Decizia nr. 15/2013

Dosar nr. 12/2013

Livia Doina Stanciu

- președintele Înaltei Curți de Casație și Justiție, președintele completului

Lavinia Curelea

- președintele Secției I civile

Roxana Popa

- președintele delegat al Secției a II-a civile

Ionel Barbă

- președintele Secției de contencios administrativ și fiscal

Corina Michaela Jîjîie

- președintele Secției penale

Simona Cristina Neniță

- judecător Secția penală

Ioana Bogdan

- judecător Secția penală

Ionuț Mihai Matei

- judecător Secția penală

Leontina Șerban

- judecător Secția penală

Ștefan Pistol

- judecător Secția penală

Mirela Sorina Popescu

- judecător Secția penală

Florentina Dragomir

- judecător Secția penală

Sofica Dumitrașcu

- judecător Secția penală

Mariana Ghena

- judecător Secția penală

Săndel Lucian Macavei

- judecător Secția penală

Alina Ioana Ilie

- judecător Secția penală

Lavinia Valeria Lefterache

- judecător Secția penală, judecător raportor

Maricela Cobzariu

- judecător Secția penală

Ana Maria Dascălu

- judecător Secția penală

Dragu Crețu

- judecător Secția I civilă

Alina Iuliana Țuca

- judecător Secția I civilă

Mariana Cîrstocea

- judecător Secția a II-a civilă

Mirela Polițeanu

- judecător Secția a II-a civilă

Carmen Sîrbu

- judecător Secția de contencios administrativ și fiscal

Carmen Maria Ilie

- judecător Secția de contencios administrativ și fiscal

Completul competent să judece recursul în interesul legii ce formează obiectul Dosarului nr. 12/2013 este constituit conform dispozițiilor art. 414^4 alin. 3 din Codul de procedură penală, modificat și completat prin

Legea nr. 202/2010 , raportat la dispozițiile art. 27^2 din Regulamentul privind organizarea și funcționarea administrativă a Înaltei Curți de Casație și Justiție, republicat, cu modificările și completările ulterioare.

Ședința completului este prezidată de doamna Livia Doina Stanciu, președintele Înaltei Curți de Casație și Justiție.

La ședința de judecată participă procurorul general al Parchetului de pe lângă Înalta Curte de Casație și Justiție, domnul procuror Tiberiu Nițu.

La ședința de judecată participă magistratul-asistent din cadrul Secțiilor Unite, doamna Monica Eugenia Ungureanu, desemnat în conformitate cu dispozițiile art. 27^3 din Regulamentul privind organizarea și funcționarea administrativă a Înaltei Curți de Casație și Justiție, republicat, cu modificările și completările ulterioare.

Înalta Curte de Casație și Justiție - Completul competent să judece recursul în interesul legii a luat în examinare recursul în interesul legii formulat de către procurorul general al Parchetului de pe lângă Înalta Curte de Casație și Justiție prin Sesizarea nr. 11.874/2670/III-5/2011, pentru a se stabili, în vederea interpretării și aplicării unitare a dispozițiilor

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 , respectiv pentru interpretarea unitară a noțiunii de acces fără drept la un sistem informatic, determinat de diferențierea practică între:

- accesul prin intermediul montării la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia; sau

- accesul produs prin folosirea la bancomat a cardului falsificat ori chiar a celui autentic, fără acordul titularului său.

Procurorul general al Parchetului de pe lângă Înalta Curte de Casație și Justiție a susținut recursul în interesul legii învederând că examenul jurisprudenței penale actuale a evidențiat mai multe orientări cu privire la acest aspecte și, prin urmare, caracterul neunitar al practicii judiciare:

I. Într-o primă orientare a practicii, unele instanțe au considerat că montarea dispozitivelor de citire a benzii magnetice a cardului autentic, a videocamerei sau a falsei tastaturi nu constituie acces fără drept la un sistem informatic, infracțiune prevăzută de

art. 42 alin. (1) din Legea nr. 161/2003

(anexele nr. 1, 3, 43-45, 55).

Instanțele au încadrat această faptă în dispozițiile

art. 25 din Legea nr. 365/2002 , reținându-se că inculpații "au deținut echipamente electronice apte să citească și să memoreze date din cărțile de credit, în scopul obținerii acelor date care permit retragerea sumelor de bani din cărțile de credit" (anexa nr. 44).

Alte instanțe au apreciat că "fapta inculpatului de a atașa la un ATM un dispozitiv format dintr-un telefon mobil prevăzut cu cameră video și card de memorie și un suport menit a susține și disimula telefonul în plafonul bancomatului, în scopul de a înregistra codul PIN tastat de utilizatorii acestuia, întrunește elementele constitutive ale infracțiunii prevăzute de

art. 46 alin. (2) din Legea nr. 161/2003 , adică deținere fără drept a unui dispozitiv conceput sau adaptat în scopul săvârșirii uneia dintre infracțiunile prevăzute de art. 42-45 din aceeași lege" (anexa nr. 55).

Cele mai multe instanțe însă au menținut încadrarea juridică din actul de sesizare, fără a pune în discuție și fără a se pronunța în mod expres asupra problemei de drept supusă prezentului recurs.

Înalta Curte de Casație și Justiție a împărtășit această primă orientare prin deciziile nr. 4.009 din 4 decembrie 2008 (anexa nr. 1), nr. 251 din 26 ianuarie 2011 (anexa nr. 3), nr. 2.416 din 18 iunie 2010 (anexa nr. 43), nr. 3.425 din 5 octombrie 2011 (anexa nr. 44) și nr. 3.354 din 3 octombrie 2011 (anexa nr. 45).

Într-o a doua orientare a practicii s-a reținut, dimpotrivă, că prin montarea la bancomat a dispozitivelor de citire a informațiilor înregistrate pe banda magnetică a cardului și de captare a codului PIN tastat cu ocazia folosirii cardului de către titularul său se realizează un acces fără drept la sistemul informatic, prin încălcarea măsurilor de securitate (anexele nr. 39-41, 46-47).

În argumentarea acestei opinii, instanțele au apreciat că "ATM-ul este un mijloc de colectare, prelucrare și transmitere a unor date informatice, reprezentate de numărul de cont al titularului, care este stocat pe nivelul 2 al benzii magnetice. Pe de altă parte, prin montarea skimmerului în fanta bancomatului, prin care se introduce cardul și se realizează citirea benzii magnetice a fiecărui card în parte, stocându-se informația astfel obținută, au fost încălcate măsurile de securitate care aveau drept scop asigurarea secretului numărului de cont și a operațiunilor efectuate și apărarea împotriva folosirii de către o altă persoană a acestor carduri în vederea fraudării. În consecință, inculpații au accesat fără drept un sistem informatic încălcând astfel măsurile de securitate." (anexa nr. 46).

Cu aceeași motivare, unele instanțe au reținut ca incidente, pentru această situație de fapt, dispozițiile art. 44 alin. (2), (3) și art. 46 alin. (2) alături de cele ale

art. 42 alin. (2), (3) din Legea nr. 161/2003

(anexa nr. 41).

În argumentarea acestei opinii, instanțele au apreciat că atât videocamera, cât și skimmerul au fost deținute în scopul cerut de

art. 46 alin. (2) din Legea nr. 161/2003 .

Înalta Curte de Casație și Justiție a împărtășit această orientare prin deciziile nr. 376 din 2 februarie 2010 (anexa nr. 39), nr. 5.288 din 15 septembrie 2006 (anexa nr. 46) și nr. 2.094 din 27 mai 2010 (anexa nr. 47).

La același punct de vedere au aderat și instanțele, inclusiv Înalta Curte de Casație și Justiție prin Decizia nr. 2.991 din 1 martie 2010, care, deși nu au reținut aplicarea

art. 42 alin. (1) din Legea nr. 161/2003 , au considerat că acesta ar fi fost aplicabil "în situația în care ar fi fost montate dispozitive de citire a benzilor magnetice la ATM" (anexa nr. 16).

II. Cât privește accesarea fără drept a unui sistem informatic, prin încălcarea măsurilor de securitate cu prilejul folosirii la ATM a cardului falsificat, oricare ar fi fost modul în care s-au obținut datele informatice cu care a fost acesta inscripționat, unele instanțe au concluzionat în sensul că fapta întrunește elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1) și (3) din Legea nr. 161/2003

(anexele nr. 42, 45, 47-53).

Acest punct de vedere a fost argumentat pe dispozițiile

art. 35 din Legea nr. 161/2003 , ale cărui condiții sunt îndeplinite de bancomat, privit nu doar din punct de vedere fizic, ci și ca sistem informatic interconectat la rețeaua de bancomate a băncii din care face parte, fapt care permite un schimb de date informatice ce se realizează de îndată ce cardul falsificat prin inscripționarea datelor aflate pe cardul autentic este "recunoscut" de bancomatul la care este folosit.

Instanțele care au aderat la această opinie au încadrat fapta de folosire a cardului falsificat pentru retragere de numerar de la ATM-uri în dispozițiile

art. 42 alin. (1) și (3) din Legea nr. 161/2003 , alături de cele ale

art. 24 alin. (2) din Legea nr. 365/2002 , singur (anexa nr. 42) sau împreună cu art. 27 alin. (1) din aceeași lege (anexele nr. 45, 47-53).

Înalta Curte de Casație și Justiție a împărtășit această orientare prin deciziile nr. 1.989 din 13 mai 2011 (anexa nr. 42), nr. 3.354 din 3 octombrie 2011 (anexa nr. 45), nr. 2.094 din 27 mai 2010 (anexa nr. 47), nr. 3.503 din 7 octombrie 2010 (anexa nr. 50), nr. 1.457 din 16 aprilie 2010 (anexa nr. 51) și nr. 3.408 din 5 octombrie 2011 (anexa nr. 53).

Dimpotrivă, alte instanțe au apreciat că folosirea cardului falsificat pentru retragerea de numerar de la ATM nu constituie acces fără drept și prin încălcarea măsurilor de securitate la un sistem informatic (anexele nr. 2-30, 54).

Instanțele care au împărtășit această opinie au încadrat faptele inculpaților, în sarcina cărora au reținut inscripționarea mai multor carduri blanc cu date informatice preluate de pe cardurile autentice și retragerea a diferite sume de bani din bancomate, în dispozițiile art. 24 alin. (1) și (2), art. 25 și

art. 27 alin. (1) din Legea nr. 365/2002 .

Înalta Curte de Casație și Justiție a împărtășit această orientare prin deciziile nr. 251 din 26 ianuarie 2011 (anexa nr. 3), nr. 1.090 din 25 martie 2008 (anexa nr. 4), nr. 2.834 din 17 septembrie 2008 (anexa nr. 12), nr. 1.350 din 9 aprilie 2010 (anexa nr. 13), nr. 2.223 din 12 iunie 2009 (anexa nr. 15), nr. 2.991 din 1 martie 2010 (anexa nr. 16), nr. 3.942 din 26 noiembrie 2009 (anexa nr. 17), nr. 666 din 22 februarie 2011 (anexa nr. 22), nr. 3.889 din 23 noiembrie 2009 (anexa nr. 23), nr. 4.044 din 15 noiembrie 2011 (anexa nr. 25), nr. 591 din 16 februarie 2011 (anexa nr. 27) și nr. 1.681 din 14 mai 2008 (anexa nr. 29).

În ipoteza folosirii cardului autentic, fără consimțământul titularului său, pentru retragerea de numerar de la ATM fapta a fost încadrată, exclusiv, în dispozițiile

art. 27 alin. (1) din Legea nr. 365/2002

(anexele nr. 31-38).

A fost arătată opinia procurorului general al Parchetului de pe lângă Înalta Curte de Casație și Justiție, în sensul orientării jurisprudențiale potrivit căreia încadrarea juridică ce se impune a fi dată faptei de a monta la bancomat dispozitive de citire a benzii magnetice a cardului, mini-videocamere sau dispozitive tip tastatură este aceea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 .

Cât privește folosirea la bancomat, pentru retrageri de numerar sau orice alte operațiuni financiare, a unui card falsificat sau a unuia real, fără consimțământul titularului său, fapta întrunește elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 , săvârșită în concurs ideal cu cea prevăzută la

art. 24 alin. (2) din Legea nr. 365/2002

sau art. 27 alin. (1) din aceeași lege, după caz.

Președintele Înaltei Curți de Casație și Justiție, doamna judecător Livia Doina Stanciu, a declarat dezbaterile închise, iar completul de judecată a rămas în pronunțare asupra recursului în interesul legii.

ÎNALTA CURTE,

deliberând asupra recursului în interesul legii, cu privire la interpretarea și aplicarea

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003

(acces fără drept la un sistem informatic), determinat de diferențierea practică între:

- montarea la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia;

- folosirea la bancomat a cardului falsificat ori chiar a celui autentic, fără acordul titularului său,

constată următoarele:

1. Problema de drept care a generat practica neunitară

Prin recursul în interesul legii formulat de procurorul general al Parchetului de pe lângă Înalta Curte de Casație și Justiție sa arătat că în practica judiciară națională nu există un punct de vedere unitar cu privire la înțelesul noțiunii de acces fără drept la un sistem informatic și, în consecință, au fost formulate soluții divergente cu privire la încadrarea juridică dată faptelor atunci când se montează la ATM dispozitivele de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia, precum și atunci când se folosește la bancomat cardul falsificat ori cel autentic, fără acordul titularului său.

2. Examenul jurisprudențial

Prin recursul în interesul legii se arată că în urma verificării jurisprudenței la nivel național a fost relevată o practică neunitară în interpretarea și aplicarea

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003

cu privire la înțelesul noțiunii de acces fără drept la un sistem informatic. Procurorul general a menționat în sesizarea scrisă faptul că cele mai multe instanțe au menținut încadrarea juridică din actul de sesizare, fără a pune în discuție și fără a se pronunța în mod expres asupra problemei de drept supuse prezentului recurs în interesul legii.

2.1. Soluțiile pronunțate de instanțele judecătorești cu privire la montarea la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia

2.1.1. Jurisprudență în sensul lipsei accesului la un sistem informatic și incidenței

art. 25 din Legea nr. 365/2002 . Opinia trimisă de procurorul general arată că, într-o primă orientare a practicii, unele instanțe au considerat că montarea dispozitivelor de citire a benzii magnetice a cardului autentic, a videocamerei sau a falsei tastaturi nu constituie acces fără drept la un sistem informatic, infracțiune prevăzută de

art. 42 alin. (1) din Legea nr. 161/2003

(anexele nr. 1, 3, 43-45, 55).

Instanțele au încadrat fapta în

art. 25 din Legea nr. 365/2002 , reținându-se că inculpații "au deținut echipamente electronice apte să citească și să memoreze date din cărțile de credit, în scopul obținerii acelor date care permit retragerea sumelor de bani din cărțile de credit" (anexa nr. 44).

2.1.2. Jurisprudență în sensul deținerii fără drept a unui dispozitiv conceput sau adaptat în scopul săvârșirii uneia dintre infracțiunile prevăzute de

art. 42-45 din Legea nr. 161/2003 . De asemenea, procurorul general arată că într-o a doua orientare s-a apreciat că "fapta inculpatului de a atașa la un ATM un dispozitiv format dintr-un telefon mobil prevăzut cu cameră video și card de memorie cu un suport menit a susține și disimula telefonul în plafonul bancomatului, în scopul de a înregistra codul PIN tastat de utilizatorii acestuia, întrunește elementele constitutive ale infracțiunii prevăzute de

art. 46 alin. (2) din Legea nr. 161/2003 , reprezentând deținerea fără drept a unui dispozitiv conceput sau adaptat în scopul săvârșirii uneia dintre infracțiunile prevăzute de art. 42-45 din aceeași lege" (anexa nr. 55).

În opinia transmisă de către procurorul general se arată că cele mai multe instanțe au menținut încadrarea juridică din actul de sesizare fără a pune în discuție și fără a se pronunța în mod expres asupra problemei de drept supuse prezentului recurs.

2.1.3. Jurisprudență în sensul existenței accesului la un sistem informatic. Într-o a treia orientare a practicii, s-a reținut că prin montarea la bancomat a dispozitivelor de citire a informațiilor înregistrate pe banda magnetică a cardului și de captare a codului PIN tastat cu ocazia folosirii cardului de către titularul său se realizează un acces fără drept la sistemul informatic, prin încălcarea măsurilor de securitate (anexele nr. 39-41, 46-47).

În argumentarea acestei opinii, instanțele au apreciat că "ATM-ul este un mijloc de colectare, prelucrare și transmitere a unor date informatice, reprezentate de numărul de cont al titularului, care este stocat pe nivelul doi al benzii magnetice. Pe de altă parte, prin montarea skimmerului în fanta bancomatului, prin care se introduce cardul și se realizează citirea benzii magnetice a fiecărui card în parte, stocându-se informația astfel obținută, au fost încălcate măsurile de securitate care aveau drept scop asigurarea secretului numărului de cont și a operațiunilor efectuate și apărarea împotriva folosirii de către o altă persoană a acestor carduri în vederea fraudării. În consecință, inculpații au accesat fără drept un sistem informatic, încălcând astfel măsurile de securitate", astfel că sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1) și (3) din Legea nr. 161/2003

(anexa nr. 46).

2.1.4. Cu aceeași motivare, alte instanțe au reținut ca incidente, pentru această situație de fapt, dispozițiile art. 44 alin. (2), (3) și art. 46 alin. (2), alături de cele ale

art. 42 alin. (2) și (3) din Legea nr. 161/2003

(anexele nr. 39, 41, 46, 47).

În argumentarea acestei opinii, instanțele au apreciat că atât videocamera, cât și skimmerul au fost deținute în scopul menționat de

art. 46 alin. (2) din Legea nr. 161/2003 .

La același punct de vedere au aderat și instanțele, care, deși nu au reținut aplicarea

art. 42 alin. (1) din Legea nr. 161/2003 , au considerat că acesta ar fi fost aplicabil "în situația în care ar fi fost montate dispozitive de citire a benzilor magnetice la ATM" (anexa nr. 16).

2.2. Soluțiile pronunțate de instanțele judecătorești cu privire la folosirea la bancomat a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

2.2.1. Jurisprudență în sensul reținerii accesului la un sistem informatic. Într-o primă orientare jurisprudențială unele instanțe au ajuns la concluzia că fapta întrunește elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1) și (3) din Legea nr. 161/2003

(anexele nr. 42, 45, 47-53).

Acest punct de vedere a fost argumentat pe dispozițiile

art. 35 din Legea nr. 161/2003 . Bancomatul este un sistem informatic interconectat la rețeaua de bancomate a băncii din care face parte, fapt care permite un schimb de date informatice ce se realizează de îndată ce cardul falsificat prin inscripționarea datelor aflate pe cardul autentic este recunoscut de bancomatul la care este folosit.

Instanțele care au aderat la această opinie au încadrat fapta de folosire a cardului falsificat pentru retragere de numerar de la ATM-uri în

art. 42 alin. (1) și (3) din Legea nr. 161/2003

în concurs cu

art. 24 alin. (2) din Legea nr. 365/2002

(anexa nr. 42) sau în concurs cu art. 24 alin. (2) și

art. 27 alin. (1) din Legea nr. 365/2002

(anexele nr. 45, 47-53).

2.2.2. Jurisprudență în sensul lipsei accesului la un sistem informatic. Dimpotrivă, alte instanțe au apreciat că folosirea cardului falsificat pentru retragerea de numerar de la ATM nu constituie acces fără drept și prin încălcarea măsurilor de securitate la un sistem informatic (anexele nr. 2-30, 54).

Instanțele care au împărtășit această opinie au încadrat faptele inculpaților, în sarcina cărora au reținut inscripționarea mai multor carduri blanc cu date informatice preluate de pe cardurile autentice și retragerea a diferite sume de bani din bancomate, în art. 24 alin. (1) și (2), art. 25 și

art. 27 alin. (1) din Legea nr. 365/2002

(anexele nr. 3, 4, 12, 13, 15, 16, 17, 22, 23, 25, 27, 29).

2.2.3. Jurisprudență în sensul reținerii

art. 27 alin. (1) din Legea nr. 365/2002 . În ipoteza folosirii cardului autentic, fără consimțământul titularului său, pentru retragerea de numerar de la ATM fapta a fost încadrată, exclusiv, în dispozițiile

art. 27 alin. (1) din Legea nr. 365/2002

(anexele nr. 31-38).

3. Opinia procurorului general

3.1. Soluția problemei de drept

Soluția propusă de către procurorul general al Parchetului de pe lângă Înalta Curte de Casație și Justiție este în sensul că:

- încadrarea juridică pentru fapta de a monta la bancomat dispozitive de citire a benzii magnetice a cardului, minivideocamere sau dispozitive tip tastatură este aceea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 ;

- încadrarea juridică pentru fapta de a folosi la bancomat pentru retrageri de numerar sau orice alte operațiuni financiare un card falsificat sau un card real, fără consimțământul titularului său, este aceea prevăzută de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 , în concurs ideal cu

art. 24 alin. (2) din Legea nr. 365/2002

(falsificarea instrumentelor de plată electronică) sau

art. 27 alin. (1) din Legea nr. 365/2002

(efectuarea de operațiuni financiare în mod fraudulos).

3.2. Înțelesul unor termeni

În opinia transmisă de către procurorul general sunt definite noțiunile de acces la un sistem informatic, skimming și card.

Accesul la un sistem informatic este definit ca intrarea în tot sau numai într-o parte a sistemului informatic, metoda de comunicare fiind fără importanță. Accesul fără drept la un sistem informatic presupune o interacțiune a făptuitorului cu tehnica de calcul vizată prin intermediul echipamentelor sau diverselor componente ale sistemului (surse de alimentare, butoane de pornire, tastatură, mouse, joystick). Manipularea acestor dispozitive se transformă în solicitări către UCP (unitatea centrală de prelucrare) a sistemului, care va procesa date ori va rula programe de aplicații în beneficiul intrusului.

Cardul emis de o instituție de credit reprezintă un instrument de plată electronică, respectiv un suport de informație standardizat, securizat și individualizat, care permite deținătorului său să folosească disponibilitățile bănești proprii dintr-un cont deschis pe numele lui la emitentul cardului și/sau să utilizeze o linie de credit (în limita unui plafon stabilit în prealabil) deschisă de emitent în favoarea deținătorului cardului, în vederea efectuării uneia sau a mai multora dintre următoarele operațiuni: retragerea sau depunerea de numerar de la terminale precum ATM-uri, ghișeele emitentului sau ale unei alte instituții obligate prin contract să accepte instrumentul de plată electronică; plata bunurilor achiziționate ori a serviciilor prestate de comercianții acceptanți sau de emitenți, precum și plata obligațiilor către autoritățile administrației publice (impozite, taxe, amenzi etc.); transferurile de fonduri.

Elementele de identificare dispuse pe spatele cardului bancar (cele care prezintă interes în prezenta cauză) sunt reprezentate de: banda magnetică ce conține date codificate stocate electronic referitoare la card (titularul cardului, numărul de cont, data expirării etc.) poziționate pe trei sau mai multe piste; zona pentru semnătură; CVV-ul (Card Verification Value) - număr format din trei cifre codat pe banda magnetică a cardurilor valide. Când un card este introdus într-un terminal, CVV se transmite băncii emitente odată cu celelalte informații despre cont, informația fiind apoi procesată împreună cu codul confidențial al emitentului pentru a verifica dacă valoarea transmisă se potrivește cu cea din înregistrare; codul CVV2 (pentru cardul VISA) și codul CVC2 (pentru cardul MASTERCARD) reprezintă un număr format din trei cifre imprimate pe zona pentru semnătură și înclinate spre stânga. Pe aceeași zonă este imprimat tot înclinat invers și numărul de cont duplicat, care asigură corespondența cu numărul de cont care apare pe fața cardului, putând fi format din întreg acest număr sau din ultimele sale patru cifre.

Skimmingul reprezintă activitatea de copiere a datelor valide de pe banda magnetică a unui card autentic prin intermediul unui dispozitiv de citire a cardurilor, fără cunoștința posesorului legitim, cu intenția de a fi folosite în scopuri frauduloase. Dispozitivele de skimming pot fi "de mână" - hand skimmers, ipoteză în care datele de pe banda magnetică sunt copiate în momentul când cardul este înmânat de către titular unei alte persoane (de regulă, un comerciant în timpul efectuării unei tranzacții) sau montate la ATM-uri sau POS-uri - ATM/POS skimmers, datele de pe banda magnetică fiind înregistrate în momentul când titularul cardului introduce cardul în bancomat, pentru a efectua o tranzacție. În acest din urmă caz skimmerul este poziționat pe latura externă a fantei de introducere a cardului și poate avea forma fantei pentru card, fiind lipit chiar deasupra acesteia, astfel încât datele de pe banda magnetică sunt citite și captate înainte ca respectivul card să între în fanta bancomatului și să se realizeze transmisia de date informatice între card și ATM.

Dispozitivele de skimming sunt însoțite de mini-videocamere și/sau de dispozitive modificate de tip tastatură (keypads) care înregistrează codul PIN aferent cardului, în momentul tastării acestuia.

3.3. Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (mini-videocamere sau dispozitive tip tastatură), procurorul general apreciază că sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 46 alin. (2) din Legea nr. 161/2003 .

În opinia înaintată Înaltei Curți se arată că au aplicat corect legea instanțele care au apreciat că prin montarea la ATM a dispozitivului de citire a benzii magnetice a cardului și a videocamerei ori a dispozitivului modificat de tip tastatură nu se realizează accesul fără drept la un sistem informatic, infracțiune prevăzută de

art. 42 alin. (1) din Legea nr. 161/2003 .

Articolul 42 din

Legea nr. 161/2003

incriminează fapta de acces ilegal la un sistem informatic într-o variantă-tip, în alin. (1) și în două variante agravate, în alin. (2) și (3): accesul fără drept la un sistem informatic, săvârșit în scopul obținerii de date informatice, respectiv accesul la un sistem informatic prin încălcarea măsurilor de securitate.

Elementul material al laturii obiective se realizează prin accesul fără drept într-un sistem informatic: stație de lucru, server ori rețea informatică.

Accesul fără drept la un sistem informatic presupune o interacțiune a făptuitorului cu tehnica de calcul. Prin intermediul echipamentelor agentul trimite solicitări către UCP (unitatea centrală de prelucrare) a sistemului, care va procesa date ori va rula programe de aplicații în beneficiul intrusului. Urmarea imediată constă într-o stare de pericol cu privire la siguranța sistemului informatic și/sau a resurselor sale. Dacă scopul accesului neautorizat a fost obținerea de date informatice, starea de pericol este dublată de atingerea adusă protecției datelor informatice stocate sau prelucrate de acesta. Încălcarea măsurilor de securitate determină o transformare efectivă adusă obiectului material al infracțiunii, și anume entităților materiale care compun sistemele informatice (calculatoare, rețele de calculatoare, elemente hardware - echipamente periferice, cabluri, plăci, servere etc. și software - programe, aplicații, baze de date etc.) sau datelor informatice vizate. Sub aspectul consecințelor pe care acțiunea incriminată le are asupra valorii sociale ocrotite, urmarea este tocmai starea de pericol, de amenințare, la adresa "domiciliului informatic". Legătura de cauzalitate între activitatea făptuitorului și urmarea produsă rezultă ex re, în cazul accesului neautorizat în formă simplă, respectiv trebuie demonstrată forțarea măsurilor de securitate (parole, coduri de acces etc.), în cazul formelor agravate.

Obținerea datelor de pe banda magnetică a cadrului autentic se realizează în exteriorul bancomatului și fără ca dispozitivele menționate să între în vreun fel de conexiune cu sistemul informatic al băncii. În egală măsură, captarea codului PIN se realizează în exteriorul ATM-ului și nu presupune acces la sistemul informatic.

Articolul 42 din

Legea nr. 161/2003

incriminează accesul fără drept la un sistem informatic. Bancomatul, folosit conform destinației sale, este un terminal în cadrul unui sistem informatic din care mai fac parte toate celelalte terminale din rețeaua aceleiași bănci, serverul acesteia etc. Bancomatul este folosit conform destinației sale atunci când, prin intermediul său, se fac retragerea de numerar, plata furnizorilor de utilități, transferurile de fonduri, interogarea de sold. În toate aceste situații bancomatul condiționează accesul la baza de date a băncii. Dacă este folosit însă ca simplă entitate materială, suport fizic pentru dispozitivele prin care se realizează skimmingul, el nu se conectează la baza de date a băncii și nu își îndeplinește rolul de parte a unui sistem informatic.

Citirea benzii magnetice a cardului autentic nu este condiționată de atașarea skimmerului la bancomat. Citirea benzii magnetice se face și printr-un dispozitiv de citire manual, lipsit de orice fel de conexiune cu sistemul bancar. Devine astfel evident că operațiunile prin care sunt citite datele de pe banda magnetică a cardului, concomitent cu captarea codului PIN aferent lui, reprezintă doar acte pregătitoare ale infracțiunii de acces fără drept la un sistem informatic: cum citirea datelor de pe banda magnetică a cardului nu este condiționată de atașarea dispozitivului electronic de citire la bancomat, aceeași activitate de captare a datelor de pe banda magnetică ar primi consecințe juridice diferite din cauza unei împrejurări extranee vreunei norme de incriminare - atașarea sau neatașarea skimmerului la bancomat.

Așadar, operațiunea de citire a datelor de pe banda magnetică a cardului, prin atașarea skimmerului la bancomat, nu interacționează în niciun fel cu softul bancomatului, nu se realizează nicio solicitare către unitatea centrală de prelucrare a sistemului, care să proceseze date ori să ruleze programe de aplicații în beneficiul făptuitorului, astfel că infracțiunea de acces fără drept la sistemul informatic este lipsită de însuși elementul său material.

3.4. Cu privire la folosirea la bancomat, pentru retrageri de numerar sau orice alte operațiuni financiare, a cardului falsificat ori chiar a celui autentic fără acordul titularului său, procurorul general apreciază că sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 , în concurs ideal cu

art. 24 alin. (2) din Legea nr. 365/2002

(dacă este un card falsificat) sau

art. 27 alin. (1) din Legea nr. 365/2002

(dacă este un card real folosit fără acordul proprietarului său), după caz.

Folosirea la ATM a cardului inscripționat cu datele culese de pe cardul autentic, oricare ar fi fost modul de obținere a acestora, ori utilizarea cardului autentic fără acordul titularului său reprezintă acces fără drept la un sistem informatic, în scopul obținerii de date informatice, prin încălcarea măsurilor de securitate, faptă incriminată de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 . Folosit conform destinației sale, bancomatul face parte din sistemul informatic bancar, datele transmise și receptate de acest dispozitiv fiind protejate prin măsuri de securitate încorporate în sistemul de citire a cardurilor și în codul PIN. În cazul folosirii la ATM a cardului falsificat sau a celui real fără consimțământul titularului său se realizează un acces fără drept la sistemul informatic. De această dată bancomatul este folosit conform destinației sale: introducerea cardului și tastarea codului PIN (prin această din urmă operațiune înlăturându-se măsura de securitate reprezentată de codul de acces), în posesia cărora făptuitorul se află în mod nelegal, determinând "recunoașterea" de către bancomat a cardului falsificat ca fiind un card valid și permițând astfel un schimb de informații între posesorul cardului și mediul de stocare a datelor privitoare la contul bancar, atașat cardului "recunoscut". Chiar dacă activitatea infracțională s-ar opri aici, nefiind solicitată nicio operațiune financiară, infracțiunea de acces fără drept la un sistem informatic este consumată.

Făptuitorul transmite prin intermediul componentelor sistemului (tastatură) solicitări către unitatea centrală de prelucrare a sistemului, care îi vor permite posesorului nelegitim al cardului accesul către date informatice din sistemul bancar. Prin aceasta, datele informatice stocate au devenit vulnerabile, integritatea lor fiind amenințată. Legătura de cauzalitate dintre acțiunea făptuitorului și urmarea produsă datelor informatice rezultă din însăși materialitatea faptei. Cât privește latura subiectivă, fapta este săvârșită cu intenție.

Potrivit

art. 44 alin. (2), (3) din Legea nr. 161/2003 , constituie infracțiune transferul neautorizat de date dintr-un sistem informatic, respectiv dintr-un mijloc de stocare a datelor informatice, iar prin art. 46 alin. (2) din același act normativ este incriminată fapta de deținere, fără drept, a unui dispozitiv, program informatic, parolă, cod de acces sau dată informatică, dintre cele care permit accesul total sau parțial la un sistem informatic, în scopul săvârșirii uneia dintre infracțiunile prevăzute la art. 42-45. Skimmerul, videocamera și falsa tastatură de bancomat sunt dispozitive deținute în scopul săvârșirii unui acces fără drept la sistemul informatic, iar datele informatice și codul de acces obținute prin folosirea acestor dispozitive permit accesul total sau parțial la un sistem informatic, putând fi utilizate fie pentru inscripționarea ulterioară a unor carduri clonate, fie pentru plata unor tranzacții on-line. Textele legale menționate devin în egală măsură incidente și în cazul folosirii unui skimmer atașat la bancomat, dar și în cazul obținerii datelor de pe banda magnetică a cardului cu ajutorul unui hand-skimmer.

Legea nr. 161/2003

sancționează infracțiuni îndreptate contra confidențialității și integrității datelor și sistemelor informatice, în timp ce

Legea nr. 365/2002

privind comerțul electronic prevede infracțiuni îndreptate împotriva securității și integrității instrumentelor de plată electronice. Spre deosebire de primele infracțiuni, cele din urmă sunt îndreptate efectiv spre integritatea fizică a instrumentului de plată care este clonat sau falsificat.

Astfel,

art. 24 din Legea nr. 365/2002

incriminează, în alin. (1), falsificarea unui instrument de plată electronică, iar în alin. (2), punerea în circulație sau deținerea în vederea punerii în circulație a unui astfel de instrument falsificat. Art. 27 alin. (1) din aceeași lege sancționează efectuarea de operațiuni financiare prin utilizarea unui instrument de plată, fără consimțământul titularului său.

Pe de altă parte,

art. 25 din Legea nr. 365/2002

(reținut greșit de unele instanțe în cazul montării la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN) incriminează fabricarea ori deținerea de echipamente, inclusiv hardware sau software, cu scopul de a servi la falsificarea instrumentelor de plată electronică. Sunt avute în vedere dispozitivele prin care se inscripționează cardurile (de tipul MSR-lui, de pildă) cu datele culese prin skimmer.

Scopul acestei infracțiuni este producerea unui alt card, cu existență fizică de sine stătătoare, identic cu cel autentic, care să poată fi folosit întocmai ca acesta. Scopul skimmingului este obținerea de date informatice, desigur lipsite de existență materială, care pot fi ulterior folosite pentru inscripționarea unor carduri clonate, dar și pentru plata on-line. În această din urmă situație nu există un card falsificat în materialitatea lui, ci datele informatice obținute în modalitatea anterior enunțată sunt folosite pentru accesul fără drept la sistemul informatic bancar.

Pentru acest motiv este incident, în cazul montării la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia,

art. 46 alin. (2) din Legea nr. 161/2003 , și nu

art. 25 din Legea nr. 365/2002 . Cât privește infracțiunea prevăzută de

art. 44 alin. (2), (3) din Legea nr. 161/2003 , reținută de unele instanțe în concurs cu cele prevăzute de art. 46 alin. (2) și art. 42 alin. (2) și (3) din aceeași lege, prin copierea datelor de pe banda magnetică a cardului autentic nu se realizează un transfer de date informatice, acestea nu dispar din mediul de stocare, nu părăsesc, prin copiere, banda magnetică de pe care au fost captate.

În concluzie, din analiza textelor legale anterior amintite, rezultă că, în vederea pregătirii săvârșirii infracțiunilor din

Legea nr. 365/2002

privind comerțul electronic, se pot săvârși infracțiuni îndreptate împotriva securității datelor sau sistemelor informatice, cum este și aceea de acces ilegal într-un sistem informatic. Așadar, accesul ilegal în sistemul informatic se face, de regulă, în scopul săvârșirii uneia sau mai multora dintre infracțiunile prevăzute de

Legea nr. 365/2002

privind comerțul electronic, situație care justifică reținerea unui concurs cu conexitate etiologică în care accesul ilegal reprezintă mijlocul prin care se realizează scopul și anume efectuarea de operațiuni financiare în mod fraudulos.

4. Puncte de vedere solicitate conform art. 414^4 din Codul de procedură penală

Au fost solicitate și transmise puncte de vedere cu privire la aspectele tehnice referitoare la situația de fapt, precum și, după caz, cu privire la încadrarea juridică dată faptelor care au suscitat o practică neunitară de la Institutul pentru Tehnologii Avansate, Institutul de Cercetări Juridice din cadrul Academiei Române, Departamentul de drept penal din cadrul Facultății de Drept a Universității București, Departamentul de drept public din cadrul Facultății de Drept a Universității "Babeș-Bolyai", Catedra de drept penal din cadrul Facultății de Drept și Științe Administrative a Universității din Craiova, Facultatea de Drept a Universității "Lucian Blaga" din Sibiu, Departamentul de drept public din cadrul Facultății de Drept a Universității de Vest din Timișoara.

4.1 Punctul de vedere al Institutului pentru Tehnologii Avansate cu privire la aspectele tehnice din care decurge situația de fapt

4.1.1. Înțelesul unor termeni cu privire la montarea la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia

În segmentul terminal, destinat utilizatorilor, activitatea de fraudare presupune instalarea unui sistem de supraveghere format din două componente: un dispozitiv de skimming, destinat interceptării și memorării/transmiterii la distanță a datelor înscrise pe banda magnetică a cardurilor bancare, realizat în diferite forme constructive (un montaj electronic disimulat în diverse componente mecanice, potrivite ca formă, dimensiuni și culoare cu echipamentul original cu interfață pentru card bancar pe care se instalează ca, de exemplu, ATM, automat de plată a parcării sau combustibilului, un montaj electronic introdus în interiorul unui echipament tip POS; un dispozitiv artizanal sau comercial, de sine stătător), folosit în mod fraudulos de persoana căreia i-a fost înmânat cardul de către titular, în vederea unei tranzacții (de exemplu, de către recepționer, ospătar etc.); un dispozitiv de achiziție a codului PIN (cuprinde un dispozitiv electronic dotat cu cameră video, de exemplu, telefon mobil, mp4 player cu înregistrare, înregistrator video miniatural, dispozitiv video spion), disimulat în ornamente aflate în apropierea tastaturii la care utilizatorul introduce codul de siguranță și care înregistrează aceste momente sau un ansamblu format dintr-o tastatură falsă, care se montează deasupra tastaturii originale, și un montaj electronic care preia și memorează codul tastat de utilizator.

Montajul electronic din interiorul dispozitivelor tip skimmer are o arhitectură alcătuită din: bloc de achiziție a datelor înscrise pe banda magnetică a cardurilor, reprezentat în general de un cap magnetic de citire cu una, două sau trei piste; bloc de conversie a semnalului analogic provenit de la capul magnetic în semnal digital, reprezentat în general de un circuit integrat de interfață de cap magnetic; bloc de prelucrare a datelor, reprezentat în general de un microcontroler de uz general; bloc de memorare a datelor, reprezentat în general de un circuit integrat de memorie nevolatilă, care își păstrează conținutul informațional și după întreruperea alimentării; bloc de comunicație, care realizează legătura și conversia datelor între interfața serială tip UART a microcontrolerului și interfața serială tip RS232 sau tip USB, specifice porturilor seriale ale unui sistem de calcul tip PC (uneori acest bloc este format doar dintro interfață hardware tip conector liniar artizanal, la care se leagă un cablu adaptor în care se află circuitul integrat cu funcția de conversie); bloc de alimentare.

Montajul electronic poate fi de tip industrial, provenind dintr-un echipament comercial tip MSR, destinat citirii benzii magnetice a cardurilor, sau poate fi artizanal, realizat după o schemă proprie. În acest ultim caz, proiectantul poate folosi o modalitate de criptare a datelor la stocarea în circuitul de memorie, algoritm implementat prin programul rulat de microcontroler. De asemenea, acesta poate utiliza facilitatea de blocare la citire a programului ce rulează în microcontrolerul dispozitivului și, totodată, implementează o funcție proprie de descărcare a datelor în calculator, care decodifică datele transferate. Astfel, datele din memoria skimmer-ului pot fi accesate doar prin cunoașterea algoritmului de criptare din microcontroler și a aplicației ce rulează pe PC.

Cardurile bancare conțin o bandă magnetică structurată, din punct de vedere al organizării datelor, pe 3 piste. Caracteristicile fizice ale cardurilor, dimensiunile, poziția pistelor și modul de înscriere a datelor sunt stabilite în mod unic de standardele ISO 7810, 7811, 7813, precizând densitățile de înregistrare, codarea caracterului și un conținut informațional. Datele informatice înscrise pe primele două piste (împreună cu codul PIN) reprezintă tot ceea ce este necesar pentru accesarea sistemului informatic al băncii, prin intermediul unor echipamente de tip bancomat sau POS, în vederea efectuării de operațiuni financiare.

În fapt, prin montarea dispozitivelor tip skimmer peste fanta de introducere a cardului la un echipament cu interfață de card bancar, se realizează transferul neautorizat de date informatice din mijloacele de stocare a datelor informatice, reprezentate de toate cardurile bancare utilizate de titulari, în perioada în care sunt montate dispozitivele frauduloase.

În limbaj informatic, copierea datelor dintr-un mijloc de stocare a datelor informatice reprezintă un transfer de date, fără a fi necesară ștergerea respectivelor date din mijlocul de stocare.

Dispozitivele electronice dotate cu cameră video și utilizate pentru achiziția codurilor PIN provin, în marea majoritate a cazurilor analizate, din echipamente comerciale de uz general (telefoane mobile, mp4 playere cu înregistrare, înregistratoare video miniaturale, dispozitive video spion etc.), cărora le sunt îndepărtate carcasele, pentru reducerea dimensiunilor, iar acumulatorii originali sunt înlocuiți cu ansambluri de acumulatori cu durata de funcționare mărită.

Poziționarea camerelor video permite vizualizarea, prin intermediul obiectivelor optice, a tastaturii echipamentelor cu interfață de card bancar. Dispozitivele în care se stochează înregistrările video ale momentelor în care utilizatorii introduc codul PIN sunt dotate cu memorie nevolatilă (circuite integrate sau carduri de memorie tip microSD), iar cele care transmit la distanță imaginile vizate sunt dotate cu emițătoare radio. Toate dispozitivele comerciale sunt dotate cu interfață serială, în general USB, accesibilă pe un conector standard tip USB, mini USB sau micro USB. Cu ajutorul unui cablu adaptor uzual, înregistrările sunt descărcate ulterior într-un sistem de calcul, iar rezoluția obiectivelor optice permite extragerea informației referitoare la codul PIN.

În cazul montării unei tastaturi false deasupra tastaturii originale a unui echipament dotat cu interfață de card bancar, se urmărește preluarea și memorarea codului PIN tastat de utilizator. Dispozitivul artizanal conține un montaj electronic, a cărui arhitectură este alcătuită din: un bloc de prelucrare a datelor provenite de la tastatura falsă, tip microcontroler; un bloc de memorare; un bloc de comunicație, pentru interfațarea montajului cu un sistem de calcul în vederea descărcării informațiilor; un bloc de alimentare.

Atât dispozitivul dotat cu cameră video, cât și dispozitivul ce încorporează o tastatură falsă permit interceptarea, fără drept, a transmisiei de date informatice care nu este publică și este destinată sistemului informatic al băncii, și anume codul PIN, un cod de securitate introdus de bancă pentru restricționarea accesului utilizatorilor neautorizați la sistemul informatic al băncii.

Există numeroase variante de scheme electrice pentru dispozitivele electronice de fraudare a echipamentelor dotate cu interfață de card bancar. Toate montajele artizanale sau comerciale de citire a benzii magnetice a cardurilor au implementat un modul de ceas real (circuit integrat independent sau funcție internă a microcontrolerului) și introduc o etichetă temporală la fiecare înregistrare corespunzătoare citirii unui card. Dispozitivele comerciale de înregistrare video au, de asemenea, modul de ceas real. Corelarea temporală între înregistrările din memoria dispozitivului de citire a benzii magnetice și momentele de timp la care utilizatorii tastează codul PIN asigură asocierea între informațiile confidențiale corespunzătoare unui card: date informatice înscrise pe banda magnetică și date referitoare la codul de siguranță.

În prezent, se constată tendința de exploatare la distanță atât a dispozitivelor frauduloase pentru interceptarea datelor memorate pe banda magnetică, cât și a celor pentru codul PIN. În cazul exploatării la distanță, blocurile de memorare și comunicație din schema electrică sunt înlocuite cu un emițător în infraroșu sau radio, care transmite în timp real datele interceptate către un receptor infraroșu/radio, aflat în proximitate și care include o componentă hardware de memorare a datelor. Pentru canalul de comunicație radio pot fi folosite emițătoare artizanale sau comerciale tip bluetooth.

Oricare ar fi modul de realizare a fraudării echipamentelor dotate cu interfață de card bancar, dispozitivele descrise sunt concepute sau adaptate în scopul săvârșirii infracțiunii de acces, fără drept, la un sistem informatic, prin intermediul unor instrumente de plată electronică falsificate sau prin utilizarea, în același scop, a informațiilor obținute prin intermediul acestor dispozitive.

4.1.2. Înțelesul unor termeni cu privire la folosirea la bancomat a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

Falsificarea instrumentelor de plată electronică presupune:

- obținerea, în prealabil, a datelor informatice corespunzătoare unor carduri bancare valide, în orice mod: montare de dispozitive tip skimmer sau furt de baze de date din sistemul informatic al băncii sau ale furnizorilor de servicii;

- înscrierea datelor informatice pe banda magnetică a unor carduri de tip blank, carduri de fidelizare emise de diferite firme, carduri expirate sau sustrase de la titulari etc., cu ajutorul unor echipamente comerciale dedicate înscrierii cartelelor magnetice.

Introducerea unui card bancar falsificat sau a unuia autentic, fără consimțământul titularului său, la un echipament dotat cu interfață de card bancar, realizează accesul, fără drept, la sistemul informatic al băncii, în scopul obținerii de date informatice și cu încălcarea măsurilor de securitate introduse de bancă, indiferent de tipul operațiunii efectuate: interogare, autentificare, retrageri de numerar, transferuri sau orice alte operațiuni financiare. În cazul folosirii datelor de identificare ale cardurilor bancare pentru efectuarea unor tranzacții on-line, se accesează, fără drept, sistemul informatic al băncii, cu încălcarea măsurilor de securitate introduse de bancă.

4.1.3. Soluția tehnică

Montarea la un echipament dotat cu interfață de card bancar a dispozitivelor de citire a benzii magnetice a cardurilor are ca rezultat transferul neautorizat de date informatice din mijloacele de stocare a datelor informatice, reprezentate de cardurile bancare utilizate de titulari, în perioada cât sunt montate dispozitivele frauduloase; scopul final este accesul, fără drept, la sistemul informatic al băncii, pentru obținerea de date informatice și cu încălcarea măsurilor de securitate introduse de bancă.

Montarea dispozitivelor dotate cu cameră video sau tastatură falsă permit interceptarea, fără drept, a transmisiei de date informatice care nu este publică și este destinată sistemului informatic al băncii, și anume codul PIN, un cod de securitate introdus de bancă pentru restricționarea accesului utilizatorilor neautorizați la sistemul informatic al băncii.

Folosirea la un echipament dotat cu interfață de card bancar, a unui card bancar falsificat sau a unuia autentic, fără consimțământul titularului său, precum și folosirea datelor de identificare ale cardurilor bancare pentru efectuarea unor tranzacții on-line realizează accesul, fără drept, la sistemul informatic al băncii, în scopul obținerii de date informatice și cu încălcarea măsurilor de securitate introduse de bancă.

4.2. Punctul de vedere al Institutului de Cercetări Juridice din cadrul Academiei Române cu privire la încadrarea juridică dată faptelor care au suscitat o practică neunitară

4.2.1. Soluția problemei de drept

Punctul de vedere este în sensul soluției propuse pe Parchetul de pe lângă Înalta Curte de Casație și Justiție. Prin operațiunile de montare a dispozitivelor de citire a benzii magnetice a cardului concomitent cu captarea codului PIN aferent cardului nu se realizează elementul material al laturii obiective a infracțiunii de acces, fără drept, la un sistem informatic prevăzută de

art. 42 alin. (1) din Legea nr. 161/2003

care presupune un acces fraudulos, respectiv o intrare fără drept într-un sistem informatic, așa cum s-a arătat și argumentat în cuprinsul motivelor de recurs în interesul legii.

4.2.2. Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (minivideocamere sau dispozitive tip tastatură)

Deținerea și procurarea instrumentelor, dispozitivelor și mijloacelor prin care urmează să se realizeze latura obiectivă a infracțiunii, precum și activitățile preparatorii întreprinse de viitorul autor al infracțiunii reprezintă acte de pregătire în vederea săvârșirii infracțiunii. Actele de pregătire nu sunt incriminate în legislația penală română, decât prin excepție, atunci când legiuitorul consideră că instrumentele, dispozitivele, mijloacele sau activitățile pregătitoare prezintă, prin ele însele, gradul de pericol social care justifică incriminarea.

În considerarea importanței deosebite a valorii sociale pe care o reprezintă în economia vieții economico-sociale, necesitatea de a se apăra inviolabilitatea sistemului informatic, legiuitorul român a incriminat prin art. 46 alin. (2) deținerea, fără drept, a unui dispozitiv, program informatic, parolă, cod de acces sau dată informatică dintre cele prevăzute la alin. (1) din același text, în scopul săvârșirii uneia dintre infracțiunile prevăzute la

art. 42-45 din Legea nr. 161/2003 .

Deținerea dispozitivelor de citire a benzii magnetice a cardului, minivideocamerelor sau dispozitivelor tip tastatură și, implicit, montarea acestora pentru citirea benzii magnetice a cardului concomitent cu captarea codului PIN aferent cardului constituie acte pregătitoare în vederea săvârșirii infracțiunii de acces fără drept la un sistem informatic, prevăzute de

art. 42 din Legea nr. 161/2003 , care, în considerarea gradului mare de pericol social pe care îl prezintă, prin ele însele, au determinat în mod justificat incriminarea lor în textul art. 46 alin. (2) din aceeași lege.

4.3. Punctul de vedere al Departamentului de drept public din cadrul Facultății de Drept a Universității "Babeș Bolyai" cu privire la încadrarea juridică dată faptelor care au suscitat o practică neunitară

4.3.1. Soluția problemei de drept

Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (minivideocamere sau dispozitive tip tastatură)

a) Montarea dispozitivelor nu implică un acces la bancomat nici măcar în situația în care peste acțiunea agentului de montare a respectivelor dispozitive se suprapune și acțiunea victimei de introducere a cardului bancar în bancomat, moment în care se inițiază procesul de copiere a datelor înscrise pe banda magnetică.

b) Stricta montare a dispozitivelor supuse discuției nu poate oferi aplicabilitate

art. 46 alin. (2) din Legea nr. 161/2003

prin raportare la art. 42 alin. (2) și (3) din aceeași lege sau a

art. 25 din Legea nr. 365/2002

în baza unei analize în abstracto. Aceste încadrări necesită a fi analizate în concreto, ținându-se seama de starea de fapt prezentă în fiecare speță în parte. Montarea dispozitivelor implică o deținere a acestora, ce reprezintă în sensul legii un act preparator care poate viza comiterea unei multitudini de infracțiuni. Din acest considerent nu se poate analiza în abstracto comportamentul agentului, deoarece o asemenea analiză ar evidenția echivocitatea actului preparator, respectiv nu s-ar putea identifica cu certitudine care a fost scopul deținerii respectivelor dispozitive.

Singura încadrare juridică care ar putea fi reținută de plano, în baza unei analize în abstracto, este cea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003

prin raportare la art. 44 alin. (3) din aceeași lege (deținerea skimmerului în vederea transferului de date de pe banda magnetică a instrumentului de plată electronică, privit ca mijloc de stocare).

c) Montarea dispozitivelor, urmată de acțiunea victimei de introducere a cardului în bancomat, atrage un concurs real între infracțiunea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003

și art. 44 alin. (3) din aceeași lege.

Cu privire la folosirea la bancomat, pentru retrageri de numerar sau orice alte operațiuni financiare a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

a) Retragerea de numerar fără drept de la bancomat determină un concurs real între infracțiunea prevăzută de

art. 42 alin. (2) și (3) din Legea nr. 161/2003

și cea prevăzută de

art. 27 alin. (1) din Legea nr. 365/2002 . În situația în care cel care clonează cardul, îl utilizează în vederea retragerii de numerar, se va afla sub incidența

art. 27 alin. (1) din Legea nr. 365/2002 .

b) În măsura în care cel care clonează cardul nu utilizează cardul personal, ci îl înmânează unei terțe persoane, ori doar îl deține în acest scop, complicitatea materială (dacă respectivul card este folosit) va fi sancționată printr-un text distinct, respectiv

art. 24 alin. (2) din Legea nr. 365/2002 .

4.3.2. Înțelesul unor termeni

În opinia transmisă este definit accesul la un sistem informatic, deoarece soluțiile contradictorii întâlnite în practica judiciară referitoare la încadrarea faptei de montare la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia sunt determinate în principal de modul în care a fost interpretată noțiunea.

Accesul la un sistem informatic a fost definit ca intrarea în tot sau numai într-o parte a sistemului informatic. Această descriere nu poate fi acceptată ca fiind o definiție susceptibilă să clarifice conținutul noțiunii. Nu se poate afirma că accesul, în sensul legii, desemnează intrarea în tot sau numai într-o parte a sistemului informatic, deoarece

Legea nr. 161/2003

nu definește noțiunea. Definirea accesului prin intrarea în tot sau în parte nu clarifică în nicio măsură conținutul termenului având în vedere că ne raportăm la un mediu virtual și la interacțiuni logice, intrarea în sistemul informatic nefiind realizată la nivel fizic.

Sintagma intrarea în tot sau în parte este utilizată de Convenția privind criminalitatea informatică fără să fie definită însă noțiunea de acces. Sintagma în cauză (într-o formă similară) este utilizată la art. 2 din Convenție, accesarea ilegală, pentru a se sublinia faptul că întinderea accesului este irelevantă sub aspectul încadrării juridice. De exemplu, se poate discuta despre un veritabil acces chiar dacă agentul rămâne restricționat într-o anumită parte a sistemului informatic, acesta putând utiliza doar anumite aplicații ori fișiere stocate pe acesta, restul necesitând o autorizare specială (sunt parolate, pot fi accesate doar de un anumit utilizator etc.).

În doctrină pot fi întâlnite două puncte de vedere cu privire la definirea noțiunii de acces la un sistem informatic:

a) O primă definiție ar putea fi cea de inspirație americană, întâlnită și în doctrina din România, unde accesul este văzut ca reprezentând capacitatea de a da comenzi, de a cauza introducerea, obținerea, afișarea, stocarea ori diseminarea de date informatice sau folosirea în orice alt mod a resurselor unui calculator, sistem ori rețea informatică sau comunicarea cu unitățile sale aritmetice, logice ori de memorie (I. Vasiu, L. Vasiu, Contaminanții informatici ca vector ai accesului ilegal, în Revista de drept penal, nr. 2/2006, p. 37).

Definiția nu este totuși lipsită de critică, deoarece înșiruirea de acte materiale susceptibile să ofere contur unui acces la un sistem informatic oferă un conținut mult prea larg acestei noțiuni. Capacitatea de a da comenzi ar acoperi și ipoteze care au fost excluse în mod expres prin Raportul explicativ al Convenției privind criminalitatea informatică din sfera infracțiunii de acces la un sistem informatic (paragraful 46 din Raportul explicativ), ca, de exemplu, trimiterea unui e-mail nesolicitat, care din punct de vedere tehnic semnifică o interacțiune la nivel logic între sistemul informatic utilizat de agent și sistemul informatic ce găzduiește serviciul de poștă electronică utilizat de persoana care recepționează respectivul e-mail. Mai mult, această interacțiune logică implică inclusiv darea unei comenzi (în momentul în care acel e-mail urmează să fie salvat pe sistemul informatic ce găzduiește serviciul de poștă electronică a destinatarului).

Prin urmare, ne-am afla în situația evidentă în care o definiție mult prea generoasă s-ar afla în contradicție cu intenția legiuitorului european, intenție care a fost transpusă în dreptul intern în mod fidel în urma adoptării

Legii nr. 161/2003 .

b) O a doua definiție privește accesul ca fiind o interacțiune logică (deci nu orice fel de interacțiune) ce se manifestă prin aceea că agentul poate beneficia de resursele ori/și funcțiile sistemului informatic (a se vedea G. Zlati, Unele aspecte în legătură cu infracțiunile informatice din perspectiva legislației în vigoare, precum și a Noului Cod penal, în Dreptul, nr. 10/2012, p. 221).

Atunci când se discută despre un acces local (de exemplu, agentul interacționează în mod direct cu un laptop) și nu unul de la distanță (de exemplu, agentul utilizează o rețea wireless ori internetul pentru a obține un acces fără drept la un laptop conectat la respectiva rețea wireless ori la internet), se interacționează și la nivel fizic cu sistemul informatic. Practic, agentul, prin interacțiunea fizică cu sistemul informatic (pornirea acestuia, transmiterea unor comenzi prin utilizarea tastaturii etc.), oferă contur și unei interacțiuni la nivel logic. Cu titlu de exemplu, interacțiunea fizică a agentului cu tastatura inițiază o interacțiune logică, sistemul informatic vizat ajungând să recepționeze informația transmisă de agent prin intermediul tastaturii, să o interpreteze cu ajutorul unui program informatic și să returneze un răspuns. O interacțiune logică poate avea la bază și o interacțiune fizică, dar o interacțiune fizică nu implică în mod necesar și o interacțiune logică.

Este posibil ca interpretarea eronată a noțiunii de acces să aibă drept premisă exemplele oferite de Raportul explicativ la care s-a făcut trimitere mai sus. Paragraful 46 din Raportul explicativ descrie accesul la un sistem informatic ca fiind o formă de intrare, exemplele oferite în acest sens plasând acțiunea de intrare în legătură cu elemente precum componente hardware, date informatice, directoare etc. Cu toate acestea, nu s-ar putea susține că un acces la un sistem informatic se conturează atunci când agentul realizează o acțiune de intrare vizavi de o componentă hardware. O asemenea abordare denotă mai degrabă o incongruență logică, deoarece nu se poate imagina o ipoteză în care agentul să între într-o componentă hardware. Prin urmare, singura interpretare adecvată a noțiunii de acces trebuie să aibă drept premisă o interacțiune strict la nivel logic cu respectivul sistem informatic. Trimiterea la componentele hardware este relevantă doar în contextul în care interacțiunea logică se realizează prin intermediul interacțiunii cu o componentă hardware (interacțiunea agentului cu tastatura, cu butonul de pornire al sistemului informatic etc.).

4.3.3. Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (minivideocamere sau dispozitive tip tastatură)

Montarea dispozitivelor de citire a benzii magnetice (skimmer) și a videocamerei ori a falsei tastaturi nu constituie un acces la un sistem informatic.

a) Atunci când agentul doar montează respectivele dispozitive fără ca victima să introducă în skimmer cardul autentic și să tasteze codul PIN ce urmează a fi înregistrat fie de videocamera plasată de agent, fie de falsa tastatură poziționată de acesta peste tastatura legitimă a bancomatului. În această ipoteză este exclusă posibilitatea unui acces la sistemul informatic, deoarece agentul nu face decât să mascheze aceste dispozitive în așa fel încât victima să nu realizeze că urmează să interacționeze cu alte dispozitive decât cele legitime, ale bancomatului. Între aceste dispozitive și bancomat nu există absolut nicio interacțiune la nivel logic. Toate dispozitivele funcționează în mod independent (sunt dispozitive stand alone, fiind alimentate din surse proprii).

b) O a doua ipoteză este aceea în care peste acțiunea agentului de a monta skimmerul se suprapune și acțiunea victimei de introducere a instrumentului de plată electronică în fanta bancomatului. Din punct de vedere tehnic, în această fază skimmerul interacționează cu banda magnetică a cardului introdus de victimă, realizându-se o copiere a datelor înscrise pe banda magnetică în memoria internă a skimmerului. Este posibil și ca skimmerul să transmită la distanță datele obținute de pe banda magnetică fie prin wireless, fie prin bluetooth. În acest caz, stocarea datelor de pe banda magnetică se realizează pe un terț mediu de stocare și nu în memoria internă a skimmerului.

La fel ca și în prima ipoteză analizată, este exclusă identificarea unui acces la sistemul informatic, deoarece lipsește o interacțiune la nivel logic între dispozitivele montate de agent și dispozitivele bancomatului. Dispozitivele montate de agent obțin datele înscrise pe banda magnetică și codul PIN utilizând funcții proprii, iar bancomatul nu are niciun rol în acest proces de copiere/captare a datelor. Atât obținerea datelor de pe banda magnetică, cât și captarea codului PIN se realizează în exteriorul bancomatului. Un skimmer poate să copieze datele înscrise pe banda magnetică chiar dacă nu este atașat unui bancomat ori bancomatul unde a fost plasat skimmerul are o defecțiune tehnică și nu funcționează.

Analiza elementelor constitutive ale infracțiunii prevăzute de

art. 42 din Legea nr. 161/2003

relevă așadar lipsa unui element esențial din structura laturii obiective, respectiv accesul. În cadrul mai general al operațiunii de skimming se realizează un acces la bancomat, însă acesta este realizat de victimă, după ce copierea datelor de pe banda magnetică s-a realizat. Astfel, victima, în momentul în care introduce cardul în fanta bancomatului interacționează cu skimmerul agentului, moment în care se inițiază procesul de copiere a datelor. Imediat după acest moment, cardul ajunge să interacționeze cu dispozitivul legitim de citire al bancomatului moment în care victima ajunge să interacționeze cu bancomatul prin intermediul tastaturii ori tastelor acestuia. Acesta este momentul în care putem discuta despre un acces la un sistem informatic.

În acest caz, accesul este realizat de victimă în mod licit, aceasta având dreptul de a interacționa cu bancomatul. Accesul se realizează după ce datele au fost deja copiate de skimmer, moment în care acesta și-a încetat orice fel de interacțiune cu cardul victimei și implicit cu aceasta. Punctul de vedere conform căruia nu discutăm despre un acces la un sistem informatic se regăsește în doctrină (G. Zlati, Unele aspecte în legătură cu infracțiunile informatice din perspectiva legislației în vigoare, precum și a Noului Cod penal, în Dreptul, nr. 10/2012, p. 218-221). În doctrină s-a exprimat și punctul de vedere contrar (C. Duvac, Accesul ilegal la un sistem informatic în reglementarea Noului Cod penal, în RRDP1, nr. 1/2012, p. 96), în sensul existenței unui acces fără drept la un sistem informatic, autorul achiesând la soluțiile instanțelor de judecată ce au statuat în acest sens.

Plasarea unor asemenea dispozitive nu poate în nicio ipoteză să atragă tipicitatea infracțiunii prevăzute de

art. 42 din Legea nr. 161/2003 . În acest sens, unele instanțe au considerat că ne aflăm sub incidența prevăzută de

art. 25 din Legea nr. 365/2002 , în timp ce altele au plasat acest comportament sub incidența

art. 46 alin. (2) din Legea nr. 161/2003 . Ambele infracțiuni reprezintă incriminarea unor acte preparatorii. Astfel, dacă în cazul

art. 25 din Legea nr. 365/2002

discutăm despre deținerea unor echipamente în vederea comiterii infracțiunii prevăzute de art. 24 (falsificarea instrumentelor de plată electronică), în cazul

art. 46 alin. (2) din Legea nr. 161/2003

discutăm despre deținerea de echipamente în scopul comiterii infracțiunilor prevăzute de art. 42-45 din aceeași lege.

Punctul de vedere transmis de către procurorul general are în vedere că este incident

art. 46 alin. (2) din Legea nr. 161/2003

și nu

art. 25 din Legea nr. 365/2002 . Argumentul pentru care să considerat că nu poate primi aplicabilitate

art. 25 din Legea nr. 365/2002

a fost acela că prin acesta se incriminează deținerea de dispozitive în scopul clonării unui instrument de plată electronică. Or, este evident că intenția agentului poate fi nu doar aceea de a clona instrumentul de plată electronică, ci și de a utiliza datele obținute de pe banda magnetică în vederea efectuării unor plăți on-line. Încadrarea juridică nu poate fi reținută însă de plano și în abstracto ca fiind cea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 . Practic, analiza trebuie făcută în concreto, în funcție de starea de fapt a fiecărei spețe în parte. Este așadar posibil ca întreaga activitate a agentului să contureze intenția acestuia de a utiliza datele obținute prin utilizarea skimmerului în vederea clonării instrumentului de plată electronică, astfel încât reținerea

art. 25 din Legea nr. 365/2002

nu este exclusă, ci doar necesită a fi analizată în funcție de circumstanțele speței supuse discuției.

În consecință:

a) montarea dispozitivelor supuse discuției nu implică un acces la bancomat nici atunci când peste acțiunea agentului de montare a respectivelor dispozitive se suprapune și acțiunea victimei de introducere a cardului bancar în bancomat, moment în care se inițiază procesul de copiere a datelor înscrise pe banda magnetică;

b) încadrarea juridică care ar putea fi reținută de plano, în baza unei analize în abstracto, este cea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003

prin raportare la art. 44 alin. (3) din aceeași lege (deținerea skimmerului în vederea transferului de date de pe banda magnetică a instrumentului de plată electronică, privit ca mijloc de stocare);

c) montarea dispozitivelor, urmată de acțiunea victimei de introducere a cardului în bancomat dă naștere unui concurs real între infracțiunea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003

și art. 44 alin. (3) din aceeași lege. Transferul de date dintr-un sistem informatic are drept premisă accesarea acestuia, iar un acces la bancomat este exclus în baza argumentelor deja menționate, astfel încât nu poate fi reținută și infracțiunea prevăzută de

art. 44 alin. (2) din Legea nr. 161/2003 .

Opinia conform căreia nu putem discuta despre un transfer dintr-un mediu de stocare [ art. 44 alin. (3) din Legea nr. 161/2003 ], deoarece copierea nu face ca respectivele date înscrise pe banda magnetică să dispară, este nefondată, fiind interpretată în mod eronat noțiunea de transfer, care nu are la bază în mod obligatoriu ștergerea datelor de pe mediul de stocare prin relocarea acestora într-un alt mediu de stocare pe un sistem informatic terț. Este posibil ca această confuzie să aibă drept izvor o analiză doctrinară (a se vedea M.A. Hotca, M. Dobrinoiu, Infracțiuni prevăzute în legi speciale. Comentarii și explicații, ediția a 2-a, Ed. C.H. Beck, București, 2010, p. 590-591), unde transferul a fost definit ca fiind mutarea fără drept a reprezentării binare dintr-o locație în altă locație, considerându-se în acest sens că urmarea imediată în cazul transferului de date este ștergerea datelor din locația inițială și crearea concomitentă a unei replici în altă locație. Același autor a revenit recent asupra acestui punct de vedere (a se vedea M. Dobrinoiu, Comentariu, în V. Dobrinoiu ș.a., Noul Cod penal comentat, Partea specială, vol. II, Ed. Universul Juridic, București, 2012, p. 910). Astfel, s-a considerat că transferul implică o "mutare" a datelor, însă aceasta poate viza două ipoteze: datele vizate sunt fie copiate, fie sunt supuse unui proces de relocare. Se observă așadar o reinterpretare doctrinară a noțiunii de transfer, care nu mai este privită ca implicând o ștergere a datelor din locația inițială (o relocare a acestora), ci și o simplă copiere a datelor fără a mai discuta despre vreo ștergere simultană procesului de duplicare. Această din urmă opinie reflectă intenția legiuitorului, deoarece acesta nu a vizat doar integritatea datelor informatice, ci și confidențialitatea acestora. Mai mult, în momentul în care autorul analizează infracțiunea de transfer neautorizat de date de pe un mijloc de stocare (art. 364 din Noul Cod penal), apreciază că această infracțiune acoperă și situațiile în care discutăm despre copierea datelor înscrise pe banda magnetică a instrumentului de plată electronică prin intermediul skimmerului (M. Dobrinoiu, Comentariu, în V. Dobrinoiu ș.a., Noul Cod penal comentat, p. 911-912).

4.3.4. Cu privire la folosirea la bancomat, pentru retrageri de numerar sau orice alte operațiuni financiare, a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

Infracțiunea prevăzută de

art. 24 alin. (2) din Legea nr. 365/2002

se consumă în momentul introducerii cardului clonat în bancomat, moment în care se poate discuta cel puțin despre o tentativă de acces la un sistem informatic, astfel încât s-ar putea identifica un concurs ideal cu infracțiunea prevăzută de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 .

În cazul

art. 27 alin. (1) din Legea nr. 365/2002

concursul ideal este exclus. Aceasta întrucât, textul de incriminare vizează, în contextul dat, retragerea de numerar de la bancomat. Accesul la bancomat s-ar consuma înainte de a putea discuta despre o tentativă de retragere de numerar. După accesarea bancomatului, agentul trebuie să facă o solicitare de retragere de numerar și să introducă suma ce urmează a fi retrasă. Tentativa prevăzută de

art. 27 alin. (5) din Legea nr. 365/2002

ar putea fi reținută însă doar în momentul în care agentul face solicitarea de retragere de numerar, până în acel moment scopul agentului fiind echivoc. Acesta ar putea dori fie schimbarea PINului, fie doar consultarea soldului și nu doar retragerea de numerar. În consecință, agentul realizează două acțiuni: o primă acțiune vizând accesul la bancomat, iar cea de-a doua acțiune retragerea de numerar prin solicitările trimise bancomatului.

Utilizarea bancomatului nu implică o punere în circulație a instrumentului de plată electronică [ art. 24 alin. (2) din Legea nr. 365/2002 ]. Punerea în circulație a unei entități materiale implică prin natura ei pierderea posesiei asupra acelei entități de către titularul inițial al acesteia. În intervalul scurt în care instrumentul de plată electronică se află în bancomat, agentul nu pierde posesia asupra acestuia. Pe de altă parte, nu se poate conchide că intenția legiuitorului prin incriminarea punerii în circulație ori deținerii în vederea punerii în circulație a avut în vedere ipoteza în care instrumentul de plată electronică este folosit la bancomat. Pentru această utilizare, avem o infracțiune distinctă și anume cea prevăzută de

art. 27 alin. (1) din Legea nr. 365/2002 . În situația în care cel care clonează cardul, îl utilizează în vederea retragerii de numerar, se află sub incidența

art. 27 alin. (1) din Legea nr. 365/2002 . În măsura în care acesta nu utilizează cardul personal, ci îl înmânează unei terțe persoane ori doar îl deține în acest scop, complicitatea materială (dacă respectivul card este folosit) este sancționată printr-un text distinct, respectiv

art. 24 alin. (2) din Legea nr. 365/2002 .

Retragerea de numerar fără drept de la bancomat se concretizează într-un concurs real între infracțiunea prevăzută de

art. 42 alin. (2) și (3) din Legea nr. 161/2003

și cea prevăzută de

art. 27 alin. (1) din Legea nr. 365/2002 .

4.4. Punctul de vedere al Departamentului de drept penal din cadrul Facultății de Drept a Universității București cu privire la încadrarea juridică dată faptelor care au suscitat o practică neunitară

4.4.1. Soluția problemei de drept

a) Deținerea unui dispozitiv de skimming pentru a fi folosit la accesarea sistemului informatic al băncii și obținerea datelor informatice stocate pe cardul bancar constituie infracțiune prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 , prin raportare la art. 42 și art. 44 alin. (3) din aceeași lege.

b) Utilizarea dispozitivului de skimming prin montarea la ATM sau POS pentru accesarea sistemului informatic bancar și obținerea datelor informatice stocate pe cardul bancar realizează conținutul constitutiv al infracțiunilor de acces, fără drept, la un sistem informatic săvârșit în scopul obținerii de date informatice și prin încălcarea măsurilor de securitate [ art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 ] și transfer neautorizat de date dintr-un mijloc de stocare a datelor informatice [ art. 44 alin. (3) din Legea nr. 161/2003 ].

c) În cazul în care dispozitivul de skimming este folosit în mod independent de ATM sau POS pentru a copia informațiile de pe banda magnetică a cardului bancar, fapta reprezintă transfer neautorizat de date dintr-un mijloc de stocare a datelor informatice [ art. 44 alin. (3) din Legea nr. 161/2003 ].

d) Deținerea unor dispozitive optice sau optoelectronice de filmare a introducerilor de coduri PIN pentru efectuarea de autentificări la operațiuni cu cardul la ATM sau POS constituie infracțiune [art. 46 alin. (2), raportat la

art. 42-45 din Legea nr. 161/2003 ].

e) În cazul în care se probează că dispozitivele optice sau optoelectronice de filmare a introducerilor de coduri PIN pentru efectuarea de autentificări la operațiuni cu cardul bancar la ATM sau POS s-au folosit pentru a produce, fără drept, o parolă, un cod de acces sau alte asemenea date informatice care permit accesul total ori parțial la un sistem informatic în scopul săvârșirii uneia dintre infracțiunile prevăzute la art. 42-45, fapta va constitui infracțiunea prevăzută de

art. 46 alin. (1) litera b) din Legea nr. 161/2003 .

f) Amplasarea unei tastaturi false deasupra tastaturii originale de la ATM sau POS în scopul obținerii codului PIN întrunește elementele constitutive ale infracțiunii de acces fără drept la un sistem informatic în scopul obținerii de date informatice [ art. 42 alin. (1) și (2) din Legea nr. 161/2003 ], în concurs cu interceptarea fără drept a unei transmisii de date informatice (transmiterea codului PIN către bancă) care nu este publică și care este destinată unui sistem informatic [ art. 43 alin. (1) din Legea nr. 161/2003 ].

g) În cazul în care se probează că tastatura falsă de înregistrare a codurilor PIN pentru efectuarea de autentificări la operațiuni cu cardul bancar la ATM sau POS s-a folosit pentru a produce, fără drept, o parolă, un cod de acces sau alte asemenea date informatice care permit accesul total ori parțial la un sistem informatic în scopul săvârșirii uneia dintre infracțiunile prevăzute la art. 42-45, fapta va constitui infracțiunea prevăzută de

art. 46 alin. (1) litera b) din Legea nr. 161/2003 .

h) Deținerea unei tastaturi false pentru înregistrarea introducerilor de coduri PIN la efectuarea de autentificări pentru operațiuni cu cardul la ATM sau POS constituie infracțiune [art. 46 alin. (2), raportat la

art. 42-45 din Legea nr. 161/2003 ].

i) Folosirea la ATM sau POS a unui card bancar falsificat pentru efectuarea de transferuri de fonduri, altele decât cele ordonate și executate de către instituții financiare, respectiv retrageri de numerar, precum și încărcarea și descărcarea unui instrument de monedă electronică constituie infracțiunea de efectuare de operațiuni financiare în mod fraudulos prin utilizarea unui instrument de plată electronică, inclusiv a datelor de identificare care permit utilizarea acestuia [ art. 27 alin. (2) din Legea nr. 365/2002 ], în concurs ideal cu infracțiunea de acces, fără drept, la un sistem informatic comisă în scopul obținerii de date informatice prin încălcarea măsurilor de securitate [ art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 ] și în concurs real cu infracțiunea de falsificare a instrumentelor de plată electronică [ art. 24 alin. (1) sau (2) din Legea nr. 365/2002 ].

j) Folosirea la ATM sau POS a cardului bancar autentic, însă fără acordul titularului său, în scopul efectuării unor transferuri de fonduri, respectiv retrageri de numerar, precum și încărcarea/descărcarea unui instrument de monedă electronică constituie infracțiunea de efectuare de operațiuni financiare în mod fraudulos prin utilizarea unui instrument de plată electronică, inclusiv a datelor de identificare care permit utilizarea acestuia [ art. 27 alin. (1) din Legea nr. 365/2002 ], săvârșită în concurs ideal cu infracțiunea de acces, fără drept, la un sistem informatic comisă în scopul obținerii de date informatice prin încălcarea măsurilor de securitate [ art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 ].

k) Folosirea informațiilor obținute de pe cardul bancar autentic prin transferarea datelor de pe banda magnetică a acestuia la efectuarea unor transferuri de fonduri prin internet constituie infracțiune de efectuare de operațiuni financiare în mod fraudulos prin utilizarea neautorizată a oricăror date de identificare sau prin utilizarea de date de identificare fictive [ art. 27 alin. (2) din Legea nr. 365/2002 ].

Soluțiile recomandate pentru interpretarea situațiilor de fapt și realizarea încadrărilor juridice își mențin valabilitatea și după intrarea în vigoare a Noului Cod penal (1 februarie 2014) și abrogarea prevederilor speciale din

Legea nr. 161/2003

și

Legea nr. 365/2002 , urmând a fi aplicabile articolele corespunzătoare din Noul Cod penal.

4.4.2. Înțelesul unor termeni

Situația de fapt (accesul prin intermediul montării la ATM a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia, respectiv accesul produs prin folosirea la bancomat a cardului falsificat ori chiar a celui autentic, însă fără acordul titularului său) necesită clarificarea unor aspecte de natură tehnică, dar și precizarea terminologiei de specialitate folosite.

Astfel, în

art. 35 din Legea nr. 161/2003

sunt prevăzuți termenii și expresiile utilizate în reglementarea titlului din lege privind prevenirea și combaterea criminalității informatice, pentru a defini noțiunile tehnice utilizate și relevante în speță: a) prin sistem informatic se înțelege orice dispozitiv sau ansamblu de dispozitive interconectate ori aflate în relație funcțională, dintre care unul sau mai multe asigură prelucrarea automată a datelor, cu ajutorul unui program informatic; b) prin prelucrare automată a datelor se înțelege procesul prin care datele dintr-un sistem informatic sunt prelucrate prin intermediul unui program informatic; c) prin program informatic se înțelege un ansamblu de instrucțiuni care pot fi executate de un sistem informatic în vederea obținerii unui rezultat determinat; d) prin date informatice se înțelege orice reprezentare a unor fapte, informații sau concepte într-o formă care poate fi prelucrată printr-un sistem informatic. În această categorie se include și orice program informatic care poate determina realizarea unei funcții de către un sistem informatic; e) (...); f) prin date referitoare la traficul informațional se înțelege orice date informatice referitoare la o comunicare realizată printr-un sistem informatic și produse de acesta, care reprezintă o parte din lanțul de comunicare, indicând originea, destinația, ruta, ora, data, mărimea, volumul și durata comunicării, precum și tipul serviciului utilizat pentru comunicare; g) prin date referitoare la utilizatori se înțelege orice informație care poate conduce la identificarea unui utilizator, incluzând tipul de comunicație și serviciul folosit, adresa poștală, adresa geografică, numere de telefon sau alte numere de acces și modalitatea de plată a serviciului respectiv, precum și orice alte date care pot conduce la identificarea utilizatorului; h) prin măsuri de securitate se înțelege folosirea unor proceduri, dispozitive sau programe informatice specializate cu ajutorul cărora accesul la un sistem informatic este restricționat sau interzis pentru anumite categorii de utilizatori; (...).

Dispozitivele de citire a benzii magnetice a cardurilor bancare. Dispozitivele de citire a datelor înscrise pe banda magnetică a cardurilor bancare (dispozitiv de skimming, termen din limba engleză însemnând reutilizare frauduloasă a informațiilor electronice de pe un card bancar) pot consta, conform punctului de vedere tehnic avut în vedere, formulat de Institutul pentru Tehnologii Avansate, într-un montaj electronic ce se instalează pe un ATM (automatic teller machine, mașină automată de distribuit bani), pe un automat de plată a parcării sau a combustibilului, ori poate fi un montaj electronic ce se introduce într-un echipament tip POS (point of sale, punct de vânzare) sau, în fine, poate fi un dispozitiv artizanal sau comercial de sine stătător. Din informațiile cuprinse în schema privind arhitectura montajului electronic dintr-un skimmer și cele privind funcționarea acestor dispozitive, coroborate cu prevederile

art. 35 alin. (1) lit. a) din Legea nr. 161/2003

privind definiția sistemului informatic, rezultă că dispozitivul de skimming este un sistem informatic, chiar dacă este unul mai "primitiv" în ceea ce privește capacitatea de prelucrare a datelor. Dispozitivul de skimming poate fi folosit pentru accesarea sistemului informatic al băncii și obținerea datelor informatice stocate pe cardul bancar în vederea întrebuințării lor doar în mod direct (de exemplu, pentru cumpărături on-line întrebuințând datele de identificare de pe card) sau pentru "clonarea cardurilor" (falsificarea unor instrumente de plată electronică pe baza informațiilor obținute de pe cardul autentic).

ATM-urile și POS-urile sunt terminale și/sau periferice ale sistemului informatic bancar, prin intermediul lor realizându-se mai multe funcții: identificarea clientului (titular al contului bancar), identificarea contului bancar al clientului, accesarea sistemului bancar al clientului (prin intermediul sistemului informatic al băncii căreia îi aparține ATM-ul sau POS-ul), utilizându-se drept cod de acces codul PIN (Personal Identification Number, numărul personal de identificare) al clientului, transmiterea de date privind sumele transferate/eliberate prin operațiunea de plată cerută, contul bancar creditor (la plățile prin ATM sau POS) și confirmarea soldului suficient al contului bancar debitor al clientului, precum și tipărirea operațiunilor realizate și înregistrate în sistemele informatice ale băncilor implicate.

Cardurile bancare (de credit sau de debit) stochează pe banda lor magnetică informații privind numărul contului bancar, numele titularului cardului, date adiționale privind data expirării cardului, precum și alte date discreționare, la latitudinea băncii emitente a cardului. Potrivit art. 35 alin. (1) lit. d) din Legea 161/2003 rezultă că informațiile din banda magnetică a cardurilor bancare sunt date informatice în sensul legii penale, iar cardul bancar este mijloc de stocare a datelor informatice, copierea datelor de pe card reprezentând transfer de date informatice. În același timp, datele informatice conținute pe banda magnetică a cardului bancar autentic sunt absolut necesare în cazul falsificării unui card bancar, precum și pentru efectuarea unor operațiuni financiare în mod fraudulos.

Orice folosire a unui ATM sau POS reprezintă o accesare a unui sistem informatic, fie pentru a obține date informatice din sistem, fie pentru a transmite date informatice în sistem, fie pentru a transfera date de pe un mijloc de stocare a datelor informatice.

ATM-ul sau POS-ul împreună cu cardul bancar (care reprezintă unitate de stocare a datelor informatice) formează un singur sistem informatic (ce cuprinde și serverele băncilor implicate) în care făptuitorul interpune un dispozitiv de skimming (montat la ATM sau POS), ce reprezintă o extindere frauduloasă a sistemului informatic bancar cu sistemul informatic al skimmerului, având ca unic scop copierea datelor informatice de pe cardul bancar; în această modalitate reprezintă atât un acces fără drept la un sistem informatic (prin montarea skimmerului în sistemul informatic bancar), în scopul obținerii de date informatice, prin încălcarea măsurilor de securitate existente pe benzile magnetice ale cardului bancar, cât și transfer neautorizat de date dintr-un mijloc de stocare a datelor informatice (cardul bancar).

În cazul în care dispozitivul de skimming este folosit în mod independent de ATM sau POS, pentru a copia informațiile de pe banda magnetică a cardului bancar, fapta reprezintă transfer neautorizat de date dintr-un mijloc de stocare a datelor informatice (cardul bancar).

În toate ipotezele, simpla deținere a dispozitivului de skimming este incriminată distinct atât în cazul în care se urmărește exclusiv obținerea unor date informatice prin accesarea fără drept a sistemului informatic și transferarea datelor informatice din cardul bancar, cât și în cazul în care aceste operațiuni sunt premergătoare, dar indispensabile, falsificării unui instrument de plată electronică (card bancar clonat). Trebuie menționat că, în sens informatic, transferarea unor date informatice reprezintă o operațiune de copiere a unor fișiere sau programe informatice, fără ștergerea lor de pe suportul-sursă (mediul de stocare). Transferarea unor date nu este o mutare fizică a datelor pe noul suport informatic, afirmația în sens contrar făcută în recursul în interesul legii promovat de Parchetul de pe lângă Înalta Curte de Casație și Justiție fiind eronată.

Dispozitive de aflare a codului PIN prin utilizarea cardurilor bancare

Dispozitivele optice sau optoelectronice de filmare a introducerilor de coduri PIN permit aflarea acestuia atunci când clientul utilizează propriul card bancar pentru efectuarea de operațiuni Ia ATM sau POS. Fapta, considerată distinct de transferarea datelor de pe banda magnetică a cardului bancar, are relevanță penală întrucât este un act preparator incriminat expres în art. 46, raportat la

art. 42-45, din Legea nr. 161/2003 , prin care se urmărește de către făptuitor obținerea pe cale vizuală a codului de acces la sistemul informatic al băncii titularului cardului bancar folosit pentru autentificarea operațiunilor cu cardul. În același timp însă aceeași faptă este act preparator în cazul falsificării unor instrumente de plată electronică sau săvârșirii infracțiunii de efectuare de operațiuni financiare în mod fraudulos.

Cu totul alta este situația amplasării unei tastaturi false deasupra tastaturii originale de la ATM sau POS, întrucât tastatura originală face parte din sistemul informatic bancar, iar prin intermediul său se transmite codul de acces la sistemul informatic, astfel încât tastatura falsă (care prezintă la rândul ei trăsăturile specifice unui sistem informatic) ajunge să fie integrată în sistemul informatic al băncii și să acceseze astfel, fără drept, sistemul informatic în scopul obținerii de date informatice, să fie folosită la interceptarea fără drept a unei transmisii de date informatice (transmiterea codului PIN către bancă) care nu este publică și care este destinată unui sistem informatic.

4.4.3. Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (minivideocamere sau dispozitive tip tastatură)

Faptele în legătură cu încălcarea relațiilor sociale privind protejarea integrității fizice și funcționale a sistemelor și datelor informatice sunt incriminate în art. 42-50 din titlul III (Prevenirea și combaterea criminalității informatice) din

Legea nr. 161/2003

privind unele măsuri pentru asigurarea transparenței în exercitarea demnităților publice, a funcțiilor publice și în mediul de afaceri, prevenirea și sancționarea corupției. Faptele privind operațiunile ilicite în legătură cu instrumentele de plată electronică sunt incriminate în

art. 24-28 din Legea nr. 365/2002

privind comerțul electronic.

Incriminările din

Legea nr. 365/2002

(art. 24- 28) vor fi abrogate la 1 februarie 2014 (prin art. 107 pct. 2, coroborat cu

art. 247 din Legea nr. 187/2012

pentru punerea în aplicare a

Legii nr. 286/2009

privind Codul penal), iar incriminările din

Legea nr. 161/2003

(art. 42-50) vor fi abrogate prin art. 130 pct. 1 și 2, coroborate cu

art. 247 din Legea nr. 187/2012 , de la acea dată cadrul incriminărilor urmând a fi reprezentat de art. 249-252 (Fraude comise prin sisteme informatice și mijloace de plată electronice), art. 311 (Falsificarea de titluri de credit sau instrumente de plată), art. 313 (Punerea în circulație de valori falsificate), art. 314 (Deținerea de instrumente în vederea falsificării de valori), art. 325 (Falsul informatic), art. 360 (Accesul ilegal la un sistem informatic), art. 361 (Interceptarea ilegală a unei transmisii de date informatice), art. 362 (Alterarea integrității datelor informatice), art. 363 (Perturbarea funcționării sistemelor informatice) și art. 365 (Operațiuni ilegale cu dispozitive sau programe informatice) din Noul Cod penal ( Legea nr. 286/2009 ).

Obiectul juridic generic al infracțiunilor din

Legea nr. 161/2003

este reprezentat de relațiile sociale a căror formare și dezvoltare normală impun respectarea necondiționată a confidențialității și integrității datelor și sistemelor informatice, viața contemporană fiind dominată de tehnologizarea și informatizarea accentuate în cadrul tuturor domeniilor de activitate.

Obiectul juridic generic al infracțiunilor din

Legea nr. 365/2002

este reprezentat de relațiile sociale în legătură cu emiterea și utilizarea instrumentelor de plată electronică și cu utilizarea datelor de identificare în vederea efectuării de operațiuni financiare a căror formare și dezvoltare normală impun respectarea încrederii publice în mijloacele de plată electronice, precum și protejarea patrimoniului persoanelor fizice sau juridice împotriva utilizării frauduloase a instrumentelor de plată electronică ori a datelor de identificare a acestora.

a) Deținerea unui dispozitiv de skimming pentru a fi folosit la accesarea sistemului informatic al băncii și obținerea datelor informatice stocate pe cardul bancar constituie infracțiune prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 , prin raportare la art. 42 și art. 44 alin. (3) din aceeași lege.

b) Utilizarea dispozitivului de skimming prin montarea la ATM sau POS pentru accesarea sistemului informatic bancar și obținerea datelor informatice stocate pe cardul bancar realizează conținutul constitutiv al infracțiunilor de acces, fără drept, la un sistem informatic săvârșit în scopul obținerii de date informatice și prin încălcarea măsurilor de securitate [ art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 ] și transfer neautorizat de date dintr-un mijloc de stocare a datelor informatice [ art. 44 alin. (3) din Legea nr. 161/2003 ].

c) În cazul în care dispozitivul de skimming este folosit în mod independent de ATM sau POS pentru a copia informațiile de pe banda magnetică a cardului bancar, fapta reprezintă transfer neautorizat de date dintr-un mijloc de stocare a datelor informatice [ art. 44 alin. (3) din Legea nr. 161/2003 ].

d) Deținerea unor dispozitive optice sau optoelectronice de filmare a introducerilor de coduri PIN pentru efectuarea de autentificări la operațiuni cu cardul la ATM sau POS constituie infracțiune [art. 46 alin. (2), raportat la

art. 42-45 din Legea nr. 161/2003 ].

e) În cazul în care se probează că dispozitivele optice sau optoelectronice de filmare a introducerilor de coduri PIN pentru efectuarea de autentificări la operațiuni cu cardul bancar la ATM sau POS s-au folosit pentru a produce, fără drept, o parolă, un cod de acces ori alte asemenea date informatice care permit accesul total sau parțial la un sistem informatic în scopul săvârșirii uneia dintre infracțiunile prevăzute la art. 42-45, fapta va constitui infracțiunea prevăzută de

art. 46 alin. (1) lit. b) din Legea nr. 161/2003 .

f) Amplasarea unei tastaturi false deasupra tastaturii originale de la ATM sau POS în scopul obținerii codului PIN întrunește elementele constitutive ale infracțiunii de acces fără drept la un sistem informatic în scopul obținerii de date informatice [ art. 42 alin. (1) și (2) din Legea nr. 161/2003 ], în concurs cu interceptarea fără drept a unei transmisii de date informatice (transmiterea codului PIN către bancă) care nu este publică și care este destinată unui sistem informatic [ art. 43 alin. (1) din Legea nr. 161/2003 ].

g) În cazul în care se probează că tastatura falsă de înregistrare a codurilor PIN pentru efectuarea de autentificări la operațiuni cu cardul bancar la ATM sau POS s-a folosit pentru a produce, fără drept, o parolă, un cod de acces ori alte asemenea date informatice care permit accesul total sau parțial la un sistem informatic în scopul săvârșirii uneia dintre infracțiunile prevăzute la art. 42-45, fapta va constitui infracțiunea prevăzută de

art. 46 alin. (1) litera (b) din Legea nr. 161/2003 .

h) Deținerea unei tastaturi false pentru înregistrarea introducerilor de coduri PIN la efectuarea de autentificări pentru operațiuni cu cardul la ATM sau POS constituie infracțiune [art. 46 alin. (2), raportat la

art. 42-45 din Legea nr. 161/2003 ].

4.4.4. Cu privire la folosirea la bancomat a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

Folosirea la ATM sau POS a cardului falsificat ori chiar a celui autentic, însă fără acordul titularului său, în scopul efectuării unor transferuri de fonduri, respectiv retrageri de numerar, precum și încărcarea/descărcarea unui instrument de monedă electronică constituie infracțiunea de efectuare de operațiuni financiare în mod fraudulos prin utilizarea unui instrument de plată electronică, inclusiv a datelor de identificare care permit utilizarea acestuia. Specificul instrumentelor de plată electronică este acela că sunt create și pot fi folosite preponderent, dar nu exclusiv, în cadrul unui sistem informatic pentru efectuarea unor operațiuni financiar-bancare determinate: transferuri de fonduri (prin ATM, POS sau internet), retrageri de numerar (prin ATM), depuneri de numerar (prin ATM), încărcarea/descărcarea unui instrument de monedă electronică (prin ATM, POS sau internet), dar cardurile de credit pot fi folosite și în afara unui sistem informatic, de exemplu, pentru garantarea stingerii unor eventuale obligații suplimentare de plată. Astfel, accesarea fără drept a sistemului informatic al băncii, prin încălcarea măsurilor de securitate, nu este absorbită în mod natural în elementul material al infracțiunii de efectuare de operațiuni financiare în mod fraudulos prin utilizarea unui instrument de plată electronică autentic sau falsificat, săvârșirea acestei infracțiuni neimplicând, ca o condiție esențială de existență, accesarea unui sistem informatic bancar prin intermediul căruia infracțiunea să fie comisă. Din acest motiv se impune reținerea în concurs ideal, atunci când este cazul, a infracțiunii de acces fără drept la sistemul informatic al băncii în scopul obținerii de date informatice prin încălcarea măsurilor de securitate.

Falsificarea unui instrument de plată electronică, în sensul alin. (1) al

art. 24 din Legea nr. 365/2002 , implică operațiuni de inscripționare/transferare a datelor informatice privind cardul real, autentic, asupra cardurilor contrafăcute, acestea din urmă fiind adevărate "clone" ale unor carduri reale, valabile și operaționale. Din acest motiv, acțiunile de obținere a datelor informatice de pe un card bancar autentic, în orice mod, în afara cadrului legal și în scopul falsificării unui instrument de plată electronică, nu vor constitui tentativă de falsificare a instrumentelor de plată electronică, ci un simplu act preparator, neincriminat de

Legea nr. 365/2002 .

În cazul în care instrumentul de plată electronică folosit la efectuarea de operațiuni financiare în mod fraudulos este falsificat, se va reține în concurs real și infracțiunea de falsificare a instrumentelor de plată electronică.

4.5. Punctul de vedere al Catedrei de Drept Penal din cadrul Facultății de Drept și Științe Administrative a Universității din Craiova cu privire la încadrarea juridică dată faptelor care au suscitat o practică neunitară

4.5.1. Soluția problemei de drept

a) Încadrarea juridică a faptei de a monta la un bancomat dispozitive de citire a benzii magnetice a cardului, minivideocamere sau dispozitive tip tastatură este aceea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 .

b) În cazul folosirii la bancomat, pentru retrageri de numerar sau alte operațiuni financiare a unui card falsificat ori a unuia real, fără consimțământul titularului său, sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 , săvârșită în concurs ideal cu cea prevăzută de art. 24 alin. (2) sau, după caz,

art. 27 alin. (1) din Legea nr. 365/2002 .

4.5.2. Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (minivideocamere sau dispozitive tip tastatură)

Accesul presupune intrarea, în tot sau în parte, într-un sistem informatic, conectarea la un sistem informatic, astfel încât să poată fi citite, cunoscute, accesate informațiile din sistem. Prin montarea unui skimmer nu are loc o interacțiune cu bancomatul, privit ca sistem informatic, ci doar cu instrumentul de plată electronic, cu banda magnetică a cardului, ale cărui informații sunt copiate, stocate în memoria skimmerului.

Prin montarea la ATM a dispozitivului de citire a benzii magnetice a cardului și a videocamerei ori a dispozitivului modificat de tip tastatură nu putem vorbi de infracțiunea de acces fără drept la un sistem informatic prevăzută și sancționată de

art. 42 alin. (1) din Legea nr. 161/2003 . Într-o astfel de situație nu este realizat elementul material al infracțiunii, respectiv accesul, neexistând vreo interacțiune, comunicare cu datele conținute în sistemul informatic.

Un alt argument privind lipsa elementului material al infracțiunii rezultă din faptul că datele de pe banda magnetică a cardului sunt citite și captate înainte ca respectivul card să între în fanta bancomatului și înainte să se realizeze vreo transmisie de date informatice între card și ATM. Într-o astfel de situație, ATM-ul este folosit doar ca un suport fizic, ca un camuflaj pentru skimmer, și nu ca o componentă a unui sistem informatic prin intermediul căreia are loc accesarea datelor din respectivul sistem.

În mod evident nu sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1) din Legea nr. 161/2003 , însă o astfel de faptă se încadrează drept deținere, fără drept, a unui dispozitiv în vederea săvârșirii uneia dintre infracțiunile prevăzute în

art. 42-45 din Legea nr. 161/2003 .

Prin urmare, încadrarea juridică a faptei de a monta la un bancomat dispozitive de citire a benzii magnetice a cardului, minivideocamere sau dispozitive tip tastatură este aceea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 .

4.5.3. Cu privire la folosirea la bancomat, pentru retrageri de numerar sau orice alte operațiuni financiare, a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

În cazul în care, după obținerea cardului falsificat, acesta este folosit în scopul retragerii de numerar are loc o accesare a datelor din bancomat. Bancomatul nu mai este întrebuințat doar ca un suport, ci potrivit destinației sale, ca o componentă a unui sistem informatic ce permite conectarea în sistem și cunoașterea datelor conținute de acest sistem. Într-o astfel de situație, există un schimb de informații între cel care utilizează cardul și datele din sistemul informatic, bancar în acest caz, ceea ce înseamnă că în momentul tastării codului PIN se poate vorbi de acces, ca element material al infracțiunii prevăzute și sancționate de

art. 42 alin. (1) din Legea nr. 161/2003 . Infracțiunea există și s-a consumat din acest moment, indiferent dacă s-a solicitat sau nu vreo operațiune financiară. O astfel de solicitare nu este necesară pentru existența infracțiunii în discuție ale cărei elemente constitutive s-au unit în momentul în care a avut loc schimbul de informații, ceea ce înseamnă acces ca element material al infracțiunii.

În cazul folosirii la bancomat, pentru retrageri de numerar sau alte operațiuni financiare, a unui card falsificat ori a unuia real, fără consimțământul titularului său, sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 , săvârșită în concurs ideal cu cea prevăzută de art. 24 alin. (2) sau, după caz,

art. 27 alin. (1) din Legea nr. 365/2002 .

4.6. Punctul de vedere al Facultății de Drept a Universității "Lucian Blaga" din Sibiu cu privire la încadrarea juridică dată faptelor care au suscitat o practică neunitară

4.6.1. Soluția problemei de drept

a) Un simplu telefon mobil, o cameră video sau chiar un dispozitiv modificat tip tastatură nu pot fi considerate ca fiind dispozitive deținute fără drept și, prin urmare, nu sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 46 alin. (2) din Legea nr. 161/2003 .

b) Deținerea telefonului mobil sau a camerei video nu se încadrează nici în prevederile

art. 25 din Legea nr. 365/2002 , care incriminează fabricarea ori deținerea de echipamente, inclusiv hardware sau software, cu scopul de a servi la falsificarea instrumentelor de plată electronică.

c) Ținând cont de prevederile legale enunțate se impune a se analiza în concret operațiunile efectuate de făptuitor, deoarece este posibil ca făptuitorul care efectuează doar retrageri de numerar sau plăți cu acel card (real ori falsificat), fără să facă interogări de sold, să nu urmărească să obțină date informatice, în astfel de situații lipsind scopul special cerut expres de prevederile

art. 42 alin. (2) din Legea nr. 161/2003 . Acestea nu pot fi reținute în sarcina sa, urmând a fi incidente doar cele ale alin. (1) și (3) ale aceluiași articol (operațiunea fiind efectuată în mod clar prin încălcarea măsurilor de securitate).

d) În situația în care făptuitorul utilizează cardul real sau falsificat pentru interogarea soldului ori pentru alte operațiuni care i-ar pune la dispoziție date informatice (urmate sau nu de retrageri de numerar, transferuri ori plăți), încadrarea juridică este cea prevăzută de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 .

În ipoteza efectuării de retrageri de numerar, plăți sau transferuri de bani, infracțiunea de acces fără drept la un sistem informatic intră în concurs cu infracțiunile prevăzute de

Legea nr. 365/2002

referitoare la comerțul electronic. Dacă vorbim de cardul falsificat, infracțiunea va fi cea prevăzută de art. 24 alin. (2) din lege (punerea în circulație a unui instrument de plată electronică falsificat), iar dacă avem în vedere un card real, folosit fără consimțământul titularului său, fapta se va încadra în prevederile art. 27 alin. (1) din legea menționată.

4.6.2. Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (minivideocamere sau dispozitive tip tastatură)

Montarea la ATM a dispozitivului de citire a benzii magnetice a cardului și a videocamerei ori a dispozitivului modificat de tip tastatură nu realizează accesul fără drept la un sistem informatic, infracțiune prevăzută de

art. 42 alin. (1) din Legea nr. 161/2003 .

Fără a mai relua ampla argumentare adusă în sprijinul acestei opinii de către procurorul general al Parchetului de pe lângă Înalta Curte de Casație și Justiție, punctul de vedere subliniază faptul că, deși ATM-ul reprezintă un terminal în cadrul unui sistem informatic, în ipoteza utilizării de către o persoană a dispozitivului de citire a benzii magnetice a cardului și a video-camerei ori a dispozitivului modificat de tip tastatură, bancomatul nu este folosit pentru a se realiza vreun acces la datele informatice, ci constituie doar un suport fizic pentru dispozitivele menționate. Nu există deci în această situație nicio interacțiune a făptuitorului cu tehnica de calcul prin intermediul echipamentelor utilizate. O astfel de faptă reprezintă practic un act preparator al infracțiunii de acces fără drept la un sistem informatic, care însă nu este incriminat.

În opinia procurorului general se arată că deținerea, fără drept, a unui dispozitiv, program informatic, parolă, cod de acces sau dată informatică în scopul săvârșirii uneia dintre infracțiunile prevăzute la

art. 42-45 din Legea nr. 161/2003

constituie infracțiunea prevăzută de art. 46 alin. (2) din aceeași lege. Trebuie însă analizat în concret dacă dispozitivul utilizat de făptuitor este deținut fără drept sau nu. Telefonul mobil, camera video sau chiar un dispozitiv modificat tip tastatură nu pot fi considerate ca fiind dispozitive deținute fără drept și, prin urmare, nu sunt întrunite elementele constitutive ale infracțiunii prevăzute de

art. 46 alin. (2) din Legea nr. 161/2003 . Deținerea telefonului mobil sau a camerei video nu se încadrează nici în prevederile

art. 25 din Legea nr. 365/2002 , care incriminează fabricarea ori deținerea de echipamente, inclusiv hardware sau software, cu scopul de a servi la falsificarea instrumentelor de plată electronică (deși au existat și soluții în acest sens).

4.6.3. Cu privire la folosirea la bancomat, pentru retrageri de numerar sau orice alte operațiuni financiare, a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

În astfel de cazuri există întotdeauna un acces fără drept la un sistem informatic, dar este necesar a fi făcute unele precizări în ceea ce privește încadrarea juridică a unor astfel de fapte.

În opinia exprimată de procurorul general se arată că fapta întrunește elementele constitutive ale infracțiunii prevăzute de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 . Norma de incriminare are următorul cuprins: (1) Accesul, fără drept, la un sistem informatic constituie infracțiune și se pedepsește cu închisoare de la 3 luni la 3 ani sau cu amendă. (2) Fapta prevăzută la alin. (1), săvârșită în scopul obținerii de date informatice, se pedepsește cu închisoare de la 6 luni la 5 ani. (3) Dacă fapta prevăzută la alin. (1) sau (2) este săvârșită prin încălcarea măsurilor de securitate, pedeapsa este închisoarea de la 3 la 12 ani."

Ținând cont de prevederile legale enunțate se impune a se analiza în concret operațiunile efectuate de făptuitor, deoarece este posibil ca făptuitorul care efectuează doar retrageri de numerar sau plăți cu acel card (real ori falsificat), fără să facă interogări de sold, să nu urmărească să obțină date informatice. În astfel de situații lipsește scopul special cerut expres de prevederile alin. (2) ale

art. 42 din Legea nr. 161/2003 . Acestea nu pot fi reținute în sarcina sa, urmând a fi incidente doar cele ale alin. (1) și (3) ale aceluiași articol (operațiunea fiind efectuată în mod clar prin încălcarea măsurilor de securitate).

În situația în care făptuitorul utilizează cardul real sau falsificat pentru interogarea soldului ori pentru alte operațiuni care i-ar pune la dispoziție date informatice (urmate sau nu de retrageri de numerar, transferuri ori plăți), încadrarea juridică este cea prevăzută de

art. 42 alin. (1), (2) și (3) din Legea nr. 161/2003 .

În ipoteza efectuării de retrageri de numerar, plăți sau transferuri de bani, infracțiunea de acces fără drept la un sistem informatic intră în concurs cu infracțiunile prevăzute de

Legea nr. 365/2002

referitoare la comerțul electronic. Dacă vorbim de cardul falsificat, infracțiunea va fi cea prevăzută de art. 24 alin. (2) din lege (punerea în circulație a unui instrument de plată electronică falsificat), iar dacă se are în vedere un card real, folosit fără consimțământul titularului său, fapta se va încadra în prevederile

art. 27 alin. (1) din Legea nr. 365/2002 .

4.7. Punctul de vedere al Departamentului de Drept Public din cadrul Facultății de Drept a Universității de Vest din Timișoara cu privire la încadrarea juridică dată faptelor care au suscitat o practică neunitară

4.7.1. Înțelesul unor termeni

Bancomatul (ATM) constituie un sistem informatic, în sensul

art. 35 alin. (1) lit. a) din Legea nr. 161/2003 , deoarece asigură prelucrarea automată a datelor, cu ajutorul unui program informatic.

Dispozitivele de skimming nu au caracteristicile unui sistem informatic, indiferent dacă este vorba de camere video, dispozitive de citire a benzii magnetice a cardului sau tastatură falsă. Ele nu au caracteristicile sistemului informatic deoarece nu asigură prelucrarea automată a datelor, cu ajutorul unui program informatic, permițând doar copierea codurilor înscrise pe cardul care asigură accesarea sistemului informatic.

Prin transfer neautorizat se înțelege mutarea fără drept a reprezentării binare a informațiilor din mediul de stocare curent (autorizat) pe un alt suport de stocare extern sau chiar în interiorul aceluiași sistem, informatic, dar în altă locație.

4.7.2. Soluția problemei de drept

a) Deținerea dispozitivelor de skimming, dacă au fost concepute sau adaptate în scopul săvârșirii uneia dintre infracțiunile prevăzute la art. 42-45, constituie infracțiunea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 , nefiind necesară atașarea lor la bancomat.

b) Deținerea dispozitivelor de skimming nu poate realiza însă și conținutul infracțiunilor prevăzute de art. 44 alin. (2) și (3), deoarece nu are loc un transfer de date din sistemul informatic ATM și mutarea lor în alt loc, ci doar o copiere a datelor înscrise pe card.

c) După ce se clonează un card și prin intermediul acestuia se accesează bancomatul, chiar fără a se efectua nicio operațiune bancară, se săvârșește infracțiunea prevăzută de

art. 42 din Legea nr. 161/2003 , aflată în concurs etiologic cu infracțiunea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 .

d) Nu se poate reține infracțiunea prevăzută de

art. 25 din Legea nr. 365/2002 , constând în fabricarea ori deținerea de echipamente, inclusiv hardware sau software, cu scopul de a servi la falsificarea instrumentelor de plată electronică, deoarece dispozitivele de skimming nu permit ele însele fabricarea sau producerea unui card nou, pe care să se inscripționeze datele copiate.

4.7.3. Cu privire la montarea la bancomat a dispozitivelor de citire a benzii magnetice a cardului autentic și a codului PIN aferent acestuia (minivideocamere sau dispozitive tip tastatură)

Deținerea dispozitivelor de skimming, dacă au fost concepute sau adaptate în scopul săvârșirii uneia dintre infracțiunile prevăzute la art. 42-45, constituie infracțiunea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 , nefiind necesară atașarea lor la bancomat.

Atașarea lor la bancomat și citirea benzii magnetice a cardului nu realizează însă accesarea sistemului informatic al bancomatului, permițând doar fabricarea (clonarea) ulterioară a unui card, cu care să se acceseze sistemul informatic. Citirea datelor cardului se realizează înainte ca acesta să interacționeze cu ATM-ul. Simpla amplasare a unui dispozitiv electronic în imediata apropiere a sistemului sau chiar în contact fizic cu respectivul sistem, fără ca cele două componente (sistemul informatic și dispozitivul electronic) să interacționeze, nu poate fi apreciată ca fiind un acces neautorizat. Montarea unui echipament de skimming la un ATM, în vederea obținerii datelor cardurilor utilizate la respectivul terminal, constituie doar infracțiunea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 .

Această infracțiune reprezintă o infracțiune mijloc pentru săvârșirea infracțiunilor prevăzute de art. 42-45, deci inclusiv pentru săvârșirea infracțiunii de acces fără drept la un sistem informatic.

Deținerea dispozitivelor de skimming nu poate realiza însă și conținutul infracțiunilor prevăzute de art. 44 alin. (2) și (3), deoarece nu are loc un transfer de date din sistemul informatic ATM și mutarea lor în alt loc, ci doar o copiere a datelor înscrise pe card.

În cazul transferului de date informatice, urmarea o constituie, pe de o parte, ștergerea datelor informatice din locația inițială, astfel că acestea nu mai există pentru utilizatorul de drept, și crearea concomitentă a unei replici a datelor informatice, pe același suport de stocare sau pe un altul, extern, în posesia făptuitorului. Abia după ce cu ajutorul datelor captate prin skimming se clonează un card și prin intermediul acestuia se accesează bancomatul, chiar fără a se efectua nicio operațiune bancară, se săvârșește infracțiunea prevăzută de

art. 42 din Legea nr. 161/2003 , aflată în concurs etiologic cu infracțiunea prevăzută de

art. 46 alin. (2) din Legea nr. 161/2003 .

Nu se poate reține infracțiunea prevăzută de

art. 25 din Legea nr. 365/2002 , constând în fabricarea ori deținerea de echipamente, inclusiv hardware sau software, cu scopul de a servi la falsificarea instrumentelor de plată electronică, deoarece dispozitivele de skimming nu permit ele însele fabricarea sau producerea unui card nou, pe care să se inscripționeze datele copiate.

Doar deținerea de echipamente hardware sau software care permit falsificarea instrumentelor de plată electronică realizează conținutul infracțiunii prevăzute de

art. 25 din Legea nr. 365/2002 , iar falsificarea efectivă a cardului realizează conținutul infracțiunii de falsificare a instrumentelor de plată electronică prevăzută de

art. 24 din Legea nr. 365/2002 .

4.7.4. Cu privire la folosirea la bancomat, pentru retrageri de numerar sau orice alte operațiuni financiare, a cardului falsificat ori chiar a celui autentic, fără acordul titularului său

Utilizarea unui card falsificat sau a unui card valid (fără acordul titularului) la un ATM conduce la realizarea unui acces neautorizat într-un sistem informatic,

art. 42 alin. (1), (2) sau (3), după caz, din Legea nr. 161/2003 .

Această încadrare este valabilă doar pentru activitatea de interogare a ATM-ului, iar dacă autorul va efectua și operațiuni financiare (retrageri de sume, plăți, transferuri etc.) infracțiunea de acces neautorizat va veni în concurs cu infracțiunea prevăzută de

art. 27 alin. (1) sau (2) din Legea nr. 365/2002 , constând în efectuarea de operațiuni financiare în mod fraudulos, infracțiuni aflate în concurs ideal.

ATM-ul are caracteristicile unui sistem informatic, iar prin utilizarea unui card falsificat sau a unui card valid, dar fără acordul titularului, autorul infracțiunii va obține accesul la datele de cont, sistemul percepându-l ca fiind persoana autorizată.

Infracțiunea prevăzută de

art. 42 din Legea nr. 161/2003

are ca obiect juridic protejarea datelor informatice, pe când prin incriminarea faptelor descrise în

art. 27 din Legea nr. 365/2002

se urmărește protejarea operațiunilor financiare. Cele două infracțiuni diferă și prin faptul că accesul neautorizat constituie infracțiune de pericol, fără a fi nevoie să se producă un prejudiciu, pe când infracțiunea de efectuare a unor operațiuni financiare în mod fraudulos reprezintă o infracțiune de rezultat.

5. Raportul asupra recursului în interesul legii

5.1. Legislația relevantă

5.1.1.

Legea nr. 161/2003

privind unele măsuri pentru asigurarea transparenței în exercitarea demnităților publice, a funcțiilor publice și în mediul de afaceri, prevenirea și sancționarea corupției

Faptele în legătură cu încălcarea relațiilor sociale privind protejarea integrității fizice și funcționale a sistemelor și datelor informatice sunt incriminate în art. 42-50, cartea 1, titlul III ("Prevenirea și combaterea criminalității informatice") din

Legea nr. 161/2003

privind unele măsuri pentru asigurarea transparenței în exercitarea demnităților publice, a funcțiilor publice și în mediul de afaceri, prevenirea și sancționarea corupției, iar

art. 35 din Legea nr. 161/2003

prevede înțelesul termenilor și expresiilor utilizate în reglementarea titlului respectiv:

"Lege

privind unele măsuri pentru asigurarea transparenței în exercitarea demnităților publice, a funcțiilor publice și în mediul de afaceri, prevenirea și sancționarea corupției