От приписок до «кибератаки»

А за неправомерное воздействие на КИИ уже привлекают к уголовной ответственности. И не хакеров, а медиков. Заведующая ФАПом занималась приписками — история, распространенная в российской медицине. Только приговор оказался нетипичным: помимо служебного подлога, следствие и суд усмотрели неправомерное воздействие на критическую информационную инфраструктуру. Статья, которая ассоциируется с кибератаками, применена к заполнению электронных талонов. Разбираем, насколько обоснована такая квалификация, при чем здесь РМИС и КИИ и что из этой истории следует вынести медработникам и руководителям медорганизаций.

17 тысяч за 90 талонов

Заведующая ФАПом вносила заведомо ложные сведения об оказании медицинской помощи жителям обслуживаемой территории.

Преступная схема состояла в том, что подсудимая заполнила электронные формы «Талон пациента, получающего медицинскую помощь в амбулаторных условиях» на пятерых граждан, которые фактически за медпомощью не обращались. Таким способом заведомо недостоверные данные попали в РМИС. Всего было оформлено 90 талонов, и по ним ТФОМС перечислил ЦРБ, подразделением которой являлся ФАП, 17,3 тыс. рублей.

Эти действия следствие и суд квалифицировали сразу по двум составам:

• ч. 2 ст. 292 УК РФ — служебный подлог, повлекший существенное нарушение охраняемых законом интересов общества и государства;
• ч. 4 ст. 274.1 УК РФ — неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации, повлекшее причинение вреда критической информационной инфраструктуре Российской Федерации, совершенное с использованием своего служебного положения.

За все − 3 года 2 месяца лишения свободы условно. Большую часть в этой «сумме» составило неправомерное воздействие на КИИ – по нему суд назначил 3 года 1 месяц.

Сама заведующая своей вины не отрицала, а на следствии даже написала явку с повинной, и приговор не оспаривала – возможно, ее устроило то, что суд оставил дома, а не отправил на реальный срок.

Любопытно, что существенность нарушения охраняемых законом интересов общества и государства суд усмотрел в необоснованном перечислении денежных средств, а также дискредитации медучреждения перед общественностью.

Что не так?

Эксперт НАЭЦЗ, юрист уголовно-правовой специализации Наталья Ковалевская:

«В этом деле примечательны следующие моменты.

Обоснование квалифицирующего признака подлога весьма спорно.

Конституционный Суд отмечает, что существенное нарушение прав и законных интересов — оценочное понятие, которое получает содержание в зависимости от фактических обстоятельств конкретного дела (п. 4.3 мотивировочной части постановления от 24.05.2021 № 21-П).

Пленум Верховного Суда при оценке существенности предписывает учитывать такие обстоятельства, как степень отрицательного влияния преступления и дезорганизующее воздействие (п. 18 Постановления Пленума Верховного Суда РФ от 16.10.2009 № 19).

Вызывает вопросы и оценка необоснованной оплаты 17 тысяч как дезорганизующего события, учитывая общие масштабы финансовых санкций к медучреждениям, которые достигают сотен тысяч и миллионов.

Кроме того, в приговоре не приведено ни одного доказательства того, что больница каким-либо образом пала в глазах общественности. А репутационные потери, как и в гражданских делах, не презюмируются и должны доказываться.

Второй, и даже более важный момент – дополнительная квалификация по ч. 4 ст. 274.1 УК РФ.

Следствие и суд расширительно истолковали разъяснения Пленума Верховного Суда РФ. Согласно этим разъяснениям, если преступление в сфере компьютерной информации (в том числе неправомерное воздействие на КИИ) становится способом совершения другого преступления, содеянное квалифицируется по совокупности: предикатное преступление (например, мошенничество) и состав из главы 28 УК РФ.

Однако обстоятельства дела выглядят иначе: сначала был подлог – преступление окончено в тот момент, как в документ попали недостоверные сведения, и он получил все необходимые реквизиты (в данном случае – заполнение всей электронной формы талона и удостоверение электронной подписью). А уже потом этот документ попал в РМИС.

Поэтому представляется, что все действия охватываются подлогом и дополнительной квалификации не требуют.

Есть примеры, когда суды следуют подобной логике: по делу специалиста салона связи, который незаконно выгружал и передавал детализации телефонных соединений граждан, произошло именно так – суд исключил дополнительную квалификацию по ст. 274.1 УК РФ как излишне вмененную и осудил за нарушение тайны телефонных переговоров (6 эпизодов).

Приговор не оспаривался, и в вышестоящих инстанциях дело не проверялось.

Однако уже есть прецедент, когда в аналогичных обстоятельствах (фигурантом тоже стала заведующая ФАП) кассация усомнилась в обоснованности осуждения за неправомерное воздействие на КИИ. Одним из мотивов отмены апелляционного определения по делу было то, что не установлено, как именно внесение недостоверных сведений могло повлиять на безопасность обрабатываемых данных и их хранение.

То есть, недостаточно одной принадлежности к объектам КИИ системы, в которую попадают недостоверные данные или осуществляется неправомерный доступ. Для привлечения к уголовной ответственности нужны и другие признаки, в том числе конкретные доказательства нарушения работы ИС.

Однако эти примеры говорят и о другом: для медработников появились новые риски уголовной ответственности. С учетом повышенного внимания к информационной безопасности во многих сферах, включая медицину, что неизбежно связано с активной цифровизацией, статья 274.1 УК РФ может попасть в категорию «рейтинговых» для следственных органов. А если учесть, что отдельные ее части относятся к тяжким составам, создается возможность и для назначения реальных сроков. Будут ли суды их назначать – вопрос открытый. Но даже если срок условный, три года с ограничениями, причитающимися этому варианту исполнения наказания, довольно ощутимо влияют и на качество жизни, и на профессиональную реализацию».