В соответствии со ст. 9 Закона «Об информации» ограничение доступа к ней устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства. Условия отнесения информации к сведениям, составляющим государственную, коммерческую тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение устанавливаются соответствующими федеральными законами.
Очевидно, что высшую степень защиты от утечки из информационных компьютерных систем должны иметь сведения, отнесенные к государственной тайне[63].
Иные виды защищаемой законом конфиденциальной информации, присутствие которой в подключенных к сети Интернет информационных системах вполне возможно, определяются Перечнем сведений конфиденциального характера, утвержденным Указом Президента РФ[64]. Сюда отнесены: сведения о фактах, событиях и обстоятельствах частной жизни гражданина (персональные данные); сведения, составляющие тайну следствия и судопроизводства; служебные сведения, доступ к которым ограничен органами государственной власти (служебная тайна); сведения, связанные с определенными видами профессиональной деятельности (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и т.д.); сведения, связанные с коммерческой деятельностью (коммерческая тайна); сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.
В Уголовном кодексе РФ деяния, связанные с нарушением права собственника вычислительной системы на неприкосновенность информации в ней (в том числе на сохранение конфиденциальности), нашли отражение в ст. 272 «Неправомерный доступ к компьютерной информации». Понятие доступа к информации в Законе «Об информации» определено как возможность получения информации и ее использования. В сложившемся к настоящему моменту понимании контекста ст. 272 УК «неправомерный доступ» охватывает незаконное (самовольное, с нарушением установленных законом и обладателем информации требований) подключение к компьютерной системе (ее части) с последующим неуполномоченным воздействием на ее аппаратные средства, компоненты, сохраненные данные, проходящий через систему трафик[65].
Последствия такого воздействия могут относиться не только к информации (уничтожение, блокирование, модификация, копирование), но и к программно-аппаратной части информационной системы (нарушение работы ЭВМ, системы ЭВМ или их сети). В этом отношении нельзя признать вполне удачным название ст. 272 УК. Исходя из ее диспозиции, правильнее было бы говорить о неправомерном воздействии на информационную систему. Это вполне согласуется и с введенным ст. 2 Закона «Об информации» понятием информационной системы, определяемой как «совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств».
Что же касается неправомерного доступа к информации, то здесь стоит отметить следующее.
К охраняемой законом относится не вся информация в компьютерной системе, а лишь та, для которой законодателем установлен специальный режим правовой защиты, а обладателем приняты специальные меры защиты. Стоит уточнить, что в соответствии с Законом «Об информации» обладателем последней признается лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам. Обладателем информации может быть гражданин (физическое лицо), юридическое лицо, Российская Федерация, субъект РФ, муниципальное образование. Закон устанавливает, что обладатель информации, в частности, вправе разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа, защищать установленными законом способами свои права в случае незаконного получения информации или ее незаконного использования иными лицами. Одновременно Закон обязывает обладателя информации принимать меры по ее защите.
Выше уже упоминалось, что ст. 272 УК РФ устанавливает наказание за неправомерный доступ к охраняемой законом компьютерной информации при условии, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети. Такой перечень обязательных последствий вполне обоснован. На практике ему соответствует достаточно широкий круг противоправных деяний, направленных на нарушение целостности, доступности и конфиденциальности компьютерной информации. В то же время защиту конфиденциальной компьютерной информации ст. 272 УК, на наш взгляд, обеспечивает не в полной мере. С чем это связано?
Прежде всего, среди специалистов распространено мнение, что «сам по себе факт вызова или просмотра компьютерной информации, хранящейся на машинном носителе, состава анализируемого преступления не образует. Необходимо по крайней мере установить факт переноса указанной информации на другой машинный носитель»[66]. Действительно, если полученные следствием материалы не подтверждают факта уничтожения, блокирования, модификации или копирования компьютерной информации, то несанкционированное обладателем ознакомление с ней не может служить достаточным основанием к применению ст. 272 УК. Однако совершенно понятно, что на практике в большинстве случаев существенный ущерб обладателю конфиденциальной информации наносит уже само ознакомление с ней постороннего лица.
В рассматриваемом аспекте проблема юридической оценки мысленного восприятия информации лицом, осуществляющим неправомерный доступ к ней без ее копирования на машинные носители, является достаточно сложной. По замечанию В. В. Крылова, «если придерживаться понимания термина копирования только как процесса изготовления копии документированной информации в виде физически осязаемого объекта, то все случаи, не связанные с копированием, но приводящие к ознакомлению с информацией независимо от того, какой режим использования информации установил ее собственник, не являются противоправными»[67]. С другой стороны, с учетом технологических особенностей передачи информации в компьютерных сетях (в том числе в Интернете) уже с момента несанкционированного подключения к удаленной системе из нее, строго говоря, происходит копирование информации, так как передаче данных по сети сопутствует перенос их в оперативную память принимающего информацию компьютера. Это обстоятельство учитывалось в отечественной судебной практике. Однако распространение получил подход, при котором лицу, получившему доступ к компьютерной информации, не может быть поставлено в вину ее копирование, обусловленное не зависящим от его воли («автоматическим») действием программных средств.
В данном случае мы наблюдаем явное противоречие между содержанием и результатом действий по получению доступа к информации и содержанием нормы закона, по которой эти действия оцениваются. Субъект осуществил неправомерный доступ к конфиденциальной информации, ознакомился с ней (тем самым уже нанес ущерб потерпевшему), в его компьютере обнаружены копии с просмотренных данных. Однако предъявление ему обвинения в преступлении, предусмотренном ст. 272 УК, не представляется возможным, поскольку копии сохранялись системой автоматически без участия подозреваемого. При этом не учитывается позиция некоторых исследователей о «существовании исключительного специфического носителя охраняемых информационных ресурсов – человека, его памяти»[68] и то обстоятельство, что в ряде случаев с запечатленной в памяти информации может быть впоследствии изготовлена копия, в том числе и на машинном носителе.
Указанную неоднозначность, на наш взгляд, все же следует устранить путем уточнения диспозиции ст. 272 УК, включив в состав данного преступления необходимых альтернативных последствий неправомерного доступа к компьютерной информации и «несанкционированное обладателем ознакомление лица с информацией ограниченного доступа».
Согласно судебной практике, наиболее распространена ситуация, когда неправомерный доступ к информации осуществляется неуполномоченным субъектом с использованием реквизитов доступа (имя, пароль), принадлежащих законным пользователям информационной системы. В этом случае при решении вопроса о квалификации преступления по ст. 272 УК РФ требуется установить обстоятельства получения таких реквизитов. Нередко эти сведения становятся практически общедоступными в результате беспечности их владельца, который добровольно сообщает их третьим лицам.
Получение не только реквизитов доступа, но и значительных объемов конфиденциальной информации часто связано с применением «шпионских программ» (например, программы типа «троянский конь»). Действия по установке на компьютерах системы вредоносных программ дают основания для дополнительной их квалификации по ст. 273 УК РФ «Создание, использование и распространение вредоносных программ для ЭВМ».
Объективная сторона этого преступления, наряду с иными альтернативными действиями (создание вредоносных программ, их распространение, внесение изменений в существующие программы), характеризуется использованием вредоносных программ, которое в рассматриваемой ситуации выражается в несанкционированном размещении программы в компьютерной системе. Кроме того, состав ст. 273 УК РФ сконструирован как формальный и преступление признается оконченным с момента совершения указанных действий (внедрения программы в систему) независимо от наступивших последствий. В то же время последствия могут наступить в виде передачи скопированной конфиденциальной информации по каналам сети Интернет на заданный адрес электронной почты. Поскольку неправомерное копирование информации при этом осуществляется в автоматическом режиме, здесь опять возникает вопрос о допустимости вменения ст. 272 УК.