, а в конкретном случае — именно субъект преступления не имеет права на обладание той информацией, которую он пытается получить) и 2) ограничение доступа к информации основано на законе (личная, семейная, государственная, коммерческая тайна и т.п.)1. Если кто-либо ограничивает доступ к информации, не защищаемой законом, то такая информация не становится предметом преступления, предусмотренного ст. 272 УК, и доступ посторонних лиц к такой информации помимо воли ее владельца не образует состава рассматриваемого преступления.
Машинный носитель информации — разнообразные устройства и предметы, на которых может быть записана информация в формате, пригодном для использования ее в компьютере. Законодатель, очевидно, мог бы ограничиться формулировкой о том, что информация должна быть записана на машинном носителе, поскольку непосредственно в «электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети» информация хранится именно на машинных носителях. Жесткий диск в компьютере — и есть машинный носитель. Определить перечень предметов, которые могут быть отнесены к машинным носителям, достаточно сложно. На сегодняшний день производители очень многих приборов и устройств делают их совместимыми с компьютером и, таким образом, машинным носителем может стать любой предмет: телефон, фотоаппарат, видеокамера, DVD проигрыватель и т. п. при условии, что такой предмет обладает определенным объемом памяти, и информация может быть записана в формате, пригодном для использования в компьютере.
Объективная сторона преступления сформулирована как действие в виде неправомерного доступа к информации, вредные последствия такого доступа в виде уничтожения, блокирования, модификации, копирования информации, а также нарушения работы ЭВМ, системы ЭВМ или их сети, и причинная связь между действиями и последствиями.
Неправомерный доступ к информации представляет собой действия преступника, который, используя компьютер, получает возможность воздействовать на хранящуюся в нем информацию посредством определенных команд, соответствующих той операционной среде, которая предназначена для работы с информацией в конкретной ЭВМ. Часто она защищена от несанкционированного доступа различными средствами идентификации (пароли, считывание отпечатков пальцев, идентификация пользователя по радужной оболочке глаза и т.п.). В таком случае доступ может произойти, только если защита преодолена. При получении доступа к информации появляется возможность ознакомиться с ней. Само по себе ознакомление, даже если впоследствии виновный сможет воспроизвести полученную информацию в точном соответствии с оригиналом на ином машинном носителе, не образует преступления, предусмотренного ст. 272 УК. Копирование предполагает непосредственное перенесение информации с одного машинного носителя на другой при помощи соответствующих команд или программ. Блокирование означает, что лицо, наделенное правом доступа к информации, подвергшейся несанкционированному воздействию, лишено возможности доступа в обычном режиме (в некоторых случаях блокирование может быть сродни уничтожению, поскольку несмотря на то, что информация сохранена, доступ к ней получить невозможно и для преодоления препятствий требуются серьезные материальные и временные затраты). Модификация — любое изменение программного обеспечения, текстовых файлов, изображений и т.п., искажающее информацию по сравнению с ее первоначальным состоянием. Модификация до степени невозможности идентифицировать информацию и восстановить ее в первоначальном виде, очевидно, должна приравниваться к уничтожению. Уничтожение информации — полное стирание ее с машинных носителей, исключающее возможность восстановления без использования иных машинных носителей. Воздействие на машинные носители механическим способом, приводящее к уничтожению информации, не влечет ответственности по ст. 272 УК, поскольку уничтожение должно обязательно находиться в причинной связи именно с доступом к информации, а не к машинному носителю. Нарушение работы ЭВМ, системы ЭВМ или их сети — сбои в нормальной работе, которые возникают опосредованно вследствие блокирования, модификации или уничтожения информации. Иного механизма сбоев в результате неправомерного доступа просто быть не может. Поэтому нарушение работы ЭВМ — последствия, не имеющие самостоятельного значения, а всегда устанавливаемые через иные последствия, указанные в статье.
Субъективная сторона преступления характеризуется прямым умыслом. Преступник осознает, что получает неправомерный доступ к информации (при этом не обязательно, чтобы его сознанием охватывалось, что информация охраняется законом), предвидит возможность или неизбежность последствий, указанных в диспозиции статьи, и желает их причинить.
Субъект преступления — общий.
Часть 2 ст. 272 УК предусматривает в качестве квалифицирующих признаков этого преступления: совершение его группой лиц по предварительному сговору или организованной группой (ст. 35 УК) либо с использованием своего служебного положения, а равно лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети.
Использование служебного положения предполагает, что лицо, являющееся сотрудником государственного, муниципального учреждения или любой иной организации (независимо от форм собственности), имеет возможность получать не предназначенную для него информацию, используя свой статус. Например, системный администратор, в обязанности которого входит обеспечивать безопасность обращения внутренней информации и устанавливать ограничения на доступ к ней для разных групп сотрудников, сам получает доступ к любой информации, в том числе и не предназначенной для него (составляющей, положим, банковскую тайну). Термин «лицо, имеющее доступ к ЭВМ», следует понимать ограничительно, поскольку доступ к ЭВМ в настоящее время имеет, наверное, каждый второй. Имеется в виду доступ к ЭВМ, на машинных носителях которой находится охраняемая информация. Закон не говорит о лицах, имеющих доступ к машинным носителям, которые могут находиться отдельно от ЭВМ. В этом смысле, очевидно, закон следует толковать расширительно: включать в число специальных субъектов и лиц, имеющих доступ к машинным носителям. Лицо следует считать имеющим доступ, если он получен на законных основаниях, не имеет значения — один раз или на постоянной основе (например, мастер по ремонту компьютера). Если лицо, имеющее легальный доступ к информации, умышленно действует в ущерб собственнику и уничтожает, блокирует или модифицирует информацию, его действия также подлежат квалификации по ч. 2 ст. 272 УК. В этом случае понятие неправомерного доступа следует толковать расширительно, т.е. включать сюда и случаи доступа уполномоченного лица с целями, которые противоречат тем целям, с которыми он допускается к информации.
Создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК). Статья направлена на охрану компьютерной информации от воздействия специфических вредоносных программ и компьютерных вирусов.
Предметом данного преступления является программа1 ЭВМ, которая создана или изменена для целей несанкционированного уничтожения, блокирования, модификации или копирования информации и нарушения работы ЭВМ (функциональная направленность такой программы заключается именно в достижении одного из перечисленных последствий). Определение программы для ЭВМ дается в ст. 1261 ГК РФ: такой программой является представленная в объективной форме совокупность данных и команд, предназначенных для функционирования ЭВМ и других компьютерных устройств в целях получения определенного результата, включая подготовительные материалы, полученные в ходе разработки программы для ЭВМ, и порождаемые ею аудиовизуальные отображения.
Объективная сторона преступления заключается в совершении одного из четырех альтернативных действий: создание программы, изменение существующей программы, использование программы для тех целей, которые сформулированы в диспозиции статьи, распространение программы.
Состав преступления — формальный. Преступление окончено с момента совершения любого из перечисленных действий.
Создание программы — действия по ее написанию на определенном языке программирования в формате, пригодном для использования хотя бы в одной ЭВМ, помимо ЭВМ самого создателя. Изменение существующей программы — внесение в нее таких корректив, которые полностью изменяют ее функциональное назначение и делают вредоносной, либо изменение уже созданной вредоносной программы (например, ее усовершенствование). Использование программы — действия по реализации основных функциональных особенностей (указанных в диспозиции нормы) программы в отношении информации (не важно — охраняется она законом или нет), полномочиями на проведение каких-либо операций с которой преступник не обладает. Если воздействию подвергается информация, охраняемая законом, и наступает одно из последствий, указанных в ст. 272 УК, требуется квалификация по совокупности. Использована вредоносная программа может быть для совершения какого-либо иного преступления. Например, с ее помощью злоумышленник получает доступ к закрытой информации, что позволяет ему изготовить поддельную пластиковую карту VISA, а затем — совершить хищение денежных средств со счета владельца настоящей карты. Распространение программы предполагает совершение действий либо по непосредственному внедрению вредоносной программы в чужой компьютер, либо по распространению ее любым способом (дарение, продажа, рассылка по почте и т.п.) на любом машинном носителе (лазерный диск, карта памяти и т.п.). Вывод о том, что та или иная программа отвечает признакам, указанным в диспозиции статьи, во всех случаях должен быть подкреплен экспертным заключением.
Субъективная сторона характеризуется прямым умыслом. Субъект преступления — общий.
Преступление, предусмотренное ч. 2 ст. 273 УК, относится к категории тяжких (наказывается сроком лишения свободы до 7 лет). Таким образом, диспозиция данной статьи охватывает любые последствия, неосторожное причинение которых наказуемо по УК РФ, поскольку наказание за неосторожные преступления не превышает 7 лет лишения свободы. Исключение составляют ч. 3 ст. 349 и ч. 3 ст. 267 УК, где предусмотрено наказание в виде лишения свободы до 10 лет за неосторожное причинение смерти двум и более лицам. Идеальная совокупность преступлений, предусмотренных ст. 349 и 273 УК, вряд ли возможна, а вот квалификация по ч. 3 ст. 267 и ч. 2 ст. 273 УК весьма вероятна. Например, если компьютерный вирус был распространен с целью нарушить работу системы или сети ЭВМ, обеспечивающей функционирование средств сигнализации или связи на транспорте, что повлекло их «негодное для эксплуатации состояние» и привело, в свою очередь, к последствиям в виде смерти двух и более лиц.
В остальных случаях, как было сказано выше, наступление последствий, к которым виновный относится неосторожно, не требует квалификации по совокупности. Это могут быть любые последствия: имущественный вред, вред здоровью людей, смерть людей, вред окружающей среде и т.п. В каждом конкретном случае задача суда заключается в том, чтобы определить, являются ли последствия тяжкими. В случае умышленного причинения тяжких последствий содеянное квалифицируется по ч. 1 ст. 273 УК и по совокупности — по норме, предусматривающей ответственность за умышленное причинение тяжких последствий. Думается, что ответственность по ч. 2 ст. 273 УК должна наступать и в случае причинения тяжких последствий, которые, будучи причиненными сами по себе, а не в связи с каким-либо преступлением, уголовной ответственности не влекут. Например, причинение особо крупного имущественного ущерба (вследствие нарушения работы сети ЭВМ собственник понес убытки в виде упущенной выгоды или вынужден был понести большие затраты на восстановление функций системы ЭВМ).
Анализ субъективной стороны данного преступления позволяет отнести его к преступлениям с двумя формами вины.
Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274 УК). Непосредственным основным объектом преступления являются общественные отношения, обеспечивающие правильную, безопасную эксплуатацию ЭВМ, их системы или сети. Дополнительный объект определен альтернативно: любое из охраняемых уголовным законом общественных отношений, которому преступлением причинен существенный вред.
Норма, сформулированная в ст. 274 УК, является бланкетной. Объективная сторона преступления выражается в действии или бездействии, которые являются нарушением правил эксплуатации ЭВМ, системы ЭВМ или их сети, последствиях в виде существенного вреда и причинной связи между деянием и последствиями. Причинение существенного вреда по смыслу статьи должно быть обусловлено уничтожением, блокированием или модификацией охраняемой законом информации вследствие нарушения правил. Такой законодательно закрепленный механизм причинения последствий исключает наступление ответственности по ст. 274 УК в том случае, если, например, нарушение правил эксплуатации привело к причинению существенного вреда собственнику, однако это не было связано с уничтожением, блокированием или модификацией информации. Например, сотрудник организации в нарушение правил установил открытый доступ к информации, хранящейся на его ЭВМ, в результате чего информация (допустим, об изобретении) стала достоянием конкурентов, и организации был причинен существенный материальный вред.
Нарушение правил будет преступным и в том случае, если уничтоженная, блокированная или модифицированная информация не охранялась законом (даже если такими действиями причинен существенный вред владельцу этой информации в виде затрат, например, на ее восстановление). Понятие охраняемой законом информации дано при анализе преступления, предусмотренного ст. 272 УК.
Правила эксплуатации ЭВМ, системы ЭВМ или их сети могут быть установлены подзаконными актами правительства, министерств или ведомств (приказы, инструкции, постановления), а также локальным нормативным актом юридического лица — законного обладателя информации, хранящейся на его ЭВМ1 . Какие-либо правила эксплуатации ЭВМ, устанавливаемые физическим лицом, не будут иметь силы нормативного акта, за исключением случаев, если такое физическое лицо действует как индивидуальный предприниматель. Лицо, обязанное соблюдать правила, должно быть ознакомлено с ними.
Последствия в виде существенного вреда — оценочный признак. Существенный вред, как и тяжкие последствия (ч. 2 ст. 274 УК), может быть причинен любому объекту уголовно-правовой охраны. Уголовный закон в данном случае охраняет интересы не только собственника, но и третьих лиц. Задача суда заключается в том, чтобы отграничить существенный вред от тяжких последствий. Критериями отграничения в данном случае могут выступать значимость объекта охраны и степень выраженности последствий в виде ущерба ему.
Субъективная сторона преступления характеризуется неосторожностью в виде легкомыслия или небрежности. Умышленное уничтожение, блокирование и модификацию охраняемой законом информации лицом, имеющим к ней законный доступ, следует квалифицировать по ч. 2 ст. 272 УК РФ.
Субъект преступления — специальный: лицо, имеющее доступ к ЭВМ и в служебные обязанности которого входит соблюдение правил эксплуатации ЭВМ.
Причинение по неосторожности тяжких последствий влечет квалификацию по ч. 2 ст. 274 УК, однако не любые тяжкие последствия, причиненные по неосторожности, охватываются данной нормой. Например, причинение смерти по неосторожности двум и более лицам требует дополнительно квалифицировать содеянное по ч. 3 ст. 109 УК. Дополнительная квалификация причинения по неосторожности тяжких последствий вследствие нарушения правил эксплуатации ЭВМ необходима во всех случаях, когда содеянное образует идеальную совокупность с тем или иным неосторожным преступлением, которое наказывается более строго, чем предусмотренное ч. 2 ст. 274 УК. Например, возможна идеальная совокупность преступлений, предусмотренных ч. 2 ст. 274 и ч. 2 или ч. 3 ст. 293 УК («Халатность»).