Dostęp do niezabezpieczonych danych osobowych nie jest przestępstwem

Uzyskanie dostępu do informacji z przełamaniem lub ominięciem zabezpieczeń informatycznych lub innego rodzaju środków ochronnych jest przestępstwem. Grozi za to kara grzywny, ograniczenia albo pozbawienia wolności do dwóch lat. Zgodnie z prawem zabezpieczenie to utrudnienie dostępu, którego usunięcie wymaga specjalistycznej wiedzy, posiadania szczególnego urządzenia albo znajomości kodu dostępu.

Przełamaniem zabezpieczenia (hacking) jest wpływanie przez włamywacza na jego funkcjonowanie, np. zniszczenie lub wyłączenie. Natomiast ominięcie polega na pokonaniu zabezpieczenia bez jakiejkolwiek ingerencji w jego działanie. Przykładowo, przełamaniem zabezpieczenia będzie usunięcie hasła, a ominięciem uzyskanie dostępu przy pomocy innego sposobu, bez naruszania hasła czy kodu.

Nie jest przestępstwem samo bezprawne posłużenie się hasłami lub kodami umożliwiającymi dostęp do chronionej informacji, nawet jeśli dane dostępowe zostały uzyskane bez zgody posiadacza. Typowa sytuacja – niezabezpieczone kartki z hasłami przyklejone na biurku. W takich okolicznościach uzyskanie kodów i haseł dostępu nie jest równoznaczne z pojęciem „przełamania zabezpieczenia”. Przykładowo, jeśli sprawca zobaczy niestrzeżone hasło, chroniące komputer służbowy innej osoby i użyje go, aby przeczytać dokument tekstowy z tego komputera, nie popełni przestępstwa. Uzyskanie bowiem informacji, co do której nie przedsięwzięto żadnych środków ochronnych, nie jest karalne. Jeśli jednak sprawca wykona jakiekolwiek czynności informatyczne w celu złamania tego hasła albo usunięcia, popełni przestępstwo.

Administrator bezpieczeństwa informacji (ABI) bądź administrator danych, jeśli wykonuje czynności ABI, ma obowiązek nadzorowania stosowania środków technicznych zapewniających ochronę przetwarzanych danych osobowych. Niedopełnienie obowiązków przez ABI może pociągnąć za sobą odpowiedzialność karną za przestępstwa wskazane w ustawie o ochronie danych osobowych. Karnie odpowiada ten, kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych, udostępni je lub umożliwi do nich dostęp osobom nieupoważnionym. Sankcją za to jest kara grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2. Wobec winy nieumyślnej zagrożenie pozbawienia wolności jest ograniczone do roku. Taka sama kara przewidziana jest dla przypadku, gdy administrujący danymi narusza, choćby nieumyślnie, obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem.