Amendments to the Criminal Law: liability exemption for ethical hackers disclosing vulnerabilities

Anotācija likumprojektam “Grozījumi Krimināllikumā”

1. Kādēļ likums ir vajadzīgs?

Nesen notika kiberuzbrukumi AS “Latvijas Valsts meži” un VAS “Ceļu satiksmes drošības direkcija” (turpmāk - CSDD), kas ietekmēja uzņēmumu digitālo infrastruktūru, nopludināja milzīgu apjomu privātpersonu datu, un publiskajā telpā izskan aizdomas, ka nozagtie dati var apdraudēt pat valsts drošību. Būtisks kaitējums - privātpersonu datu aizsardzības pārkāpums - ir nodarīts iedzīvotājiem, par ko jāatbild šiem valsts uzņēmumiem. Pastāvīgs risks Latvijai ir kiberuzbrukumi no nedraudzīgām valstīm. Tajā pašā laikā ir gadījumi, kad personas rīkojoties brīvprātīgi un labticīgi ir atklājušas informāciju sistēmu nepilnības, par ko ziņo informāciju sistēmu turētājiem, bet rezultātā personas riskē ar kriminālatbildību. Minētais notika ar vairākiem Latvijas kiberdrošības ekspertiem. Piemēram, kāda persona (privātpersonas datu aizsardzības nolūkā iniciāļi netiek minēti, taču presē ir atrodama informācija) 2018.gadā informēja CSDD par tās informācijas sistēmas ievainojamību1, taču uzklausīšanas vietā pret personu tika uzsākts kriminālprocess par informācijas sistēmas darbības traucēšanas mēģinājumu (KL 241.pants) un izspiešanas mēģinājumu mantkārīgos nolūkos (KL 183.pants). Minētā persona ilglaicīgi tiesājas savai aizstāvībai, un šobrīd ir iesniegta kasācijas sūdzība LR Augstākajā tiesā. Minētā situācija sabiedrībā raisīja neizpratni, jo dati īsā laika posmā masveidā no valsts informācijas sistēmām tiek nozagti, taču pretenzijas tiek vērstas pret privātpersonām, kas brīdinājušas par to atklātajām problēmām informācijas sistēmā. Starptautiskā praksē turpretī atzīst labticīgu t.s. “balto hakeru ” darbu, un tā ir izplatīta metode, kā neatkarīgi testēt informācijas sistēmu un elektronisko sakaru tīklu kiberdrošību. Šāda veida “ētisko hakeru” rīcība ir orientēta uz ierīču vai pakalpojumu drošības uzlabošanu pētniecības nolūkos un ir atbildīga ievainojamību atklāšana, par ko mēdz tikt slēgtas vienošanās ar informācijas sistēmu turētājiem par atbilstošu atlīdzības saņemšanu. Nacionālās kiberdrošības likuma 39.pants regulē koordinētu ievainojamību atklāšanu, taču tajā noteiktais smagnējais un neelastīgais procesuālais ietvars realitātē nesekmē labticīgu hakeru iesaisti valsts informācijas sistēmu drošības uzlabošanā (regulējums kopumā rada iespaidu, ka jebkura baltā hakera darbībā būs iespējams atrast nepilnību, par ko personu saukt pie atbildības). Arī tiesībsargājošās iestādes nespēj noorientēties šādā specifiskā situācijā. Attiecīgi šobrīd trūkst regulējums, kas pieļautu labticīgām personām, brīvprātīgi atklājot IT ievainojamību un ziņojot par to, ar nosacījumu, ka netiek radīts nekāds cits apdraudējums citām aizsargātām interesēm, lūgt adekvātu samaksu par savu patērēto darbu, laiku, pieredzi, komunikāciju un ieguldījumu. Izpildot adekvātas sadarbības kritērijus, organizācijām un tiesībsargājošajām iestādēm nebūtu jāuztver šāda balto hakeru rīcība kā uzbrukums (IT sistēmai) vai likumpārkāpums (izspiešana). Pārāk strikts regulējums vājina kiberdrošību, jo neveicina labticīgu, zinošu personu iesaisti ievainojamību atklāšanas procesā. Labticīga persona, atklājot ievainojamību, esošajā situācijā var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert kā apdraudējumu un likumpārkāpumu, par ko sekos barga kriminālatbildība. Galvenā atbildība par IT sistēmas uzturēšanu un drošību ir tās turētājam, taču acīmredzami IT sistēmas turētāji nespēj izpildīt savus pienākumus. Persona, kura IT sistēmas lietošanas procesā atklāj trūkumus, faktiski līdzdarbojas IT sistēmas uzlabošanā. Godprātīgi sadarbojoties ar iestādi (organizāciju) atklāto nepilnību novēršanai, hakeris izmanto savas zināšanas un izglītību, patērē resursus līdzvērtīgi algotam IT sistēmas uzturētājam, tāpēc, pat ja persona lūdz, aicina tai piešķirt taisnīgu atlīdzību par savu veikumu, tā ne vienmēr būtu jāuzskata par izspiešanu. Šādos gadījumos, izvērtējot samērīguma

1 Termins “ievainojamība” (tās atklāšana) skaidrots Nacionālās kiberdrošības likumā - informācijas un komunikācijas tehnoloģiju vai to pakalpojumu vājums, uzņēmība pret tehniskām problēmām vai nepilnība, kas var tikt izmantota kiberapdraudējumam.

principu, taisnīga soda piemērošanas principu, personas saukšana pie kriminālatbildības jebkurā gadījumā, pat tikai tad, ja persona lūgusi adekvātu atlīdzību vai kompensāciju par savu darbu, ir nesamērīgs krimināltiesiskais regulējums, tāpēc jāparedz iespēja ētiski darbojošos hakeri šādos gadījumos atbrīvot no kriminālatbildības. Jāapzinās, ka valsts atbildība par privātpersonas datu noplūdi vai kritiskās informācijas sistēmas darbības traucējumu vai zudumu ir daudz lielāka nekā samērīga un pamatota samaksa privātpersonai par IT sistēmas testēšanu, kas veikta labticīgi un godprātīgi. Krimināllikumā jau šobrīd ir vairāki panti, kas atbrīvo personu no kriminālatbildības, proti, ja valsts atzīst, ka par konkrētos apstākļos it kā veiktu nodarījumu, kas tā varētu tikt kvalificēts, ir pamats personu atbrīvot no kriminālatbildības.2 Pašsaprotami, ka hakeris, ko atbrīvo no kriminālatbildības, nedrīkst ar savu darbību radīt kaitējumu (IT sistēmai vai tās darbībai, piemēram, nedrīkst veikt IT sistēmas pārslogošanu ar mērķtiecīgiem masveida pieprasījumiem, kas var rezultēties ar tās darbspēju zudumu, nedrīkst veikt ļaunatūras ievietošanu, nedrīkst nelikumīgi izmantot iegūtos datus), tāpēc likumprojekts paredz, ka personu atbrīvo no kriminālatbildības tikai tad, ja personas darbības nav radījušas kaitējumu, personas darbībās nav cita noziedzīga nodarījuma sastāva un persona neizsaka draudus par atklātās ievainojamības ļaunprātīgu izmantošanu. Otrs kritērijs atbrīvošanai no kriminālatbildības par izspiešanu ir tikai tie gadījumi, ja persona lūdz samērīgu atalgojumu (piemēram, tirgus vērtībai atbilstošu stundas samaksas likmi par IT jomas darbu, pamato darba apjomu). Minētie kritēriji dod iespēju nošķirt tos gadījumus, kad persona ļaunprātīgi uzlauž IT sistēmu ar mērķi mantkārīgi iedzīvoties, gūt peļņu un pieprasa atlīdzību ar draudiem, lai mazinātu jau iestājušās negatīvās sekas (atlīdzība kā šantāža pret nozagto datu atdošanu, sistēmas darbības atjaunošanu, utt.), par ko pašsaprotami jāiestājas kriminālatbildībai.

2. Kāda var būt likuma ietekme uz sabiedrības un tautsaimniecības attīstību?

Likumprojektam ir pozitīva ietekme uz sabiedrības un tautsaimniecības attīstību, jo garantē, ka personas netiks sauktas pie kriminālatbildības nepamatoti, kā arī kopumā tiks uzlabota IT sistēmu drošība, kas mūsdienās ir būtisks tautsaimniecības attīstības faktors.

3. Kāda var būt likuma ietekme uz valsts budžetu un pašvaldību budžetiem?

Likumprojekts atslogos tiesībsargājošās iestādes un tiesas no nepamatotu kriminālprocesu vešanas. Gadījumos, kad savlaicīgi tiks novērstas IT sistēmu nepilnības, tas novērsīs zaudējumu atlīdzināšanas risku valstij un pašvaldībām.

4. Kāda var būt likuma ietekme uz spēkā esošo tiesību normu sistēmu?

Likumprojekts neietekmē pārējo tiesību normu sistēmu.

5. Kādām Latvijas starptautiskajām saistībām atbilst likumprojekts?

Likumprojekts aizsargā personu tiesības uz datu aizsardzību un netikt sauktam pie kriminālatbildības bez atbilstoša juridiska pamatojuma.

2 199.1 pants - Labumu devēja atbrīvošana no kriminālatbildības; 221.4 pants - Personas atbrīvošana no kriminālatbildības par nelikumīgu alkoholisko dzērienu glabāšanu un pārvietošanu; 229.1 pants - Nelikumīgas darbības ar senlietām; 229.2 pants - Personas atbrīvošana no kriminālatbildības par senlietu nelikumīgu iegūšanu, glabāšanu, pārvietošanu un pārsūtīšanu; 235.pants - Personas atbrīvošana no kriminālatbildības par šaujamieroča, šaujamieroča būtisko sastāvdaļu, šaujamieroča munīcijas, lielas enerģijas pneimatiskā ieroča, sprāgstvielas vai spridzināšanas ietaises izgatavošanu, iegādāšanos, nēsāšanu un glabāšanu un par gāzes pistoles (revolvera) un tās munīcijas izgatavošanu; 254.pants - Personas atbrīvošana no kriminālatbildības par narkotisko un psihotropo vielu iegādāšanos, glabāšanu, pārvadāšanu un pārsūtīšanu; 324.pants - Kukuļdevēja un kukuļošanas starpnieka atbrīvošana no kriminālatbildības; 326.4 pants - Labumu devēja atbrīvošana no kriminālatbildības.

6. Kādas konsultācijas notikušas, sagatavojot likumprojektu?

Nav notikušas

7. Kā tiks nodrošināta likuma izpilde?

Likumprojekts neparedz īpašu izpildes kārtību, tieši pretēji, tiesībsargājošās iestādes un tiesas tiks atslogotas no nepamatotu kriminālprocesu vešanas pienākuma.