Maxim Dobrinoiu – Accesul ilegal la poşta electronică (partea a II-a)

Titlul: Accesul ilegal la poşta electronică, Revista de drept penal, nr. 3, 2008, p. 122 si urm. (partea a II-a – prima parte a recenziei o găsiţi aici)

Autor: Maxim Dobrinoiu

Analiza autorului în ceea ce priveşte accesul ilegal la poşta electronică a avut ca punct de plecare o diferenţiere de încadrări juridice în funcţie de ipoteza concretă aflată în discuţie (p. 123 şi urm.). Pentru a păstra un anumit grad de coerenţă vom urma aceeaşi structură regăsită în lucrarea supusă prezentei analize, urmând a aduce unele observaţii punctuale la fiecare dintre ipotezele menţionate de autor.

Pct. 3.A. lit. b) (p. 124)

Aplicaţia la poşta electronică (clientul de e-mail) nu este protejat(ă) împotriva accesului neautorizat prin măsuri de securitate. În cazul intrării unei peroane în această aplicaţie nu ne mai putem afla în condiţiile unui acces ilegal la un sistem informatic.

Aşadar, autorul susţine că din moment ce clientul de e-mail (spre exemplu Outlook Express) nu este un sistem informatic ci doar un program informatic, utilizarea acestuia nu poate fi încadrată la art. 42 din Legea 161/2003. În ceea ce ne priveşte, suntem de părere că dacă programul informatic este stocat pe un sistem informatic (al victimei) unde agentul nu are drept de acces, utilizarea clientului de e-mail va fi defapt continuarea unui acces ilegal început din momentul în care agentul a accesat respectivul sistem informatic. De asemenea, dacă agentul avea dreptul să utilizeze la modul general sistemul informatic dar acesta accesează şi clientul de e-mail am putea discuta despre o depăşire a limitelor autorizării, ce va duce din nou la aplicabilitatea art. 42 din lege. Faptul că acest client de e-mail este ori nu protejat de o anumită măsură de securitate nu are relevanţă decât asupra posibilităţii de a face aplicare formei agravate prevăzută de art. 42 alin. 3.

Este cel puţin ciudat ca agentul să nu săvârşească în această ipoteză un acces neautorizat, iar în ipoteza în care acesta

accesează aplicaţia de poşta electronică cu scopul de a obţine mesajele deja/anterior primite, transmise ori stocate de partea vătămată, atunci încadrarea corectă este acces ilegal la un sistem informatic, în scopul obţinerii de date informatice […] şi violarea secretului corespondenţei […] aflate în concurs real.

În ceea ce ne priveşte, în ambele ipoteze trebuie să avem în vedere un acces neautorizat la un sistem informatic prin trimitere la computerul pe care este stocat clientul de e-mail. Diferenţa între cele două ipoteze constă în faptul că, în prima dintre ele putem discuta şi despre un acces la sistemul informatic ce găzduieşte serviciul de poşta electronică, spre deosebire de cea de a doua ipoteză unde acest lucru este exclus din moment ce preluarea datelor informatice din poşta electronică a fost facută anterior (de către partea vătămată), ceea ce rezultă în faptul că agentul nu mai trebuie să interacţioneze decât cu computerul unde este stocat clientul de e-mail.

Aşadar, nu putem să achiesăm opiniei autorului conform căreia, folosirea unui client de e-mail nu rezultă în accesarea fără drept a serverului de mesaje electronice (sistemul informatic ce găzduieşte serviciul de poştă electronică). Argumentul invocat de către autor ar fi acela că la deschiderea aplicaţiei, aceasta comunică automat şi independent de utilizator cu respectivul sistem informatic, ceea ce duce la stocarea locală a mesajelor (a mail-urilor). Ori, acest aspect ar duce la lipsa vinovăţiei. În ceea ce ne priveşte, considerăm că agentul nu va raspunde (atunci când este cazul) datorită unei erori de fapt, fără a putea fi însă pusă în discuţie vinovăţia acestuia. Eventual, s-ar putea susţine faptul că acesta accesează sistemul informatic ce găzduieşte serviciul de poştă electronică din culpă, ceea ce va duce la atipicitate. Însă, această formă de vinovăţie se va datora aşa cum am menţionat ante, unei eventuale erori în care s-a aflat agentul. Dacă acesta însă cunoştea aplicaţia pe care a accesat-o şi intenţia sa era chiar de a citi respectivele mail-uri, nu înţelegem de ce vinovăţia acestuia ar reprezenta o problemă. Mai mult, chiar dacă nu avea intenţia să citească respectivele mail-uri, simplul fapt că a cunoscut destinaţia respectivului program informatic şi l-a accesat, va echivala cu o intenţie indirectă în ceea ce priveşte accesarea sistemului informatic aflat în discuţie (în concurs cu accesarea computerului ce găzduieşte programul informatic).

Pct. 3.A. lit. c) (p. 124)

Autorul susţine că atunci când agentul încalcă măsurile de securitate ale programului informatic aflat în discuţie, chiar dacă ne-am afla în ipoteza unui acces ilegal la un sistem informatic (afirmaţie ce întăreşte argumentele susţinute ante!), agravanta referitoare la încălcarea măsurilor de securitate nu poate fi pusă în discuţie.

Din nefericire însă, autorul nu-şi argumentează acest punct de vedere, motiv pentru care ne este dificil să ne dăm seama din ce motiv a ajuns la această concluzie. Este oare incidentă această agravantă doar în prima etapă a accesului unui sistem informatic (atunci când spre exemplu agentul trece fraudulos de fereastra de autentificare)? Cum rămâne atunci cu intrarea în tot sau doar într-o parte a unui sistem informatic şi cu depăşirea limitelor autorizării? Este firesc faptul că atunci când agentul accesează computerul nu are neapărat acces la toate zonele respectivului sistem. Astfel, putem considera că accesul nu s-a produs în tot, ci doar într-o parte a acestuia (acolo unde agentul poate opera). Dacă acesta însă doreşte să acceseze o parte a sistemului care este protejată de o măsură de securitate, nu este acesta un acces (ori o depăşire a limitelor autorizării) prin încălcarea unor măsuri de securitate? Şi dacă răspunsul la ultima întrebare este afirmativ, de ce oare nu este aplicabilă agravanta prev. de art. 42 alin. 3?

Pct. 3.A. lit. d)-e) (p. 124-125)

Autorul are o altă susţinere interesantă şi anume că atunci când agentul accesează direct serviciul de poşta electronică (printr-un Browser Web) utilizând o parolă şi un nume de utilizator (chiar în mod fraudulos), nu putem discuta despre agravanta prev. de art. 42 alin. 3.  Argumentul pare a fi unul de ordin tehnic, susţinându-se faptul că sistemul în cauză, neavând decât aceste două posibilităţi de a verifica identifitatea utilizatorului în drept, nici nu consideră că au fost încălcate măsurile de securitate (p. 125). Nu putem fi de acord cu acest raţionament din simplul motiv că încălcarea unor măsuri de securitate în acest caz înseamnă chiar utilizarea unor date reale fără drept, în vederea “înşelării”  sistemului informatic, în sensul în care autentificarea ar fi defapt una în drept. În realitate, modul în care se ocolosesc măsurile de securitate nu are relevanţă pentru aplicabilitatea agravantei supusă discuţiei.

Agentul poate fie să acceseze serviciul de poştă electronică prin utilizarea unei vulnerabilităţi în sistem (ipoteza analizată la lit. f) şi cu care suntem de acord în ceea ce priveşte calificarea de la art. 42), fie prin utilizarea unor date reale obţinute în mod fraudulos de la victimă, fie chiar prin cunoaşterea acestor date de la aceasta (spre exemplu victima i-a dat agentului datele în cauză iar dupa o perioadă de timp i-a transmis că nu mai are dreptul să-i acceseze contul de Email). Susţinerea în sens contrar ar putea afecta forma continuată a acestei infracţiuni. Spre exemplu, dacă agentul accesează poşta electronică fără drept (prin utilizarea unor vulnerabilităţi în sistem), moment în care acesta află şi parola utilizatorului, deşi primul acces (prin utilizarea vulnerabilităţilor) s-ar încadra la art. 42 alin. 3, orice acces ulterior ce utilizează doar parola obţinută (fără ca agentul să se mai folosească de vulnerabilitatea initială) ar reprezenta în baza raţionamentului pe care suntem nevoiţi să-l respingem, doar un acces în formă simplă (ori o formă agravată prin trimitere la scopul obţinerii de date informatice). Ori, această concluzie o considerăm ca fiind inacceptabilă.

Recunoaştem însă faptul că, discuţia nu este una lipsită de complexitate şi ar necesita poate o discuţie separată.

Pct. 3.B (p. 125-126)

Autorul îşi reiterează practic susţinerile din prima parte a lucrării. Interesant ar fi fost însă, a se analiza problematica subiectului pasiv atunci când agentul accesează de pe computerul personal, fără drept, poşta electronică a unei terţe persoane. Cine va fi în acest caz subiectul pasiv al infracţiunii de acces ilegal la un sistem informatic? Dacă ne uităm la valoarea socială protejată ar fi absurd să considerăm că subiectul pasiv ar fi altul decât cel care are dreptul de a utiliza respectivul sistem informatic. Cu toate acestea, din moment ce proprietarul/deţinătorul sistemului informatic este de regulă o persoană juridică ce nu are nimic în comun cu persoana fizică ce are dreptul de a utiliza servicul de poştă electronică, doar cea dintâi pare a putea fi luată în calcul în ceea ce priveşte identificarea subiectului pasiv. Discuţia nu este însă una lipsită de controverse, motiv pentru care o analiză amplă ar fi fost indicată.

Ultima parte a acestei recenzii, urmează a fi avute în vedere cu o altă ocazie.

Cuvinte cheie: acces fara drept, acces neautorizat, Accesul la posta electronica, art. 42 din Legea 161/2003, client de e-mail, criminalitate informatica, Legea 161/2003, Maxim Dobrinoiu, posta electronica, secretul corespondentei, sistem informatic

Materiale conexe: