Олег Петриченко,
Головний науковий консультант,
Апарату Верховної ради України

Проблеми вдосконалення кримінального законодавства
в сфері комп'ютерних технологій

Людство вступило в нову епоху - епоху інформаційного суспільства. Сьогодні практично вся діяльність людини тією чи іншою мірою залежить від комп'ютерів - зв'язок, транспорт, енергетика, фінанси, торгівля, наука, освіта, оборона, медицина тощо.

Разом з тим, високими технологіями активно цікавиться й злочинний світ. Одночасно зі стрімким зростанням кількості персональних комп'ютерів і користувачів глобальної мережі Інтернет (тільки за період 1998-2001 р. число користувачів мережі зросло з 143 млн. чоловік до 700 млн.) зростає й кількість злочинів, що вчиняються з використанням обчислювальної техніки та комп'ютерних технологій.

Експерти в усьому світі визнають, що міжнародний характер сучасних комп'ютерних і телекомунікаційних технологій спричинив появу нових форм транснаціональної злочинності. Це призвело до появи такого феномену, як «комп'ютерна злочинність» (або «кіберзлочинність» від англ. cyber-crime (Михайло Гуцалюк. Координація боротьби з комп'ютерними правопорушеннями (http://www.crime-research.org/). Боротьба з комп'ютерними злочинами для сучасного суспільства, насиченого інформаційними комп'ютерними технологіями, стала однією з першочергових проблем.

Результати опитувань, вивчення матеріалів судових розглядів і спостереження вчених дозволяють стверджувати, що перед світовою спільнотою постали серйозні проблеми в цій галузі. За оцінками Інтерполу, оголошеними на шостому засіданні Робочої групи із співробітництва правоохоронних органів країн Центральної та Східної Європи (м. Мюнстер, 28-30 серпня 2000 р.) з питань боротьби з комп'ютерною злочинністю, прибутки комп'ютерних злочинців у світі посідають третє місце після доходів наркоділків та нелегальних постачальників зброї (Центр дослідження проблем комп'ютерної злочинності. - http://www.crime-research.org/).

У провідних, економічно розвинутих країнах (США, ФРН та ін.) рівень кіберзлочинності вимірюється тисячами правопорушень, економічні збитки становлять мільярди доларів США.

Надзвичайно цікавою є статистика, яку отримали американські експерти. В США середня вартість збитку складає: від одного фізичного пограбування банку - 3,2 тис. дол.; від одного шахрайства - 23 тис. дол.; від однієї комп'ютерної крадіжки - 500 тис. дол. І все це ускладнюється недосконалістю законодавства, передусім кримінального, а також недосконалістю державної системи боротьби з комп'ютерними злочинами (Баранов Олександр. Цифрове законодавство // Дзеркало тижня. - № 20 (395. - 1 - 7 червня 2002 р.).

Таким чином, беручи до уваги зростання ролі комп'ютерних інформаційних систем у житті суспільства, збільшення масштабів їх використання для обробки інформації з обмеженим доступом в органах державної влади й управління, популярності глобальної комп'ютерної мережі Інтернет, стає нагальною потреба захисту цих систем та обробленої інформації від різноманітних злочинних посягань, пов'язаних з викраденням, викривленням або знищенням комп'ютерної інформації, неправомірним використанням комп'ютерів, а також умисним порушенням їх роботи.

Враховуючи високий ступінь залежності України від імпортних комп'ютерів та інших інформаційних систем (з програмним забезпеченням включно), що вже сьогодні створює додаткові ризики організованих хакерських атак, здатних серйозно пошкодити урядові, банківські, енергетичні, транспортні та інші інформаційно-комунікаційні мережі, правове реагування на проблеми посилення комп'ютерної злочинності є надзвичайно важливим. Стимулом цього є також взяті Україною зобов'язання щодо інтеграції в світове співтовариство, в тому числі згідно з Програмою інтеграції України до Європейського Союзу (розділ 13 - «Інформаційне суспільство»).

Результативність діяльності державних структур визначається введенням економічних санкцій США стосовно нашої країни за неналежну боротьбу з порушеннями права інтелектуальної власності, переважно щодо комп'ютерних програмних продуктів та включенням України Міждержавною групою розробки фінансових заходів боротьби з «відмиванням» грошей до списку країн, що не співробітничають з нею. Зрозуміло, що в разі невирішення проблем щодо боротьби з організованою кіберзлочинністю, особливо в сфері міжнародних економічних відносин, міжнародне співтовариство посилить на Україну інформаційний, політичний та економічний тиск.

КОМП'ЮТЕРНІ ЗЛОЧИНИ В ЗАКОНОДАВСТВІ УКРАЇНИ

Кримінальний кодекс України від 28 грудня 1960 р. (далі - старий КК) не містив визначення поняття «комп'ютерні злочини». Єдина «комп'ютерна» стаття - 198-1 (Порушення роботи автоматизованих систем), що входила до нього, не перекривала всього спектру злочинів і майже не застосовувалася на практиці. Це саме стосувалося й інших статей старого КК, які можна було віднести до таких, що встановлювали відповідальність за «комп'ютерні» злочини. Наприклад, за порушення авторського права на комп'ютерні програми ст. 136 старого КК України (Порушення авторських прав) не передбачала конфіскації контрафактів (продуктів, виготовлених з порушенням вимог законодавства про авторське право), позбавлення волі, а розміри штрафів встановлювалися неадекватно - були надто низьким, порівняно із завданими збитками.

Ситуація кардинально змінилася на краще з прийняттям 5 квітня 2001 р. нового Кримінального кодексу України № 2341-III, який набув чинності з 1 вересня 2001 р. Новий Кримінальний кодекс містить окремий розділ (розділ XVI - «Злочини у сфері використання електронно-обчислювальних машин (комп'ютерів), систем та комп'ютерних мереж»), повністю присвячений класифікації та встановленню відповідальності за вчинення комп'ютерних злочинів, який містить три прямі норми - статті 361-363. Існують чотири норми в інших розділах, які мають непряме відношення до комп'ютерних злочинів. Це крок уперед, принаймні, щодо цього виду правопорушень. У наведених статтях як предмет злочину визначається електронно-обчислювальна машина (комп'ютер), її система та комп'ютерна мережа. Крім цього, принципово новим є ще один предмет злочину, передбачений статтями 361 - 363, - комп'ютерна інформація (Янішевський Д.О. Встановлення відповідальності за «комп'ютерні» злочини.).

Однак, названі норми потребують корегування з тим, щоб правозастосовча практика не виглядала так сумно, як у випадку зі ст. 198-1 старого КК. При цьому необхідно враховувати той факт, що характер розвитку сучасних інформаційних комп'ютерних технологій, особливо ступінь їхньої глобалізації, не дозволяє жодній країні поодинці боротися з проблемою комп'ютерної злочинності. Практично в усіх аспектах питань боротьби з цим видом злочинності необхідно враховувати міжнародний досвід.

Тому слід взяти до уваги положення Конвенції про кіберзлочинність, яку від імені України 22 листопада 2001 р. підписав голова української делегації - міністр юстиції України під час роботи Міжнародної конференції з питань боротьби з кіберзлочинністю (м. Будапешт, Угорщина). Ця Конвенція призначена для підвищення ефективності кримінального розшуку та інших процедур, які використовуються щодо кримінальних правопорушень, пов'язаних з комп'ютерними системами та комп'ютерними даними, а також для забезпечення можливості збору електронних доказів вчинення кримінальних злочинів. Документ передбачає ряд заходів, зокрема в законодавчій сфері, які кожна держава, що приєдналась до Конвенції, має вжити з метою уніфікації кримінального законодавства й попередження злочинності, пов'язаної з використанням комп'ютерів.

Уніфікувати кримінальне законодавство з питань комп'ютерних правопорушень і передбачити відповідальність за вказані вище злочини рекомендував також Комітет у справах законодавства Ради Європи.

Оскільки зазначена Конвенція підлягає ратифікації Верховною Радою України, то, враховуючи вимоги ст. 7 Закону України «Про міжнародні договори України» від 22 грудня 1993 р. № 3767-ХІІ, у разі її ратифікації необхідно буде внести зміни до відповідних національних законодавчих актів, у першу чергу, до Кримінального Кодексу України.

ОБ'ЄКТИВНІ ЗМІНИ

З метою приведення кримінального законодавства України у відповідність до міжнародних стандартів з питань боротьби з комп'ютерною злочинністю, а також посилення кримінальної відповідальності за комп'ютерні злочини Кабінет Міністрів України вніс на розгляд до Верховної Ради України законопроект (реєстр. № 3039) про внесення змін до Кримінального та Кримінально-процесуального кодексів України (далі - Проект).

Народні депутати України Володимир Мойсик, Олександр Бандурка та інші подали на розгляд до Верховної Ради України альтернативний законопроект за реєстраційним № 3039-1 від 20 лютого 2003 р., який пропонує збільшити кількість складів комп'ютерних злочинів і привести цей розділ Кримінального кодексу у відповідність з Конвенцією про кібер-злочинність. Законопроект пропонує викласти в новій редакції чинні статті 361-363 КК України, а також доповнити кодекс новими статтями 363!-363"і внести зміни до статей 190, 200 і З01 цього ж кодексу.

Відповідно до положень Конвенції про кіберзлочинність та з урахуванням міжнародного досвіду законопроект (ст. 361-1) передбачає кримінальну відповідальність за створення з метою збуту, збут технічних пристроїв та комп'ютерних програм, що призначені для незаконного втручання в роботу комп'ютерів, їхніх мереж або здатних блокувати їхню роботу.

Законопроект планує встановити кримінальну відповідальність за незаконне тиражування або збут електронних баз даних, що містять персональні дані про осіб, законодавчий захист яких передбачає ст. 23 Закону України «Про інформацію» від 2 жовтня 1992 р. № 2657-ХН (далі - Закон про інформацію). Необхідність введення такої норми обумовлена й тією обставиною, що в порушення вимог ст. 23 Закону про інформацію набули поширення факти розповсюдження (в тому числі з використанням мережі Інтернет) баз даних, створених органами державної влади, в яких містяться дані про фізичних та юридичних осіб і які не можуть бути оприлюднені без згоди осіб, яких це стосується. Вимога забезпечення захисту персональних даних у комп'ютерних системах податкових і міліцейських органів, медичних і навчальних установ, а також бізнесових структур має подвійне призначення. Насамперед, це захист прав та інтересів громадян у процесі збирання, зберігання та використання їхніх персональних даних. Але, з іншого боку, це й функціональний захист від хакерських атак на комп'ютерні системи цих структур, що має дуже важливе значення для їхньої життєдіяльності.

Крім того, законопроект передбачає встановлення більш суворої відповідальності за злочини в сфері використання електронно-обчислювальних машин (комп'ютерів), їх систем, комп'ютерних мереж та електронних баз даних, що обумовлено значною суспільною небезпекою. Також передбачається конфіскація технічних пристроїв і комп'ютерних програм, які використовувалися у злочинній діяльності, що відповідатиме загальносвітовій практиці.

Однак, на нашу думку, законопроект не позбавлений ряду суттєвих недоліків. Так, він не повністю враховує вимоги ст. 2 Конвенції про кіберзлочинність щодо одержання доступу до комп'ютерної системи без права на це, ст. 4 щодо блокування комп'ютерних даних без права на це, ст. 7 щодо підробки з використанням комп'ютерів, ст. 9 щодо виробництва, надання в користування, поширення, придбання дитячої порнографії через комп'ютерні системи.

Слід внести зміни й до деяких інших чинних статей розділу XVI Кримінального кодексу України з метою їх удосконалення.

СТАТТЯ 361 КРИМІНАЛЬНОГО КОДЕКСУ УКРАЇНИ

1) Як випливає з ч. 2 ст. 11 КК, те чи інше діяння може бути визнане злочином лише в разі, якщо воно заподіяло чи могло заподіяти істотну шкоду фізичній чи юридичній особі, суспільству або державі.

Тому дещо дивним виглядає те, що в ч. 2 ст. 361 істотна шкода є кваліфікуючою ознакою злочину, передбаченого частиною першою цієї статті. На наш погляд, у ч. 2 ст. 361 слова «істотну шкоду» слід замінити словами «значну шкоду».

2) Відповідно слід застосувати слова «Значною шкодою» замість слів «Істотною шкодою» й у пропонованій проектом примітці до статті.

Слід було б удосконалити редакцію зазначеної статті, уточнивши її диспозицію. Згідно зі ст. 361 КК, кримінальному переслідуванню підлягає особа, яка розповсюдила комп'ютерні віруси шляхом застосування програмних і технічних засобів, призначених для незаконного проникнення у відповідні машини, системи або комп'ютерні мережі. Однак, якщо програмні засоби можна класифікувати як призначені для незаконного проникнення, то технічні засоби (комп'ютери, телекомунікаційні мережі) віднести до таких досить важко. Загалом же спосіб, за допомогою якого розповсюджується комп'ютерний вірус, якщо ці дії особа вчинює умисно, не має великого значення для визначення суспільної небезпеки відповідних діянь.

3) Крім того, чинна ст. 361 КК не передбачає відповідальності за таке суспільне небезпечне діяння, як умисне створення комп'ютерного вірусу. При цьому ми враховуємо, що поняття «комп'ютерний вірус» не охоплюється поняттям - «програмні або технічні засоби», яке застосовує ст. 361-1 проекту, оскільки комп'ютерні віруси не є засобами, «призначеними для незаконного проникнення в електронно-обчислювальні машини, їх системи, комп'ютерні мережі чи для блокування їх роботи». Їхнє призначення є дещо іншим. Вважаємо, що існуюча ситуація з постійним зростанням ролі комп'ютерної техніки у суспільному житті робить комп'ютерні віруси за характером їх дії подібними до певних видів зброї, незаконне виготовлення якої переслідується чинним законодавством (наприклад, ст. 263 КК України передбачає відповідальність за виготовлення вогнепальної чи холодної зброї, яку визначають знаряддям злочину й ряд інших статей КК).

Тому, на нашу думку, абз. 1 ч. 2.1 ст. 361 КК можна було б викласти в такій редакції:

«1. Несанкціонований доступ до автоматизованих електронно-обчислювальних машин, їхніх систем чи комп'ютерних мереж з метою перекручення, перехоплення, копіювання чи знищення комп'ютерної інформації або носіїв такої інформації, а так само умисне створення чи розповсюдження комп'ютерного вірусу».

Додавати перед словом «несанкціонований» слово «умисний» не потрібно, оскільки умисний характер цього злочину визначається словами «з метою».

4) Недоцільним є застосування словосполучення «незаконне втручання», оскільки воно законодавчо не визначене. Необхідно замінити його словосполученням «несанкціонований доступ», під яким розуміють доступ до інформації, що здійснюється з порушенням встановлених в автоматизованих системах правил розмежування доступу (ст. 1 Закону України «Про захист інформації в автоматизованих системах» від 5 липня 1994 р. № 80/94-ВР).

СТАТТЯ 361-1 КРИМІНАЛЬНОГО КОДЕКСУ УКРАЇНИ

1) Проект пропонує встановити в санкціях ст. 361-1 покарання у вигляді конфіскації певних програмних і технічних засобів.

Однак, такі засоби можуть і не бути власністю винної особи, а належати підприємству, установі чи організації, де вона працює тощо, а відповідно до ст. 59 КК, конфіскувати можна лише майно, яке є власністю засудженого.

Тому абз. 2 частин 1 і 2 ст. 361-1 КК слід доповнити словами «які є власністю винної особи».

2) Проектом пропонується поширити дію примітки до ст. 361, у тому числі на ст. 361-1 КК. Проте, в ст. 361-1 йдеться про істотну шкоду правам, свободам чи інтересам. Зрозуміло, що така шкода не може полягати в заподіянні матеріальних збитків.

Пропонуємо в ч. 2 ст. 361-1 КК слова «істотну шкоду правам, свободам чи інтересам окремих громадян, державним чи громадським інтересам, інтересам окремих юридичних осіб, які охороняються законом» замінити словами «значну шкоду».

СТАТТЯ 361-2 КРИМІНАЛЬНОГО КОДЕКСУ УКРАЇНИ

1) Із формулювання статті неясно, чи належить слово «незаконне» як до тиражування, так і до збуту. Тому це слово слід було б замінити словом «незаконні».

2) Формулювання ч. 1 ст. 361-2 проекту є дещо недосконалим і в іншій частині, а саме: заключна фраза («що містять персональні дані») стосується нібито слова «органами», що створює можливості для двозначного розуміння диспозиції статті.

3) Оскільки законодавство України не визначило терміни «електронні бази даних», «персональні дані», то необхідно замінити перший з них терміном «комп'ютерні бази даних» (див. ст. 176 КК), а другий -інформація про особу (див. статті 18,23 Закону України «Про інформацію» від 2 жовтня 1992 р. № 2657-ХН, ст. 82 КК).

4) У разі встановлення кримінальної відповідальності за незаконний збут баз даних з інформацією про особу ст. 361-2 конкуруватиме зі ст. 182 КК, що передбачає відповідальність за незаконне поширення інформації про особу. Адже збут є різновидом поширення такої інформації.

Незаконне тиражування баз даних з інформацією про особу з метою збуту можна розглядати як підготовку до використання або поширення конфіденційної інформації про особу (ст. 182 КК), що відповідно до ч. 2 ст. 14 чинного КК не є злочином.

Тому ч. 1 ст. 361-2 більш доцільно викласти в такій редакції:

«1. Незаконне тиражування з метою збуту комп'ютерних баз даних, що містять дані про особу й створюються в установленому законом порядку державними органами».

При цьому санкції цієї статті слід пом'якшити шляхом приведення їх у відповідність до ст. 182 КК.

Необхідно узгодити між собою статті 182 і 361-2. Найкращим чином це можна було б зробити шляхом викладення в частинах 2 і 3 ст. 182 КК такого, наприклад, тексту:

«2. Незаконне використання або поширення конфіденційної інформації про особу, яка міститься в комп'ютерних базах даних, створених в установленому законом порядку державними органами, - караються...

3. Діяння, передбачені частинами другою або третьою цієї статті, вчинені повторно, або за попередньою змовою групою осіб, - караються...».

В такому випадку ст. 361-2 до КК вносити не треба.

5) Проект пропонує поширити дію примітки до ст. 361 на ст. 361-2. Проте, в ст. 361-1 йдеться про істотну шкоду правам, свободам чи інтересам. Така шкода не може полягати в заподіянні матеріальних збитків.

І в цьому випадку в ч. 2 ст. 361-2 слова «істотну шкоду правам, свободам чи інтересам окремих громадян, державним чи громадським інтересам, інтересам окремих юридичних осіб, які охороняються законом» замінити словами «значну шкоду».

СТАТТЯ 363 КРИМІНАЛЬНОГО КОДЕКСУ УКРАЇНИ

Не можна погодитися з пропозицією щодо виключення слів «штрафом до ста неоподатковуваних мінімумів доходів громадян або» із ч. 2 ст. 363. Більше того, санкції цієї статті загалом слід знизити.

Річ у тім, що цей злочин, на відміну від злочинів, передбачених статтями 361-362 КК, є необережним. Отже, виникає парадоксальна ситуація: необережне чи навіть і умисне порушення працівником певних правил, внаслідок якого через його необережність сталося викрадення, викривлення чи знищення інформації, карається більш суворо, ніж власне викрадення, викривлення чи знищення такої інформації (див., наприклад, ч. 1 ст. 361 КК, зміни до абз. 2 ч. 1 ст. 362 проекту).

Оскільки неясно, чим відрізняється «істотне порушення роботи АЕОМ, їх систем чи комп'ютерних мереж» (ч. 1 ст. 363 КК) від «істотної шкоди» (ч. 2 ст. 363 КК), було б доцільним у ч. 2 ст. 363 КК слова «істотну шкоду» замінити словами «значну шкоду».

Проте, за деякі з цих правопорушень не обов'язково має встановлюватись кримінальна відповідальність. Наприклад, адміністративну відповідальність слід встановити за таке діяння, як перешкоджання в отриманні комп'ютерної інформації, в тому числі шляхом блокування роботи комп'ютерних мереж («спам»), тобто за неможливість одержання доступу до комп'ютерної інформації її законному користувачу при збереженні самої інформації в пам'яті ЕОМ.

Відмітимо, що ефективна боротьба зі злочинністю в сфері комп'ютерної інформації передбачає насамперед оптимальне поєднання правових і профілактичних заходів, кропітку роботу щодо вдосконалення кримінального законодавства, розробку норм, що встановлюють відповідальність за злочин у сфері комп'ютерної інформації й реально застосовуються в практичній діяльності. Адже закони досить часто стають системоутворюючим і стимулюючим чинником розвитку держави.