Art. 269c.

Artykuł 269c Kodeksu karnego stanowi, że osoba, która działa wyłącznie w celu zabezpieczenia systemu informatycznego, teleinformatycznego lub sieci teleinformatycznej albo opracowania metody takiego zabezpieczenia, nie podlega karze za przestępstwa określone w art. 267 § 2 lub art. 269a, pod warunkiem spełnienia określonych przesłanek. Przepis ten wyłącza odpowiedzialność karną, gdy działania mają charakter prewencyjny i są zgodne z prawem, a także gdy nie naruszają interesu publicznego ani prywatnego i nie powodują szkody. Istotnym wymogiem jest również niezwłoczne powiadomienie dysponenta systemu o ujawnionych zagrożeniach. Tym samym art. 269c KK chroni osoby, które działają w dobrej wierze na rzecz bezpieczeństwa informatycznego, zapobiegając szkodliwym działaniom na systemach komputerowych, które mogłyby zostać uznane za przestępstwa opisane w art. 267 § 2 (np. nieuprawnione uzyskiwanie informacji) lub art. 269a (np. nieuprawnione programy komputerowe). Przepis służy wspieraniu bezpieczeństwa cyfrowego bez narażenia osób działających w tym celu na odpowiedzialność karną, jeśli ich działania nie przekraczają granic dozwolonego celu. Zastosowanie art. 269c KK następuje w sytuacjach, gdy ktoś wykrywa luki lub zagrożenia w systemie i podejmuje kroki, by je usunąć lub ograniczyć, jednocześnie informując o tym właściciela lub administratora systemu. Powiadomienie to ma charakter kluczowy, gdyż oznacza transparentność i brak działań na szkodę. Przepis nie chroni natomiast osób, które wyrządzają szkodę lub działają w złej wierze, naruszając interesy innych. W codziennym życiu art. 269c może miec zastosowanie wobec specjalistów ds. IT lub etycznych hakerów (tzw. white hatów), którzy testują systemy bezpieczeństwa firm lub instytucji i znajdują podatności, ale zamiast wykorzystywać je do nielegalnych celów, natychmiast informują właściciela i nie wyrządzają szkody. Przykładowo, informatyk zatrudniony w firmie zauważa luki w zabezpieczeniach i natychmiast zgłasza to kierownictwu, jednocześnie wprowadzając rozwiązania zapobiegające atakom, co jest działaniem chronionym tym przepisem. Do często spotykanych błędów przy stosowaniu art. 269c KK należy przyjmowanie, że każde działania naprawcze na systemie będą wyłączone z odpowiedzialności; jednak ważne jest, by nie występowała szkoda oraz by działania miały wyłącznie cel zabezpieczenia, a nie np. osobiste korzyści czy naruszenie prywatności. Nie zawsze też samo wykrycie zagrożenia uprawnia do ingerencji bez zgody dysponenta. Ponadto brak zawiadomienia właściciela skutkuje brakiem ochrony prawnej. Dlatego interpretując i stosując art. 269c KK, należy zwrócić uwagę na intencje i skutki działań oraz formalne powiadomienie. W przypadku konkretnej sytuacji prawnej rekomendujemy skonsultowanie się z prawnikiem, który oceni spełnienie warunków tego przepisu.