Decizia ÎCCJ nr. 53/2022 (HP)Punctul VI

VI. Opinia specialiștilor consultați În conformitate cu dispozițiile art. 476 alin. (10) raportat la art. 473 alin. (5) din Codul de procedură penală a fost solicitată specialiștilor în drept penal opinia asupra chestiunii de drept supuse examinării. Universitatea de Vest din Timișoara - Facultatea de Drept - Centrul de Cercetări în Științe Penale a opinat în sensul că sesizarea formulată de Curtea de Apel București - Secția I penală nu este admisibilă, apreciind că problema de drept a fost soluționată prin Decizia nr. 15 din 14 octombrie 2013, publicată în Monitorul Oficial al României, Partea I, nr. 760 din 6 decembrie 2013, prin care Înalta Curte de Casație și Justiție a statuat că „Folosirea la bancomat a unui card bancar autentic, fără acordul titularului său, în scopul efectuării unor retrageri de numerar, constituie infracțiunea de efectuare de operațiuni financiare în mod fraudulos prin utilizarea unui instrument de plată electronică, inclusiv a datelor de identificare care permit utilizarea acestuia, prevăzută de art. 27 alin. (1) din Legea nr. 365/2002, în concurs ideal cu infracțiunea de acces, fără drept, la un sistem informatic, comisă în scopul obținerii de date informatice prin încălcarea, măsurilor de securitate, prevăzută de art. 42 alin. (1) , (2) și (3) din Legea nr. 161/2003“. Pe fondul chestiunii de drept supuse dezlegării a opinat în sensul că folosirea fără drept a unui card bancar, în modalitatea contactless, la un terminal POS, pentru achitarea unor produse, întrunește elementele constitutive a două infracțiuni, respectiv acces ilegal la un sistem informatic, prevăzută de art. 360 alin. (1) din Codul penal, și efectuarea de operațiuni financiare în mod fraudulos, prevăzută de art. 250 alin. (1) din Codul penal, în formă tentată sau consumată, în funcție de efectuarea propriu-zisă a tranzacției. În susținerea acestei opinii s-a arătat că infracțiunea prevăzută de art. 250 din Codul penal are ca obiect juridic principal relațiile sociale referitoare la patrimoniul persoanei titulare a instrumentului de plată fără numerar (în cazul speței -cardul bancar), iar ca obiect juridic secundar relațiile sociale privind încrederea publică în instrumentele de plată electronică. Interesul juridic protejat este și acela al proprietarului instrumentului de plată electronică (emitentul, instituția financiară etc.), dar și al deținătorului ori utilizatorului de drept al respectivului mijloc electronic, identificat prin intermediul datelor informatice de identificare stocate sau vehiculate în sistemul informatic al emitentului. Aceeași infracțiune are ca obiect material instrumentul de plată fără numerar/instrumentul de plată electronică, astfel cum este definit de art. 180 din Codul penal și art. 1 pct. 11 și 12 din Legea nr. 365/2002 privind comerțul electronic, respectiv ca un instrument care permite titularului său să efectueze următoarele tipuri de operațiuni: – transferuri de fonduri, altele decât cele ordonate și executate de către instituții financiare; ... – retrageri de numerar, precum și încărcarea și descărcarea unui instrument de monedă electronică (categorie în care includem cardurile bancare de credit sau debit). ... În același timp, infracțiunea prevăzută de art. 360 din Codul penal are ca obiect juridic relațiile sociale referitoare la sistemele informatice și utilizarea acestora, relațiile sociale prin care se creează un cadru sigur și inviolabil al spațiului informatic, precum și relațiile sociale privitoare la siguranța datelor informatice. Interesul juridic protejat este acela al proprietarului, deținătorului sau utilizatorului de drept (legal) al sistemului informatic, dar și al proprietarului, deținătorului ori utilizatorului de drept al datelor informatice, stocate sau vehiculate în respectivul sistem informatic. Obiectul material al infracțiunii de acces ilegal la un sistem informatic constă în entitățile materiale care compun sistemele informatice (elemente hardware - calculatoare, rețele de calculatoare, telefoane inteligente, tablete, echipamente periferice etc. - și software - BIOS, sisteme de operare, programe, aplicații, baze de date etc.) și în datele informatice spre care se îndreaptă atenția făptuitorului. Legiuitorul a inclus fiecare dintre cele două infracțiuni în două titluri diferite - art. 250 în titlul II al părții speciale a Codului penal - Infracțiuni contra patrimoniului, cap. IV - Fraude comise prin sisteme informatice și mijloace de plată electronice și, respectiv, art. 360 în titlul VII - Infracțiuni contra siguranței publice, cap. VI - Infracțiuni contra siguranței și integrității sistemelor și datelor informatice. Deci, scopul interzicerii acestor două fapte este diferit, iar între ele poate fi stabilită o legătură mijloc-scop, infracțiunea de acces ilegal la un sistem informatic putând fi mijlocul prin care se comite infracțiunea de efectuare de operațiuni financiare în mod fraudulos. Utilizarea unui card în modalitatea contactless la ATM/POS presupune o accesare ilegală a unui sistem informatic și, dacă s-a realizat retragerea de numerar sau realizarea de plăți, se va reține și infracțiunea de efectuare de operațiuni financiare în mod fraudulos în formă consumată, în concurs ideal. Dacă retragerea de numerar/plata nu s-a putut efectua din cauza refuzului băncii, blocării cardului în ATM sau altor cauze, se va reține în concurs doar o tentativă la art. 250 alin. (1) din Codul penal. Universitatea Titu Maiorescu - Facultatea de Drept a opinat în sensul că folosirea fără drept a unui card bancar, în modalitatea contactless, la un terminal POS, pentru achitarea unor produse, întrunește elementele constitutive a două infracțiuni, respectiv acces ilegal la un sistem informatic, prevăzută de art. 360 alin. (1) din Codul penal, și efectuarea de operațiuni financiare în mod fraudulos, prevăzută de art. 250 alin. (1) din Codul penal (în formă tentată sau consumată, în funcție de efectuarea propriu-zisă a tranzacției). În susținerea acestei opinii s-a arătat că infracțiunea prevăzută de art. 250 alin. (1) din Codul penal prezintă mai multe variante alternative prin care poate fi comisă, acestea fiind retragerea de numerar, încărcarea sau descărcarea unui instrument de monedă electronică ori de transfer de fonduri, valoare monetară sau monedă virtuală, prin utilizarea, fără consimțământul titularului, a unui instrument de plată fără numerar sau a datelor de identificare care permit utilizarea acestuia. Infracțiunea prevăzută de art. 360 alin. (1) din Codul penal constă în accesul, fără drept, la un sistem informatic. Sistemul informatic este definit de legislația penală ca fiind orice dispozitiv sau ansamblu de dispozitive interconectate sau aflate în relație funcțională, dintre care unul sau mai multe asigură prelucrarea automată a datelor, cu ajutorul unui program informatic. Cardul bancar este definit ca „un instrument de plată electronică, respectiv un suport de informație standardizat, securizat și individualizat, care permite deținătorului său să utilizeze disponibilitățile bănești proprii dintr-un cont deschis pe numele său la emitentul cardului ori să utilizeze o linie de credit, în limita unui plafon stabilit în prealabil, deschisă de emitent în favoarea deținătorului cardului“. Terminalul POS, denumirea prescurtată conform uzanțelor internaționale a expresiei „terminalul pentru transferul electronic de fonduri la punctul de vânzare (Electronic Funds Transfer at Point of Sale)“, este un „dispozitiv ce permite, prin mijloace electronice, preluarea, prelucrarea, stocarea și transmiterea de informații privind plata cu card și/sau cu un instrument de plată de tip monedă electronică, efectuată la punctele de vânzare, de obicei cu amănuntul, ale comerciantului acceptant. Din punctul de vedere al accesului la datele administrate de o unitate centrală, prin utilizarea combinată a tehnicilor de transmisie și prelucrare a datelor, un terminal poate opera în timp real (online) sau cu decalaj în timp (offline)“. De asemenea, operațiunea de autorizare a plății cu card este definită ca operațiunea care constă într-un ansamblu de metode și proceduri, prevăzute prin contract, prin care comerciantul acceptant/terminalul transmite emitentului sau procesorului informațiile referitoare la un card și solicită acestuia transmiterea unui răspuns privind confirmarea validității cardului și acceptarea efectuării tranzacției. Ca atare, efectuarea unei plăți la un terminal POS (indiferent de metoda de plată aleasă) presupune o serie de operațiuni care implică mai multe sisteme informatice prin care sunt prelucrate o serie de date informatice referitoare la un card bancar în vederea confirmării validității cardului bancar și acceptării efectuării tranzacției. Din analiza elementului material al infracțiunii prevăzute de art. 360 alin. (1) din Codul penal rezultă că pentru reținerea acestei infracțiuni este necesar să fie accesat un sistem informatic, fără drept, fără a fi impuse anumite cerințe specifice de securitate, cum ar fi introducerea unui cod PIN. Plata prin intermediul unui terminal POS presupune o serie de operațiuni informatice care implică mai multe sisteme informatice prin intermediul cărora sunt prelucrate, preluate, stocate și transmise informații privind valabilitatea unui card bancar și acceptarea unei plăți. Prin urmare, se poate reține cu certitudine că efectuarea unei plăți contactless presupune accesul la un sistem informatic, indiferent dacă se solicită sau nu introducerea unui cod PIN, singura persoană autorizată să aibă acces la respectivul sistem informatic fiind deținătorul cardului bancar. Universitatea Babeș-Bolyai - Facultatea de Drept a opinat în sensul că folosirea fără drept a unui card bancar, în modalitatea contactless, la un terminal POS, pentru achitarea unor produse, întrunește exclusiv elementele constitutive ale infracțiunii de efectuare de operațiuni financiare în mod fraudulos, prevăzută de art. 250 alin. (1) din Codul penal (în formă tentată sau consumată, în funcție de efectuarea propriu-zisă a tranzacției). În susținerea acestei opinii s-a arătat că prin art. 360 din Codul penal se urmărește protecția integrității datelor, caracterul accesibil al acestora și caracterul privat al acestora. Noțiunea de acces la un sistem informatic presupune o interacțiune logică cu acesta, interacțiune care să permită, cel puțin la nivel teoretic, vizualizarea sau manipularea datelor informatice din respectivul sistem informatic. Raportat la posibilitățile extrem de limitate de accesare ale sistemului informatic pe care plata contactless la un terminal POS le permite, o astfel de conduită nu atinge pragul minim de intruziune cerut de interpretarea teleologică a noțiunii de acces fără drept la un sistem informatic. ...