Art. 287 k.k. - Co grozi za oszustwo komputerowe i jak się bronić?

Art. 287 k.k. należy do tych przepisów, które w cybersprawach robią najwięcej pracy, bo obejmują bezupoważnioną ingerencję w dane i automatyczne przetwarzanie informacji po to, by uzyskać korzyść albo wyrządzić szkodę. W praktyce art. 287 kk pojawia się najczęściej przy nadużyciach wokół płatności internetowych, kodów BLIK, podmianie zapisów transakcji i innych działaniach, w których człowiek jest tylko jednym z elementów, a sedno tkwi w systemie. Pokażę tu, co dokładnie oznacza ten przepis, jak odróżnić go od klasycznego oszustwa, jaka kara grozi i jak takie sprawy zwykle trafiają do policji albo prokuratury.

Co naprawdę chroni ten przepis

Jeżeli mam sprowadzić ten przepis do jednego zdania, chodzi o sytuację, w której ktoś bez zgody ingeruje w automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych albo zmienia zapis danych, aby osiągnąć korzyść majątkową lub wyrządzić komuś szkodę. To nie jest przepis o samym „byciu w internecie” ani o każdym naruszeniu bezpieczeństwa systemu. Tu liczy się konkretna manipulacja danymi i konkretny cel.

Trzy elementy, które zwykle trzeba wykazać

• Brak upoważnienia - sprawca nie ma prawa ingerować w system albo dane.
• Ingerencja w dane lub ich przetwarzanie - zmiana, usunięcie, wprowadzenie nowego zapisu albo wpływ na automatyczny obieg danych.
• Cel majątkowy albo wyrządzenie szkody - przepis działa nie tylko przy zamiarze zysku, ale też przy działaniu „na zniszczenie” czy sabotowaniu cudzych interesów.

To właśnie ten ostatni element sprawia, że przepis bywa szerszy, niż wielu osobom się wydaje. Z tego miejsca łatwo przejść do najczęstszych przykładów, bo dopiero na nich widać, gdzie kończy się zwykły scam, a zaczyna odpowiedzialność z art. 287 k.k.

Jakie zachowania najczęściej podpadają pod ten przepis

W praktyce najwięcej spraw kręci się wokół płatności, automatycznych przelewów, paneli bankowych, platform sprzedażowych i systemów, które same przetwarzają dane transakcyjne. Dobry przykład dała Prokuratura Okręgowa w Krakowie w marcu 2026 r., opisując postępowanie dotyczące sztucznie generowanych kodów BLIK.

• Generowanie lub podmienianie kodów płatniczych - jeśli sprawca wprowadza kod wcześniej niż prawowity użytkownik i przechwytuje transakcję, problem dotyczy już działania systemu, a nie tylko „namawiania do zapłaty”.
• Zmiana danych transakcyjnych - podmiana kwoty, numeru rachunku, tytułu płatności albo innego zapisu, który system przetwarza automatycznie.
• Usuwanie lub dodawanie zapisów - np. kasowanie śladu operacji, dopisywanie fikcyjnej transakcji albo fałszowanie historii w systemie księgowym lub sprzedażowym.
• Ingerencja w proces autoryzacji - gdy sprawca nie tylko zdobywa dane, ale realnie wpływa na to, co system uzna za prawidłowe.
• Sabotaż połączony z korzyścią majątkową - np. blokowanie cudzego procesu sprzedaży, żeby przejąć płatność albo wymusić błędny zapis.

Nie każdy internetowy przekręt wpada jednak do tej samej szuflady. Właśnie dlatego warto zestawić ten przepis z klasycznym oszustwem z art. 286 k.k., bo różnica bywa decydująca dla całej sprawy.

Dlaczego ten przepis różni się od klasycznego oszustwa

Najprościej mówiąc, art. 286 k.k. dotyczy przede wszystkim wprowadzenia człowieka w błąd, a art. 287 k.k. - ingerencji w dane i automatyczne przetwarzanie. W praktyce oba przepisy mogą występować obok siebie, ale nie są tym samym. To rozróżnienie ma znaczenie nie tylko akademickie; ono zmienia opis czynu, dowody i sposób argumentacji w postępowaniu.

Jeżeli widzę sprawę, w której sprawca tylko wyłudził dane, ale nie ruszył samego procesu przetwarzania, najczęściej bliżej jej do art. 286 k.k. niż do art. 287 k.k. Gdy jednak manipulacja dotyka samego systemu, różnica robi się bardzo wyraźna. Z tego wynika naturalnie pytanie o sankcje i o to, kiedy sąd traktuje czyn jako mniej poważny.

Jaka kara grozi i kiedy sąd patrzy łagodniej

Za typ podstawowy grozi kara pozbawienia wolności od 3 miesięcy do 5 lat. W wypadku mniejszej wagi ustawodawca przewiduje grzywnę, ograniczenie wolności albo pozbawienie wolności do roku. To spory zakres, ale nie oznacza automatyzmu: sąd patrzy na skalę działania, wysokość szkody, stopień przygotowania, powtarzalność i to, czy sprawca próbował naprawić skutki.

Od czego zależy ocena wypadku mniejszej wagi

• Wartość szkody - im mniejsza i szybciej naprawiona, tym większa szansa na łagodniejszą ocenę.
• Skala działania - jednorazowy incydent i zorganizowany proceder to nie jest to samo.
• Stopień zaawansowania technicznego - prosta jednorazowa ingerencja jest oceniana inaczej niż długotrwałe, dobrze przygotowane działanie.
• Postawa sprawcy - przyznanie się, zwrot korzyści i naprawa szkody potrafią realnie zmienić obraz sprawy.
• Tryb ścigania - w zwykłych przypadkach sprawa idzie z urzędu, ale przy osobie najbliższej ustawodawca dopuszcza tryb wnioskowy.

W mojej ocenie właśnie tu pojawia się najwięcej nieporozumień: ludzie zakładają, że wszystko zależy od kwoty. To za mało. W cybersprawach liczy się także sposób działania i to, czy sprawca faktycznie przejął kontrolę nad danymi. A to prowadzi do pytania, jak organy ścigania takie sprawy zbierają i udowadniają.

Jak policja i prokuratura budują materiał dowodowy

W sprawach z art. 287 k.k. organy zwykle nie zaczynają od abstrakcyjnej kwalifikacji, tylko od odtworzenia całej ścieżki zdarzenia: skąd poszedł dostęp, kto wykonał operację, jakie dane zostały zmienione i jaki był skutek finansowy. W policyjnej statystyce art. 287 figuruje osobno jako oszustwo komputerowe, co dobrze pokazuje, że to już odrębna kategoria, a nie tylko „podtyp internetu”.

W praktyce najważniejsze są:

• historia logowań i adresy IP, jeśli bank lub platforma je udostępnia;
• potwierdzenia transakcji, numery operacji i dokładne godziny;
• zrzuty ekranu czatów, ogłoszeń, profili i linków;
• nagłówki wiadomości e-mail, jeśli sprawa zaczęła się od korespondencji;
• informacja, kiedy dokładnie doszło do pierwszego nieprawidłowego zapisu;
• dane z urządzenia pokrzywdzonego, jeśli konieczna jest analiza techniczna.

To właśnie logi i ścieżka transakcji zwykle rozstrzygają, czy mamy zwykły phishing, czy już manipulację danymi. Najgorszy błąd to kasowanie śladów po zdarzeniu. Jeśli ktoś usuwa wiadomości, resetuje urządzenie i dopiero potem zastanawia się nad zgłoszeniem, sam sobie odbiera część materiału dowodowego. Dlatego w następnej sekcji przechodzę już do działań praktycznych: co zrobić od razu, a czego nie robić pod presją emocji.

Co zrobić od razu, gdy sprawa dotyczy ciebie

Jeżeli jesteś pokrzywdzony, działaj w tej kolejności: najpierw bezpieczeństwo finansowe i cyfrowe, potem formalności. Jeżeli natomiast obawiasz się, że twoje działania mogą zostać ocenione pod kątem karnym, nie improwizuj. W takich sprawach chaotyczne tłumaczenia często tylko komplikują sytuację.

Jeśli jesteś pokrzywdzony

• natychmiast skontaktuj się z bankiem albo operatorem płatności i zablokuj dostęp, jeśli to możliwe;
• zapisz godziny, numery transakcji i kwoty;
• zabezpiecz korespondencję, screenshoty, historię czatu i potwierdzenia;
• złóż zawiadomienie na policji lub w prokuraturze, nie czekając na „lepszy moment”;
• sprawdź, czy bank przewiduje reklamację, chargeback albo inne procedury odwoławcze;
• jeśli sprawa dotyczy konta służbowego, od razu poinformuj dział bezpieczeństwa lub administratora systemu.

Przeczytaj również: Co grozi za kradzież tablic rejestracyjnych? Zobacz nowe kary

Jeśli obawiasz się zarzutu

• nie kasuj danych i nie modyfikuj urządzeń używanych do zdarzenia;
• zapisz własną wersję chronologii zdarzeń, zanim pamięć zacznie się mieszać;
• oddziel błąd cywilny od odpowiedzialności karnej, bo to nie zawsze jest to samo;
• jeżeli sprawa jest poważna, szybka konsultacja z obrońcą jest rozsądniejsza niż spontaniczne wyjaśnienia składane bez przygotowania;
• nie zakładaj, że brak fizycznego kontaktu z ofiarą wyklucza odpowiedzialność.

W cybersprawach czas ma większe znaczenie, niż wielu osobom się wydaje. Im szybciej zostaną zabezpieczone dane, tym większa szansa na odzyskanie śladu i trafną kwalifikację czynu. Z tego wynika ostatnia rzecz, którą chcę podkreślić: dlaczego precyzja kwalifikacji naprawdę zmienia wynik całej sprawy.

Dlaczego precyzyjna kwalifikacja decyduje o wyniku sprawy

Jeżeli miałbym zostawić jedną praktyczną myśl, to byłaby taka: w sprawach cyberprzestępstw nie wygrywa ten, kto najszybciej rzuci hasłem „oszustwo”, tylko ten, kto umie opisać mechanizm działania krok po kroku. To właśnie od tego zależy, czy sprawa będzie opisana jako klasyczne oszustwo, oszustwo komputerowe, czy jeszcze inny czyn z rozdziału o przestępstwach przeciwko mieniu.

• Dla ofiar - liczy się szybkość, bo dowody cyfrowe znikają szybciej niż papierowe.
• Dla firm - kluczowe są logi, dostęp administracyjny i procedura reagowania na incydent.
• Dla podejrzanych - najważniejsze jest to, by nie pogorszyć sytuacji chaotycznym usuwaniem śladów.

W praktyce art. 287 k.k. jest przepisem bardzo technicznym, ale dla czytelnika najważniejszy wniosek jest prosty: jeśli ktoś nie tylko kogoś „wkręca”, lecz manipuluje danymi albo systemem płatniczym, wchodzimy już na teren odpowiedzialności karnej o wyraźnie cybernetycznym charakterze. A jeśli sprawa dotyczy twojego konta, przelewu albo kodu BLIK, pierwsze godziny po zdarzeniu są zwykle ważniejsze niż późniejsze wyjaśnienia.