Co traktat ONZ o cyberprzestępczości może oznaczać dla Twojej firmy

Mało znane porozumienie Organizacji Narodów Zjednoczonych ma na celu zacieśnienie współpracy między narodami w zakresie ścigania cyberprzestępczości. Oto dlaczego jest ono istotne i jak może wpłynąć na Twoją organizację.

W przypadku przestępstw takich jak napady czy porwania, zarówno przestępcy, jak i ofiary muszą wchodzić w bezpośrednie interakcje osobiste, więc jest oczywiste, że obie strony muszą znajdować się w tym samym kraju, aby przestępstwo mogło zostać popełnione. Takimi czynami zajmują się władze lokalne i/lub federalne. Jednak cyberprzestępstwa obejmujące na przykład kradzież danych i ransomware mogą być (i często są) popełniane przez przestępców przebywających w innych krajach. W jaki sposób władze lokalne mogą reagować na takie incydenty? Brak formalnej struktury współpracy w zakresie badania tych przestępstw jest istotną luką, którą ma wypełnić Traktat Narodów Zjednoczonych o cyberprzestępczości, w czasie gdy liczba globalnych cyberataków i związanych z nimi kosztów stale rośnie.

Co obejmuje traktat ONZ o cyberprzestępczości?

Przyjęty przez całe Zgromadzenie Ogólne ONZ w grudniu 2024 roku po pięciu latach negocjacji traktat, formalnie znany jako Konwencja Narodów Zjednoczonych przeciwko cyberprzestępczości, ustanawia pierwsze uniwersalne ramy dla prowadzenia dochodzeń i ścigania przestępstw popełnianych w sieci – od ataków ransomware i oszustw finansowych po udostępnianie intymnych wizerunków bez zgody osób na nich widniejących.

Ten wielostronny traktat jest pierwszym tego rodzaju dokumentem. Został on otwarty do podpisu dla poszczególnych krajów członkowskich w październiku 2025 roku i wejdzie w życie 90 dni po tym, jak czterdziesty kraj złoży instrument ratyfikacji, przyjęcia, zatwierdzenia lub przystąpienia. Stany Zjednoczone do tej pory nie podpisały traktatu; Senat USA musiałby ostatecznie zagłosować nad rezolucją o ratyfikacji. Traktat zawiera pewne kontrowersyjne aspekty, szczególnie dotyczące zajmowania danych i prywatności w internecie, które niektóre kraje mogą zmienić lub odrzucić (więcej o tym poniżej). W każdym przypadku oczekuje się, że firmy będą musiały zmierzyć się z tym traktatem, jeśli prowadzą działalność w krajach, które go ratyfikują – podobnie jak musiały to zrobić z ogólnym rozporządzeniem o ochronie danych Unii Europejskiej (RODO), odkąd weszło ono w życie w 2018 roku.

Definiowanie cyberprzestępczości

Na podstawie kilku szybkich ankiet, które przeprowadziliśmy na konferencjach poświęconych cyberbezpieczeństwu w ostatnich miesiącach, prawie nikt (a pytaliśmy profesjonalistów z branży) nie słyszał o traktacie ONZ dotyczącym cyberprzestępczości, mimo jego oczekiwanego globalnego wpływu. Ważne jest, aby liderzy biznesu i IT zrozumieli potencjalne korzyści i ograniczenia traktatu – oraz nowe obowiązki, jakie nakłada on na wszystkie przedsiębiorstwa. Organizacje, które się przygotują, będą miały lepszą pozycję rynkową.

Traktat odnosi się do dwóch różnych, ale ważnych kwestii: Czym jest cyberprzestępstwo? I kto jest odpowiedzialny za podjęcie konkretnych działań, szczególnie jeśli chodzi o organy ścigania i firmy?

Prawa na całym świecie różnią się pod wieloma względami. Biorąc pod uwagę, że cyberprzestępstwa są stosunkowo nowym zjawiskiem i dochodzi do nich w różnych krajach w różny sposób, nie istniała standardowa definicja tego, czym właściwie jest cyberprzestępstwo. Jednym z celów traktatu jest ustanowienie podstawowego katalogu uzgodnionych cyberprzestępstw.

Kilka przykładów:

• Artykuł 7: Nielegalny dostęp. Uznaje za przestępstwo nieuprawniony dostęp do systemów technologii informacyjnych i komunikacyjnych.
• Artykuł 11: Niewłaściwe użycie urządzeń. Zakazuje produkcji, sprzedaży lub posiadania urządzeń zaprojektowanych głównie do popełniania cyberprzestępstw.
• Artykuł 14: Przestępstwa związane z materiałami dotyczącymi seksualnego wykorzystywania dzieci w internecie. Penalizuje różne działania lub materiały online związane z wykorzystywaniem seksualnym dzieci.

Jakie są nowe obowiązki organów ścigania?

Wspólne rozumienie tego, czym jest cyberprzestępstwo, może być pomocne jako materiał edukacyjny, ale nie prowadzi bezpośrednio do działań. Drugim celem traktatu jest zdefiniowanie obowiązków i opracowanie środków współpracy w celu zwalczania cyberprzestępczości.

Istnieją wymagane formy współpracy dla organów ścigania. Dwa przykłady:

• Artykuł 40: Ogólne zasady i procedury dotyczące wzajemnej pomocy prawnej. Ustanawia ramy dla międzynarodowej współpracy w dochodzeniach dotyczących cyberprzestępczości.
• Artykuł 41: Sieć 24/7. Ustanawia całodobową sieć punktów kontaktowych dostępnych w celu uzyskania natychmiastowej pomocy.

Artykuły te wyznaczają nowe działania i obowiązki dla organów ścigania w każdym kraju.

Jak traktat może wpłynąć na Ciebie?

Prawdopodobnie najważniejszym i najbardziej znaczącym aspektem traktatu są obowiązki, jakie ofiary i inni gracze mają w zakresie pomagania w dochodzeniu. Na przykład:

• Artykuł 25: Przyspieszone zabezpieczenie przechowywanych danych elektronicznych. Pozwala władzom nakazać zabezpieczenie konkretnych danych elektronicznych.
• Artykuł 28: Przeszukanie i zajęcie przechowywanych danych elektronicznych. Upoważnia władze do przeszukiwania i zajmowania danych elektronicznych.
• Artykuł 31: Zamrożenie, zajęcie i konfiskata dochodów z przestępstwa. Umożliwia konfiskatę dochodów pochodzących z cyberprzestępstw.

W tym miejscu traktat staje się kontrowersyjny: zagłębiając się w artykuły 25 i 28, traktat upoważnia władze do przeszukiwania lub uzyskiwania dostępu i zajmowania wszelkich „danych elektronicznych” w systemie komputerowym lub na cyfrowym nośniku danych. Może to wpłynąć na systemy wykraczające poza te bezpośrednio zaangażowane w cyberprzestępstwo, ponieważ pozwala władzom rozszerzyć przeszukanie na inne połączone lub zdalnie dostępne systemy, jeśli uznają one, że odpowiednie dane są dostępne z systemu docelowego. Co więcej, władze mogą sporządzać i zachowywać kopie danych oraz mogą uczynić je niedostępnymi w systemie docelowym.

Szeroki zakres uprawnień

Artykuł 28 ust. 4 traktatu wymaga od krajów posiadania przepisów, które mogą zmusić każdą osobę posiadającą wiedzę o funkcjonowaniu systemu (taką jak pracownicy docelowej firmy lub firm technologicznych, które mogły zostać zaangażowane w pomoc w odzyskiwaniu danych po cyberprzestępstwie) do dostarczenia informacji umożliwiających dostęp i nadzór śledczym ds. cyberprzestępczości. Może to obejmować wymuszenie ujawnienia kluczy szyfrujących lub luk w zabezpieczeniach.

Zakres tych uprawnień jest również szeroki i odnosi się nie tylko do konkretnych cyberprzestępstw zdefiniowanych w traktacie, ale także do szerokiej gamy „poważnych przestępstw” (ogólnie tych zagrożonych karą pozbawienia wolności w wymiarze co najmniej czterech lat), w przypadku których dowody mają formę elektroniczną, w tym przestępstw o charakterze czysto krajowym. W związku z tym niektóre aspekty traktatu będą musiały zostać ostatecznie rozstrzygnięte przez sądy, zwłaszcza kontrowersyjne kwestie dotyczące definicji „poważnych przestępstw”; istnieje na przykład możliwość, że osoby LGBTQ+ mogłyby stać się celem w 64 państwach członkowskich ONZ, w których homoseksualizm jest nielegalny.

Sprzeciw i obawy dotyczące traktatu

Międzynarodowe ramy zarządzania napotykają nieodłączne wyzwania w regulowaniu szerokiego zakresu działań cyfrowych. Główna trudność polega na odróżnieniu szkodliwego postępowania od zachowań zgodnych z prawem, biorąc pod uwagę, że interakcje online rzadko pasują idealnie do sztywnych kategorii prawnych. W rezultacie mechanizmy egzekwowania prawa w traktacie ONZ, zaprojektowane w celu zwalczania autentycznych zagrożeń, mogą nieumyślnie ograniczać zgodne z prawem działania, które przypominają te zakazane. Na przykład badacze cyberbezpieczeństwa przeprowadzający etyczne testy w celu zlokalizowania luk w zabezpieczeniach mogą naruszyć przepisy o „nielegalnym dostępie”. Platformy dla demaskatorów (whistleblowers) i inicjatywy rzecznictwa online ujawniające wykryte luki (z intencją ich naprawienia) mogą napotkać ograniczenia wynikające z szeroko sformułowanych uprawnień wykonawczych.

Priorytety regulacyjne

To napięcie jest najbardziej widoczne w podejściu traktatu do materiałów dotyczących seksualnego wykorzystywania dzieci (CSAM), które stanowią jeden z jego głównych priorytetów regulacyjnych. Chociaż panuje powszechna zgoda co do konieczności zwalczania CSAM i ochrony dzieci, wdrażanie zabezpieczeń pozostaje złożone. Zautomatyzowane technologie wykrywania często mają trudności z odróżnieniem materiałów zawierających nadużycia od legalnych treści o charakterze edukacyjnym, badawczym lub profilaktycznym. Moderatorzy treści i platformy działające w dobrej wierze mogą również zostać poddani wzmożonej kontroli pomimo ich ochronnej roli. Warto zauważyć, że istniejące ramy prawne – takie jak ustawa o ochronie prywatności dzieci w internecie (COPPA) w USA, ustawa o przestępstwach seksualnych w Wielkiej Brytanii oraz dyrektywa UE 2011/93/UE w sprawie zwalczania niegodziwego traktowania dzieci w celach seksualnych – wymagały ciągłego dopracowywania, aby zrównoważyć ochronę dzieci z legalną aktywnością online.

Poza tymi wyzwaniami operacyjnymi traktat wywołał również szersze obawy związane z prywatnością i swobodami obywatelskimi. Krytycy argumentują, że rozległe uprawnienia śledcze i transgraniczne uprawnienia wykonawcze, w połączeniu z niejasnymi definicjami i ograniczonymi zabezpieczeniami, mogą nieproporcjonalnie dotknąć dziennikarzy, obrońców praw człowieka, organizacje pozarządowe i inne organizacje obywatelskie. Analizy przeprowadzone przez Global Campus of Human Rights ostrzegają, że takie mechanizmy mogą umożliwić nadmierną inwigilację, cenzurę lub udostępnianie danych, szczególnie w jurysdykcjach o słabym nadzorze. Dlatego silniejsza ochrona prywatności i należytego procesu będzie miała kluczowe znaczenie dla zapewnienia, że traktat będzie stał na straży praw i wolności, które stara się chronić.

Jak planować z wyprzedzeniem

Do pewnego stopnia liderzy mogą myśleć o obecnym statusie Traktatu ONZ o cyberprzestępczości podobnie jak o prawie RODO wprowadzonym około dekady temu. Dokładne szczegóły tego, jak traktat wpłynie na biznes i społeczeństwo, nie są jeszcze w pełni znane, ale naszym zdaniem kilka ważnych konsekwencji wydaje się wysoce prawdopodobnych.

1. Organy ścigania otrzymają nowe globalne narzędzia do walki z coraz szerszym zasięgiem cyberprzestępczości.

To w idealnym scenariuszu pomoże nam wszystkim w walce z cyberprzestępczością. Uprawnienia te będą wykonywane przez władze krajowe, takie jak FBI w USA czy Europejskie Centrum ds. Walki z Cyberprzestępczością w UE, dzięki sieciom 24/7 umożliwiającym natychmiastową współpracę międzynarodową. Nawet firmy działające w jednym kraju mogą stanąć w obliczu skoordynowanych dochodzeń transgranicznych. Planowanie już teraz może zapobiec kosztownym zakłóceniom w przypadku wystąpienia takich działań śledczych.

2. Poszczególne firmy będą miały dodatkowe nowe obowiązki, szczególnie w zakresie przechowywania i udostępniania danych.

Ponieważ zmiana takich polityk i procedur korporacyjnych rzadko jest szybka i łatwa, najlepiej zacząć odnosić się do tych nowych obowiązków wcześniej niż później. Jak wiele firm – nawet tych spoza UE – nauczyło się na przykładzie RODO, ignorowanie takich regulacji może być bardzo kosztowne. Eksterytorialny zasięg RODO dotyczy każdej firmy, niezależnie od lokalizacji, która przetwarza dane osobowe osób w UE, oferując im towary lub usługi lub monitorując ich zachowanie. Oznacza to, że firmy spoza UE muszą przestrzegać rozporządzenia, aby uniknąć kar i chronić dane swoich klientów z UE. (Prawo to skłoniło również wiele innych krajów do przyjęcia podobnych przepisów dotyczących prywatności). Giganci technologiczni, w tym Meta, Amazon i Google, stanęli w obliczu znaczących kar z tytułu RODO, podczas gdy nawet mniejsze firmy otrzymywały grzywny za niezamówione połączenia marketingowe lub e-maile.

Poszczególne firmy będą miały dodatkowe nowe obowiązki, szczególnie w zakresie przechowywania i udostępniania danych.

3. Eksterytorialny zasięg traktatu stworzy złożone wyzwania jurysdykcyjne dla korporacji międzynarodowych.

Podobnie jak RODO dotyczy każdej firmy przetwarzającej dane obywateli UE niezależnie od lokalizacji firmy, traktat ONZ o cyberprzestępczości prawdopodobnie rozszerzy możliwości egzekwowania prawa ponad granicami. Na przykład dostawca usług chmurowych z siedzibą w USA może stanąć w obliczu jednoczesnych wniosków prawnych od władz w wielu jurysdykcjach, z których każda ma inne wymagania proceduralne i terminy. Widzieliśmy, jak ta złożoność jurysdykcyjna pojawiła się wraz z ustawą CLOUD Act z 2018 roku, kiedy to Microsoft znalazł się w potrzasku między żądaniami USA dotyczącymi danych przechowywanych w Irlandii a wymogami UE w zakresie ochrony danych.

4. Inwestycje w infrastrukturę techniczną będą niezbędne do zapewnienia zgodności.

Firmy powinny ocenić swoje możliwości logowania, kontrolę dostępu do danych oraz zdolność do szybkiego izolowania i zabezpieczania dowodów cyfrowych. Tak jak RODO wymagało od organizacji wdrożenia odpowiednich środków technicznych, tak traktat ONZ będzie wymagał podobnych zdolności, ale skupi się na zabezpieczaniu dowodów, a nie na ochronie danych. Kiedy w 2023 roku weszła w życie dyrektywa UE NIS2 (w sprawie bezpieczeństwa sieci i informacji), organizacje, które już wdrożyły solidny monitoring bezpieczeństwa, poniosły znacznie niższe koszty zapewnienia zgodności niż te zaczynające od zera.

5. Struktury ładu korporacyjnego mogą wymagać reorganizacji.

Rozważ powołanie międzyfunkcyjnego zespołu zadaniowego z przedstawicielami działów prawnych, IT, bezpieczeństwa i zgodności (compliance). Takie podejście odzwierciedla sposób, w jaki RODO napędziło tworzenie zespołów ds. prywatności i inspektorów ochrony danych w wielu organizacjach. Gdy w 2020 roku weszła w życie kalifornijska ustawa o prywatności konsumentów (CCPA), międzynarodowe firmy, które już wcześniej ustanowiły ramy zarządzania zgodne z RODO, odkryły, że mogą wykorzystać istniejące struktury zgodności do spełnienia wymogów CCPA. Ponadto jasne linie odpowiedzialności i kanały komunikacji będą niezbędne do szybkiego reagowania na wnioski międzynarodowe. Wiele z tych działań byłoby korzystnych dla firm, nawet gdyby traktat nie istniał. Zgodność z traktatem zapewniłaby krótkoterminowe korzyści w zakresie zarządzania danymi, a także długoterminowe korzyści dla organizacji.

Idealny czas dla firm na zajęcie się zmianami opisanymi w traktacie nie przypada w trakcie incydentu cyberprzestępczego. Planowanie i testowanie tych nowych procesów i procedur powinno rozpocząć się już teraz, aby dać sobie czas potrzebny na rozwiązanie złożoności, które prawdopodobnie się pojawią.