W takich okolicznościach policjant musi podjąć trudną decyzję w kwestii dalszego postępowania – jedną z opcji będzie konieczność zabezpieczenia potencjalnych dowodów przestępstwa o szczególnej społecznej szkodliwości.
Zgłoszenia dotyczące posiadania nielegalnych treści w urządzeniach elektronicznych w trakcie sporów partnerskich mogą mieć różne motywacje. Część z nich stanowi rzeczywiste odkrycia zaniepokojonej strony, inne mogą być instrumentalnie wykorzystywane w walce o majątek lub opiekę nad dziećmi. Zadaniem funkcjonariusza na miejscu zdarzenia jest zapewnienie, że jeśli istnieje materiał mogący stanowić dowód przestępstwa, zostanie on prawidłowo zabezpieczony.
Podstawy prawne działania
Posiadanie, rozpowszechnianie oraz produkcja treści pornograficznych z udziałem małoletnich są przestępstwem ściganym z urzędu (art. 202 § 3–4c kk). W większości przypadków to patrol Policji przeprowadzający interwencję otrzymuje informację o zaistniałym przestępstwie i w związku z tym jest zobowiązany podjąć niezbędne czynności. Należy tutaj rozróżnić dwa sposoby postępowania po uzyskaniu wiadomości, że mogło dojść do przestępstwa.
Pierwszy sposób:
1. Na miejscu patrol Policji w notatniku służbowym odnotowuje wszelkie informacje odnośnie do danych personalnych osób przebywających w pomieszczeniach.
2. Ponadto powinien dokładnie rozpytać osoby na okoliczność zdarzenia i w przypadku uzasadnionego podejrzenia wykorzystania seksualnego małoletniego (art. 200 kk) i/lub posiadania w urządzeniu (urządzeniach) treści pornograficznych (art. 202 kk) należy natychmiast powiadomić dyżurnego jednostki Policji oraz zabezpieczyć miejsce zdarzenia wraz z nośnikami elektronicznymi przed ewentualnym zniszczeniem.
3. Dyżurny jednostki Policji na miejsce zdarzenia powinien wysłać grupę dochodzeniowo-śledczą w celu przeprowadzenia czynności w niezbędnym zakresie w trybie art. 308 kpk. Ma to na celu przyjęcie zawiadomienia o przestępstwie, przesłuchanie świadków, dokonanie oględzin miejsca zdarzenia oraz przeszukania i zatrzymania rzeczy, które mogą pochodzić z przestępstwa lub służyć do jego popełnienia.
Drugi sposób:
1. W przypadku kiedy dyżurny jednostki Policji nie może skierować na miejsce zdarzenia grupy dochodzeniowo-śledczej, dowódca patrolu powinien po konsultacji z dyżurnym zatrzymać nośniki pamięci w celu zapobieżenia utraty bądź zniszczenia dowodów przestępstwa na podstawie legitymacji służbowej w trybie art. 220 § 3 kpk lub art. 217 kpk. W tym celu powinien okazać legitymację służbową (lub nakaz kierownika jednostki, o ile możliwe jest jego pozyskanie do czasu zakończenia interwencji) i na jej podstawie dokonać przeszukania pomieszczeń lub zatrzymania rzeczy oraz zabezpieczenia wszelkiego rodzaju nośników elektronicznych. Należy pamiętać, że dokonanie czynności przeszukania w ramach art. 220 § 3 kpk wymaga bezwzględnego zatwierdzenia prokuratora lub sądu, natomiast zatrzymanie rzeczy w trybie art. 217 kpk polega na żądaniu wydania lub dobrowolnego przekazania rzeczy, np. gdy strona zawiadamiająca ujawnia nośnik i chce go przekazać Policji. Wtedy sporządza się protokół zatrzymania rzeczy w odpowiednim formularzu, który zatwierdza się na żądanie tej osoby.
2. Po dokonaniu czynności przeszukania lub zatrzymania rzeczy należy w jednostce Policji sporządzić stosowną dokumentację, tj. notatkę urzędową czy doręczenie wezwań osobom uczestniczącym w interwencji.
Procedura postępowania
CSAM (Child Sexual Abuse Material) to termin określający materiały w jakikolwiek sposób przedstawiające wykorzystywanie seksualne lub krzywdzenie dzieci – mogą to być np. zdjęcia, filmy, nagrania audio, rysunki. W przypadku podejrzenia zaistnienia przestępstwa związanego z tego typu treściami należy postępować zgodnie z zaleceniami przedstawionymi poniżej.
1. Faza wstępna – ocena sytuacji.
Po przybyciu na miejsce interwencji funkcjonariusz powinien przeprowadzić wstępną ocenę sytuacji, zachowując szczególną ostrożność i obiektywizm. Informacje pozyskane podczas pierwszego kontaktu w miejscu zdarzenia są kluczowe dla dalszego postępowania. Oddzielne rozmowy ze stronami konfliktu: należy przeprowadzić indywidualne rozmowy z obiema stronami, dokumentując dokładnie okoliczności zgłoszenia. Trzeba ustalić:
• w jaki sposób zgłaszająca osoba dowiedziała się o rzekomych treściach;
• czy widziała konkretne pliki;
• czy ma dostęp do urządzenia;
• jaki jest kontekst obecnego konfliktu (np. toczące się postępowanie rozwodowe, spór o opiekę nad dzieckiem etc.).
Weryfikacja zgłoszenia: należy zwrócić uwagę na następujące aspekty:
• czy zgłaszająca osoba przedstawia konkretne fakty, czy tylko ogólne oskarżenia;• czy posiada dokumentację (zrzuty ekranu, własne zapisane pliki. UWAGA: posiadanie takich materiałów przez zgłaszającego również stanowi czyn zabroniony);
• czy wcześniej zgłaszała sprawę organom ścigania.
2. Ustalenie okoliczności zgłoszenia i kontekstu sprawy.
Analiza zachowania osoby zgłaszającej: należy obserwować reakcje emocjonalne zgłaszającego, czy wykazuje autentyczne zaniepokojenie, strach, czy może jego postawa wskazuje na inne motywy zgłoszenia. Zwrócić uwagę na spójność relacji i wiarygodność przedstawianych okoliczności.
Chronologia konfliktu: precyzyjnie ustalić, od jakiego momentu trwa konflikt między stronami oraz czy ujawnienie materiałów CSAM nastąpiło po jego zaistnieniu. Tego typu informacje mogą wskazywać na potencjalne motywy instrumentalnego wykorzystania zgłoszenia.
Okoliczności ujawnienia materiałów: wyjaśnić, w jaki sposób osoba zgłaszająca natknęła się na przedmiotowe materiały oraz dlaczego, jeśli wiedziała o nich wcześniej, informuje organy ścigania dopiero teraz. Ustalić, co skłoniło ją do zgłoszenia w tym konkretnym momencie.
Charakterystyka materiałów: określić, kogo dotyczą ujawnione treści oraz jaki mają charakter. Ustalić okoliczności wykonania zdjęć lub nagrań (np. podczas codziennych czynności, zabawy, kąpieli czy w trakcie aktywności seksualnej). Sprawdzić, czy materiały dotyczą małoletniego członka rodziny, dziecka z najbliższego otoczenia czy osób zupełnie obcych.
Dostęp do urządzeń: zweryfikować, kto ma dostęp do urządzeń elektronicznych w miejscu zamieszkania. Ustalić liczbę kont użytkowników na poszczególnych urządzeniach oraz osoby mające do nich dostęp zarówno fizyczny, jak i przez znajomość haseł. Bezpieczeństwo małoletnich: jeśli na miejscu przebywają dzieci, należy dyskretnie ocenić ich zachowanie, stan emocjonalny oraz sprawdzić, czy nie noszą widocznych obrażeń ciała. W razie podejrzenia bezpośredniego zagrożenia niezwłocznie podjąć odpowiednie działania ochronne.
3. Identyfikacja urządzeń elektronicznych.
Przed przystąpieniem do zabezpieczenia dowodów należy ustalić, które urządzenia mogły służyć do popełnienia przestępstwa, ale również, z których ogólnie urządzeń korzystał użytkownik. Podstawowe urządzenia: najczęściej w tego typu przestępczości są wykorzystywane telefony (smartfony), mogą to być jednak również komputery – laptopy lub komputery stacjonarne. W takich urządzeniach mogą być zarówno zapisane dowody w postaci zdjęć lub filmów, jak i rozmowy prowadzone za pomocą komunikatorów. Dodatkowe nośniki danych: dane w postaci zdjęć lub filmów często bywają zapisane na dodatkowych nośnikach, takich jak pendrive’y i dyski zewnętrzne. Często są to nośniki, do których inni domownicy nie mają dostępu, wtedy należy rozpytać o ich lokalizację. Urządzenia sieciowe: w przypadku wymiany plików zdarza się, że użytkownicy korzystają z routerów z dyskami lub urządzeń NAS z wbudowanym klientem P2P wymiany plików. Warto dopytać, czy takie urządzenia są w miejscu zamieszkania.
Dane w chmurze: rozmowy prowadzone przez komunikatory mogą być zapisane również w chmurze. Warto ustalić:
• za pomocą jakiego urządzenia i w jakim komunikatorze były prowadzone rozmowy;
• login i hasło do kont;
• ewentualne inne metody autoryzacji (np. kod SMS z konkretnego telefonu).
4. Działania zabezpieczające – tryb pilny.
Jeżeli istnieje uzasadnione podejrzenie popełnienia przestępstwa i sytuacja nie cierpi zwłoki (np. podejrzany ma możliwość usunięcia danych), funkcjonariusz może zabezpieczyć urządzenie elektroniczne na podstawie art. 308 kpk, w szczególnych przypadkach art. 220 kpk w trybie „niecierpiącym zwłoki”.
Po ujawnieniu dowodu przestępstwa na nośniku elektronicznym należy niezwłocznie podjąć następujące działania: Kontrola dostępu: zabezpieczyć pomieszczenie i uniemożliwić podejrzanemu oraz osobom postronnym dostęp do jakichkolwiek urządzeń elektronicznych znajdujących się w miejscu zdarzenia.
Zabezpieczenie haseł dostępu: dla każdego z zabezpieczonych urządzeń należy ustalić metody uwierzytelniania. Oprócz biometrii (odcisk palca, rozpoznawanie twarzy) będącej zabezpieczeniem dodatkowym niemal każde współczesne urządzenie posiada podstawowe zabezpieczenie w postaci hasła, kodu PIN lub wzoru graficznego (pattern). Należy:
• precyzyjnie zapisać hasło lub kod PIN (zwracając uwagę na wielkość liter, cyfry i znaki specjalne);
• w przypadku wzoru graficznego dokładnie go narysować, numerując kolejne punkty połączenia;
• przedstawić zapisane dane użytkownikowi w celu potwierdzenia ich zgodności;
• odnotować w protokole fakt potwierdzenia poprawności przez użytkownika urządzenia.
Zakaz samodzielnej analizy: powstrzymać się od przeglądania zawartości urządzenia – wszelkie czynności analityczne powinny być przeprowadzone przez uprawnione służby w kontrolowanych warunkach, aby zachować wartość dowodową materiału. Izolacja urządzenia od sieci: aktywować tryb samolotowy lub całkowicie wyłączyć dostęp urządzenia do sieci internet, aby uniemożliwić zdalne połączenie mogące powodować modyfikację lub usunięcie danych. Jeśli jest to możliwe, należy wyciągnąć z urządzenia kartę SIM oraz kartę pamięci. Do otworzenia tacki karty SIM, jeśli brak właściwego narzędzia, można użyć spinacza biurowego lub igły. Pakowanie i opis: każdy z ujawnionych nośników należy zabezpieczyć w osobną kopertę lub pudełko, do których należy dołączyć metryczkę. Przy czym telefon należy umieścić razem z kartą SIM i kartą pamięci. Opakowanie powinno zabezpieczać zarówno przed dostępem, jak i zapewniać bezpieczeństwo w trakcie transportu. Urządzenia elektroniczne można umieścić w torbie Faradaya – jeśli jest dostępna. Opakowanie takie skutecznie blokuje sygnały docierające z zewnątrz (sieć komórkowa, Wi-Fi, Bluetooth).
Dokumentacja: sporządzić szczegółowy protokół zatrzymania rzeczy, uwzględniając: stan techniczny urządzenia (włączone/wyłączone), widoczne uszkodzenia oraz wszystkie podjęte czynności zabezpieczające.
5. Szczegółowe zasady zabezpieczania urządzeń mobilnych.
Pozyskanie danych identyfikacyjnych urządzenia
W zależności od modelu telefonu, dane identyfikacyjne znajdują się w różnych lokalizacjach:
• iPhone (Ścieżka: Ustawienia > Ogólne > To urządzenie): nazwa modelu (np. iPhone 15 Pro Max), numer modelu (np. MU773PX/A), wersja iOS (np. 18.7.1), IMEI (np. 351149513000000).
• Samsung (Ścieżka: Ustawienia > Telefon – informacje): nazwa modelu (np. Galaxy S23 Ultra), numer modelu (np. SM-S918B/DS), IMEI (np. 359821000000000). Informacje o oprogramowaniu (Ścieżka: Ustawienia > Telefon – informacje > Informacje o oprogramowaniu): wersja Androida (np. 14), poziom poprawek zabezp. Androida (np. 1 marca 2024), numer wersji (Build number) (np. UP1A.210011.001…).
• Xiaomi / Redmi / POCO (Ścieżka: Ustawienia > O telefonie): nazwa urządzenia (np. Xiaomi 13T), wersja OS (np. MIUI 14 lub Xiaomi HyperOS 1.0.1.0), wersja Android (np. 13 TKQ1...), poziom poprawek zabezpieczeń Androida (np. 2023-11-01). Pełne dane (Ścieżka: Ustawienia
> O telefonie > Wszystkie parametry lub Pełna specyfikacja): model (np. 2306EP90G), IMEI (np. 359843000000000).
W innych urządzeniach wskazane dane identyfikacyjne mogą się znajdować w zbliżonych miejscach.
Zabezpieczenie kart SIM i pamięci:
• z karty SIM należy spisać nazwę operatora oraz numer (IMSI) wybity na karcie;
• z karty pamięci należy spisać nazwę producenta, model i pojemność;
• kartę pamięci (jeśli jest) i kartę SIM należy zabezpieczyć razem z urządzeniem.
Procedura wyłączenia i pakowania urządzenia
Jeśli posiadamy hasło lub wzór zabezpieczający i usunęliśmy karty z urządzenia, możemy wyłączyć telefon. Następnie należy włożyć go do koperty, pudełka, torebki lub owinąć folią. Idealnie byłoby umieścić telefon w torebce Faradaya, jednak jej posiadanie nie jest standardem w patrolu.
Na opakowaniu należy nakleić metryczkę, na której należy zapisać wszystkie dane telefonu i pozostałych kart oraz ustalone hasło. Dodatkowo warto zapisać również informację o dacie i godzinie wyłączenia urządzenia.
Postępowanie w przypadku braku współpracy podejrzanego
W przypadku gdy podejrzany nie chce przekazać hasła do urządzenia, należy wyciągnąć z urządzenia kartę SIM, jeśli jest – również kartę pamięci. Idealnie byłoby umieścić telefon w torebce Faradaya oraz podpiąć do niego powerbank.
Jeśli brak tych środków, należy podjąć decyzję – wyłączenie telefonu znacząco zwiększa trudność przełamania zabezpieczenia, czasem wręcz to uniemożliwiając. Pozostawienie urządzenia włączonego przy posiadaniu karty e-SIM stwarza ryzyko zdalnego wyczyszczenia danych.
UWAGA: Gdy osoba nie współpracuje, a urządzenie posiada hasło, warto zabezpieczyć inne urządzenia należące do podejrzanego, nawet starsze i niesprawne już telefony. Na ich podstawie często można ustalić hasło i dostać się do urządzenia, które współcześnie jest znacznie lepiej zabezpieczone, a użytkownik skorzystał z tych samych haseł.
Najczęstsze błędy i jak ich unikać
Przeglądanie zawartości urządzenia na miejscu interwencji
Funkcjonariusz patrolu nie jest uprawniony ani przeszkolony do analizy zawartości cyfrowej. Przeglądanie może prowadzić do zarzutów o modyfikację danych oraz ryzyka nieumyślnego zniszczenia materiału dowodowego przy nieprawidłowym obchodzeniu się z urządzeniami.
Pobieranie danych na własne nośniki
Jest to działanie kategorycznie zabronione. Takie postępowanie może podważyć wiarygodność przenoszonego materiału dowodowego, tworzy dodatkowe kopie potencjalnie nielegalnych treści i naraża funkcjonariusza na odpowiedzialność karną za ich posiadanie.
Przyjmowanie od osoby zgłaszającej kopii rzekomych nielegalnych treści
Funkcjonariusz nie powinien przyjmować nośników z takimi materiałami bez zabezpieczenia ich w przewidzianej procedurze wynikającej z art. 217 kpk, art. 308 kpk i art. 220 kpk oraz powiadomienia prokuratora.
Nieudokumentowanie podstaw działania w trybie pilnym
Późniejsze zakwestionowanie legalności zatrzymania rzeczy może skutkować wyłączeniem dowodów. Okoliczności, w których zabezpieczono materiał dowodowy, muszą precyzyjnie wskazywać, dlaczego sytuacja wymagała natychmiastowego działania. Każdorazowe zatrzymanie rzeczy wymaga sporządzenia protokołu.
Uleganie presji stron konfliktu
Zarówno żądania zgłaszającego o natychmiastowe przeszukanie telefonu, jak i odmowa podejrzanego do współpracy nie powinny determinować działania funkcjonariusza ponad obowiązujące procedury.
Współpraca z wyspecjalizowanymi komórkami
Po zabezpieczeniu urządzenia lub przyjęciu zawiadomienia sprawa powinna być niezwłocznie przekazana do właściwej jednostki organizacyjnej Policji prowadzącej postępowania tego typu. W celu uniknięcia zniszczenia lub zatarcia śladów jest wskazane zwrócenie się o pomoc do Centralnego Biura Zwalczania Cyberprzestępczości z wnioskiem o ewentualne udzielenie wsparcia w sytuacjach nagłych. W pozostałych przypadkach czynności takie realizują laboratoria kryminalistyczne przy komendach wojewódzkich Policji. Te jednostki dysponują odpowiednim sprzętem do analizy urządzeń mobilnych zapewniającym integralność dowodów i możliwość ich wykorzystania w dalszym postępowaniu.
Ochrona małoletnich w rodzinie
Niezależnie od działań związanych z zabezpieczeniem dowodów funkcjonariusz powinien ocenić, czy w rodzinie znajdują się małoletni wymagający objęcia ochroną. Jeżeli podejrzenie dotyczy materiałów z udziałem dzieci z rodziny, konieczne jest natychmiastowe powiadomienie prokuratora i rozważenie zabezpieczenia dzieci (art. 12a ustawy o przeciwdziałaniu przemocy w rodzinie).
Zatrzymanie osoby podejrzanej
Dodatkowym zagadnieniem jest zatrzymanie osoby podejrzanej o popełnienie przestępstwa, jeżeli zostały spełnione przesłanki, takie jak:
• istnieje uzasadnione przypuszczenie, że popełniła ona przestępstwo, a zachodzi obawa ucieczki lub ukrycia się tej osoby albo zatarcia śladów przestępstwa;
• istnieje uzasadnione przypuszczenie, że popełniła ona przestępstwo z użyciem przemocy na szkodę osoby wspólnie zamieszkującej, a zachodzi obawa, że ponownie popełni przestępstwo z użyciem przemocy wobec tej osoby, zwłaszcza gdy popełnieniem takiego przestępstwa grozi.
Przesłanki te znajdują zastosowanie w przypadku, gdy nie ma wątpliwości co do wykorzystywania seksualnego dzieci wspólnie zamieszkujących ze sprawcą.
Podsumowanie
Interwencja w sprawach dotyczących materiałów przedstawiających seksualne wykorzystanie dziecka wymaga od funkcjonariusza kompleksowego działania: od prawidłowego zabezpieczenia nośników i udokumentowania podstaw prawnych czynności, przez unikanie najczęstszych błędów, do właściwej reakcji na zagrożenie dla małoletnich, włącznie z zatrzymaniem podejrzanego, gdy są spełnione ustawowe przesłanki. Świadomość specyfiki konfliktów rodzinnych, znajomość procedur i umiejętność współpracy z wyspecjalizowanymi komórkami Policji oraz prokuratorem przekładają się bezpośrednio na skuteczność postępowania i ochronę dzieci – tych, które już zostały skrzywdzone, i tych, które dzięki profesjonalnym działaniom funkcjonariuszy można uchronić przed przestępstwem.
st. asp. Artur Kaczorowski
Centralne Biuro Zwalczania Cyberprzestępczości, Zarząd w Szczecinie
nadkom. w st. spocz. Robert Budaszewski, asp. szt. w st. spocz. Sławomir Kalisiak, Amanda Krać-Batyra
biegły sądowy z zakresu antropologii, Instytut Antrotech
Tomasz Sidor
biegły sądowy z zakresu informatyki śledczej, Instytut Antrotech