Глава 28. ПРЕСТУПЛЕНИЯ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ
Статья 272. Неправомерный доступ к компьютерной информации
Комментарий к статье 272
Объект данного преступления - общественные отношения, обеспечивающие правомерный доступ, создание, обработку, преобразование и использование охраняемой законом компьютерной информации самим создателем, а также потребление ее иными пользователями. Данное преступление, совершенное лицом с использованием своего служебного положения, предусмотренное ч. 3 ст. 272 УК РФ, посягает еще и на второй непосредственный объект - общественные отношения, обеспечивающие интересы службы (ч. 3 ст. 272 УК РФ). Дополнительным непосредственным объектом преступления являются личные права и интересы граждан, интересы собственности.
Предметом преступления является компьютерная информация, ограниченного доступа, т.е. сведения (сообщения, данные) независимо от формы их представления.
Впервые в редакции Федерального закона от 7 декабря 2011 г. N 420-ФЗ "О внесении изменений в Уголовный кодекс Российской Федерации и отдельные законодательные акты Российской Федерации" законодатель дал определение компьютерной информации: "Под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки, передачи". Законодательство России знает немало определений компьютерной информации, но для целей уголовного преследования следует применять именно это определение.
Объективная сторона состава преступления включает: действия, состоящие в неправомерном доступе к охраняемой законом компьютерной информации (информации ограниченного доступа); последствие - альтернативно - в виде уничтожения, блокирования, модификации, копирования информации; нарушение работы ЭВМ, системы ЭВМ или их сети; причинно-следственную связь между указанным действием и любым из названных последствий.
К информации ограниченного доступа относится компьютерная информация, для которой законом установлен специальный правовой режим. Исходя из смысла рассматриваемой статьи и ст. 4 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" <1> (далее - Закон об информации) защите подлежит только зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать, т.е. документированная информация. По условиям ее правового режима информация ограниченного доступа подразделяется на:
--------------------------------
<1> СЗ РФ. 2006. N 31 (ч. I). Ст. 3448.
1) отнесенную к государственной тайне (ст. 2 Федерального закона от 21 июля 1993 г. N 5485-1 "О государственной тайне" <1>);
--------------------------------
<1> СЗ РФ. 1997. N 41. Ст. 8220 - 8235.
2) конфиденциальную, т.е. документированную информацию, доступ к которой ограничивается в соответствии с законодательством РФ (ст. 2 Закона об информации). Режим доступа к конфиденциальной информации может быть установлен как ее собственником, так и непосредственно в соответствии с действующим законодательством. Исчерпывающий Перечень и категории сведений конфиденциального характера определены в Указе Президента РФ от 6 марта 1997 г. N 188 "Об утверждении Перечня сведений конфиденциального характера":
а) персональные данные (сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность, - ст. 2 Закона об информации), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях;
б) сведения, составляющие тайну следствия и судопроизводства;
в) служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с ГК РФ и федеральными законами (служебная тайна);
г) сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией РФ и иными федеральными законами (врачебная, нотариальная и адвокатская тайны, тайны переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и др.);
д) сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с ГК РФ и иными федеральными законами (коммерческая тайна) <1>;
--------------------------------
<1> Федеральный закон от 29 июля 2004 г. N 98-ФЗ "О коммерческой тайне" // СЗ РФ. 2004. N 32. Ст. 3283.
е) сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них <1>.
--------------------------------
<1> СЗ РФ. 1997. N 10. Ст. 1127.
Относительно такой информации собственником или иным управомоченным лицом должны быть приняты меры специальной защиты машинной информации (например, введена система паролей доступа или определенная дисциплина работы с информацией), ограничивающие к ней доступ.
Не может быть ограничен доступ к:
1) нормативным правовым актам, затрагивающим права, свободы и обязанности человека и гражданина, а также устанавливающим правовое положение организаций и полномочия государственных органов, органов местного самоуправления;
2) информации о состоянии окружающей среды;
3) информации о деятельности государственных органов и органов местного самоуправления, а также об использовании бюджетных средств (за исключением сведений, составляющих государственную или служебную тайну);
4) информации, накапливаемой в открытых фондах библиотек, музеев и архивов, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан (физических лиц) и организаций такой информацией;
5) иной информации, недопустимость ограничения доступа к которой установлена федеральными законами.
Неправомерным считается доступ к конфиденциальной информации или информации, составляющей государственную тайну, лица, не обладающего необходимыми полномочиями (без согласия собственника или его законного представителя), при условии обеспечения специальных средств ее защиты.
Неправомерный доступ к компьютерной информации - это незаконное либо не разрешенное собственником или иным ее законным владельцем использование возможности получения информации. При этом под доступом к компьютерной информации подразумевается любая форма проникновения в источник информации, позволяющая манипулировать полученной информацией (копировать, модифицировать, блокировать либо уничтожать ее).
Вместе с тем завладение персональным компьютером либо машинным носителем информации (дискетой, диском) как имуществом не может квалифицироваться как доступ к компьютерной информации и влечет ответственность за преступление против собственности или самоуправство. Аналогично не образует объективной стороны рассматриваемого преступления факт уничтожения или искажения содержащейся на машинном носителе компьютерной информации путем внешнего воздействия на него теплом, магнитными волнами, причинения механических повреждений иным способом. Неправомерный доступ к компьютерной информации вменяется соответствующему лицу по совокупности с теми преступлениями, ради совершения которых такой доступ осуществлялся.
Например, в случаях когда мошеннические действия сопряжены с неправомерным внедрением в чужую информационную систему или с иным неправомерным доступом к охраняемой законом компьютерной информации кредитных учреждений либо с созданием заведомо вредоносных компьютерных программ, внесением изменений в существующие программы, использованием или распространением вредоносных программ, содеянное подлежит квалификации по ст. 159 УК РФ, а также в зависимости от обстоятельств дела по ст. ст. 272 или 273 УК РФ, если в результате неправомерного доступа к компьютерной информации произошли уничтожение, блокирование, модификация либо копирование информации.
Правила доступа могут устанавливаться не только нормативным правовым актом, но и алгоритмом работы ЭВМ. Копирование, модификация, блокирование, уничтожение информации в результате получения доступа к информации в обход алгоритма такой работы либо с использованием чужих реквизитов доступа к информации (логин и пароль) также следует квалифицировать по ст. 272 УК РФ.
Состав данного преступления носит материальный характер и предполагает обязательное наступление одного из последствий:
1) уничтожение информации - это приведение информации или ее части в непригодное для использования состояния независимо от возможности ее восстановления. Перевод информации на другой машинный носитель не считается в контексте уголовного закона уничтожением компьютерной информации лишь в том случае, если в результате этих действий доступ правомерных пользователей к информации не оказался существенно затруднен либо исключен. Уничтожением информации не является переименование файла, где она содержится, а также само по себе автоматическое "вытеснение" старых версий файлов последними по времени;
2) блокирование информации - это создание условий недоступности, невозможности ее использования, в результате которого в течение некоторого времени или постоянно невозможно осуществлять требуемые операции над компьютерной информацией полностью или в требуемом режиме. Другими словами, блокирование информации - это совершение действий, приводящих к ограничению или закрытию доступа к компьютерной системе и предоставляемым ею информационным ресурсам, искусственное затруднение доступа законных пользователей к компьютерной информации, не связанное с ее уничтожением.
От уничтожения и блокирования компьютерной информации следует отличать вывод из строя компьютерной программы. Вывод из строя компьютерной программы может рассматриваться в соответствующих случаях как преступление, предусмотренное ст. ст. 141, 267, 273, 281 УК РФ и др. В случае если причиной выхода из строя компьютерной программы оказалось уничтожение или блокирование компьютерной информации, которой должна оперировать программа, деяние следует квалифицировать как неправомерный доступ к компьютерной информации.
1. Модификация информации - внесение изменений в компьютерную информацию (в том числе изменение ее параметров) без согласия ее законного обладателя. Действующим законодательством разрешены следующие виды легальной модификации программ, баз данных лицами, правомерно владеющими этой информацией: а) модификация в виде исправления явных ошибок; б) модификация в виде внесения изменений в программы, базы данных для их функционирования на технических средствах пользователя; в) модификация в виде частной декомпиляции программы для достижения способности к взаимодействию с другими программами.
2. Копирование информации - создание копии имеющейся информации на другом носителе, т.е. перенос информации на другой обособленный от ЭВМ носитель при сохранении неизменной первоначальной информации, воспроизведение информации в любой материальной форме: от руки, путем фотографирования текста с экрана дисплея, а также считывания информации путем перехвата излучений ЭВМ и т.д.
От копирования компьютерной информации следует отличать размножение информации. В последнем случае информация повторяется не на обособленном от оригинального носителе, а на оригинальном носителе (например, в дисковой памяти ЭВМ организуются несколько файлов одного и того же содержания) либо на однородном носителе, оставшемся в распоряжении пользователя (например, копия располагается в дисковой памяти, образующей с данным компьютером систему, либо на дискете, сознательно оставленной в компьютере).
Преступление окончено с момента наступления любого из указанных последствий. При установлении причинной связи между несанкционированным доступом и наступлением вредных последствий следует иметь в виду, что в компьютерных системах возможны уничтожение, блокирование компьютерной информации в результате технических неисправностей или ошибок при функционировании аппаратно-программных средств. В этих случаях лицо, совершившее неправомерный доступ к компьютерной информации, не подлежит ответственности по данной статье ввиду отсутствия причинной связи между его действиями и наступившими последствиями. Не будет нести ответственность лицо за просмотр информации, хранящейся в оперативной памяти компьютера.
Ранее признавались преступлениями деяния, приводившие к нарушению работы ЭВМ, системы ЭВМ или их сети, что имеет место в случае, когда компьютерная система не выполняет своих функций, выполняет их не должным образом или в случае заметного уменьшения производительности системы. Классическим примером такого нарушения является результат атаки на отказ в обслуживании - DOS. В новой редакции эти деяния не образуют состава преступления, предусмотренного ст. 272 УК РФ.
Субъективная сторона рассматриваемого преступления характеризуется виной в форме умысла (прямого или косвенного).
Субъект преступления общий - вменяемое лицо, достигшее возраста 16 лет.
В ч. 2 ст. 272 УК РФ предусмотрены такие квалифицирующие признаки, как совершение преступления:
а) причинившего крупный ущерб;
б) из корыстной заинтересованности.
Ущерб, превышающий один миллион рублей, и корыстный мотив являются квалифицирующими признаками по ч. 2 ст. 272 УК РФ. Корыстный мотив также является квалифицирующим признаком по ч. 2 ст. 274 УК РФ. Другие мотивы этого преступления: желание получить какую-нибудь информацию либо желание причинить вред - не влияют на квалификацию. Субъект преступления общий.
Квалифицирующие признаки, предусмотренные ч. 3 ст. 272 УК РФ, представляют собой совершение данного преступления:
а) группой лиц по предварительному сговору;
б) организованной группой;
в) лицом с использованием своего служебного положения.
Значительное число компьютерных преступлений относится к групповым, причем чаще всего речь идет о таких формах группового взаимодействия, как организованная группа или преступное сообщество. В группу может входить всего один программист-профессионал, а остальные ее члены могут выполнять иные элементы объективной стороны.
Под использованием служебного положения понимается осуществление преступных действий лицом, которое в силу занимаемой должности либо выполняемых трудовых обязанностей может использовать ЭВМ, их систему либо сеть. При этом следует отличать это понятие от понятий "должностное положение" и "должностное лицо" из примечания к ст. 285 УК РФ. Использование служебного положения включает в себя должностные полномочия, возможности, предоставленные трудовым договором в той или иной организации. Примером лица, обладающего таким служебным положением, может быть администратор системы ЭВМ. В его обязанности обычно входит запись в систему новых пользователей, установка алгоритма доступа к файлам и т.д.
Состав ч. 3 ст. 272 УК РФ предусматривает специального субъекта - лицо, использующее свое служебное положение.
Квалифицирующими признаками по ч. 4 ст. 272 УК РФ являются наступление тяжких последствий или опасность их наступления. Это оценочный критерий, хотя, безусловно, к таким последствиям следует относить гибель человека, экологические катастрофы. К опасности наступления тяжких последствий можно отнести, например, вмешательство в систему управления полетами в аэропорту и нарушение ее работы, не связанное с человеческими жертвами.
Статья 273. Создание, использование и распространение вредоносных компьютерных программ
Комментарий к статье 273
Основной объект преступления - общественные отношения, обеспечивающие безопасность в сфере компьютерной информации.
Общественная опасность данного преступления определяется тем, что вредоносные программы способны парализовать работу компьютерной системы, а это может привести к неблагоприятным и даже катастрофическим последствиям.
Дополнительный объект преступления (ч. 3 ст. 273 УК РФ) - общественные отношения, обеспечивающие в зависимости от характера последних иные значимые социальные ценности (жизнь человека, здоровье многих людей, собственную безопасность и т.п.).
Предмет преступления по содержанию совпадает с предметом преступления, предусмотренного ст. 272 УК РФ.
Объективная сторона преступления включает альтернативные действия, состоящие: а) в создании компьютерных программ либо иной компьютерной информации, заведомо способных приводить к несанкционированному уничтожению, блокированию, модификации, копированию компьютерной информации или нейтрализации средств защиты компьютерной информации; б) использовании компьютерных программ либо иной компьютерной информации; в) распространении таких программ либо иной компьютерной информации.
В редакции Федерального закона от 7 декабря 2011 г. N 420-ФЗ "О внесении изменений в Уголовный кодекс Российской Федерации и отдельные законодательные акты Российской Федерации" исключена ответственность за такие деяния, как: а) внесение в существующую программу изменений, делающих ее вредоносной; б) использование машинных носителей с такими программами; в) распространение таких носителей.
Термин "программа" (греч. programme) означает содержание или план какой-либо работы. Под компьютерной программой понимается описание алгоритма определенной задачи электронным устройством (ПЭВМ, мобильным телефоном и т.п.).
Создание программ представляет собой деятельность, направленную на разработку, подготовку программ, способных уничтожить, блокировать, модифицировать или копировать компьютерную информацию.
Для создания компьютерных программ применяются так называемые языки программирования, которые позволяют описывать алгоритм для восприятия человеком - в виде исходного текста. Создание программы - это ввод в ЭВМ на языке программирования алгоритма ее работы. Программу можно считать созданной в момент завершения ввода текстового файла, верно реализующей алгоритм ее работы на любом языке ее программирования, независимо от того, была ли она преобразована в машинный код. В случае вредоносной программы это и будет моментом окончания преступления.
Статья 1261 ГК РФ дает определение компьютерной программы как представленной в объективной форме совокупности данных и команд, предназначенных для функционирования ЭВМ и других компьютерных устройств в целях получения определенного результата, включая подготовительные материалы, полученные в ходе разработки компьютерной программы.
Таким образом, данные, содержащиеся в файле программы, на основе которых программа выводит текст, графическую информацию, звук, также являются частью программы. Изменение этих данных с целью, например, введения в заблуждение пользователя образует состав рассматриваемого преступления. То есть компьютерная программа - это не только алгоритм, но и данные, предназначенные для взаимодействия с пользователем.
Под иной компьютерной информацией следует понимать различные инструкции и описания о конкретных способах, которыми можно несанкционированно уничтожить, блокировать, модифицировать компьютерную информацию.
Использование программы - это работа с программой, применение ее по назначению и иные действия по введению ее в хозяйственный оборот в изначальной или модифицированной форме. Под использованием вредоносных компьютерных программ понимается их применение (в том числе их создателем), при котором активизируются их вредные свойства. Под распространением таких программ понимается предоставление доступа к ним любому постороннему лицу любым из возможных способов, включая продажу, прокат, бесплатную рассылку по электронной сети. Распространением программы являются любые действия по предоставлению доступа к программе сетевым или иным способом.
Под нейтрализацией средств защиты информации подразумевается приведение их в нерабочее состояние, например отключение антивирусного программного обеспечения, системы обнаружения вторжения или системы шифрования, межсетевого фильтра.
Для окончания преступления, предусмотренного ч. 1 ст. 273 УК РФ, нет необходимости дожидаться общественно опасных последствий, характерных для преступлений в сфере компьютерной информации (копирование, модификация, блокирование, уничтожение и т.д.). Поэтому по конструкции состав преступления формальный. Находящаяся в компьютере вредоносная программа может благополучно бездействовать в течение долгого времени и сработать тогда, когда ее автора будет сложно найти.
Таким образом, обязательными признаками объективной стороны ч. 1 ст. 273 УК РФ являются два признака, характеризующих способ и средство совершения преступления. Это, во-первых, то, что последствия должны быть несанкционированными, во-вторых, наличие самой вредоносной программы или иной компьютерной программы.
Компьютерная программа являет собой объективную форму представления совокупности данных и команд, предназначенных для функционирования ЭВМ и других компьютерных устройств с целью получения определенного результата.
Под вредоносными программами в смысле данной статьи УК РФ понимаются специально созданные программы, в том числе модифицированные из невредоносных. К числу наиболее распространенных вредоносных программ относятся компьютерные вирусы (логические бомбы, черви, троянские кони и др.). Некоторые вредоносные программы обладают специфическими свойствами, предназначенными для выполнения неправомерных или даже преступных действий (хищения денег с банковских счетов, укрытия средств от налогообложения, мести, хулиганства и др.). Данные программы обладают способностью переходить через коммуникационные сети из одной системы в другую, проникать в ЭВМ и распространяться как вирусное заболевание.
Вирусная программа - это специальная вредоносная программа, способная самопроизвольно присоединяться к другим программам (т.е. "заражать" их) и при запуске последних выполнять различные деструктивные действия: порчу файлов, искажение результатов вычислений, стирание памяти и т.п. В течение определенного периода времени она не обнаруживает себя, но затем компьютер "заболевает" и внешне беспричинно выходит из строя.
Субъективная сторона состава преступления, предусмотренного ч. 1 ст. 273 УК РФ, характеризуется виной в виде прямого умысла. При этом виновный должен осознавать, что создаваемые или используемые им программы заведомо приведут к указанным в законе общественно опасным последствиям. Мотив и цель не влияют на квалификацию преступления.
Субъект преступления общий - вменяемое лицо, достигшее 16 лет.
Частью 2 ст. 273 УК РФ предусмотрены квалифицирующие признаки:
а) совершение группой лиц по предварительному сговору;
б) совершение организованной группой лиц;
в) использование служебного положения;
г) крупный ущерб;
д) корыстная заинтересованность.
Содержание данных понятий было раскрыто в комментарии к ст. 272 УК РФ.
Частью 3 ст. 273 УК РФ криминализируется более опасное преступление: те же деяния, повлекшие тяжкие последствия или опасность их наступления. Это умышленное преступление с материальным составом. В прежней редакции ст. 273 УК РФ преступление было с двумя формами вины: по отношению к действиям присутствовал умысел, а к общественно опасным последствиям - неосторожность.
Тяжкие последствия - оценочное понятие, наличие их в каждом конкретном случае определяется исходя из особенностей дела. Например, под тяжкими последствиями можно понимать смерть одного или нескольких человек, причинение тяжкого вреда здоровью, катастрофы и т.п., кроме крупного материального ущерба, который квалифицируется по ч. 2. ст. 273 УК РФ.
Статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей
Комментарий к статье 274
Основной объект преступления - общественные отношения, обеспечивающие безопасность в сфере компьютерной информации.
Непосредственный объект преступления - отношения по соблюдению правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к информационно-телекоммуникационным сетям.
Под этими правилами понимаются техническая документация на приобретаемые компьютеры, а также конкретные локальные нормативные акты, которые должны быть своевременно доведены до сведения соответствующих работников. Отсутствие таких правил может впоследствии исключить уголовную ответственность лица, действия которого повлекли неблагоприятные последствия.
Деяния, предусмотренные данным преступлением, включают в себя нарушение правил:
а) эксплуатации: средств хранения, обработки или передачи охраняемой компьютерной информации; информационно-телекоммуникационных сетей; оконечного оборудования;
б) доступа к информационно-телекоммуникационным сетям.
Предметом рассматриваемого преступления являются электронные устройства, в которых обрабатывается информация в форме электрических сигналов.
С объективной стороны преступление выражается в следующих трех условиях, выполненных одновременно:
а) лицо нарушило правила эксплуатации указанного оборудования;
б) деяние повлекло уничтожение, блокирование или модификацию компьютерной информации;
в) деяние причинило крупный ущерб (свыше 1 млн. руб.).
Таким образом, преступление состоит в том, что в результате его совершения наносится серьезный ущерб функционированию информационных коммуникаций, разрушаются информационные ресурсы, нарушается нормальная работа технологического оборудования. При ущербе менее одного миллиона рублей нет состава преступления. В сравнении с прежней редакцией в объективной стороне добавлено копирование информации. Теперь данное преступление уже может являться способом совершения другого преступления, посягающего на правовой режим тайны.
Для правильного определения признаков объективной стороны преступления необходимо установление конкретных нормативно-правовых актов, в которых регламентированы технические предписания (правила).
Что касается доступа к электронному устройству, здесь следует понимать не только непосредственный, физический доступ, но и доступ посредством использования сети (удаленный). В случае если такой доступ осуществляется неправомерно, то деяние следует квалифицировать по ст. 272 УК РФ.
Состав преступления по конструкции материальный. Обязательным признаком преступления является крупный ущерб, причиненный владельцу ЭВМ либо пользователю, или же третьим лицам.
Субъектом преступления является вменяемое физическое лицо, достигшее 16-летнего возраста.
Субъективная сторона выражается в форме умысла. При этом мотив и цель противоправного деяния виновного на квалификацию преступления влияния не оказывают, но должны учитываться при назначении наказания.
Квалифицированный состав преступления предусмотрен в ч. 2 ст. 274 УК РФ - умышленное причинение тяжких последствий или создание угрозы их возникновения. Тяжкие последствия могут выражаться в различных формах: дезорганизации деятельности предприятия или учреждения, безвозмездной утрате ценной компьютерной информации.
Субъективная сторона квалифицированного состава преступления может характеризоваться только умышленной формой вины.