Menu
Wyciek materiałów z Grand Theft Auto VI w ostatnich dniach przestał być zwykłą internetową sensacją. Z każdym kolejnym nagraniem coraz wyraźniej widać, że mamy do czynienia z historią, w której spotykają się cyberbezpieczeństwo, prawo autorskie, pieniądze i bardzo współczesny sposób prowadzenia internetowego „protestu”. Osoba lub grupa działająca pod pseudonimem CyberLeek publikuje kolejne materiały mające pochodzić z gry, prowadzi głosowania dotyczące tego, co zostanie ujawnione następnie, a według doniesień zaczęła również monetyzować dostęp do swojej działalności. Jednocześnie Take-Two Interactive, właściciel Rockstar Games, podjęło już działania prawne zmierzające do ustalenia tożsamości osób stojących za wyciekami, kierując żądania dotyczące danych do Microsoftu i Discorda.
To wszystko rodzi bardzo ciekawe pytanie: co stałoby się, gdyby osoba odpowiedzialna za taki wyciek działała z Polski i jej zachowanie zostało ocenione na podstawie polskiego prawa?
Nie chodzi przy tym o przesądzanie, kim jest CyberLeek, skąd faktycznie pochodzą materiały ani czy wszystkie publikowane nagrania rzeczywiście przedstawiają autentyczny, nieuprawnienie pozyskany build GTA VI. Tego na obecnym etapie nie należy przedstawiać jako ustalonego faktu. Znacznie ciekawsze jest przeprowadzenie eksperymentu prawnego: przyjmijmy, że w Polsce ktoś uzyskałby bez uprawnienia dostęp do zamkniętego środowiska informatycznego, zdobył znajdujące się tam materiały dotyczące niewydanej jeszcze gry, a następnie zaczął je publikować i czerpać z tego korzyści. Jak wyglądałaby taka sprawa?
Moim zdaniem największym błędem byłoby rozpoczęcie analizy od pytania: „ile lat więzienia grozi za wyciek GTA VI?”. Problem jest znacznie bardziej złożony. Trzeba rozłożyć całe zachowanie sprawcy na poszczególne etapy i dopiero wtedy sprawdzić, które przepisy mogą znaleźć zastosowanie.
Pierwszym z nich byłby potencjalnie art. 267 Kodeksu Karnego. Przepis ten dotyczy między innymi uzyskania bez uprawnienia dostępu do informacji dla sprawcy nieprzeznaczonej, w tym poprzez przełamanie lub ominięcie zabezpieczenia, a także uzyskania bez uprawnienia dostępu do całości lub części systemu informatycznego. W zależności od sposobu działania odpowiedzialność może obejmować również ujawnienie innej osobie informacji uzyskanej w taki sposób. Podstawowy wymiar kary sięga grzywny, ograniczenia wolności albo pozbawienia wolności do 2 lat. I właśnie słowo „ujawnienie” jest tutaj szczególnie interesujące. W potocznym języku często mówimy po prostu, że ktoś „zhakował firmę i wrzucił dane do Internetu”. Z prawnego punktu widzenia niekoniecznie jest to jeden czyn. Możemy mieć najpierw nieuprawnione wejście do systemu, następnie uzyskanie określonych informacji, ich skopiowanie, a później przekazanie ich kolejnym osobom lub publiczne opublikowanie. To, co z perspektywy internauty wygląda jak jeden spektakularny „leak”, dla organów ścigania może być całym łańcuchem zachowań wymagających odrębnej kwalifikacji prawnej.
W przypadku GTA VI pojawia się jeszcze jeden interesujący problem. Jeżeli sprawca uzyskałby nie tylko informacje dotyczące gry, lecz również sam program komputerowy lub jego określone elementy, można byłoby rozważać art. 278 § 2 Kodeksu Karnego. Przepis ten przewiduje odpowiedzialność za uzyskanie bez zgody osoby uprawnionej cudzego programu komputerowego w celu osiągnięcia korzyści majątkowej. Przewiduje on za taki czyn karę pozbawienia wolności od 3 miesięcy do 5 lat.
Tutaj pojawia się jednak bardzo ważne zastrzeżenie. Nie można automatycznie stwierdzić, że każdy wyciek gry oznacza popełnienie właśnie tego przestępstwa. Konieczne byłoby ustalenie, co dokładnie zostało pozyskane, w jaki sposób, czy była to całość lub część programu komputerowego oraz jaki był zamiar sprawcy. Szczególnego znaczenia nabiera przesłanka celu osiągnięcia korzyści majątkowej.
I właśnie ten element staje się coraz ciekawszy, kiedy przyjrzymy się temu, co działo się wokół CyberLeek.
Początkowo sprawa mogła być przedstawiana jako rodzaj cyfrowego protestu. CyberLeek miał publikować manifest, w którym krytykował między innymi cyfrowe preorderowanie gier. Nie zgadzał się z faktem, iż my jako konsumenci nie wiemy do końca za co płacimy. Autorzy przekazu deklarowali, że ich celem jest zmuszenie Rockstar i Take-Two do zmiany określonych praktyk.
Sam fakt, że sprawca przypisuje swojemu działaniu motyw ideologiczny nie oznacza jednak automatycznie, że jego zachowanie staje się zgodne z prawem. Można uważać, że cyfrowe preorderowanie jest złym modelem sprzedaży. Można krytykować politykę producenta. Można nawet organizować kampanię społeczną przeciwko konkretnym praktykom. Nie oznacza to jednak prawa do uzyskania nieuprawnionego dostępu do systemu, kopiowania cudzych danych czy rozpowszechniania materiałów chronionych prawem autorskim.
I tutaj dochodzimy do drugiej warstwy całej historii – prawa autorskiego.
Jeżeli ktoś bez zgody uprawnionego rozpowszechnia materiały stanowiące chroniony utwór, może wchodzić w grę art. 116 ustawy o prawie autorskim i prawach pokrewnych. W podstawowym wariancie przepis przewiduje grzywnę, karę ograniczenia wolności albo pozbawienia wolności do 2 lat. Jeżeli sprawca działa w celu osiągnięcia korzyści majątkowej, zagrożenie wzrasta do lat 3. Jeszcze dalej idzie § 3 tego przepisu, który przewiduje karę od 6 miesięcy do 5 lat w przypadku uczynienia z takiej działalności stałego źródła dochodu albo zorganizowania lub kierowania działalnością przestępną tego rodzaju. To właśnie tutaj historia zaczyna robić się szczególnie interesująca. Bo czym innym jest osoba, która hipotetycznie, uzyskuje nielegalny dostęp do materiałów i jednorazowo publikuje je w Internecie, a czym innym osoba, która zaczyna budować wokół takiego wycieku cały model działania.
W przypadku CyberLeek pojawiły się między innymi głosowania dotyczące tego, jaki materiał ma zostać opublikowany jako następny. W ostatnich dniach użytkownicy mogli wybierać między kolejnymi potencjalnymi fragmentami rozgrywki. Samo głosowanie nie jest oczywiście przestępstwem. Prawnie interesujące staje się dopiero to, w jaki sposób zostało skonstruowane i co otrzymuje w zamian osoba dokonująca płatności.
Według doniesień mechanizm głosowania został powiązany z kryptowalutą wykorzystywaną przez osoby stojące za projektem. Innymi słowy, odbiorca nie miał po prostu czekać na kolejny przeciek. Wokół materiałów zaczęto tworzyć mechanizm finansowania i angażowania społeczności. A później pojawił się jeszcze bardziej wyrazisty element.
CyberLeek miał zacząć oferować możliwość umieszczania reklam przy kolejnych wyciekach. Według doniesień medialnych cena za rozpoczęcie kontaktu w sprawie takiej współpracy wynosiła około 165 tys. dolarów i miała być płacona w kryptowalucie Monero. I właśnie w tym momencie cała historia przestaje wyglądać jak klasyczny „internetowy bunt”.
Jeżeli przyjęlibyśmy hipotetycznie, że polski sprawca uzyskałby nielegalnie materiały dotyczące niewydanego programu komputerowego, a następnie zaczął systematycznie publikować je w celu uzyskiwania pieniędzy, prawnik musiałby bardzo poważnie przyjrzeć się przesłance korzyści majątkowej. Nie dlatego, że samo zarabianie na Internecie jest czymś nielegalnym. Problemem jest to, na czym dokładnie ten zarobek został zbudowany. Jeżeli źródłem przychodu staje się bezprawne rozpowszechnianie cudzych materiałów, pojawia się zupełnie inna sytuacja niż w przypadku działalności o charakterze wyłącznie publicystycznym czy protestacyjnym.
To zresztą jeden z elementów, które w tej historii najbardziej zwracają moją uwagę. CyberLeek deklaruje walkę z określonymi praktykami branży gier. Jednocześnie zaczyna wykorzystywać ogromną wartość komercyjną tych samych materiałów, które zgodnie z deklarowanym celem, mają służyć jako narzędzie nacisku na wydawcę. Można więc postawić dość przewrotne pytanie: czy protest przeciwko komercjalizacji gier sam nie zaczął być komercjalizowany?
Oczywiście jest to pytanie publicystyczne, a nie prawna kwalifikacja. Prawo nie ocenia, czy ktoś jest hipokrytą. Nie bada również, czy argumenty przeciwko polityce Rockstar są rozsądne. Bada konkretne zachowanie i jego znamiona.
Jeżeli sprawca dodatkowo uzyskiwałby dostęp do haseł, kodów dostępu albo innych danych umożliwiających nieuprawnione wejście do systemu, w zależności od okoliczności można byłoby rozważać również art. 269b Kodeksu Karnego. Przepis ten obejmuje między innymi określone zachowania związane z pozyskiwaniem, zbywaniem lub udostępnianiem programów, haseł, kodów dostępu lub innych danych umożliwiających nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym. Jeżeli natomiast atak wiązałby się z usuwaniem, modyfikowaniem lub niszczeniem danych albo istotnym zakłócaniem pracy systemu, analiza mogłaby rozszerzyć się o art. 268a lub 269a Kodeksu Karnego. Pierwszy z tych przepisów dotyczy między innymi bezprawnej ingerencji w dane informatyczne, drugi zaś istotnego zakłócenia pracy systemu informatycznego lub sieci teleinformatycznej. W zależności od skutków czynu zagrożenie może sięgać kilku lat pozbawienia wolności.
To pokazuje, dlaczego określenie „haker” jest z perspektywy prawnika wyjątkowo mało precyzyjne. Dla użytkownika Internetu haker to po prostu osoba, która „włamała się do komputera”. Dla prawnika trzeba odpowiedzieć na znacznie bardziej szczegółowe pytania: Czy przełamano zabezpieczenie? Czy tylko wykorzystano istniejące uprawnienia? Czy uzyskano dostęp do całego systemu czy jedynie jego części? Jakie informacje zdobyto i co następnie z nimi zrobiono? Czy zostały zmienione albo usunięte? Czy zostały przekazane innym osobom i czy sprawca działał w celu osiągnięcia korzyści majątkowej?
W przypadku wycieku gry dochodzi do tego jeszcze jeden niezwykle ważny element – tajemnica przedsiębiorstwa.
Nie każdy plik znajdujący się na serwerze producenta automatycznie będzie tajemnicą przedsiębiorstwa. Aby określone informacje korzystały z ochrony, muszą spełniać przesłanki wynikające z ustawy o zwalczaniu nieuczciwej konkurencji. Między innymi muszą mieć charakter niepubliczny, posiadać wartość gospodarczą oraz być objęte odpowiednimi działaniami zmierzającymi do zachowania ich poufności. Ustawa przewiduje ochronę między innymi przed nieuprawnionym pozyskiwaniem, wykorzystywaniem i ujawnianiem takich informacji.
W przypadku wielkiego, niewydanego jeszcze projektu gry łatwo wyobrazić sobie informacje, które mogłyby spełniać takie kryteria. Nie oznacza to oczywiście, że każdy z tych elementów automatycznie stanowi tajemnicę przedsiębiorstwa. To wymagałoby zbadania konkretnego materiału i sposobu jego ochrony.
Warto też pamiętać, że sprawa nie musiałaby zakończyć się na odpowiedzialności karnej.
Pokrzywdzony podmiot może mieć również roszczenia cywilne związane z naruszeniem praw autorskich, ochroną tajemnicy przedsiębiorstwa czy powstałą szkodą. W praktyce może chodzić nie tylko o żądanie zaprzestania publikacji, ale również o usunięcie skutków naruszenia, naprawienie szkody czy wydanie bezpodstawnie uzyskanych korzyści.
I właśnie tutaj historia GTA VI pokazuje coś bardzo charakterystycznego dla współczesnych cyberataków. Sprawca może uważać, że skoro plik został już skopiowany i znajduje się na tysiącach serwerów, to „nie da się już nic zrobić”. Z punktu widzenia prawa jest dokładnie odwrotnie. Każde kolejne udostępnienie może być kolejnym elementem materiału dowodowego, a cyfrowy charakter czynu powoduje, że pozostawia on ślady w wielu miejscach jednocześnie.
Zresztą działania Take-Two dobrze pokazują, jak wygląda to w praktyce. Spółka zwróciła się do Microsoftu i Discorda o informacje mogące pomóc w identyfikacji osób odpowiedzialnych za publikację materiałów. Żądania zostały złożone w związku z zarzutami dotyczącymi naruszenia praw autorskich, a termin wskazany w dokumentach miał przypadać na 4 września. To ważny element całej historii. Internet daje poczucie anonimowości, ale anonimowość w sieci nie jest tym samym co anonimowość procesowa.
W prawie odpowiedź brzmi „nie”. Motyw działania nie znika, ale sam motyw nie legalizuje czynu. Można protestować przeciwko polityce producenta. Można krytykować model cyfrowej dystrybucji. Można przekonywać konsumentów do bojkotu. Nie można jednak z samego faktu prowadzenia takiego protestu wyprowadzić prawa do włamywania się do cudzych systemów ani rozpowszechniania cudzych, chronionych materiałów.
I być może właśnie dlatego historia GTA VI jest tak dobrym materiałem do analizy prawnej. Nie dlatego, że jest to „największy leak w historii gier”, lecz dlatego, że pokazuje, jak w jednej sprawie mogą spotkać się niemal wszystkie najważniejsze problemy współczesnego prawa nowych technologii. W tym chociażby: nieuprawniony dostęp do systemu, dane cyfrowe, program komputerowy, prawo autorskie, tajemnica przedsiębiorstwa, odpowiedzialność cywilna, dowody elektroniczne i wreszcie pieniądze.
Ostatecznie więc polski odpowiednik CyberLeek nie musiałby obawiać się jednego przepisu dotyczącego „wycieku gry”. Problem polegałby na czymś znacznie poważniejszym, bowiem każdy kolejny krok sprawcy mógłby otwierać kolejną podstawę odpowiedzialności. Najpierw wejście tam, gdzie nie powinno się wejść. Potem zdobycie tego, czego nie powinno się posiadać. Następnie publikacja. Później pieniądze. A na końcu stworzenie z całego przedsięwzięcia stałego mechanizmu działania.
W świecie Internetu granica między ciekawością, protestem a przestępstwem może być zaskakująco cienka. Szczególnie wtedy, gdy za zdobyciem informacji idzie ich publiczne rozpowszechnianie, a za publikacją, idą pieniądze. Historia GTA VI pokazuje, że w rzeczywistości cyfrowej jeden wyciek może uruchomić cały łańcuch konsekwencji prawnych, w którym znaczenie ma nie tylko to, jak zdobyto dane, ale również co z nimi zrobiono później. Dlatego gdyby podobna historia wydarzyła się w Polsce, pytanie nie brzmiałoby wyłącznie: „co grozi hakerowi za wyciek GTA VI?”. Znacznie trafniejsze byłoby pytanie: ile różnych granic prawa przekroczył sprawca po drodze?
Bo ostatecznie największym problemem nie jest samo to, że ktoś zobaczył coś, czego zobaczyć nie powinien. Problem zaczyna się wtedy, gdy uzyskany w ten sposób dostęp staje się źródłem kolejnych działań, takich jak; publikacji, zarobku, nacisku i rozgłosu. A Internet, wbrew pozorom, nie sprawia, że te działania znikają. Przeciwnie – zostawia po nich ślady. I być może właśnie to jest najważniejsza lekcja tej historii: w cyberprzestrzeni można ukryć swoją tożsamość, ale znacznie trudniej ukryć własne działania.
Zapraszamy do kontaktu
© 2025 Twój Doradca - Aleksander Serwiński