Wstęp. Informatyka śledcza, pracownika jako dowód. Z całą sumiennością i bezstronnością, Środki dowodowe. Technologie mobilne

Transkrypt

1

2 Wstęp Informatyka śledcza w postępowaniu karnym pracownika jako dowód w postępowaniu cywilnym Z całą sumiennością i bezstronnością, czyli o informatyce sądowej Gdzie szukać dowodów ELEKTRONICZNYCH? Środki dowodowe obejmujące treści zawarte w internecie Technologie mobilne wybrane aspekty prawne Dowód elektroniczny w ujęciu cywilistycznym pojęcie dowodu elektronicznego Informatyka śledcza, a prawo i postępowanie karne nękanie (stalking) Wyciek tajemnicy przedsiębiorstwa szpiegostwo gospodarcze SEBASTIAN MAŁYCHA Emil Melka Paulina Skwarek dr Maciej Szmit Emil Melka Janusz Tomczak Jarosław Góra Błażej Sarzalski Jakub Ślązak Jarosław Góra Akademia Informatyki Śledczej MEDIARECOVERY 31

3 Wstęp Sebastian Małycha Przekazujemy na Państwa ręce publikację, której celem jest przybliżenie tematyki informatyki śledczej w sprawach z jakimi polscy prawnicy spotykają się coraz częściej. Opracowanie to zostało przygotowane w oparciu o artykuły jakie ukazały się w wydawanym przez nas Magazynie Informatyki Śledczej. Wszystkie teksty zostały napisane przez Państwa kolegów i koleżanki, którzy na co dzień spotykają się z praktyką prawniczą, a do ich napisania zainspirował ich kontakt z inżynierami pracującymi w naszym laboratorium. Rozwój informatyki śledczej jest wprost proporcjonalny do rozwoju technologii informatycznych. Szacuje się że już ponad 80% wytwarzanych informacji powstaje w formie cyfrowej i jest zlokalizowane na różnych nośnikach np. twardych dyskach, pen drive ach, smartfonach czy tabletach. Na bazie informacji związanych z Edwardem Snowdenem, aferą podsłuchową, WikiLeaks czy włamaniami do wielkich korporacji i agencji rządowych, zaczynamy sobie zdawać sprawę jak potężne narzędzia są dziś dostępne w zakresie technik informatycznych. Coraz więcej osób dostrzega możliwość wykorzystania tych narzędzi do obrony własnych praw. Na całym świecie upowszechnia się przekonanie o możliwej, bliskiej współpracy prawników i informatyków nie tylko w sytuacji zakupu kolejnego komputera do kancelarii, ale również w zakresie poszukiwania informacji potrzebnych do przekonania sądów co do racji jednej ze stron. Również w Polsce zabezpieczanie i analiza nośników z danymi staje się standardem zarówno dla wymiaru sprawiedliwości jak i osób odpowiedzialnych za badanie incydentów wewnątrz dużych organizacji. Informatyka śledcza (ang. Computer Forensics) jest gałęzią nauk sądowych, której celem jest dostarczanie elektronicznych środków dowodowych popełnionych przestępstw lub nadużyć. Efektem działań specjalistów informatyki śledczej jest poszukiwanie, analiza, a w konsekwencji wyodrębnienie z nośników cyfrowych, dowodów elektronicznych. Wszystkie czynności muszą być zgodne z zasadą wiem wszystko, nie zmieniam nic. Firma Mediarecovery od 2005 roku wykonała ponad 5000 ekspertyz dotyczących analizy danych w poszukiwaniu dowodów. Przygotowywaliśmy opinie na potrzeby wielu postępowań, o których mogliście Państwo czytać na pierwszych stronach gazet. Zebrane w ten sposób doświadczenie pozwala nam zapewnić Państwa, że jako lider na polskim rynku, dysponujemy odpowiednim sprzętem i wiedzą niezbędną do pracy na styku informatyki i prawa. Prezes Zarządu Mediarecovery

4 Informatyka śledcza DLA PRAWNIKÓW Zapraszamy do kontaktu z nami Media Sp. z o.o. ul. Piotrowicka 61, Katowice tel.: biuro@mediarecovery.pl Media Sp. z o.o. - oddział Warszawa ul. Nowogrodzka 56A, Warszawa tel.: Facebook LinkedIn

5 Informatyka śledcza w postępowaniu karnym EMIL MELKA Autor jest obecnie adwokatem, w latach kierował Wydziałem do Spraw Przestępczości Gospodarczej Prokuratury Okręgowej w Katowicach. Ukończył studium zorganizowane przez Centrum Szkoleń i Ekspertyz Europejskich sp. z o.o. w Warszawie oraz Ministerstwo Sprawiedliwości RP w przedmiocie Prawo Unii Europejskiej, Współpraca sądowa w sprawach karnych i Brytyjskie prawo karne. Uznany wykładowca na wielu konferencjach i szkoleniach. Czy obecnie potrzebne są jeszcze umiejętności dedukcyjne dawnych książkowych detektywów Sherlocka Holmes a lub Perry ego Masona? Czy może bardziej przydają się ich współczesne, filmowe wersje Patricka Jane a z Mentalisty samozwańczego, lecz genialnego znawcy meandrów ludzkich zachowań lub doktora Cala Lightmana z Magii kłamstwa wykształconego psychologa i behawiorysty? Czy dla wyjaśnienia zagadek niektórych zdarzeń kryminalnych wystarczy geniusz prowadzącego postępowanie karne (czasem widoczny gołym okiem, a czasem jeszcze nieodkryty przez przełożonych), czy może jednak należy pomóc mu możliwościami współczesnej nauki? Na to pytanie niech każdy odpowie sobie sam, lecz moim zdaniem bez tego, co oferują nam zdobycze techniki nie może obejść się żadne śledztwo lub dochodzenie prowadzone w naprawdę poważnych sprawach. Na początku zadajmy sobie pytanie czemu służyć ma postępowanie karne? Wykryciu prawdy obiektywnej, ktoś powie i odpowie dobrze. W celu wykrycia tejże prawdy posługujemy się regułą siedmiu tzw. złotych pytań, które ułatwiają dalszą pracę śledczą. Oto one: 1. Co? (co się zdarzyło, jakie owo zdarzenie miało kształt i jakie były jego rozmiary), 2. Gdzie? (gdzie miało miejsce to zdarzenie), 3. Kiedy? (jaki był czas zdarzenia), 4. W jaki sposób? (jak doszło do zdarzenia, jaki był jego przebieg i jaki był mechanizm działania sprawcy), 5. Dlaczego? (jaki był motyw sprawcy, ale i jaka była rola ofiary), 6. Jakimi środkami? (jakimi narzędziami oraz przy czyjej pomocy dokonano określonego czynu), 7. Kto? (kto jest sprawcą, a kto ofiarą zdarzenia). Udzielając odpowiedzi na powyższe pytania uzyskujemy dowody, które później oceni Sąd. W doktrynie prawa karnego znanych jest kilkanaście znaczeń słowa dowód. Nie miejsce tu na dokładną analizę każdej z definicji, ale przykładowo wskazać można na podział dokonany przez S. Śliwińskiego, który w swej pracy Polski proces karny przed Prawo a informatyka śledcza 5

6 sądem powszechnym. Zasady ogólne [Warszawa 1948 r.] wyróżnia pięć podstawowych znaczeń terminu dowód. Może nim więc być (1) przebieg rozumowania, (2) samo postępowanie dowodowe (badanie), (3) ostateczny wynik przebiegu myślowego, (4) środek dowodowy, tj. samo źródło poznania i wreszcie Autor wyróżnia piąte znaczenie tego terminu (5) podstawę dowodu (np. zeznanie). Dowodem może być przedmiot, rzecz innymi słowy, a wówczas będzie to (1) dowód rzeczowy, np. nóż, którym zabito ofiarę. Dowodem może być (2) ślad kryminalistyczny, np. próbka krwi z miejsca zdarzenia lub odcisk palca na nożu. Dowody może też dostarczyć osobowe źródło dowodowe świadek albo podejrzany lub oskarżony, w zależności od etapu postępowania, czyli dowodem jest odpowiednio (3) zeznanie lub wyjaśnienie, np. kogoś, kto widział zabójstwo, względnie brał w nim udział. Dowody z tej grupy mogą być też nazwane dowodami intelektualnymi, bo nie tylko protokolarne zeznanie lub wyjaśnienie będzie dowodem w sprawie, ale i każde oświadczenie uczestnika postępowania w formie zapisków prywatnych, sporządzonych na użytek inny niż śledztwo lub dochodzenie. Podział ten może nie jest pełny, ale w podstawowym zakresie wystarczy dla przybliżenia Czytelnikowi dalszej problematyki dowodów elektronicznych. Przechodząc więc do tej części rozważań, zanim ustalimy, czym może być dowód elektroniczny, opisać należy pokrótce istniejące wątpliwości, co do tego, czym jest dokument papierowy. Sprawa nie jest zbyt skomplikowana. Otóż, jeżeli ważna jest dla śledztwa treść dokumentu uznać można, iż dokument papierowy należy do trzeciej ze wskazanych powyżej grup, jako zawierający oświadczenie autora, który dany dokument sporządził ( dowód intelektualny ). Jeżeli dokument zawierać będzie podrobiony podpis rzekomego autora wydaje się, że dokument przede wszystkim będzie dowodem rzeczowym, czyli należącym do pierwszej ze wskazanych grup. Nietrudno natomiast wyobrazić sobie sytuację, iż na papierowym dokumencie znajdzie się ślad biologiczny lub środek pisarski (środek kryjący), nierozerwalnie związany z podłożem, czyli z papierem. Wówczas jednak nie podłoże jest istotne dla postępowania, lecz sam ślad lub rodzaj użytego środka kryjącego. Prowadzący postępowanie zabezpieczy sam ślad i tenże stanie się dowodem w sprawie, o ile oczywiście treść dokumentu, na którym ujawniono ślad będzie dla postępowania nieistotna. Jak rzecz się ma z dowodami elektronicznymi? Nośnik pamięci, w szczególności dysk twardy komputera, zawsze będzie dowodem rzeczowym, natomiast zawartość nośnika w postaci pliku z informacją tekstową lub jakąkolwiek inną będzie dowodem z osobowego źródła informacji, dowodem intelektualnym. Po ten ostatni rodzaj dowodów (pliki elektroniczne) coraz częściej sięgają organy ochrony porządku prawnego policja i prokuratura przy pomocy biegłych specjalistów z zakresu techniki komputerowej.bezsporne jest, że z jednej strony żyjemy w coraz bardziej ucyfrowionym świecie, korzystając ze wszelkiej maści urządzeń elektronicznych, o których działaniu wiemy li tyle, ile potrzeba do ich codziennego użytku. Komputery, telefony, faksy, drukarki, skanery, kopiarki, pamięci wewnętrzne i zewnętrzne, nośniki danych. Używamy i nie zawsze zastanawiamy się, jak dane urządzenie zapisuje, przechowuje i przetwarza informację. Nie zastanawiamy się, czy używane przez nas urządzenie usuwa trwale informację ze swej pamięci. Z drugiej strony stajemy się społeczeństwem ery portali społecznościowych, gdzie gromadzone są informacje o nas samych, które tworzone latami w niewinnej formie komunikacji bezpośredniej ze znajomymi zebrane w jednym miejscu mogłyby nas przerazić swym zakresem i naruszeniem naszej prywatności. Czy każde ludzkie zachowanie ma swój cyfrowy ślad w sieci lub na jakimkolwiek nośniku pamięci? Zapewne nie, ale każde poważne zachowanie przestępcze w większości taki związek ze światem cyfrowym już ma. Planujemy pewne zabronione zachowania i wcześniej wymieniamy się uwagami drogą mailową ze znajomym lub przyszłym współuczestnikiem zdarzenia. Komunikujemy się telefonicznie lub wiadomościami tekstowymi w trakcie popełniania czynu zabronionego. Staramy się odwrócić uwagę od naszego udziału w zdarzeniu i wpłynąć na świadków, względnie na ich ocenę naszego zachowania poprzez środki komunikacji masowej lub bezpośredniej. To zachowania umyślne, które ujawnione, zabezpieczone i właściwe ocenione stanowić mogą niebagatelny dowód w sprawie. A co z całą gamą zachowań nieumyślnych, niezwiązanych z planami popełnienia czynu zabronionego? 6 Prawo a informatyka śledcza

7 W codziennym życiu zawodowym tworzymy przecież kopie robocze tekstów, pism do kontrahentów, maili półprywatnych, informacji i statystyk. Gdy w przedsiębiorstwie, w którym jesteśmy zatrudnieni finalnie powstaje jeden dokument podpisany przez upoważnioną do tego osobę, a dokument ten ma formę papierową, sądzimy, iż tylko osoba, której podpis widnieje na dole ponosi pełną odpowiedzialność za treść dokumentu. Nic bardziej mylnego. Proces decyzyjny, jaki towarzyszył utworzeniu końcowego dokumentu może zostać z łatwością odtworzony, a nasza motywacja, które legła u podstaw spisania dokumentu o danej treści łatwo oceniona. Pamiętać należy, iż nie tylko sprawca czynu zabronionego jest pociągany do odpowiedzialności karnej, ale także i każdy, kto realizuje znamiona czynu zabronionego w jego formie zjawiskowej (podżegacz lub pomocnik) i stadialnej (ktoś, kto usiłuje dokonać czynu zabronionego lub ten, kto przygotowuje się do popełnienia czynu zabronionego, o ile takie zachowanie jest wskazane jako karalne przez Ustawę karną). Nie podpisaliśmy więc dokumentu, który wyszedł z drukarki, ale tworzyliśmy go w wersji elektronicznej pod postacią różnego rodzaju projektów roboczych lub też drogą mailową namawialiśmy innych do jego podpisania. Takie nasze zachowanie również podlega ocenie w toku postępowania karnego. W jaki sposób? Poprzez sięgnięcie w głąb pamięci urządzeń komputerowych, komunikatorów i serwerów poczty elektronicznej wychodzącej i przychodzącej. I to nie jest bajka przyszłości, to rzeczywistość, z której chętnie i słusznie korzystają organy ochrony porządku prawnego. Korzystają nie tylko w oczywistych formach przestępczości, jak międzynarodowy terroryzm, pranie brudnych pieniędzy, handel bronią i narkotykami, przemyt towarów z różnymi stawkami akcyzowymi, wprowadzanie do obrotu paliw niespełniających norm i wytwarzanych przy użyciu komponentów z ominięciem systemu fiskalnego państwa, rozpowszechnianie pornografii dziecięcej, czy szeroko rozumiana cyberprzestępczość, jak ostatnio spenalizowane przestępstwo tzw. stalkingu, czyli złośliwego nękania. Organy ścigania z nowej broni przeciwko przestępczości korzystają w sprawach, które nie mają pozornie związku z dowodami elektronicznymi. Przykładem takiego podejścia mogą być postępowania w sprawach katastrofy budowlanej zawalenia się hali Międzynarodowych Targów Katowickich w 2006 roku w Chorzowie lub katastrof górniczych, ostatnio mających miejsce na Śląsku. W sprawie zawalenia się hali targowej MTK, co już opisywała wielokrotnie prasa i inne media, sięgnięto po dowody elektroniczne, choć wydawać by się mogło, iż nie powinny one być potrzebne. Wszelkie urzędy i instytucje państwowe i samorządowe mają przecież w swych zasobach oryginały bądź kopie stosownych dokumentów, obrazujących projekty budowlane, wykonawcze, opisujące przebieg przeprowadzanych kontroli i napraw budowli. Takie same lustrzane odbicie dokumentacji posiada właściciel budynku, projektanci i wykonawcy. Czy suche dokumenty potrafią jednak oddać to, czy się kierowali ich autorzy? Czy oddadzą ich motywację i stopień zawinienia? Na te pytania odpowiedzieć należy przecząco. Aby ustalić, kto był odpowiedzialny za poszczególne etapy tworzenia projektów, wykonania obiektu oraz za jego późniejszej właściwą eksploatację; aby ustalić, kto miał świadomość pewnych działań lub były mu one nieznane, sięgnięto po dowody w postaci informacji elektronicznej z dysków komputerów oraz dowody w postaci mailowej poczty wewnętrznej i zewnętrznej. Odczytano nie tylko pliki aktywne (czyli nieusunięte), ale i nieaktywne (czyli usunięte z poziomu użytkownika danego urządzenia) z komputerów osób, mających związek z halą. Odczytano listy, jakie wysyłano sobie na temat eksploatacji budynku. Analiza tychże dokumentów pozwoliła na przedstawienie zarzutów niektórym osobom lub na modyfikację zarzutów pozostałym. Wreszcie, analiza uzyskanych w ten sposób informacji pozwoliła na stwierdzenie, iż część osób nie ponosi żadnej odpowiedzialności za działanie, które pozornie i gołym okiem winno być ocenione jako naganne. Bezcenne to dowody dla potrzeb postępowania przygotowawczego, a jaki będą miały wpływ na treść przyszłego wyroku w tej sprawie przekonamy się niebawem. Już teraz można jednak postawić tezę, że dowody elektroniczne zwiększać będą stopniowo swe znaczenie, podobnie jak praca specjalistów z zakresu techniki komputerowej stanowić będzie coraz większą pomoc dla prowadzących postępowanie karne. Ustalenie w śledztwie, gdzie znajdować się mogą dowody elektroniczne, jak je zabezpieczyć procesowo, by były niepodważalne, jak je potem odtworzyć i ocenić to już temat na odrębną opowieść. Prawo a informatyka śledcza 7

8 pracownika jako dowód w postępowaniu cywilnym Paulina Skwarek Autorka jest specjalistką w zakresie prawa własności intelektualnej, ze szczególnym uwzględnieniem prawa IT oraz ochrony danych osobowych. Posiada doświadczenie w zakresie kompleksowej obsługi prawnej podmiotów związanych z branżą finansową, nieruchomości oraz branżą IT. Coraz częściej klientami naszej Kancelarii są przedsiębiorcy, którzy podejrzewają pracowników o świadomie działania na szkodę firmy, czy to przez informowanie konkurencji o warunkach ofert przetargowych, czy też przez sprzedaż informacji o nowo wprowadzanych technologiach, produktach itp. Pracodawca, który podejrzewa, że pracownik działa na szkodę przedsiębiorstwa, zgodnie z art. 6 kodeksu cywilnego musi ten fakt udowodnić. Biorąc pod uwagę, iż era dokumentów papierowych powoli przechodzi w erę dokumentów elektronicznych, przestrzeń w jakiej poszukuje się dowodów, wymusza na nim stosowanie coraz bardziej zaawansowanych, kosztownych, nie rzadko kontrowersyjnych metod. Jedną z nich jest proces ediscovery. W uproszczeniu proces ediscovery polega na identyfikacji dokumentów elektronicznych, ich przetworzeniu i udostepnieniu do przeglądu (więcej na temat procesu ediscovery w numerze 5 Magazynu informatyki Śledczej, marzec Często informatycy śledczy stają przed zadaniem przeanalizowania kilkuset tysięcy wiadomości mailowych, spośród których wydobyć muszą jedynie te istotne dla danej sprawy. Czy dowód elektroniczny uzyskany w takim procesie nadaje się do przedstawienia w postepowaniu sądowym? Poczta elektroniczna - granice prawnej dopuszczalności kontroli pracownika. Obowiązujące przepisy prawa pracy, nie regulują wprost kwestii kontroli czynności wykonywanych w czasie pracy przez pracownika. Należy jednak stwierdzić, że kontrola ta mieści się w ramach kierowniczych uprawnień pracodawcy. Podejmując problematykę monitoringu poczty elektronicznej pracownika, w pierwszej kolejności Prawo a informatyka śledcza 8

9 należy dokonać podziału korespondencji owej na służbową i prywatną. Granice prawnej dopuszczalności kontroli korespondencji służbowej wynikają z regulacji zawartej w załączniku do rozporządzenia Ministra Pracy i Polityki Socjalnej z 1 grudnia 1998 r. w sprawie bezpieczeństwa i higieny pracy na stanowiskach wyposażonych w monitory ekranowe. Zgodnie z pkt. 10 e) powyższego załącznika, pracodawca nie może dokonywać ilościowej i jakościowej kontroli pracy pracownika przy komputerze bez jego wiedzy. Można więc przyjąć, że pracodawca, który nie zamierza kontrolować pracy pracownika pod względem jakości i ilości, tylko w innym zakresie, ma wolny dostęp do jego korespondencji służbowej. Bardziej złożona jest kwestia granic prawnej dopuszczalności kontroli korespondencji prywatnej. Dopuszczalność kontroli powinna być uzależniona od wyrażenia zgody przez pracodawcę na wysyłanie wiadomości prywatnych z tzw. poczty firmowej. Brak zgody powoduje, że pracodawca monitoruje korespondencję prywatną na zasadach przewidzianych dla korespondencji służbowej. Pracownik oznaczając swoją wiadomość ową skrótem PRIV (ang. private), FYI (ang. for your information), bądź innym podobnym, skutecznie uniemożliwia legalne zapoznanie się z jej treścią, niezależnie od tego czy pracodawca wyraził zgodę na jej wysyłanie. Natomiast prywatne wiadomości wysyłane za zezwoleniem pracodawcy, nie podlegają kontroli, nawet jeżeli pracownik pominie oznaczenia charakterystyczne dla korespondencji prywatnej. Dowód uzyskany w ramach procesu ediscovery będzie dowodem nielegalnym, gdy pracodawca zamierza z jego pomocą osiągnąć cel niezgodny z prawem. Przykładem takich działań może być dokonanie kontroli prywatnej korespondencji pracownika, w celu uzyskania informacji o stanie jego zdrowia. Za niezgodne z prawem, nie powinno być z kolei uznawane kontrolowanie korespondencji służbowej, sprawdzające czy pracownik przestrzega tajemnicy pracodawcy. Zgodnie bowiem z art pkt 4 kodeksu pracy, pracownik ma obowiązek dbałości o dobro zakładu pracy, ochrony jego mienia oraz przestrzegania tajemnicy pracodawcy. Nie sposób podważać więc uprawnień pracodawcy do kontroli przestrzegania powyższego obowiązku. Z drugiej jednak strony wydobywanie dowodów, w procesie ediscovery, nie powinno naruszać, przysługujących każdemu człowiekowi, praw do ochrony prywatności czy tajemnicy komunikowania się, wynikających bezpośrednio z Konstytucji. Dowód uzyskany wbrew konstytucyjnym prawom i wolnościom, będzie traktowany za niezgodny z prawem. Biorąc pod uwagę, przyjęty w niniejszym artykule podział korespondencji owej na służbową i prywatną, można w dużym uproszczeniu przyjąć, że kontrola wiadomości służbowych, co do zasady nie narusza konstytucyjnych praw kontrolowanego, natomiast kontrola korespondencji prywatnej ingeruje w jego konstytucyjne prawa. Odnosząc się do powyższych rozważań, nasuwa się pytanie czy sąd, w postępowaniu cywilnym rozstrzygając spór pomiędzy pracodawcą, a pracownikiem, dotyczący ujawnienia tajemnicy przedsiębiorcy, może uwzględnić dowody uzyskane przez stronę z naruszeniem prawa. W świetle obowiązujących przepisów nie da się jednoznacznie odpowiedzieć na tak postawione pytanie. Z pewnością argumentem przemawiającym za możliwością wprowadzenia do procesu cywilnego tzw. owoców z zatrutego drzewa, jest brak przepisów proceduralnych, zakazujących takich działań. Nie można jednak rozpatrywać kwestii wprowadzania do procesu cywilnego dowodów w oderwaniu od przepisów Konstytucji, czy prawa cywilnego. Stanowisko to znajduje potwierdzenie w wyroku Sądu Apelacyjnego w Warszawie z dnia 6 lipca 1999 r., w którym to Sąd stwierdza, że ochroną art. 23 k.c. objęte jest prawo do swobody wypowiedzi, wyboru rozmówcy i tajemnica rozmowy. Gromadzenie materiału dowodowego w procesie i prezentowanie go przez strony nie powinno odbywać się z naruszeniem zasad współżycia społecznego I ACa 380/99, OSA 2001/4/21. Prawo do prywatności oraz prawo do tajemnicy komunikowania się jest silnym argumentem przemawiającym za zakazaniem wprowadzania do procesu nielegalnie zdobytych dowodów w postaci prywatnej korespondencji mailowej. Warto jednak dodać, że w stosunkach pracy, spotykamy się z konfliktami uprawnień obydwu stron z jednej strony tajemnicy korespondencji pracownika, z drugiej ochrony tajemnicy przedsiębiorstwa pracodawcy. Sąd, kierując się zasadą swobodnej oceny dowodów w powiązaniu z zasadą kontradyktoryjności i równości stron powinien, w zależności od okoliczności sprawy, dopuścić bądź też odrzucić dowód zawnioskowany przez stronę, uzyskany z naruszeniem prawa. 9 Prawo a informatyka śledcza

10 Z całą sumiennością i bezstronnością, czyli o informatyce sądowej dr Maciej Szmit Autor jest adiunktem w Katedrze Informatyki Stosowanej Politechniki Łódzkiej oraz wykładowcą w Poznańskiej Wyższej Szkole Biznesu i biegłym sądowym w zakresie informatyki z listy prezesa SO w Łodzi, członkiem Izby Rzeczoznawców Polskiego Towarzystwa Informatycznego i przewodniczącym Sekcji Informatyki Sądowej tegoż Towarzystwa. Kto chodzi na skróty ten w domu nie nocuje. (przysłowie góralskie) Sala sądowa jest miejscem specyficznym. Można tu zobaczyć zarówno gorące emocje jak i zimne wyrachowanie, usłyszeć o wydarzeniach doniosłych i błahych, spotkać wysokiej klasy fachowców i no powiedzmy, że i inne osoby też. Last but not least, jest sala sądowa dla informatyka miejscem obcym, nawet jeśli zdarzyło mu się na niej znaleźć w roli biegłego. Również badanie sądowoinformatyczne, nawet wykonywane we własnym laboratorium, jest czymś innym niż praca zawodowego administratora czy hobbystyczny hacking (w pozytywnym tego słowa znaczeniu) systemów operacyjnych i aplikacji. Poniższe uwagi i przypadki zebrane z praktyki autora niniejszego tekstu prezentują kilka nieprzyjemnych sytuacji, w których biegły może się znaleźć, jeśli nie zachowuje właściwej staranności. Większość opinii, z którymi spotykają się biegli informatycy, dotyczy postępowania przygotowawczego, to jest prowadzonego przez prokuraturę (bądź przez policję lub inne uprawione służby) śledztwa lub dochodzenia. Z punktu widzenia biegłego sytuacja jest tu komfortowa: gospodarzem postępowania jest prokurator, obowiązuje przede wszystkim zasada prawdy materialnej, biegły ma zupełną swobodę w składaniu wniosków dotyczących ewentualnego uzupełnienia materiału badawczego. W zasadzie poza błędami technicznymi trudno biegłemu popełnić jakieś poważniejsze uchybienie, jeśli tylko wykonuje swoją pracę z należytą starannością. Bliższego omówienia wymagają przede wszystkim dwie sytuacje: stwierdzenie przez biegłego zanieczyszczenia (zwanego czasem kontaminacją ) materiału dowodowego oraz znalezienie śladów przestępstwa innego niż objęte postępowaniem przygotowawczym. Prokuratura dostarczyła do badania komputer osoby podejrzanej o rozpowszechnianie pornografii dziecięcej oraz akta śledztwa. W aktach śledztwa, oprócz informacji o dacie i godzinie przeszukania i zatrzymania rzeczy, znajdował się między innymi protokół oględzin, z którego wynikało, że komputer był poddany w kilka miesięcy po zatrzymaniu trwającym godzinę oględzinom przez specjalistę policyjnego. W protokole nie zapisano, na czym owe oględziny polegały. Z analizy logów w komputerze wynikało, że komputer był od chwili policyjnego przeszukania uruchamiany kilkukrotnie w kolejnych dniach. Policyjny specjalista za pomocą hakerskiego Prawo a informatyka śledcza 10

11 oprogramowania, (pracując na żywca, czyli na zabezpieczonym choć to słowo już nie bardzo tu pasuje sprzęcie) wyzerował hasła użytkowników, następnie zalogował się na poszczególne konta przeglądając z nich różne pliki i uruchamiając różne programy. Efektem tych działań było oczywiście zamazanie części historii użytkowania komputera, zmiany czasów MAC, zawartości pamięci wirtualnej itd. Biegły stanął przed pytaniem, czy na podstawie zachowanych po tym szczątkowym śledztwie danych można spróbować mimo wszystko wydać opinię? Powołując się na zasadę in dubiis abstine biegły nie wydał opinii, uzasadniając to w sposób następujący: nastąpiło zerwanie ciągłości łańcucha dowodowego przez nieudokumentowane operacje na nośniku, wprowadzono szereg zmian danych zapisanych na nośniku, materiał badawczy został w znacznym stopniu zanieczyszczony, osoba prowadząca oględziny wykazała się nie tylko skrajnym brakiem wiedzy, ale i prawdopodobnie dopuściła się czynów karalnych, fałszując dokumenty śledztwa (w protokole oględzin podano nieprawdziwe informacje na temat czasu i ilości uruchomień komputera), jak również uzyskując dostęp do informacji poprzez nieuprawnione przełamanie zabezpieczeń informatycznych, wobec czego nie można w sposób uzasadniony przypuszczać, że pozostałe znajdujące się na nośniku treści są tożsame z treściami znajdującymi się na nim w chwili zabezpieczenia materiału dowodowego. Prokurator prowadzący postępowanie podzielił opinię biegłego. Trwające dwa lata postępowanie zostało umorzone, a policyjny specjalista został ukarany karą dyscyplinarną. W polskim prawie nie istnieje znana z amerykańskich filmów formalna teoria dowodowa, wraz z zasadą owoców zatrutego drzewa. Każdy dowód również dowód uzyskany z naruszeniem przepisów prawa, podlega swobodnej ocenie przez organ procesowy. Niemniej biegły jako źródło dowodowe ma obowiązek dostarczać opinię (która sama w sobie jest przecież środkiem dowodowym) jak to mówi rota przyrzeczenia biegłego z całą sumiennością i bezstronnością. W szczególności jeśli stan materiału dowodowego przekazanego do badań uniemożliwia wydanie opinii o jakimkolwiek stopniu stanowczości wniosków, zadaniem biegłego nie jest dywagowanie na temat ewentualnych możliwych sytuacji, ale poinformowanie gospodarza postępowania o istniejącym stanie rzeczy. Opinia biegłego będzie sama w sobie przecież również przedmiotem oceny przez organ prowadzący postępowanie, który może się z wnioskami biegłego nie zgodzić, powołać innego biegłego, a w skrajnym przypadku, wyciągnąć w stosunku do biegłego czy specjalisty konsekwencje prawne. Drugą sytuacją spotykaną stosunkowo często przy opiniowaniu w postępowaniu przygotowawczym jest natknięcie się w czasie badania na ślady przestępstw innych niż ujawnione w dotychczas prowadzonym postępowaniu. W zasadzie biegły jest ograniczony w wydawaniu opinii jej zakresem (danym treścią postanowienia o zasięgnięciu opinii biegłego), niemniej w literaturze przedmiotu panuje zgodność co do tego, że w przypadku natknięcia się na ślady innych przestępstw, powinien o nich powiadomić odpowiedni organ. Nie uprawnia to biegłego do samodzielnych badań wykraczających poza dany postanowieniem zakres opiniowania (np. przeglądania e maili podejrzanego czy odzyskiwania usuniętych plików, jeśli w postanowieniu nie nakazano takich badań). Jeśli będzie taka potrzeba, organ prowadzący postępowanie wyda postanowienie o uzupełnieniu postanowienia. Oczywiście, aby znaleźć poszukiwane treści, należy przejrzeć całość badanego nośnika, dlatego też to uwaga raczej dla prokuratorów w postanowieniu o powołaniu biegłego należy dokładnie opisać, co biegły ma zrobić ( przeanalizować wszystkie pliki znajdujące się na dysku, przeanalizować wszystkie pliki znajdujące się na i możliwe do odtworzenia pliki usunięte z dysku, przeanalizować wszystkie wychodzące listy e mail itd.). Biegły otrzymał do analizy z policji dysk twardy komputera osoby podejrzanej o oszustwo w serwisie aukcyjnym. Zgodnie z dobrymi praktykami, przygotował dwie kopie bitowe dysku na czystym nośniku zewnętrznym, po czym dalszą analizę prowadził już na kopiach. W trakcie analizy okazało się, że na nośniku znajdują się dokumenty opatrzone klauzulami tajności. Biegły przerwał analizę nośnika, poinformował prokuratora nadzorującego postępowanie oraz spisał protokół, w którym opisał dokładnie stanowisko badawcze oraz przyjęty sposób badania. Oryginał dysku jak również należący do biegłego nośnik, na którym znajdowały się wykonane kopie, zostały zaplombowane i przekazane do Agencji Bezpieczeństwa Wewnętrznego, która przejęła postępowanie. Powyższy przykład pokazuje dobitnie, dlaczego kopie 11 Prawo a informatyka śledcza

12 należy wykonywać zawsze na czyste nośniki (po zakończonym badaniu należy używane przez biegłego nośniki dokładnie wyczyścić, to jest sformatować zerując zawartość wszystkich sektorów) i dlaczego do badań nie należy posługiwać się osobistym laptopem, ale mieć odpowiednie stanowisko badawcze oraz odpowiedni zapas zewnętrznych nośników. Zajmuje to dużo czasu i owocuje dodatkowymi kosztami, ale kto chodzi na skróty... Bywa, że biegły wydaje opinię w sprawie karnej już w trakcie postępowania sądowego. Zdarza się to zazwyczaj w przypadku, gdy pojawiają się wątpliwości wymagające wiadomości specjalnych. Niestety bywa i tak, że przed sądem okazuje się, że nie zabezpieczono bądź nie przeanalizowano właściwie dowodów cyfrowych podczas śledztwa czy dochodzenia. To ostatnie oznacza dla biegłego prawdziwą drogę przez mękę, o ile bowiem w postępowaniu przygotowawczym sporo czynności przeprowadza policja, o tyle przed sądem obowiązują zasady jawności, bezpośredniości i równości stron, konsekwencją których jest konieczność realizowania wszystkich czynności w trybie posiedzeń wyjazdowych sądu. Nie ma lubianego przez niektórych trybu oględzin przez samego biegłego informatyka. I choć niektóre sądy próbują posyłać samego biegłego, żeby dokonał oględzin np. systemu komputerowego w siedzibie firmy, należy grzecznie acz stanowczo odmówić, ten bowiem rodzaj chodzenia na skróty jest szczególnie ryzykowny. Przede wszystkim biegły jest niesamodzielnym organem wymiaru sprawiedliwości, narzędziem sądu, nie ma więc żadnych kompetencji decyzyjnych odnośnie do choćby zabezpieczania śladów dowodowych. Nie może wynieść komputera z firmy za pokwitowaniem na podstawie własnego widzimisię. Ryzykowne jest również wykonywanie jakichkolwiek analiz na miejscu zgodnie z prawami Murphy ego badany komputer popsuje się akurat podczas wizyty biegłego i to on poniesie wszelkie, również finansowe konsekwencje jego naprawy. Poza salą sądową, a dokładniej poza czasem trwania czynności procesowych (a samodzielne wyprawy biegłego po śladach takimi nie są), biegły bowiem nie podlega żadnej dodatkowej ochronie. Co więcej: ktoś wskaże biegłemu o jaki komputer chodzi i wyjaśni jakieś okoliczności związane ze sprawą, ale mogą to być okoliczności zupełnie fałszywe, ba może okazać się, że zbadane zostało niewłaściwe urządzenie. Nie ma to jednak żadnych konsekwencji prawnych: luźne rozmowy z biegłym nie są przecież zeznaniami złożonymi w sądzie, nie ma więc mowy o jakiejkolwiek karze za poświadczenie nieprawdy. Na treść tychże rozmów trudno zresztą powołać się i w opinii, bo wywiady swobodne ze świadkami nie są ani metodą badawczą informatyki, ani dowodami w sprawie, no i oczywiście przede wszystkim, żadna szanująca się firma nie wpuści biegłego na swój teren, a tym bardziej nie dopuści do systemu informatycznego, bo polecenie, które sąd wyda biegłemu nie wiąże w żaden sposób tejże firmy. Jest zresztą i szereg innych kwestii, od ochrony tajemnicy (firmowej, handlowej, osobowej, bankowej itd.) począwszy, na które swobodnie można się powołać, żeby uniemożliwić biegłemu dokonanie oględzin. Powstaje pytanie: jak zrealizować w postępowaniu procesowym choćby wykonanie kopii bitowej dysków serwera, które może trwać przecież kilkanaście albo i kilkadziesiąt godzin? No cóż decyzja należy do sądu, który może postanowić o zabezpieczeniu maszyny, o zabezpieczeniu wyłącznie kopii bezpieczeństwa, o przekazaniu sprawy ponownie do prokuratury czy wreszcie zdecydować się na koczowanie wraz z biegłym (jak również oskarżonym, jego obrońcą, prokuratorem, oskarżycielami posiłkowymi, ich pełnomocnikami protokolantem etc.) przy serwerze. Nie jest to zachęcająca perspektywa, niemniej opinia wykonana na podstawie oględzin na skróty może zostać bardzo łatwo podważona, a przede wszystkim nie ma w ogóle oparcia w prawie procesowym: oględzin rzeczy zawsze dokonuje sąd (w szczególnym przypadku sędzia wyznaczony albo sąd wezwany), w razie konieczności z udziałem biegłego, nigdy zaś sam biegły. Zagadnienie zachowania się biegłego na sali sądowej wydaje się kwestią nie wartą poruszenia. Oczywiste jest przecież, że biegły powinien być punktualny, prezentować się estetycznie, wysławiać się czytelnie i na temat, traktować strony procesu w sposób powściągliwy i panować nad emocjami. Niestety wielokrotnie rzeczywistość odbiega od tych oczekiwań. W jednym z procesów cywilnych biegły informatyk wykonując opinię dotyczącą zupełnie innej okoliczności dołączył do niej kilkaset stron zawierających pliki cookies przeglądarki internetowej a w czasie rozprawy zaczął rozwodzić się nad moralnością powoda, który jego zdaniem często odwiedzał strony pornograficzne (co ciekawe, informatyk nie zwrócił uwagi na ilość odwiedzin i średni czas przebywania na tych stronach, które sugerowały, że przeglądarka padła ofiarą programu Prawo a informatyka śledcza 12

13 typu jumper, biegły nie sprawdził zresztą badanego nośnika na obecność wirusów i malware). Dotknięty do żywego powód wytoczył biegłemu proces karny o zniesławienie a dodatkowo złożył do prokuratury doniesienie o składaniu fałszywych zeznań. Kolejną rzeczą, o której należy pamiętać, jest fakt iż język informatyki odbierany bywa przez prawników jako trudny i bardzo hermetyczny, a w interesie co najmniej jednej ze stron leży zazwyczaj, żeby organ procesowy źle zrozumiał wypowiedź biegłego. Z tego też względu należy bardzo starannie dbać o precyzję wypowiedzi. Przede wszystkim należy posługiwać się fachowym (a nie pseudo fachowym) językiem. Dla informatyka takim językiem będzie przede wszystkim język Polskich Norm, w szczególności norm ISO/IEC. Stanowczo należy zrezygnować ze zwyczaju dołączania do opinii tworzonych ad hoc słowniczków (z dużym prawdopodobieństwem tworząc samodzielnie definicje popełnimy gdzieś błąd, nie uwzględnimy jakichś przypadków szczególnych a w przypadku powołania kolejnych biegłych narazimy ich na dodatkową pracę, a siebie na niepotrzebna krytykę przed sądem). Koniecznością, o której szczególnie informatycy lubią zapominać, jest precyzyjne określenie stopnia pewności (stanowczości) stawianych wniosków, jak również jasne określenie związków przyczynowo skutkowych pomiędzy opisywanymi zjawiskami. W mowie potocznej informatycy mają skłonność do posługiwania się stwierdzeniami kategorycznymi, nawet w przypadkach kiedy nie jest to do końca uprawnione. Na przykład nieoczekiwane działanie programu komputerowego może wynikać zarówno z błędu w jego kodzie, jak i z błędnych działań użytkownika, błędów w systemie operacyjnym, problemów z współpracą z innym programem czy niewłaściwych danych wprowadzonych do przetwarzania. Nawet więc jeśli program zakończy swoją pracę informacją o błędzie krytycznym nie oznacza to, że przyczyną jego zaistnienia był błąd programisty, czy tym mniej że twórca programu źle wypełnił zadanie postawione przez osobę, która jego napisanie zleciła. O ile jednak dla większości prawników jest jasne, że na przykład za niepowodzenie procesu leczenia chorego winy nie musi ponosić lekarz, o tyle suchą konstatację wystąpił błąd programu będą gotowi oni raczej uznać za równoważną stwierdzeniu, że w programie tkwi błąd. Póki co kultura informatyczna większości prawników jest na pewno nie wyższa niż kultura prawna większości informatyków, rola biegłego jest więc również w dużej mierze dydaktyczna, tak aby organ procesowy i strony wyrobiły sobie na przedstawioną sprawę właściwy pogląd. Niejednokrotnie wymaga to od biegłego ogromnej cierpliwości i taktu oraz sporych zdolności pedagogicznych. Warto przy tym pamiętać, że dopuszczalne, a nawet wskazane jest umieszczenie w opinii pisemnej odsyłaczy literaturowych (jak wiadomo im bardziej początkujący biegły, tym częściej powołuje się w opinii na osobistą wiedzę i doświadczenie), czy nawet dołączenie doń kopii fragmentów materiałów źródłowych. Czasami powoduje to zwiększenie objętości opinii, ale jest to rozwiązanie znacznie lepsze niż pozbawienie jej czytelności. I tu chodzenie na skróty nie jest dobrą polityką. Osobnym problemem są wypowiedzi ustne biegłych i ich protokołowanie podczas rozpraw. Najczęściej protokolant stara się skrócić wypowiedź ustną i nadać jej czytelną formę. Niestety powoduje to stosunkowo często pomyłki, szczególnie jeśli mowa jest o kwestiach dla protokolanta niezrozumiałych. Dlatego należy dążyć do jasnych i w miarę możliwości jednoznacznych odpowiedzi na pytania, a dłuższe wywody kończyć czytelną konstatacją (np. tak więc odpowiedź na postawione pytanie brzmi: z prawdopodobieństwem bliskim pewności tak było ). Do bardzo niemiłych należy sytuacja, w której biegłemu odczytuje się zeznania złożone na którejś z poprzednich rozpraw, bo to, co mówi obecnie, pozostaje w jaskrawej sprzeczności z tym co zaprotokołowano. Podsumowując: kompetencje biegłego informatyka nie sprowadzają się wyłącznie do umiejętności technicznych. Niezbędna jest przynajmniej w minimalnym zakresie znajomość podstaw systemu prawnego, pewne umiejętności pedagogiczne oraz nawyk daleko posuniętej staranności i ostrożności w prowadzonych działaniach. W końcu sala sądowa przypomina również czasem pole minowe, a gdzie jak gdzie, ale po polu minowym chodzić na skróty szczególnie nie należy. 13 Prawo a informatyka śledcza

14 Gdzie szukać dowodów elektronicznych? Emil Melka Autor jest obecnie adwokatem, w latach kierował Wydziałem do Spraw Przestępczości Gospodarczej Prokuratury Okręgowej w Katowicach. Ukończył studium zorganizowane przez Centrum Szkoleń i Ekspertyz Europejskich sp. z o.o. w Warszawie oraz Ministerstwo Sprawiedliwości RP w przedmiocie Prawo Unii Europejskiej, Współpraca sądowa w sprawach karnych i Brytyjskie prawo karne. Uznany wykładowca na wielu konferencjach i szkoleniach. Ostatnie ogólne rozważania na temat tego, czym są dowody, a w szczególności dowody elektroniczne, w postępowaniu karnym i jak można je w takim postępowaniu wykorzystać zakończono postawieniem otwartej kwestii, gdzie znajdować się mogą dowody elektroniczne i jak organy ochrony porządku prawnego (mam tu na myśli Sądy, prokuraturę, policję, Agencję Bezpieczeństwa Wewnętrznego, Agencję Wywiadu, Centralne Biuro Śledcze, Centralne Biuro Antykorupcyjne, jak i inne instytucje) zabezpieczają je procesowo, by je potem odczytać, odtworzyć i ocenić. Spróbuję więc przybliżyć tę tematykę Czytelnikowi w części dotyczącej kwestii, gdzie organy ochrony porządku prawnego mogą poszukiwać dowodów elektronicznych. Zakładam przy tym, iż Czytelnik nie jest znawcą procedury karnej. Czytelnikowi może wydawać się błędnie, że tylko tam, gdzie korzysta się z komputerów lub urządzeń z nimi skomunikowanych; względnie tam, gdzie przeciętny Jan Kowalski potencjalny sprawca przestępstwa jest podłączony do sieci internetowej. Czytelnik może też uznać, iż poszukiwanie przez organy ochrony porządku prawnego dowodów elektronicznych dotyczy przedsiębiorstw, spółek prawa handlowego, firm, które prowadzą działalność gospodarczą, instytucji państwowych i samorządowych (prawnicy mówią: osób prawnych) lub osób prywatnych (określanych przez prawników osobami fizycznymi), które dokonują działań przestępczych w ramach zorganizowanych grup. Czytelnik może twierdzić, że skoro nie posiada stałego dostępu do internetu lub nawet nie korzysta na co dzień z komputera, to u niego w domu dowodów elektronicznych nie ma i organ ścigania (które to pojęcie uważam za węższe od pojęcia organów ochrony porządku prawnego, bo wyłączam z niego Sądy i prokuraturę) nie będzie u niego ich poszukiwał. Moim zdaniem można śmiało, choć z lekkim przymrużeniem oka, postawić tezę, że dowody elektroniczne znajdują się wszędzie tam, gdzie dotarła elektryczność, a nawet tam, gdzie elektryczności co prawda nie ma, ale gdzie znajduje się jakiekolwiek urządzenie elektryczne lub elektroniczne chociażby niesprawne i od dawna nieużywane lub też gdzie Prawo a informatyka śledcza 14

15 znajduje się rzecz, która współdziała z wyżej wymienionymi urządzeniami, choćby sama nie była zasilana z zewnętrznego źródła energii. Dowody elektroniczne organy odnajdują ścigania przede wszystkim na twardych dyskach komputerów, na dyskach zewnętrznych i wszelkich pamięciach zewnętrznych, dyskietkach, taśmach magnetycznych, kasetach, kartach pamięci, telefonicznych kartach SIM, kartach bankomatowych w każdej ich dostępnej obecnie na rynku wersji, pamięciach wewnętrznych central telefonicznych, czy rejestratorach systemowych urządzeń przemysłowych. Poza tym, dowody takie organy ścigania odnajdują w pamięciach wewnętrznych coraz to bardziej skomplikowanych telefonów, smartfonów, notebooków, netbooków, w odtwarzaczach plików mp3 i mp4, urządzeniach nawigacyjnych GPS, tachografach samochodów ciężarowych i w aparatach fotograficznych. Niewiele osób wie, że znakomitym miejscem na odkrywanie śladów działalności przestępczej lub ustalaniu alibi dla osoby niesłusznie pomówionej o taką działalność może być także zawartość pamięci nagrywarek telewizyjnych, konwerterów telewizji satelitarnych lub zawartość pamięci komputera samochodowego, zwłaszcza posiadającego funkcję tzw. Phone-book, która pozwala na inkorporację zawartości pamięci telefonu komórkowego (spisu telefonów) w systemie Bluetooth lub nawet na rejestrację połączeń przychodzących i wychodzących z telefonu, współpracującego z systemem pokładowym pojazdu. Możliwości odnajdywania dowodów elektronicznych są więc praktycznie nieograniczone. Z jednej strony jest to rzecz jak najbardziej pozytywna ułatwia bowiem ujawnianie przestępstw i wykrywanie sprawców tych przestępstw przez upoważnione do tego służby i instytucje. Z drugiej strony skłania nas do refleksji, czy wszechobecne ucyfrowienie naszego codziennego życia nie odsłoni zbyt wiele prawdy o nas samych. Ocenę tego stanu rzeczy pozostawiam jednak Czytelnikowi. Nieprawdziwe jest z pewnością stwierdzenie, iż jeżeli nie posiadamy dostępu do internetu lub komputera, to w naszym domu nie ma żadnych dowodów elektronicznych. Jeżeli mamy choć jedno z urządzeń wskazanych powyżej dowody takie organy ścigania mają na wyciągnięcie ręki, o ile oczywiście będą one im potrzebne, co jest tożsame rzecz jasna z tym, że musielibyśmy uprzednio popełnić czyn zabroniony. Jak wszechobecność dowodów elektronicznych ma się do życia codziennego przeciętnego sprawcy przestępstwa Jana Kowalskiego? Oto przykład. Jan Kowalski przerabia dowód wpłaty kwoty, którą winien jest operatorowi telefonii komórkowej i czyni to za pomocą przerobienia pliku pdf. Dokonuje rzeczywistej wpłaty kwoty 1 zł. przez bankowe konto internetowe, należące do jego byłej narzeczonej. Następnie edytuje plik pdf, który jest potwierdzeniem dokonania przelewu i dopisuje na nim trzy zera, uzyskując kwotę wpłaty zł., którą winien jest operatorowi. Taki wydruk Jan Kowalski przesyła pocztą do swojego operatora jako dowód zapłaty za usługi abonenckie. Proceder ten wykrywa oczywiście po jakimś niedługim czasie system księgowy operatora telefonicznego i tu pomijamy wewnętrzny, nieskuteczny tryb wyjaśnienia sprawy przez samego operatora sprawa zostaje skierowana na policję, która wszczyna postępowanie o wyłudzenie mienia w kwocie 999 zł. i podrobienie dokumentu. Policji Jan Kowalski tłumaczy, że jest niewinny i o niczym nie wie, a poprosił jedynie swoją byłą już narzeczoną o przysługę w postaci zapłaty tysiąca złotych z jej konta bankowego za niego, bo sam nie miał wówczas żadnych dochodów. Jan Kowalski tłumaczy, iż nie wie, że jego była narzeczona dokonała jakiegokolwiek fałszerstwa i że był święcie przekonany, iż jest rozliczony względem operatora, bo była już narzeczona obiecała przelewu dokonać. Jan Kowalski dodaje także ze złośliwym uśmieszkiem, iż była narzeczona wyszła za mąż, zmieniła nazwisko i wyjechała z obecnym mężem za granicę i sugeruje policji wszczęcie poszukiwań międzynarodowych za przestępczynią. Tłumaczenie to pozornie wiarygodne i w dawnych, słusznie minionych czasach Jan Kowalski zapewne zostałby wypuszczony do domu przez policję, a sam funkcjonariusz złożyłby mu wyrazy współczucia z powodu nieuczciwej byłej narzeczonej. Jednak czasy i wiedza organów ścigania się zmieniły. Jan Kowalski zostaje odwieziony co prawda do domu, ale celem dokonania czynności przeszukania i zabezpieczenia komputera wraz z twardym dyskiem i zabezpieczenia wszelkich nośników pamięci i innych dowodów w sprawie. Tu pamiętać trzeba, iż zgodnie z treścią art in fine kodeksu postępowania karnego (k.p.k.) funkcjonariusz policji nie potrzebuje odrębnego postanowienia prokuratora nadzorującego postępowanie przygotowawcze o wydaniu, odebraniu rzeczy, dokonaniu 15 Prawo a informatyka śledcza

16 przeszukania osoby i pomieszczeń, lecz wobec sytuacji niecierpiącej zwłoki funkcjonariusz ten dokonuje powyższych czynności na podstawie własnej decyzji i okazaniu legitymacji służbowej lub też po okazaniu polecania jego przełożonego, czy też kierownika jednostki (może nim być dyżurny tejże jednostki policji). Janowi Kowalskiemu w wyniku czynności przeszukania pomieszczeń mieszkalnych i gospodarczych do niego należących, zostaje zabrany komputer i wszystkie nośniki pamięci, które prowadzący postępowanie uzna za ważne, a także drukarka i telefon komórkowy. Komputer zostaje oddany Janowi Kowalskiemu następnego dnia w stanie nienaruszonym, co utwierdza go w przekonaniu, iż zostanie oczyszczony z zarzutów. Jan Kowalski nie wie jednak, iż policja wraz z biegłym z zakresu techniki komputerowej utworzyła tzw. kopię binarną dysku twardego jego komputera i na kopii będą dokonane dalsze badania, podczas których zostanie odkryty fakt logowania się na koncie bankowym przez użytkownika komputera, a nadto to, że wśród plików nieaktywnych usuniętych przez użytkownika z poziomu komputera, znajdował się edytowalny plik pdf dowód zapłaty z wersją pierwotną opiewającą na kwotę 1 zł. Natomiast w pamięci drukarki biegły odkrywa drugą wersję tego samego pliku dowodu zapłaty, ale już na kwotę zł. Jan Kowalski jest ponownie poproszony przez policję na przesłuchanie, tym razem już mniej sympatyczne i teraz tłumaczy się w desperacji tym, iż widocznie to była narzeczona dokonała fałszerstwa w jego domu, podczas jego nieobecności. Wyszkolony policjant uzyskuje z pomocą prokuratora wykaz logowania się telefonu komórkowego Jana Kowalskiego, z którego jasno wynika, że w chwili logowania się na koncie bankowym, tworzenia pliku pdf i jego edycji, telefon komórkowy Jana Kowalskiego znajdował się w jego własnym domu. Na takie postawienie faktów Jan Kowalski broni się tym, iż często zdarza mu się wychodzić z domu bez zabierania ze sobą telefonu komórkowego, co istotnie dawałoby mu pewne alibi. Jednak wykaz połączeń wychodzących, co odczytuje biegły w telefonie, wskazuje na połączenie na numer telefonu byłej narzeczonej w chwili logowania się na jej konto bankowe. Czyżby Jan Kowalski pytał wtedy byłą narzeczoną o hasło dostępu do konta? Wszystko skazuje na to, że tak. Tenże dowód stawia przysłowiową kropkę nad i, a wnioskiem końcowym może być jedynie uzasadnione podejrzenie, iż Jan Kowalski dopuścił się przestępstw wyłudzenia mienia i podrobienia dokumentu i to bez angażowania obcych służb policyjnych w poszukiwanie jego byłej już narzeczonej. Ktoś zapyta, czy warto ponosić tak wysokie koszty postępowania przygotowawczego, koszty ekspertyz i pracy biegłego w sprawie wyłudzenia niewielkiej w sumie kwoty i podrobienia jednego raptem dokumentu. Niżej podpisany twierdzi, że zawsze warto. Po pierwsze dlatego, by nasz Jan Kowalski nie pomyślał nigdy o powtórzeniu swojego wyczynu ; po drugie, aby nikt inny, kto pozna jego przypadek nie zabrał się za podobną przestępczą działalność, a po trzecie Jan Kowalski w wyroku skazującym zostanie obciążony wszystkimi kosztami postępowania karnego, które będzie musiał zwrócić Skarbowi Państwa, nad czym czuwał będzie już niezawisły Sąd. Czuwał będzie skutecznie, bo alternatywą dla Jana Kowalskiego w wypadku niespłacenia kosztów może być odwieszenie wykonania kary pozbawienia wolności, którą Sąd zawiesi jedynie tytułem próby. Jak organ ochrony porządku prawnego może procesowo zabezpieczyć od Jana Kowalskiego dowód elektroniczny? Częściowo wskazano to już powyżej, w opisanym przykładzie. Jak takie czynności wyglądają i kiedy mogą się odbyć oraz jakie prawa przysługują osobie, u której czynności te są wykonywane? To już temat na kolejne, odrębne rozważania. Prawo a informatyka śledcza 16

17 Informatyka śledcza DLA PRAWNIKÓW Mediarecovery świadczy następujące usługi dla prawników: Analiza danych elektronicznych w celu gromadzenia dokumentacji dowodowej w sprawach karnych i cywilnych Zabezpieczenie dowodów elektronicznych na różnych typach nośników Ekspertyzy biegłych (strony www, , office, SMS, MMS, blogi itp.) Wsparcie w prowadzeniu postępowań wyjaśniających Wsparcie w prowadzeniu postępowaniach karnych i cywilnych Szkolenia dla prawników w zakresie prawidłowego gromadzenia dowodów elektronicznych Więcej informacji na Zapraszamy do kontaktu z nami Media Sp. z o.o. ul. Piotrowicka 61, Katowice tel.: biuro@mediarecovery.pl Media Sp. z o.o. - oddział Warszawa ul. Nowogrodzka 56A, Warszawa tel.: Facebook LinkedIn

18 Środki dowodowe obejmujące treści zawarte w internecie (treść stron, forów, itp.), - praktyka, wątpliwości formalne, pożądane kierunki zmian. Janusz Tomczak Autor jest partnerem w kancelarii i Wspólnicy Spółka komandytowa. Wardyński Problem do rozwiązania? - uwagi na tle praktyki wykorzystania informatyki śledczej w postępowaniach dowodowych toczących się na podstawie ustawy. Informatyka śledcza jest dziedziną, która rozwija się tak szybko jak szybko rozwijają się technologie informatyczne i cyfrowe. Niemniej stwierdzenie, że prawo nie nadąża za rozwojem technologii w przypadku informatyki śledczej nie jest nawet nieadekwatne, - ono w żaden sposób nie odzwierciedla złożoności zagadnień, które powstają w związku z możliwościami wykorzystania zaawansowanych narzędzi, którymi posługują się informatycy śledczy. Problem nie tkwi jednak tylko i wyłącznie w niedoskonałości obowiązującego prawa. Aby uzyskać pełny obraz funkcjonowania informatyki śledczej w praktyce wymiaru sprawiedliwości należy zwrócić uwagę z jednej strony na rosnącą liczbę czynności procesowych z udziałem biegłych z zakresu informatyki, podnoszący się poziom wyposażenia jednostek prokuratury i sądownictwa w środki umożliwiające przechowywanie oraz prezentację materiałów cyfrowych, z drugiej strony ogólny, niski poziom wiedzy prawników na temat zastosowania technologii informatycznych w ich pracy, przeważającą niechęć prawników - osób o formacji humanistycznej do nauk ścisłych, które wykorzystują już dawno wyparte przez nich pojęcia m.in. algorytmu, itp. Prawnicy przyzwyczajeni są zazwyczaj do tradycyjnych metod analizy dostępnych informacji o prowadzonej sprawie i z nieufnością podchodzą do nowinek w tym zakresie. Kiedy przygotowując się do napisania niniejszego tekstu zwróciłem się do kilkudziesięciu moich kolegów (adwokatów i radców prawnych) z pytaniem: z jakim sposobem zabezpieczenia treści znajdujących się w internecie zetknęli się w swojej praktyce w odpowiedzi uzyskałem informację, że był to 18 Prawo a informatyka śledcza

19 protokół sporządzony przez notariusza, który opisał w nim fakt wyświetlenia na jego kancelaryjnym komputerze strony internetowej o określonej treści w określonym czasie. Większość z nich to osoby mające do czynienia głównie z procesami cywilnymi niemniej dominowała opinia, że jest to najpewniejszy sposób uchwycenia w czasie i miejscu określonej treści, co pokazuje po części stan wiedzy o informatyce śledczej. Metoda poświadczania przez notariusza określonych zdarzeń, co do zasady, nie zmieniła się od stuleci. W większości tekstów prawniczych poświęconych informatyce śledczej kontekst, w którym umieszcza się to pojęcie dotyczy zabezpieczania dowodów. Chodzi zatem o sytuacje, w których istotne jest utrwalenie w formie elektronicznej informacji - bez ingerowania w nie mających znaczenie dowodowe w sprawie. Kodeks postępowania karnego w tym zakresie odsyła zainteresowanych poprzez odpowiednie stosowanie do przepisów o zatrzymaniu rzeczy i przeszukaniu (Rozdział 25, art. 236a Kodeksu postępowania karnego), a więc regulacji, która od początku tworzona była na potrzeby zbierania dowodów rzeczowych. Takie podejście ogranicza rolę informatyka do roli technika dbającego o wiarygodność i autentyczność zabezpieczanych danych. Kodeks pomija jednak funkcje wykrywcze informatyki śledczej jako narzędzi ściśle śledczych, służących zbieraniu i analizowaniu informacji. Być może zagadnienia te nie powinny być przedmiotem regulacji prawnokarnych a administracyjnych, uwzględniających potrzeby ochrony danych osobowych, w tym powtarzaną od kilku lat potrzebę uregulowania zagadnienia monitoringu w miejscach publicznych. 30 marca 2009r., w odpowiedzi na interpelację poselską nr 7857 ówczesny sekretarz stanu w Ministerstwie Sprawiedliwości w sprawie postępowania z dowodami elektronicznymi wyjaśnił, że: Odnosząc się do postulowanej w interpelacji weryfikacji przepisów dotyczących omawianej problematyki, należałoby rozstrzygnąć w pierwszej kolejności, na ile specyfika dowodów elektronicznych wymaga wydania aktu prawnego normującego kwestie związane z zabezpieczaniem i przetwarzaniem dowodów elektronicznych. Wskazać należy bowiem, że w odniesieniu do innych specyficznych dowodów kwestie te w znacznej części pozostawiono do rozstrzygnięcia kryminalistyce i innym gałęziom nauki, których osiągnięcia są wykorzystywane w procesie karnym. Z uwagi na dynamiczny rozwój informatyki i telekomunikacji problematyczne zagadnienie stanowiłaby również kwestia odpowiedniego stopnia szczegółowości takich unormowań, aby wskutek bardzo szybkiego rozwoju tych dziedzin nauki nie stanowiły one wkrótce praktycznej bariery w postępowaniu z dowodami elektronicznymi, falsyfikując aktualność wprowadzonych tymi unormowaniami rozwiązań. W zakresie poruszonego w interpelacji problemu kwalifikacji biegłych wydających opinie w przedmiocie dowodów elektronicznych należy stwierdzić, że z uwagi na okoliczność, że ocena dowodów elektronicznych zazwyczaj wymaga posiadania wiadomości specjalnych, zwykle organ procesowy na podstawie art. 193 K.p.k. zasięga opinii biegłego lub stosownej instytucji naukowej lub specjalistycznej. Każdy biegły zobowiązany jest do wykonania powierzonych mu obowiązków z całą sumiennością i starannością, zgodnie ze złożonym przyrzeczeniem. Kryteria, jakie spełniać ma biegły każdej specjalności, oraz tryb ustanawiania biegłych sądowych, pełnienia przez nich czynności oraz zwalniania ich z funkcji określa rozporządzenie ministra sprawiedliwości z dnia 24 maja 2005 r. w sprawie biegłych sądowych (Dz. U. Nr 15, poz. 133). Przedstawiony w interpelacji postulat dotyczący wprowadzenia wyższych wymagań wobec biegłych opiniujących dowody elektroniczne powinien zostać zrealizowany zarówno w stosunku do biegłych tej specjalności, jak również wszystkich innych biegłych sądowych, po uchwaleniu przez Sejm opracowanej w Ministerstwie Sprawiedliwości, w formie projektu, ustawy o biegłych sądowych. W projekcie tym, znajdującym się obecnie na końcowym etapie uzgodnień wewnętrznych, przyjęto rozwiązania gwarantujące obiektywną weryfikację wiedzy i umiejętności biegłych, i to zarówno przed ich wpisaniem na listę biegłych sądowych, jak i po dokonaniu takiego wpisu, w trakcie pełnienia funkcji biegłego sądowego. W ostatnich tygodniach, a więc po ponad 5 latach od przygotowania owej odpowiedzi na stronach Ministerstwa Sprawiedliwości opublikowane zostały założenia do projektu ustawy o biegłych sądowych. Dokument, jak wynika z jego tytułu jest projektem założeń projektu ustawy a więc stopień jego Prawo a informatyka śledcza 19

20 ogólności jest delikatnie mówiąc znaczny, niemniej tym co uderza, mając na uwadze powyższą odpowiedź Ministra jest fakt, że wśród organizacji i instytucji, którym projekt został przesłany do konsultacji nie ma żadnej zajmującej się wyłącznie informatyką, w tym informatyką śledczą. Wyróżnieni zostali m.in. biegli geodeci, doradcy podatkowi i biegli rewidenci. Jeśli projektowana ustawa wejdzie w życie będzie bez wątpienia jednym z ważniejszych aktów prawnych wpływających na kształt postępowań dowodowych karnych i cywilnych. Głos informatyków, w tym tych zajmujących się informatyką w toku prac nad nią nie może być pominięty w sytuacji, w której spodziewamy się rosnącego znaczenia tej dziedziny dla postępowań dowodowych prowadzonych na podstawie ustawy. 20 Prawo a informatyka śledcza