سرقت داده و اطلاعات دیجیتال؛ مجازات و راهکار شکایت

مقدمه و پاسخ کوتاه به موضوع سرقت داده

سرقت داده یا سرقت رایانه‌ای در نظام حقوق کیفری ایران به معنای ربودن غیرمجاز داده‌های الکترونیکی متعلق به دیگری از سامانه‌های رایانه‌ای، مخابراتی یا حامل‌های داده است. این بزه به عنوان یک جرم مستقل سایبری تحت شمول ماده ۱۲ قانون جرایم رایانه‌ای (ماده ۷۴۰ قانون مجازات اسلامی بخش تعزیرات) جرم‌انگاری شده و بر اساس بقای نسخه اصلی داده نزد مالک یا حذف و سلب دسترسی کامل از آن، مجازات‌های جزای نقدی اصلاحی سال ۱۴۰۳ یا مجازات حبس تعزیری را در پی دارد. این جرم به طور کلی غیرقابل گذشت بوده و رسیدگی به آن مستلزم اثبات رکن مادی ربودن غیرمجاز از طریق ادله الکترونیکی اصیل و غیرقابل انکار است.

تعریف قانونی سرقت داده بر اساس قوانین جرایم رایانه‌ای ایران

در حقوق کیفری سنتی و کلاسیک ایران، جرم سرقت بر اساس ماده ۲۶۷ قانون مجازات اسلامی به عنوان «ربودن مال متعلق به دیگری» تعریف شده است. این تعریف به طور سنتی مستلزم وجود مال مادی، منقول، فیزیکی و ملموس و همچنین خارج شدن فیزیکی آن مال از تصرف مالک است. در فضای سنتی، سارق باید جسم فیزیکی شیء را جابه‌جا کرده و تصرف مالک را سلب نماید. با این حال، با گسترش فناوری اطلاعات و فضای مجازی، «داده‌های دیجیتال» (Data) به عنوان دارایی‌های غیرمادی و معنوی، ارزش اقتصادی و کاربردی فوق‌العاده‌ای یافته‌اند.
ویژگی منحصر‌به‌فرد داده‌های دیجیتال این است که ربایش آن‌ها غالباً از طریق تکثیر، دانلود، کپی‌برداری غیرمجاز یا انتقال در شبکه صورت می‌گیرد. در این فرآیند دیجیتال، لزوماً داده‌های اصلی از سیستم مبدأ پاک نمی‌شوند، بلکه کپی جدیدی از آن‌ها در سیستم مرتکب ایجاد می‌شود؛ در نتیجه مالک اصلی همچنان به داده‌های خود دسترسی مادی دارد اما انحصار، حاکمیت مالکیتی و حریم محرمانگی دارایی دیجیتال وی از بین رفته است.
به منظور رفع این چالش فنی و حقوقی و عدم امکان انطباق مجازات سرقت سنتی بر اموال غیرمادی دیجیتال، قانون‌گذار ایرانی در سال ۱۳۸۸ با تصویب قانون جرایم رایانه‌ای، بزه «سرقت رایانه‌ای» یا همان سرقت داده را در ماده ۱۲ (ماده ۷۴۰ قانون مجازات اسلامی بخش تعزیرات) پیش‌بینی و جرم‌انگاری کرد. این جرم از حیث ارکان تشکیل‌دهنده به شرح زیر تعریف و کالبدشکافی می‌شود:

اولاً، در خصوص عنصر مادی بزه، این جرم زمانی محقق می‌شود که مرتکب بدون داشتن موافقت, رضایت یا مجوز قانونی، اقدام به ربودن داده‌های متعلق به دیگری نماید. کلمه «غیرمجاز» در صدر ماده نشان می‌دهد که هرگونه دسترسی و کپی‌برداری فاقد سمت یا اذن مالک، یا خارج از حدود اختیارات قانونی یا قراردادی (مثلاً کپی‌برداری اطلاعات توسط کارمندی که صرفاً مجاز به مشاهده بوده است) وصف مجرمانه دارد. داده در قانون شامل هر نوع پیام، سورس‌کد، فایل هویتی، بانک اطلاعاتی، تصاویر، اسناد سازمانی و پیام‌های الکترونیکی ذخیره‌شده بر روی سامانه‌های رایانه‌ای، مخابراتی یا حامل‌های داده است. تعلق داده به دیگری نیز شرط اساسی است؛ بنابراین داده‌های عمومی یا بدون مالک مشمول این ماده نیستند.
ثانیاً، در خصوص عنصر معنوی، این جرم نیازمند سوء نیت عام یعنی عمد در ربودن و کپی‌برداری داده‌ها با علم به تعلق آن‌ها به دیگری و آگاهی از غیرمجاز بودن رفتار است. علاوه بر این، سوء نیت خاص نیز برای تحقق جرم لازم است که شامل قصد تصاحب داده‌ها، بهره‌برداری شخصی، سوءاستفاده تجاری رقابتی یا وارد کردن ضرر مادی و معنوی به مالک اصلی می‌باشد.

انواع و دسته‌بندی‌های بزه سرقت داده در حقوق کیفری ایران

سرقت داده‌ها بر مبنای معیارهای مختلفی همچون سرنوشت داده اصلی پس از ربایش، ماهیت و ارزش داده و ویژگی‌های مرتکب به دسته‌های ذیل تقسیم می‌شود:

نوع نخست، سرقت داده با حفظ بقای نسخه اصلی نزد مالک یا همان تکثیر غیرمجاز است. در این حالت، مرتکب داده‌ها را از سامانه یا سرور مالک کپی یا دانلود می‌کند یا از طریق شبکه انتقال می‌دهد؛ اما داده‌های اصلی بدون تغییر و حذف، همچنان در سیستم مالک باقی می‌مانند. در این حالت مالک از استفاده از دارایی خود محروم نشده، بلکه انحصار و حریم محرمانگی داده‌های وی نقض شده است. قانون‌گذار به همین دلیل برای این حالت مجازات سبک‌تری که صرفاً جزای نقدی است در نظر گرفته است.
نوع دوم، سرقت داده همراه با سلب دسترسی یا حذف نسخه اصلی است که از آن به محروم‌سازی کامل مالک یاد می‌شود. در این نوع از سرقت داده، مرتکب پس از کپی یا انتقال داده‌ها به سیستم خود، نسخه اصلی داده‌ها را از روی سامانه‌های مالک پاک می‌کند، یا داده‌های اصلی را رمزنگاری کرده و گذرواژه‌ها را تغییر می‌دهد تا مالک به طور کامل از دسترسی و تصرف دارایی دیجیتال خود محروم شود. با توجه به ایراد خسارت مستقیم و محرومیت مالک از داده، مجازات این جرم شدیدتر بوده و شامل حبس یا جزای نقدی یا هر دو مجازات می‌باشد.
دسته‌بندی دیگر ناظر به بریدن داده‌ها (Cut کردن) به عنوان شروع به سرقت رایانه‌ای است. بر اساس تحلیل نشست‌های قضایی رسمی، چنانچه مرتکب اطلاعات و داده‌های موجود روی رایانه یا لپ‌تاپ دیگری را با دستور “Cut” (برش) از حافظه مبدأ بردارد و در حافظه موقت (Clipboard) قرار دهد، تا زمانی که داده‌ها در مقصد ذخیره (Paste) نشوند، ربودن تام محقق نشده است. طبق نظریه هیئت عالی محاکم، این عمل به عنوان شروع به جرم سرقت رایانه‌ای طبقه‌بندی می‌شود. اکثریت قضات معتقدند بریدن داده‌ها به دلیل اینکه داده را از تصرف مستقیم مالک خارج می‌کند، مرحله شروع به ربایش است، در حالی که اقلیت آن را به عنوان جرم تام سرقت داده و تخریب همزمان (به دلیل پاک شدن داده از مبدأ) می‌دانند.

تحلیل حقوقی و استدلال‌های قضایی در بزه سرقت داده

بررسی رویه قضایی، نشست‌های قضایی رسمی و نظریات مشورتی اداره کل حقوقی قوه قضاییه نشان‌دهنده چالش‌های فنی و استدلال‌های عمیق دادگاه‌ها در مواجهه با پرونده‌های سرقت داده است. تحلیل این استدلال‌ها به شرح زیر تبیین می‌گردد:

۱. تحلیل رابطه میان دسترسی غیرمجاز و سرقت داده (تعدد جرم یا مقدمه بزه)

یکی از مباحث مهم در دادگاه‌های جرایم رایانه‌ای این است که آیا مرتکبی که با نفوذ غیرمجاز به سامانه (موضوع ماده ۱ قانون جرایم رایانه‌ای) اقدام به ربودن داده‌ها (موضوع ماده ۱۲) می‌کند، مرتکب دو جرم متمایز شده و باید مجازات تعدد مادی جرم بر وی اعمال شود یا خیر.
در این خصوص دو دیدگاه حقوقی عمده وجود دارد:
دیدگاه اول که مورد حمایت اکثریت قضات در نشست‌های قضایی است، استدلال می‌کند دسترسی غیرمجاز مقدمه لازم و ملزوم سرقت داده است؛ به طوری که مرتکب بدون ورود و دسترسی غیرمجاز به سامانه اصولاً قادر به کپی‌برداری یا انتقال داده‌ها نخواهد بود. این رابطه مشابه رابطه ورود به مسکن و سرقت در بزه سرقت سنتی است؛ لذا به دلیل رابطه مقدمه و ذی‌المقدمه، قواعد تعدد مادی منتفی بوده و متهم صرفاً به مجازات سرقت رایانه‌ای محکوم می‌شود.
دیدگاه دوم که توسط اقلیت مطرح می‌شود، استدلال می‌کند سرقت داده لزوماً ملازمه‌ای با دسترسی غیرمجاز ندارد. به عنوان مثال، کارمند یا مدیر سیستم که دسترسی کاملاً مجاز به سامانه‌ها دارد، در صورتی که اقدام به کپی‌برداری غیرقانونی داده‌های شرکت برای اهداف شخصی یا رقابتی نماید، مرتکب سرقت داده شده بدون اینکه دسترسی غیرمجاز مرتکب شده باشد. بنابراین، از آنجا که دسترسی غیرمجاز مقدمه همیشگی و انفکاک‌ناپذیر سرقت داده نیست، در مواردی که هر دو رفتار به صورت غیرمجاز انجام گرفته باشد، اعمال قواعد تعدد مادی جرم صحیح است.
با این حال، هیئت عالی نشست‌های قضایی استدلال متفاوتی را ارائه داده و اعلام می‌دارد در فرضی که ورود غیرمجاز با هدف تغییر داده‌ها برای تحصیل مال صورت گیرد، کل رفتار تحت عنوان کلاهبرداری رایانه‌ای (ماده ۱۳ قانون جرایم رایانه‌ای) قرار می‌گیرد و تنها یک جرم محقق شده که تعدد جرم را منتفی می‌سازد. این امر نشان می‌دهد که دادگاه‌ها مایلند در تحلیل ارکان مادی جرایم رایانه‌ای، رفتار کلیدی و نهایی مرتکب را ملاک قرار دهند تا از انباشت غیرمنطقی عناوین اتهامی جلوگیری شود.

۲. تحلیل حقوقی بریدن داده‌ها (Cut کردن)؛ شروع به جرم یا جرم تام؟

اقدام مرتکب به خارج کردن داده‌ها از روی سامانه مبدأ با استفاده از دستور برش (Cut) چالش حقوقی جالبی را در خصوص لحظه تحقق بزه تام ایجاد می‌کند.
موافقان جرم تام استدلال می‌کنند که با اعمال دستور Cut، داده‌ها از مسیر فیزیکی خود در هارد دیسک مبدأ قطع شده و در حافظه موقت (Clipboard) قرار می‌گیرند که این به معنای سلب تصرف مالک و ربوده شدن داده است. در مقابل، هیئت عالی محاکم قضایی استدلال می‌کند که تا زمانی که داده‌های برش‌خورده در مقصد نهایی ذخیره (Paste) نشوند، انتقال مالکیت معنوی و تصاحب کامل مرتکب محقق نشده است؛ بنابراین عمل مرتکب صرفاً به عنوان شروع به جرم سرقت رایانه‌ای تلقی می‌شود. اقلیت حقوق‌دانان نیز معتقدند به دلیل حذف همزمان داده از مبدأ، این رفتار علاوه بر شروع به سرقت، مصداق بزه تخریب رایانه‌ای نیز می‌باشد. این تفاوت نگاه ناشی از تفاوت تحلیل‌های فنی ساختار فایل سیستم‌ها در سیستم‌های عامل رایانه‌ای است، چرا که در عمل بریدن فایل، تا زمانی که عمل چسباندن (Paste) در مقصد انجام نشود، فایل اصلی از هارد دیسک حذف نمی‌گردد و در صورت لغو دستور، داده در جای خود باقی می‌ماند.

۳. تفکیک بزه سرقت داده از حذف و تخریب داده‌ها (ریست و فرمت کردن دستگاه)

در مواردی که فردی به اطلاعات دستگاه دیگری دسترسی یافته و اقدام به ریست کارخانه (Reset Factory) یا فرمت کردن هارد دیسک بدون ذخیره‌سازی داده‌ها می‌کند، رویه قضایی بزه سرقت داده را محقق نمی‌داند. استدلال قضات این است که در سرقت, انتقال و تصاحب داده‌ها شرط است؛ در حالی که در فرمت کردن، داده‌ها بدون اینکه به تصاحب مرتکب درآیند، از بین می‌روند. لذا این رفتار تحت عنوان بزه تخریب و حذف غیرمجاز داده‌ها (ماده ۸ قانون جرایم رایانه‌ای) تعقیب می‌شود.
در این موارد، چنانچه فردی گوشی مفقودشده را یافته و با معرفی خود به عنوان مالک به تعمیرکار، دستور ریست اطلاعات را بدهد، تعمیرکار بی‌اطلاع فاقد مسئولیت بوده و تحویل‌دهنده گوشی به عنوان فاعل معنوی (سبب اقوی از مباشر) مجازات خواهد شد. این استدلال بر این مبنا استوار است که تعمیرکار فاقد سوء نیت و آگاهی از عدم تعلق گوشی به متقاضی بوده و صرفاً به عنوان ابزار فیزیکی مرتکب اصلی عمل کرده است.

۴. تحلیل وضعیت بازیابی اطلاعات (ریکاوری فایل‌ها)

بر اساس استدلال‌های اداره کل حقوقی قوه قضاییه، صرف ریکاوری و بالا آوردن فایل‌های پاک‌شده دیگران بر روی رم یا حافظه موقت بدون اینکه فایلی بر روی هارد دیسک یا حافظه جانبی ذخیره شود، فاقد وصف مجرمانه سرقت داده است. اما به محض اینکه مرتکب اقدام به ذخیره‌سازی (Save) داده‌های ریکاوری‌شده متعلق به دیگری نماید، رکن مادی بزه سرقت رایانه‌ای محقق شده و قابل تعقیب است. دلیل این امر آن است که در عملیات ریکاوری بدون ذخیره، تصرف انحصاری و ربایش داده محقق نشده و صرفاً اطلاعات موقتاً بازیابی شده‌اند، اما عمل ذخیره کردن نشان‌دهنده استقرار داده در تصرف دائم مرتکب است.

۵. استدلال حقوقی پیرامون استنادپذیری ادله حاصل از هک و تعقیب هکر

در رویه قضایی ایران، مشروعیت طریق تحصیل دلیل در پرونده‌های کیفری اهمیت ویژه‌ای دارد. چنانچه شاکی خصوصی با هک کردن گوشی متهم، داده‌ها و مدارکی دال بر وقوع جرم استخراج کرده و به محکمه ارائه دهد، دادگاه‌ها بر اساس استدلال حقوقی اداره کل حقوقی، این مدارک را به عنوان قرینه یا دلیل پذیرفته و به آن استناد می‌کنند (زیرا هدف کشف حقیقت است و قاضی نباید حقیقت را نادیده بگیرد). با این حال، شاکی که خود اقدام به هک کرده، به دلیل ارتکاب بزه دسترسی غیرمجاز موضوع ماده ۱ قانون جرایم رایانه‌ای به طور مستقل مجازات خواهد شد و انگیزه کشف حقیقت رافع مسئولیت کیفری وی نیست. این رویکرد دوگانه به منظور حفظ تعادل میان حقوق متهم و ضرورت کشف حقیقت اتخاذ شده است.

۶. استدلال در خصوص سرقت کارت بانکی و استفاده از رمز آن

چنانچه متهم کارت عابر بانک شاکی را به همراه رمز آن تحصیل کرده و اقدام به برداشت وجه از خودپرداز کند، رویه قضایی عمل برداشت وجه را سرقت داده یا سرقت سنتی نمی‌داند؛ بلکه آن را کلاهبرداری مرتبط با رایانه (ماده ۱۳ قانون جرایم رایانه‌ای / ماده ۷۴۱ قانون مجازات اسلامی) تلقی می‌کند، زیرا متهم با وارد کردن داده‌های کارت و رمز، سامانه بانکی را مختل یا متقاعد به پرداخت وجه کرده و از این طریق مال شاکی را تحصیل کرده است. در این حالت، اگر کارت ابتدا به صورت فیزیکی دزدیده شده باشد، تعدد مادی جرم (سرقت فیزیکی کارت و کلاهبرداری رایانه‌ای) حاکم است و دادگاه‌ها هر دو عنوان را مستقل می‌دانند.

۷. تحلیل جامع پیرامون غیرقابل گذشت بودن مطلق سرقت‌های رایانه‌ای و سنتی

بر اساس آخرین تحولات و تغییرات اساسی در قوانین کیفری ایران، وضعیت قابل گذشت بودن جرائم سرقت و کلاهبرداری دستخوش تحول بنیادین گردیده است. پیش از این، به موجب قانون کاهش مجازات حبس تعزیری مصوب ۱۳۹۹، برخی از سرقت‌های سنتی کم‌ارزش (زیر بیست میلیون تومان) تحت شرایط خاصی و همچنین کلاهبرداری‌های زیر صد میلیون تومان، قابل گذشت محسوب می‌شدند، هرچند که در مورد قابل گذشت بودن سرقت‌های رایانه‌ای بین محاکم اختلاف‌نظر وجود داشت و نشست‌های قضایی عموماً رای به غیرقابل گذشت بودن آن‌ها به دلیل عدم تصریح قانونی می‌دادند.
با این حال، به موجب «قانون اصلاح ماده ۱۰۴ قانون مجازات اسلامی» مصوب ۱۴۰۳/۰۲/۲۵، قانون‌گذار تمامی استثنائات قبلی را ملغی نمود. بر اساس این ماده واحده جدید، عبارت مربوط به قابل گذشت بودن کلاهبرداری‌ها، جرایم در حکم کلاهبرداری، و سرقت‌های سنتی موضوع مواد ۶۵۶، ۶۵۷، ۶۶۱ و ۶۶۵ قانون تعزیرات به طور کامل از متن ماده ۱۰۴ قانون مجازات اسلامی حذف گردید.
پیامد حقوقی مستقیم این اصلاحیه جدید این است که در حال حاضر، تمامی انواع سرقت (شامل سرقت‌های سنتی مادی و بزه سرقت رایانه‌ای موضوع ماده ۱۲ قانون جرایم رایانه‌ای) و همچنین تمامی انواع کلاهبرداری (شامل کلاهبرداری سنتی و بزه کلاهبرداری رایانه‌ای موضوع ماده ۱۳ قانون جرایم رایانه‌ای) بدون توجه به میزان مالی یا ارزش داده‌ها و به طور مطلق، در زمره جرایم غیرقابل گذشت عمومی قرار دارند. بنابراین، گذشت شاکی خصوصی یا زیان‌دیده در هیچ‌یک از این جرایم به هیچ وجه منجر به صدور قرار موقوفی تعقیب یا موقوفی اجرای حکم نمی‌شود و صرفاً به عنوان یکی از جهات قانونی تخفیف مجازات (موضوع ماده ۳۸ قانون مجازات اسلامی) توسط قاضی پرونده مورد بررسی قرار می‌گیرد.

فرآیند دادرسی و تحقیقات مقدماتی بر اساس آیین‌نامه ادله الکترونیکی

کشف و اثبات جرم سرقت داده مستلزم رعایت دقیق تشریفات مقرر در آیین‌نامه جمع‌آوری و استنادپذیری ادله الکترونیکی است تا اصالت ادله در دادگاه حفظ شود:

۱. حفاظت فوری داده‌ها: در صورت وجود خطر حذف یا دستکاری داده‌های سرقت شده، مقام قضایی دستور حفاظت فوری داده‌ها را به ارائه‌دهندگان خدمات دسترسی یا میزبانی صادر می‌کند. مجری موظف است داده‌ها را تا زمان صدور دستور بعدی (حداکثر ۳ ماه) دست‌نخورده نگهداری کند. ارائه‌دهندگان خدمات مکلفند داده‌های پشتیبان را در محیطی امن و بدون تغییر ثبت و ضبط نمایند تا زنجیره حفاظتی قطع نگردد.

۲. روش ایمیج‌گیری (کپی فنی داده‌ها): پلیس فتا موظف است در زمان بازرسی، بجای توقیف سخت‌افزاری تجهیزات، اقدام به تهیه کپی پشتیبان فنی (Image) از داده‌ها نماید تا از توقف فعالیت سامانه‌ها جلو‌گیری شود. توقیف فیزیکی هارد یا سرور صرفاً در شرایطی مجاز است که تفتیش بدون توقیف ممکن نباشد، یا حجم داده‌ها به قدری بالا باشد که کپی در محل میسر نگردد، یا اینکه متصرف قانونی کتباً رضایت خود را اعلام کند.

۳. ثبت مقدار هش (Hash): به محض تهیه کپی از داده‌های توقیف‌شده یا سیستم متهم، ضابطان باید مقدار تابع هش (Hash) داده‌ها را محاسبه و در صورت‌جلسه قید کنند. مقدار هش اثر انگشت دیجیتال فایل است و هرگونه تغییر بعدی در فایل، مقدار هش را تغییر می‌دهد. این امر اصالت و عدم تحریف ادله را در طول دادرسی اثبات می‌کند. در صورت عدم انطباق مقدار هش اولیه با هش ارائه شده به دادگاه، دلیل دیجیتال فاقد اعتبار قانونی خواهد بود.

۴. ارائه ادله به مرجع قضایی: ادله باید به گونه‌ای ارائه شوند که امکان دسترسی مجدد و بررسی توسط کارشناسان متقابل وجود داشته باشد. ارائه نسخه چاپ‌شده صرفاً به عنوان راهنما بوده و ادله اصلی باید بر روی حامل‌های داده مطمئن و پلمب‌شده تحویل دادگاه گردند.

پیامدهای قانونی و مجازات‌های تفکیکی جرایم رایانه‌ای (اصلاحی ۱۴۰۳)

بر اساس مصوبه تعدیل مجازات‌های نقدی مورخ ۱۴۰۳/۰۳/۳۰ هیأت وزیران، پیامدهای کیفری بزه سرقت داده و رفتارهای مرتبط به شرح زیر تعیین شده است:

• سرقت داده با بقای نسخه اصلی نزد مالک: جزای نقدی از بیست میلیون (۲۰.۰۰۰.۰۰۰) ریال تا صد و شصت و پنج میلیون (۱۶۵.۰۰۰.۰۰۰) ریال.
• سرقت داده بدون بقای نسخه اصلی نزد مالک: حبس از نود و یک روز تا یک سال یا جزای نقدی از شصت و شش میلیون (۶۶.۰۰۰.۰۰۰) ریال تا دویست و شصت و چهار میلیون (۲۶۴.۰۰۰.۰۰۰) ریال یا هر دو مجازات.
• دسترسی غیرمجاز به سامانه‌های حفاظتی (مقدمه سرقت): حبس از نود و یک روز تا یک سال یا جزای نقدی از شصت و شش میلیون (۶۶.۰۰۰.۰۰۰) ریال تا دویست و شصت و چهار میلیون (۲۶۴.۰۰۰.۰۰۰) ریال یا هر دو مجازات.
• تخریب یا حذف غیرمجاز داده‌ها (فرمت کردن اطلاعات دیگری): حبس از شش ماه تا دو سال یا جزای نقدی از هشتاد و دو میلیون و پانصد هزار (۸۲.۵۰۰.۰۰۰) ریال تا سیصد و سی میلیون (۳۳۰.۰۰۰.۰۰۰) ریال یا هر دو مجازات.

پرسش‌های متداول (FAQ) در زمینه سرقت داده و جرایم رایانه‌ای

۱. کارمندی سورس‌کدهای شرکت را کپی کرده اما چیزی را پاک نکرده است؛ آیا مجازات حبس دارد؟

خیر، بر اساس ماده ۱۲ قانون جرایم رایانه‌ای، در صورتی که عین داده‌ها در اختیار مالک باقی مانده باشد (ربودن از طریق کپی‌برداری)، مجازات مرتکب صرفاً جزای نقدی اصلاحی سال ۱۴۰۳ (تا ۱۶۵ میلیون ریال) است و مجازات حبس ندارد.

۲. اگر فردی اطلاعات سرور را کپی کرده و سپس نسخه اصلی را از روی سرور پاک کند چه مجازاتی دارد؟

این عمل به دلیل عدم بقای نسخه اصلی نزد مالک، مشمول مجازات شدیدتر ماده ۱۲ شامل حبس از ۹۱ روز تا ۱ سال یا جزای نقدی از ۶۶ میلیون تا ۲۶۴ میلیون ریال یا هر دو مجازات خواهد بود.

۳. آیا ریکاوری کردن عکس‌های پاک‌شده دیگران جرم است؟

صرف ریکاوری و مشاهده داده‌ها روی حافظه موقت بدون ذخیره‌سازی جرم محسوب نمی‌شود، اما به محض اینکه متهم فایل‌های بازیابی‌شده را در سیستم خود ذخیره کند، مرتکب سرقت رایانه‌ای شده است.

۴. آیا با رضایت شاکی خصوصی در پرونده سرقت رایانه‌ای پرونده مختومه و تعقیب متوقف می‌شود؟

خیر. به موجب قانون اصلاح ماده ۱۰۴ قانون مجازات اسلامی مصوب ۱۴۰۳/۰۲/۲۵، کلیه سرقت‌ها (از جمله سرقت رایانه‌ای موضوع ماده ۱۲) و کلاهبرداری‌ها غیرقابل گذشت هستند؛ لذا تعقیب پرونده با رضایت شاکی متوقف نمی‌شود و گذشت شاکی صرفاً می‌تواند جهت تخفیف مجازات در دادگاه مورد استفاده قرار گیرد.

۵. اگر متهم رمز و داده‌های عابر بانک را سرقت کرده و وجه برداشت کند، چه جرمی رخ داده است؟

این عمل کلاهبرداری رایانه‌ای (ماده ۱۳ قانون جرایم رایانه‌ای) محسوب می‌شود و در صورت سرقت فیزیکی کارت، تعدد مادی جرم اعمال خواهد شد.

۶. در جرم سرقت داده از طریق فیشینگ، کدام دادسرا صلاحیت رسیدگی دارد؟

بر اساس رای وحدت رویه شماره ۷۲۹ دیوان عالی کشور، صلاحیت رسیدگی با دادگاهی است که بانک افتتاح‌کننده حساب زیان‌دیده (که پول از آن برداشت شده) در حوزه آن قرار دارد.

۷. آیا پاک کردن کامل یا ریست کردن اطلاعات گوشی دیگران سرقت داده است؟

خیر، این عمل به دلیل عدم انتقال و تصاحب داده‌ها، سرقت محسوب نمی‌شود؛ بلکه جرم تخریب و حذف غیرمجاز داده‌ها (ماده ۸ قانون جرایم رایانه‌ای) است.

۸. نحوه اثبات عدم دستکاری ادله دیجیتال در دادگاه چیست؟

اثبات عدم دستکاری از طریق انطباق مقدار هش (Hash) داده‌های ارائه‌شده به دادگاه با مقدار هش ثبت‌شده در زمان توقیف اولیه توسط پلیس فتا انجام می‌شود.

۹. آیا دسترسی غیرمجاز و سرقت داده با هم تعدد جرم دارند؟

خیر، رویه قضایی دسترسی غیرمجاز را مقدمه سرقت داده دانسته و تعدد مادی را منتفی می‌داند. در فرضی که ورود به قصد کلاهبرداری باشد نیز صرفاً مجازات کلاهبرداری رایانه‌ای اعمال می‌شود.

۱۰. مسئولیت مدیران شرکت در قبال استفاده از داده‌های سرقت‌شده توسط کارمند چیست؟

چنانچه مدیران با علم به مسروقه بودن داده‌ها از آن‌ها استفاده کنند، به عنوان معاون در جرم یا ناقض اسرار تجاری دارای مسئولیت کیفری و حقوقی جبران خسارت خواهند بود.

۱۱. مسئولیت قانونی مدیران یا شرکای تجاری در صورتی که داده‌های سرقت‌شده توسط کارمند جدید را در شرکت خود به کار گیرند چیست؟

در صورتی که مدیران یا شرکای تجاری با علم به مسروقه بودن داده‌ها (مانند کدهای منبع رقیب یا اسرار تجاری)، از آن‌ها در هدایت کسب‌وکار خود استفاده نمایند، بر اساس قواعد معاونت در جرم (ماده ۱۲۶ قانون مجازات اسلامی) یا نقض رقابت‌های مشروع موضوع مواد ۶۴ و ۶۵ قانون تجارت الکترونیک، مسئولیت کیفری و حقوقی داشته و محکوم به جبران خسارت‌های مادی و معنوی شرکت متضرر خواهند شد.

۱۲. نحوه اثبات مالکیت داده‌ها در صورت وقوع سرقت کدهای برنامه نویسی شرکت چیست؟

اثبات مالکیت از طریق ارائه قراردادهای استخدامی برنامه‌نویسان، ثبت اثر در مراجع ذی‌ربط (مانند شورای عالی انفورماتیک یا وزارت فرهنگ و ارشاد اسلامی)، سوابق زمانی ذخیره‌سازی و توسعه کدهای منبع در سیستم‌های مدیریت نسخه (مانند Git) و تطبیق ساختاری کدهای متهم با کدهای شاکی توسط کارشناس رسمی دادگستری انجام می‌شود.

نتیجه‌گیری نهایی

بزه سرقت داده در نظام حقوقی ایران تحت شمول ماده ۱۲ قانون جرایم رایانه‌ای (ماده ۷۴۰ قانون مجازات اسلامی بخش تعزیرات) تعریف شده و مجازات آن بر اساس معیار بقا یا عدم بقای عین داده‌ها نزد مالک تعیین می‌شود. تحلیل نشست‌های قضایی نشان می‌دهد که دسترسی غیرمجاز مقدمه جرم سرقت رایانه‌ای بوده و تعدد جرم در این خصوص اعمال نمی‌شود، همچنین عمل برش داده‌ها (Cut) شروع به جرم تلقی شده و فرمت یا ریست کردن اطلاعات تحت شمول تخریب داده قرار دارد. فرآیند اثبات این جرم در محاکم با تکیه بر آیین‌نامه ادله الکترونیکی و محاسبه مقدار هش داده‌های توقیف‌شده انجام می‌پذیرد. همچنین طبق قانون جدید سال ۱۴۰۳ تمامی انواع سرقت و کلاهبرداری رایانه‌ای به طور مطلق غیرقابل گذشت می‌باشند.

منابع و مستندات قانونی

مفاد قانونی

ماده ۱۲ قانون جرایم رایانه‌ای (ماده ۷۴۰ قانون مجازات اسلامی – بخش تعزیرات):
«هر کس به طور غیرمجاز داده‌های متعلق به دیگری را برباید، چنانچه عین داده‌ها در اختیار صاحب آن باشد به جزای نقدی از بیست میلیون (۲۰.۰۰۰.۰۰۰) ریال تا صد و شصت و پنج میلیون (۱۶۵.۰۰۰.۰۰۰) ریال و در غیر این صورت به حبس از نود و یک روز تا یک سال یا جزای نقدی از شصت و شش میلیون (۶۶.۰۰۰.۰۰۰) ریال تا دویست و شصت و چهار میلیون (۲۶۴.۰۰۰.۰۰۰) ریال یا هر دو مجازات محکوم خواهد شد.»

ماده ۱ قانون جرایم رایانه‌ای (ماده ۷۲۹ قانون مجازات اسلامی – بخش تعزیرات):
«هر کس به طور غیرمجاز به داده‌ها یا سامانه‌های رایانه‌ای یا مخابراتی که به وسیله تدابیر امنیتی حفاظت شده است دسترسی یابد، به حبس از نود و یک روز تا یک سال یا جزای نقدی از شصت و شش میلیون (۶۶.۰۰۰.۰۰۰) ریال تا دویست و شصت و چهار میلیون (۲۶۴.۰۰۰.۰۰۰) ریال یا هر دو مجازات محکوم خواهد شد.»

ماده ۸ قانون جرایم رایانه‌ای (ماده ۷۳۶ قانون مجازات اسلامی – بخش تعزیرات):
«هر کس به طور غیرمجاز داده‌های دیگری را از سامانه‌های رایانه‌ای یا مخابراتی یا حامل‌های داده حذف یا تخریب یا مختل یا غیرقابل پردازش کند به حبس از شش ماه تا دو سال یا جزای نقدی از هشتاد و دو میلیون و پانصد هزار (۸۲.۵۰۰.۰۰۰) ریال تا سیصد و سی میلیون (۳۳۰.۰۰۰.۰۰۰) ریال یا هر دو مجازات محکوم خواهد شد.»

قانون اصلاح ماده (۱۰۴) قانون مجازات اسلامی (مصوب ۱۴۰۳/۰۲/۲۵):
«ماده واحده- در ماده (۱۰۴) قانون مجازات اسلامی اصلاحی ۱۳۹۹/۲/۲۳ عبارت «و جرائم انتقال مال غیر و کلاهبرداری موضوع ماده (۱) قانون تشدید مجازات مرتکبین ارتشاء و اختلاس و کلاهبرداری مصوب ۱۳۶۷/۹/۱۵ مجمع تشخیص مصلحت نظام به شرطی که مبلغ آن از نصاب مقرر در ماده (۳۶) این قانون بیشتر نباشد و نیز کلیه جرائم در حکم کلاهبرداری و جرائمی که مجازات کلاهبرداری درباره آنها مقرر شده یا طبق قانون کلاهبرداری محسوب میشود در صورت داشتن بزه دیده و سرقت موضوع مواد (۶۵۶)، (۶۵۷)، (۶۶۱) و (۶۶۵) کتاب پنجم قانون مجازات اسلامی تعزیرات و مجازاتهای بازدارنده مصوب ۱۳۷۵/۳/۲ به شرطی که ارزش مال مورد سرقت بیش از دویست میلیون (۲۰۰،۰۰۰،۰۰۰) ریال نباشد و سارق فاقد سابقه مؤثر کیفری باشد» حذف می شود.»

ماده ۶۴ قانون تجارت الکترونیک (مصوب ۱۳۸۲):
«به منظور حمایت از رقابت‌های مشروع و عادلانه در بستر مبادلات الکترونیکی، تحصیل غیرقانونی اسرار تجاری و اقتصادی اشخاص و یا افشای آن برای اشخاص ثالث در محیط الکترونیکی جرم محسوب و مرتکب به مجازات مقرر در این قانون محکوم خواهد شد.»

ماده ۶۵ قانون تجارت الکترونیک (مصوب ۱۳۸۲):
«اسرار تجاری الکترونیکی «داده پیام»ی است که شامل فرمول‌ها، الگوها، برنامه‌ها، ابزارها، روش‌ها، تکنیک‌ها، فرآیندها، تالیفات، روش‌های انتقال اطلاعات، اسامی و مشخصات مشتریان، طرح‌های تجاری، لیست فروشندگان و خریداران، اطلاعات مالی، نقشه کاربری، طرح‌های ساخت و ارزیابی و دسترسی به اطلاعات مزبور می‌باشد که به طور مستقل دارای ارزش اقتصادی بوده و در دسترس عموم قرار ندارد و تلاش‌های متعارفی برای حفظ محرمانگی آن انجام شده است.»

آرا قضایی و آرا وحدت رویه

رای وحدت رویه شماره ۷۲۹ هیأت عمومی دیوان عالی کشور (۱۳۹۱/۱۲/۰۱):
دستورالعمل و صلاحیت محلی دادسراها در بزه کلاهبرداری رایانه‌ای ناشی از سرقت داده‌های کارت عابر بانک:
«نظر به اینکه در جرم کلاهبرداری مرتبط با رایانه، هرگاه تمهید مقدمات و نتیجه حاصله از آن در حوزه‌های قضایی مختلف صورت گرفته باشد، دادگاهی که بانک افتتاح‌کننده حساب زیان‌دیده که پول به طور متقلبانه از آن برداشت شده در حوزه آن قرار دارد، صالح به رسیدگی است؛ بنا به مراتب رای شعبه هفدهم دیوان عالی کشور که با این نظر انطباق دارد به اکثریت آرا صحیح و قانونی تشخیص می‌گردد.»

رای شعبه ۳۸ دادگاه تجدیدنظر استان تهران (پرونده دسترسی به داده‌های ایمیل):
این رای تصریح دارد بزه دسترسی غیرمجاز و ربودن اطلاعات ارتباطی (نظیر ایمیل) توسط کارمندان دولت دارای جنبه عمومی غیرقابل گذشت است و رضایت شاکی خصوصی مانع از تعقیب کیفری متهم نخواهد بود و مجازات حبس مقرر در قانون با اعمال تخفیف به جزای نقدی تبدیل می‌شود.

نظریات مشورتی اداره کل حقوقی قوه قضاییه

نظریه مشورتی شماره ۷/۱۴۰۱/۹۸۰ مورخ ۱۴۰۱/۰۷/۳۰:
«بازیابی فایل‌های ریکاوری‌شده بدون ذخیره کردن آن به نحوی که در استعلام آمده، در قانون عمل (رفتار) مجرمانه شناخته نشده است ولی چنانچه فایل‌های بازیابی‌شده را به هرنحوی ذخیره نماید موضوع می‌تواند از مصادیق ماده ۱۲ قانون جرایم رایانه‌ای مصوب ۱۳۸۸/۳/۵ محسوب گردد (ماده ۷۴۰ قانون مجازات اسلامی ۱۳۷۵).»

نظریه مشورتی شماره ۷/۹۹/۱۴۸۴ مورخ ۱۳۹۹/۱۲/۲۶:
«داده‌های موجود در گوشی همراه، صرف‌نظر از اینکه نحوه دسترسی به آن‌ها غیرمجاز بوده است، حسب مورد می‌تواند با تشخیص قاضی به عنوان دلیل یا قرینه جرم محسوب شود و تحصیل نامشروع دلیل مانع استناد قاضی نیست. اما با توجه به اطلاق ماده ۱ قانون جرایم رایانه‌ای (ماده ۷۲۹ قانون مجازات اسلامی)، مرتکب دسترسی غیرمجاز به دلیل نقض تدابیر امنیتی، به طور مستقل قابل تعقیب کیفری و مجازات است.»

نظریه مشورتی شماره ۷/۹۵/۲۶۵۶ مورخ ۱۳۹۵/۱۰/۱۹:
«در فرضی که فردی کارت عابر بانک دیگری را سرقت نماید و با وارد کردن رمزی که روی کارت نوشته شده از خودپرداز پول برداشت کند، عمل برداشت وجه مشمول ماده ۷۴۱ قانون مجازات اسلامی (ماده ۱۳ قانون جرایم رایانه‌ای) است. اگر کارت عابر بانک نیز از طریق سرقت فیزیکی تحصیل شده باشد، مرتکب مشمول تعدد مادی جرم (سرقت فیزیکی کارت و کلاهبرداری رایانه‌ای) خواهد بود.»

نشست‌های قضایی رسمی

نشست قضایی بندر کنگان (تاریخ برگزاری ۱۳۹۹/۰۳/۲۷):
موضوع: تعدد جرم ورود غیرمجاز و سرقت داده‌ها.
نظر اکثریت: دسترسی غیرمجاز مقدمه لازم و ملزوم سرقت داده است و قواعد تعدد مادی جرم اعمال نمی‌شود.
نظر هیئت عالی: فرض پرسش (ورود غیرمجاز داده برای برداشت) از مصادیق بزه ماده ۷۴۱ قانون مجازات اسلامی (کلاهبرداری رایانه‌ای) است و تنها یک جرم وقوع یافته است و لذا با لحاظ وحدت عنصر قانونی یاد شده بحث تعدد جرم منتفی است.

نشست قضایی گرمه (تاریخ برگزاری ۱۴۰۱/۱۲/۰۴):
موضوع: بررسی قابل گذشت بودن جرایم سرقت و کلاهبرداری رایانه‌ای.
نظر هیئت عالی: با توجه به ماده ۱۰۴ قانون مجازات اسلامی، دیدگاهی که معتقد به غیرقابل‌گذشت بودن جرایم مذکور است، مورد تأیید می‌باشد. (توضیح: این امر متعاقباً با قانون اصلاح ماده ۱۰۴ مصوب ۱۴۰۳/۰۲/۲۵ صراحتاً در خصوص تمامی سرقت‌ها و کلاهبرداری‌ها تثبیت و نهایی شد).

نشست قضایی کرمان (تاریخ برگزاری ۱۳۹۷/۰۷/۰۹):
موضوع: ریست اطلاعات گوشی تلفن همراه دیگری.
نظر اکثریت: جرم سرقت محقق نشده و موضوع مشمول ماده ۷۳۶ قانون مجازات اسلامی (ماده ۸ قانون جرایم رایانه‌ای – تخریب داده‌ها) می‌باشد. تحویل‌دهنده گوشی به عنوان فاعل معنوی مجازات خواهد شد.