1-21-964/5

(19230100643)Kohtunik Orvi Koik Vaidlustatud lahend Riigiprokuratuuri

1. jaanuari
2. a kaebuse rahuldamata jätmise määrus Kaebuse esitaja ja kaebuse liik X OÜ (registrikood XXXXXXXX) vandeadvokaat Kristjan Aava, kaebus esindaja RESOLUTSIOON Jätta Riigiprokuratuuri
3. jaanuari
4. a määrus muutmata ning X OÜ esindaja vandeadvokaat Kristjan Aava kaebus rahuldamata. Edasikaebamise kord Määrus on lõplik ja edasikaebamisele ei kuulu. ASJAOLUD JA MENETLUSE KÄIK
5. 20.06.2019 alustati kriminaalmenetlust nr 19230100643 KarS § 217 lg 2 p 1 tunnustel selles, et 03.06.2019 siseneti X OÜ serverisse, mille käigus võidi kopeerida „digiallkirjastamise teenuse“ serveri tarkvara ja krüptovõtmeid ning muid andmeid eesmärgiga ise sarnast teenust pakkuda. Kohtueelses menetluses kuulati üle X OÜ esindaja BB, kelle ütlustest ja edastatud materjalidest nähtub, et X OÜ serverisse siseneti 03.06.2019 kella 15:40 ajal IP-aadressilt XXX.XXX.XXX.XXX, mille käigus võidi kopeerida andmeid. Kannatanu esindaja selgituste kohaselt võidi ligipääs saada C AS-le üle antud põhiserveri kaudu, st siseneti põhiserverisse ja selle kaudu siseneti X OÜ serverisse. YY ütlustest nähtuvalt pärast seda, kui X OÜ oli C AS uuele koostööpartnerile Q OÜ-le üle andnud C AS platvormi kaks serverit, kontrollis Q OÜ esindaja YY üleantu sisu. Selle käigus leidis YY, et oluline osa on puudu. Auditeerimise käigus leidis YY backend-serveri käsulogist teise serverisse sisenemise käsu, mille käivitamisel siseneski YY nimetatud serverisse. Ligipääs oli serverile eelseadistatud ega vajanud täiendava autentimisteabe sisestamist. YY uuris selle serveri failipuud, tuvastamaks, kas see on puudu olev osa ja kuidas see toimib, kuid midagi alla laadinud. Kuna selgus, et see server on puudu olev osa, kirjutas YY GG-le, et see server on üle andmata ja palus täiendavaid õigusi, et see täielikult üle võtta. YY ei teadnud sisenemisel, et 1

(9)1-21-964 sellesse sisenemine on keelatud. YY ülesanne oli kontrollida, kas kõik vajalik on üle antud, et tellija töö saaks jätkuda. Seoses võimalusega, et YY võis olla saanud X OÜ serverisse sisenemise tulemusena X OÜ tarkvara koodi ja asuda seda lahendust pakkuma enda teenusena, kontrolliti menetluse käigus ka KarS § 2221 tunnuste esinemist.

1. 24.09.2020 lõpetati Põhja Ringkonnaprokuratuuri loal kriminaalmenetlus KarS § 2221 lg 2 osas KrMS § 199 lg 1 p 1 alusel, s.o kriminaalmenetluse aluse puudumise tõttu. Kannatanu, s.o X OÜ kriminaalmenetluse lõpetamist KarS § 2221 lg 2 osas ei vaidlustatud. Kohtueelne menetlus jätkus KarS § 217 lg 2 p 1 osas.
2. 12.11.2020 lõpetati Põhja Ringkonnaprokuratuuri loal kriminaalmenetlus täielikult, st ka KarS 217 lg 2 p 1 osas KrMS § 199 lg 1 p 1 alusel.
3. 07.12.2020 esitas kannatanu X OÜ lepinguline esindaja vandeadvokaat Gretta Oltjer-Timberg kaebuse kriminaalmenetluse KarS § 217 lg 2 p 1 osas lõpetamise peale. Kaebuse kohaselt ei nõustunud X OÜ menetluse lõpetamisega ja taotles menetluse jätkamist. Riigiprokuratuuri määrus
4. Riigiprokuratuur jättis X OÜ lepinguline esindaja vandeadvokaat Gretta Oltjer-Timbergi kaebuse rahuldamata. 5.
5. Riigiprokurör leidis, et vaidlust, ei ole selles, et C AS vahetas koostööpartnerit: koostöö seni C AS-le tema platvormi arendusteenust pakkunud ja platvormi hallanud X OÜ-ga lõpetati ja seda teenust valiti osutama Q OÜ. Selleks, et Q OÜ saaks asuda teenust osutama, pidi X OÜ andma C AS-le ja Q OÜ-le üle C AS-i platvormi, s.o serverid koos tarkvara ja andmebaasiga ning teenuse kasutajate dokumentidega.
6. aasta mai lõpus tegi X OÜ Q OÜ esindajatele vahetud ligipääsud kahele serverile. Q OÜ esindaja YY tutvus X OÜ poolt üleantuga ja tuvastas, et kahes serveris, millele X OÜ tegi Q OÜ-le vahetud ligipääsud, ei ole klientrakendust ega klientide dokumente. Nimetatud osad on vajalikud platvormi ülevõtmiseks. YY leidis andmed kolmanda serveri kohta ja sai sellesse takistusteta siseneda backend-serveri (s.o üks serveritest, millele X OÜ oli teinud YY-le vahetu ligipääsu) kaudu. YY tutvus seal serveri failipuu struktuuriga, avas digiallkirjastamise komponenti puudutavaid faile ja serveri usaldatud ssh-pääsuõiguste omajate loendi. Seejärel edastas YY X OÜ-le kirja, milles palus anda talle nimetatud kolmanda serveri ülevõtmiseks vajalikud kasutajaõigused (SUDO ehk nö superkasutaja õigused). X OÜ leidis, et nimetatud serverit C AS-le ega Q OÜ-le üle ei antud ja et YY on sisenenud nende serverisse ebaseaduslikult. 5.
7. Riigiprokurör selgitas, et kriminaalmenetluses tuleb kõrvaldamata kahtlust isiku süüdioleku suhtes tõlgendada tema kasuks, seda ka kohtueelse menetluse lõpuleviimisel. Niisiis tuleb esitatud kaebuse lahendamisel hinnata, kas menetluses kogutud materjalid annavad alust tõsikindlalt jaatada kuriteo tunnustele vastava teo toimepanemist. Kui asjas kogutud materjalide pinnalt jäävad isiku süüküsimuses põhjendatud kahtlused, tuleb hinnata, kas kohtueelses menetluses oleks põhjendatud teostada täiendavaid menetlustoiminguid, mis võimaldaks kahtlused kummutada. 5.
8. Kaebuse esitaja leiab, et menetluse lõpetamisel on toetutud üksnes kahtlustatava ütlustele. Seega heidetakse menetluse lõpetamisele ette tõendite kogumis hindamise põhimõtte rikkumist. Selle seisukohaga ei saa nõustuda: menetleja on leidnud, et kahtlustatava ütlused, isikutevaheline kirjavahetus ning Q OÜ ja X OÜ kasutatud lähtekoodide erinevus kogumis ei 2

(9)1-21-964 võimalda tõsikindlalt jaatada YY poolt tahtlikku tegutsemist. Asjaolu, et kannatanul on juhtumist teine nägemus, ei muuda ebaseaduslikuks menetlejate otsustust, et isiku poolt kuriteo tunnustele vastava teo toimepanemine pole piisavalt tõendamist leidnud. 5.

1. Riigiprokurör nõustus kohtueelse menetlejaga, et toimiku materjalid ei anna tõsikindlat alust jaatada tahtlust arvutisüsteemi sisenemise ebaseaduslikkus osas. Kriminaalasjas kogutud materjalide kohaselt kuulus platvorm C AS-le. Selle senine arendaja ja haldaja X OÜ pidi selle üle andma Q OÜ-le. Q OÜ-d esindas mh YY. Platvormi „põhiserverite“ üleandmisel anti YYle vahetu ligipääs kahele serverile, mille sisuga tutvumisel selgus, et need täitsid vaid backendi ja andmebaasi ülesandeid. Serverid, millele anti vahetu ligipääs, ei täitnud klientrakenduse ülesannet ega sisaldanud selle koodi. Nii ei võimaldanud serverid, millele YY-le anti vahetu ligipääs, vähemalt sellisel kujul – eraldiseisvalt – platvormi üle võtta. Küll aga oli backendserveri kaudu otse ligipääsetav kolmas server, millel töötas klientrakendus ja mille ülevõtmine oli seega ka platvormi ülevõtmise eelduseks. Materjalidest, st eeskätt isikute kirjavahetusest, ei nähtu tõsikindlalt, et YY-l puudus alus arvata, et kui platvormi ülevõtmiseks kriitilist osa ei ole nendes serverites, millele anti vahetud ligipääsud, ei võidud seda platvormi üleandmisel esialgu anda üle backend-serveriga ühendatud serverina. Mitme serveri üleandmisel pole ebatavaline, et igale serverile ei looda eraldiseisvaid väliseid ligipääse, vaid et serverid on ligipääsetavad süsteemisiseselt määratud n-ö põhiserverist, millele omakorda on tagatud väline ligipääs. Nii ei pea serveri üleandmiseks tingimata looma sellele iseseisvat välist ligipääsu, vaid see võib olla tagatud ka läbi teise serveri, s.o nagu käesoleval juhul olid omavahel ühendatud backend-server ja klientrakenduse server. Samuti ei anna asja materjalid alust arvata, et YY tegi serverisse sisenemiseks selliseid pingutusi, mis võimaldaks asuda tõsikindlale seisukohale, et YY sai serverisse sisenemise käsu andmisel aru, et tegelikkuses ta ei või sellesse siseneda. Vastupidi, asja materjalidest nähtub, et backend-server oli otse ühendatud klientrakenduse serveriga ja sellesse sai siseneda kõige tavapärasema ssh-käsuga. Kui ligipääs sihtserverile oleks nõudnud ka näiteks parooli, oleks pärast sisenemise käsu sisestamist kasutajalt parooli küsitud. Klientrakenduse server ei nõudnud aga parooli ega muu täiendava autentimisteabe sisestamist. Sealjuures võimaldas server ühenduse luua vaikepordi vahendusel, st backend-serverist klientrakenduse serverisse pääsemisel polnud ühtegi takistust. Piltlikult: kui YY küsis klientrakenduse serverilt luba siseneda, kutsus klientrakendus YY sisse ühtegi küsimust küsimata ja lubas tal sisuga tutvuma asuda. Pidades samal ajal silmas, et platvorm tuli üle anda C AS-le ja Q OÜ-le, et Q OÜ saaks YY juhtimisel seda arendama ja haldama asuda, on nõustumisväärne, et pärast väidetavalt platvormi „põhiserverite“ üleandmist oli YY-l alust tõsimeelselt eeldada, et tal pole keelatud siseneda serverisse, mis käitab C AS-i klientrakendust kui platvormi immanentset osa ning mis oli backend-serverist ligipääsetav vahetult ühegi turvalisus-alase takistuseta. Kahtlustatava YY ütlused kinnitavad eluliselt usutavalt muude kogutud materjalide pinnalt tekkivat olulist kahtlust isiku süüküsimuses: juhtumi asjaolusid kogumis vaadates ei pruukinud YY mõista, et ta sel hetkel siseneb serverisse, kuhu tal on keelatud siseneda. Isegi kui kannatanu taotluse kohaselt YY ütlused hüpoteetiliselt kõrvale jätta, ei annaks toimiku materjalid endiselt alust YY-le esitada süüdistust: kriminaalmenetluslikku tõendamisstandardit silmas pidades jääksid isiku süüküsimuses olulised põhjendatud kahtlused, mis tuleks endiselt tõlgendada kahtlustatava kasuks. Seega leidis riigiprokurör, et YY ütlustele antav hinnang menetluse lõpetamise otsustuse seaduslikkuse hindamisel ei ole määrava tähtsusega. Sellegipoolest pidas riigiprokurör vajalikuks seoses kaebuses toodud etteheidetega YY ütlustele märkida järgmist. 5.
2. C AS ja tema varasema lepingupartneri X OÜ koostöö lõppes poolte tüliga. Asja materjalide kohaselt on pooltel koostöö lõppemiseni viinud sündmustest erinev nägemus. 3

(9)1-21-964 Asjaolu, et X OÜ nägemus koostöö lõppemise põhjustest ja teise poole koostöövalmidusest erineb C AS-i ja Q OÜ omast ning et X OÜ väitel asusid C AS ja Q OÜ lubamatult üle ostma X OÜ töötajaid, ei puuduta käesolevas kriminaalasjas lahendatavat küsimust. Nii ei mõjuta see ka menetluse tõendamiseset puudutavate ütluste usaldusväärsust. Toimiku materjalidest nähtuvalt andis X OÜ YY-le vahetult üle kahe serveri ligipääsu. X OÜ ei andnud YY-le üle klientrakenduse serveri vahetut ligipääsu. Samas ei eelda serveri üleandmine tingimata sellele vahetu ligipääsu loomist, vaid serverile saab ligipääsu ka läbi teise serveri. Seda näiteks viisil, et ühte serverisse saab siseneda süsteemiväliselt IP aadressilt tavapäraste autentimisvahenditega ja selle serveri kaudu saab edasi liikuda selle serveriga süsteemisiseselt seotud serveritesse, soovi korral kasutades selleks lihtsustatud autentimisvahendeid (nt ssh avaliku ja privaatvõtme kombinatsiooniga vms). Käesoleval juhul viitavad toimiku materjalid, et klientrakenduse server oli seotud backend-serveriga ja oli selle kaudu otse ssh kaudu ligipääsetav. Selles kontekstis võib mõneti eksitavalt mõjuda kaebuses toodud väide, et YY sisenes serverisse, võttes häkkides üle failide edastuse kanali. Toimiku materjalide kohaselt sisenes YY klientportaali serverisse backend-serveris käivitatud käsuga "WWW": seeläbi anti backend-serverile käsk ssh-turvakesta kaudu proovida siseneda kasutajatunnusega "client" aadressil XXX.XXX.XXX asuvasse serverisse. Seepeale lubaski IPl XXX.XXX.XXX asunud server, s.o klientrakenduse server YY-l siseneda, ilma et temalt oleks küsitud parooli või et ta oleks pidanud täpsustama suhtluseks kasutatavat porti vms. Kasutatud ssh-käsu näol on tegemist kõige tavalisema UNIX remote-keskkonda sisenemise viisiga ja sel puudub kaebuses viidatud häkkerlik olemus. Sama käsu abil said isikud siseneda ka teistesse neile üleantud serveritesse (muutes muidugi eelnevalt sihtserveri IP-aadressi). Toimiku materjalidest ei nähtu, et YY tahtlus kattis asjaolu, et nimetatud serverid kasutasid sshprotokollilist suhtlust tavapäraselt üksnes scp-failivahetuseks ega vahetanud selle abil muid andmeid (nt isiku ligipääsemiseks serveri andmetele): platvormi üleandmise kirjavahetus oli mitmeti mõistetav ja materjalidest ei nähtu, et platvormi tehniline arhitektuur ja kasutatud tehnilised lahendused oleks olnud platvormi ülevõtjale teadaolevaks tehtud. 5.6. Riigiprokuratuurile esitatud kaebuse kohaselt ei ole usaldusväärne YY versioon backendserveriga seotud klientrakenduse serveri IP leidmisest ja et YY pole enda versiooni tõendanud. Selline lähenemine oleks asjakohane hagimenetluses, kus pooled peavad enda väiteid tõendama. Kriminaalmenetluses ei pea isik tõendama enda süütust, vaid – vastupidi – kriminaalõiguslik reaktsioon eeldab isiku süü tõendamist. Kohtueelses menetluses kogutud materjalid ei anna alust tõsikindlaks seisukohaks, et YY astus kõnealusesse serverisse sisenemiseks selliseid samme või kasutas selleks sellist viisi, mis viitaks, et ta selgelt mõistis serversisse sisenemisel selleks õigusliku aluse puudumist. Kuna IT-ettevõtte hallatud arvutisüsteem, millele isik ei tohiks ligi pääseda, on üldiselt isiku õigustamatu ligipääsu eest kuidagi kaitstud (kasvõi mõne elementaarse kaitsevahendiga, nt parooliga), oli YY-l põhjendatud alus arvata, et kui käesoleva juhtumi asjaolusid arvestades oleks tõesti tema ligipääs sihtserverile olnud keelatud, oleks temalt pärast kõige tavalisema sisse logimise käskluse andmist sihtserver kasvõi küsinud kasutaja autentimiseks parooli, mitte ei oleks koheselt andud kasutajale vaba ligipääsu serveri sisule. Kannatanu hinnangul tegutses YY sooviga kopeerida X OÜ digiallkirjastamise komponendi lähtekoodi. Samas ei võimalda toimiku materjalid sellistki järeldust teha. Q OÜ ja X OÜ vastavate komponentide lähtekoodide vaatlusel tuvastati, et lähtekoodid on erinevad. Pidades silmas, et lähtekoodi vaatluse protokollis kajastatu kohaselt ei olnud kõnealune digiallkirjastamise komponent ei tehniliselt ega loogiliselt keeruline, on usutav, et ITarendustele spetsialiseerunud ettevõte suudab vastava komponendi pikema ajakuluta ka nullist luua. 4

(9)1-21-964 5.

1. Kohtueelses menetluses ei ole kinnitust leidnud ka kannatanu arvamus, et YY küsis kannatanult SUDO parooli oma jälgede peitmiseks või konkurendi ees serverisse häkkimisega uhkustamiseks. Kriminaalmenetluslikku tõendamisstandardit silmas pidades tuleb kogutud materjalide valguses asuda seisukohale, et klientrakenduse serverile n-ö administraatoriõiguste palumine oli seotud sooviga klientrakenduse server üle võtta, et korraga saaks üle võetud kõik platvormi ülevõtmiseks ja seejärel iseseisvalt teenuse osutamiseks vajalikud serverid. Kokkuvõtvalt nõustub riigiprokurör, et menetlejad on põhjendatult jõudnud järeldusele, et asjas kogutud materjalid ei anna tõsikindlat jaatada YY käitumises kuriteo tunnuste esinemist. 5.
2. Järgnevalt hindas riigiprokurör, kas menetluses oleks võimalik teostada täiendavaid menetlustoiminguid, mis võimaldaks kahtlused kõrvaldada. Kaebuses leitakse, et menetluses tuleks täiendavalt teostada ekspertiis X OÜ ja Q OÜ kasutatud digiallkirjastamise komponentide lähtekoodide võrdluseks. Kaebuse esitaja hinnangul võimaldaks see tõestada, et serverisse sisenemise eesmärk oli X OÜ koodi kopeerimine. Riigiprokurör sellise seisukohaga ei nõustunud. Lähtekoodide võrdlus annaks aluse hinnata, kas Q OÜ kopeeris X OÜ lähtekoodi või kas ja kuivõrd võis Q OÜ oma lahenduse loomisel toetuda X OÜ lähtekoodile. Ehk teisisõnu: kas YY pärast serverisse sisenemist ja seejärel vähemalt osaliselt X OÜ komponendi lähtekoodiga tutvumist (less-käsuga faili lugemisel ei puhverdata eelnevalt kogu faili, vaid seda loetakse kuvatava vaate kaupa, st less-käsuga faili avamisel võidi piirduda ka vaid esimese vaatega tutvumisega) kasutas saadud teavet hiljem Q OÜ komponendi loomisel. See on aga seotud eeskätt küsimusega, kas ja kuivõrd riivati seeläbi X OÜ autoriõigusi. Seda küsimust lahendati KarS § 2221 järgi toimetatud kriminaalmenetluses, mis lõpetati 2020 septembris teos kuriteotunnuste puudumise tõttu ja mida kannatanu ega tema esindaja pärast põhistustega tutvumist ei vaidlustanud. Seevastu ei saaks aga kõnealune võrdlus anda ammendavat vastust praegusel juhul tõusetuvale tuumküsimusele, kas YY tahtlus serverisse sisenemisel kattis sisenemise ebaseaduslikkuse. Eeltoodust sõltumata juhtis riigiprokurör tähelepanu asjaolule, et senises kohtueelses menetluses on juba vaadeldud Q OÜ kasutuses olnud (saadud Q OÜ läbiotsimisel) ja X OÜ kasutatavat (saadud X OÜ esindajalt) digiallkirjastamise komponentide lähtekoode. PPA juhtivspetsialisti osalusel teostatud vaatlusel tuvastati, et komponentide lähtekoodid on erinevad, seda nii programmeerimiskeele, lahendusloogika kui struktuuri osas. Seega on lähtekoode juba senises kohtueelses menetluses vaadeldud. Kaebuse esitaja küll märgib kaebuses, et koodide vahel on „karjuvad sarnasused“, jättes aga need konkretiseeritavalt välja toomata. Võimalike sarnasuste osas tuleb mõistetavalt arvestada, et toimiku materjalidest nähtuvalt ei soovinud C AS ega Q OÜ platvormi ülevõtmisel asuda lahendust kohe ümber tegema, vaid üksnes võtta see enda kontrolli alla. Komponendi väljavahetamisel pidid seega jääma vähemalt esialgu muutumatuks senise X OÜ komponendi sisendparameetrid ja väljundid, samuti pidi uus komponent sobituma terviklahenduse arhitektuuri. See tähendab, et kui varasem komponent toetas näiteks kindlaid sisendeid ja näiteks failide edastamisel teise serverisse kasutas komponent scp-d, pidi ka uus komponent aktsepteerima täpselt samu sisendeid ja toetuma failide edastamisel samuti scp-le: vastasel juhul tulnuks muuta ka teisi kõnealuse komponendiga suhtlevaid komponente ja/või teenuseid ning platvormi arhitektuurilist lahendust, mis eeldaks aga suuremat arendust ja võimalikke ümberkorraldusi ka platvormi tehnilises infrastruktuuris. Nii on komponentides sarnasuste esinemine tehniliselt paratamatu. Kuna lähtekoode on kohtueelses menetluses juba vaadeldud ja nende osas täiendava analüüsi teostamine ei võimaldaks välja selgitada KarS § 217 järgi toimetatava menetluse tõendamiseseme seisukohast olulisi asjaolusid ega seega ka kõrvaldada senise menetluse käigus tekkinud kahtlusi, ei saa taotletud ekspertiisi teostamist pidada põhjendatuks. 5

(9)1-21-964 5.

1. Kokkuvõtvalt asus riigiprokurör seisukohale, et menetlejad on kriminaalasjas kogutud materjale kogumis hinnates ja toetudes nõustumisväärsetele õiguslikele argumentidele, mis pole vastuolus kehtiva õiguse, õiguskirjanduse ega senises kohtupraktikas toodud seisukohtadega, jõudnud põhjendatult järeldusele, et isiku teos kuriteotunnuste jaatamiseks ja süüdistuse esitamiseks piisavad andmed puuduvad. Asjas on üle kuulatud kõik asjassepuutuvad isikud ja isikulistest tõendiallikatest täiendava lisandväärtuse kogumise võimalus on väheusutav. Samuti ei nähtu ka muid täiendavaid menetlustoiminguid, mille alusel saaks sellised põhjendatud kahtlused kõrvaldada. Vastuväited Riigiprokuratuuri määrusele
2. Riigiprokuratuuri määrusele esitas kaebuse X OÜ lepinguline esindaja vandeadvokaat Kristjan Aava, kes palub tühistada Riigiprokuratuuri 07.01.
3. a kaebuse rahuldamata jätmise määrus kriminaalmenetluses ja kohustada Riigiprokuratuuri kriminaalmenetlust jätkama. 6.
4. Kannatanu hinnangul ei ole eluliselt võimalik siseneda võõrasse serverisse ettevaatamatusest, seejuures siseneda serverisse kogemata selliselt, et sisenemisel tuleb mööda pääseda andmebaasi erinevatest turvakihtidest. Tulenevalt eeltoodust on kannatanu seisukohal, et Riigiprokuratuuri järeldused kahtlustuse aluseks oleva teo subjektiivse külje puudumise osas on ebaõiged. KarS § 16 lg 1 sätestab, et tahtlus on kavatsetus, otsene ja kaudne tahtlus. Õiguskirjanduses (s.o J. Sootak, P. Pikamäe “Karistusseadustik. Kommenteeirtud väljaanne” Juura
5. Kommentaarid §-le 16) on selgitatud, et kaudse tahtluse miinimumeelduseks on koosseisuasjaolude teadvustamine toimepanija poolt. Käesoleval juhul tuleks vastata küsimusele, kas kahtlustatav pidi aru saama, et ta on sisenenud võõrasse arvutisüsteemi ebaseaduslikult. Märgilise tähtsusega on ka asjaolu, et esimene katse Q OÜ kontorist klientserverisse siseneda nurjus serverile seatud turvanõuete tõttu, peale mida hankis YY tuvastamata allikast salajase kasutajatunnuse, IP aadressi ja krüptograafilise võtme. Asjaolu, et esimene katse klientserverisse siseneda nurjus ei saa kaebajale arusaadavalt vaidluse all olla, sest kahtlustatav ise on seda ka teadaolevalt avaldanud. Kannatanu hinnangul ei saanud ilma eesmärgipärase tegevuseta klientrakenduse serverisse siseneda. Kokku toimus kolm ebaseaduslikku rünnet kannatanu klientrakenduse serveri vastu, mille kohta lisas kannatanu ka ülevaate saamiseks diagrammid. 6.
6. Kannatanu soovib esile tuua alljärgnevat: - - et kõik andmed, mis tuli üle anda C AS-le, seoses tarkvaratööde lõpetamisega, olid rünnakute toimumise ajaks juba üle antud, mis tähendab seda, et uuel arendajal, s.o Q OÜ-l ning YY-l polnud elulist ega ka ärilist vajadust täiendavalt kannatanu mistahes serverisse andmeid kopeerima tulla, edasiste tööde jaoks vajalike andmete saamiseks tuli tal pöörduda oma kliendi C AS-i poole; server, millesse tungimist on kriminaalmenetluses uuritud, oli katistud selliselt, et keelatud oli Q OÜ kontori IP aadressilt ligipääs ning lisaks eeltoodule oli server kaitstud ka krüptovõtmega, mis tähendab seda, et juhuslikult siseneda ei olnud võimalik ning sisenemiseks tuli hankida serveri krüptograafiline võti. Kannatanu hinnangul ei saa krüptograafilist võtit ettevaatamatusest hankida, samuti pidi YY-le olema samal kutselala tegutsedes selge, et krüptograafilise võtme kasutamine olukorras, kus seda võtit ei olnud antud ei talle, ega tema kliendile C AS-le, on tegemist ebaseadusliku sisenemisega. 6

(9)1-21-964 Kokkuvõttes, seoses rünnakute toime panemisega on kahtlustatav tuvastamata viisil hankinud allkirjastamise IP aadressi, allkirjastamise serveri salajase kasutajanime “client” ja kopeerinud allkirjastamise server krüptovõtme. Kannatanu hinnangul ei saa kõikidest turvakihtidest kogemata mööduda, eelkõige ei ole võimalik kogemata avada krüpteeritud võtit. Eeltoodu valguses jääb kannatanu enda juba varasemalt avaldatud seisukoha juurde, et kriminaalmenetluse 19230100643 lõpetamine on ebaõige, sest menetleja ei ole väljaselgitanud, kuidas hankis kahtlustatav allkirjastamise serveri IP aadressi (mis ei ole avalik), sai teada allkirjastamise serveri salajase kasutajatunnuse ning hankis krüptograafilise võtme serverisse sisenemiseks, kõikide turvaelementide kõrvaldamine ettevaatamatusest ei ole ka tehniliselt võimalik. 6.

1. Riigikohus on analüüsinud otsuses nr 3-1-1-76-16, p-s 17 tahtluse piiritlemist ettevaatamatusest. Viidatud lahendist nähtub, et kaudse tahtluse ja kergemeelsuse puhul langeb nende subjektiivse külje kahe vormi intellektuaalne element – tagajärje ettenägemine – kokku ning kaudse tahtluse ja kergemeelsuse eristamine saab toimuda üksnes voluntatiivse (tahtelise) elemendi abil. Oluline on aga tähele panna, et tahtluse nn teadmise ja tahtmise külge ei saa käsitleda teineteisest isoleeritult, vaid tegemist on tunnustega, mis on omavahel nn sõltuvussuhtes. Kui isik loob teadlikult sellise kausaalahela kulgemise, mille käiku ja tagajärgi ta ei suuda, oska ega ka taha kontrollida, kiidab ta need tagajärjed kaudse tahtluse tähenduses samal ajal ka heaks (vt täpsemalt TRRo 1-11-5311, p-d 7.1–7.3). Tahtluse küsimus lahendatakse sellistel puhkudel seega peamiselt just intellektuaalse külje alusel. Kirjeldatu tähendab sisuliselt seda, et isiku käitumises võimalikku tagajärge puutuva tahtluse tuvastamine pannakse suuresti sõltuvusse konkreetse teo väliselt avalduvast ohtlikkuse astmest, mida senises praktikas on nimetatud teo objektiivseks avaldumiseks (vt nt RKKKo 3-1-1-79-15, p 8). Õiguskirjanduses s.o (s.o J. Sootak, P. Pikamäe “Karistusseadustik. Kommenteeirtud väljaanne” Juura
2. Kommentaarid §-le 16) on tahtluse intellektuaalse elemendi sisustamisle selgitatud, et see võib esineda toimepanija täieliku teadlikkusena süüteokoosseisule vastavatest asjaoludest või nende sisulise kaasteadvustusena. Tahtluse intellektuaalse elemendi eeldused võib lugeda täidetuks ka siis, kui toimepanija kõiki süüteokoosseisule vastavaid asjaolusid teo hetkel endale aktuaalselt ei teadvusta, kuid on neid endale sisuliselt kaasteadvustanud. Sisuline kaasteadvustatus kujutab endast intellektuaalse elemendi alammäära – võimalikuks pidamise – piirvormi, mille puhul ei pea toimepanija üksikut kooseisuasjaolu pidevalt oma tähelepanu keskmes hoidma, vaid piisab, kui ta on sellest teadlik muude üksiku teo kontekstis relevantsete asjaolude kõrval. Üldjuhul võib toimepanija poolt sisuliselt kaasteadvustatuks lugeda sellistele kooseisutunnustele vastavaid asjaolusid, mis iseloomustavad toimepanija isikut ennast, s.o käesoleval juhul IT spetsialist ja teo eesmärk. Kannatanu hinnangul on Riigiprokuratuur jätnud käesoleval juhul tähelepanuta kahtlustatava tahtluse välja selgitamisel intellektuaalse elemendi ehk kaasteadvuse selles osas, et ebaharilikke töövõtteid kasutades andmetele ligipääsu hankimine on ebaseaduslik. 6.
3. Kokkuvõtvalt leiab kaebuse esitaja, et kriminaalmenetluse lõpetamine käesoleval juhul on ebaõige ja ennatlik, sest kõiki menetlustoiminguid ei ole lõpuni viidud ning Riigiprokuratuuri järeldused etteheidetava teo subjektiivse külje (tahtluse) puudumise osas on kaebaja hinnangul samuti valed. Kaebaja soovib esile tuua, et vaidlusaluste andmete üleandmine oli lõppenud ja kõik lepingujärgsed andmed olid C AS-le juba enne sissetungimist üle antud, mis tähendab seda, et nii Q OÜ-l kui ka YY-l puudus mistahes vajadus X OÜ serveritest andmeid otsida. Täiendavalt on oluline ka see, et klientserver oli kaitstud tulemüüriga (s.t keelatud oli sisenemine Q OÜ IP aadressilt), salajase kasutajatunnuse ja krüptograafilise võtmega. 7

(9)1-21-964 Kõikidest turvakihtidest mööda minemine ei saa olla juhuslik, lisaks pidi IT spetsialistina YY möönma, et taotletavasse arvutivõrku sisenemine oli ebaseaduslik, sest esimene katse klientserverisse siseneda oli X OÜ tulemüüri poolt tõrjutud, just sellel põhjusel pidi YY-le olema arusaadav, et klientserverisse sisenemine alternatiivsetel meetoditel on ebaseaduslik. Seoses läbiviimata menetlustoimingutega, tuleb kannatanu hinnangul välja selgitada allikad, kust YY sai nii vajalikud andmed IP aadressi, kasutajatunnuse ja krüptogrtaafilise võtme näol. Kaebaja hinnangul ei ole kahtlustatava ütlused ka eluliselt usutavad. Märkimisväärne muuhulgas on ka see, et allkirjastamise tarkvara kanti kahtlustatava andmehoidlasse vaid päev pärast kannatanu serverisse sisse murdmist. Samas nähtub pooltevahelisest kirjavahetusest asjaolu, et YY ei ole varem allkirjastamise serverit loonud ega seadistanud ning ta on soovinud X OÜ tarkvaraga tutvuda, et võimalikult väheste muudatustega server üle tõsta (vt ka 07.12.

1. a kaebuse lisa 5). Isegi kui YY oleks tõesti Q OÜ koodi ise loonud (st Javas uues serveris ning esimest korda nullist ja järgmisel päeval pärast X OÜ serveri rünnakut, siis tarkvaraarendaja (isegi vanemarendaja), ei ole suuteline ühe päevaga allkirjastamise serverit looma kui ta ei ole seda varem teinud või kui tal ei ole vastavat koopiat ees. Hetkel on tõendid, et rünnak toimus tööpäeva lõpus ja digiallkirjastamine loodi täpselt järgmisel päeval. RINGKONNAKOHTU SEISUKOHT
2. Ringkonnakohus, tutvunud kriminaalasja materjalidega, kriminaalmenetluse lõpetamise määrusega ja Riigiprokuratuuri määrusega, leiab, et kriminaalmenetlus on lõpetatud seaduslikult kriminaalmenetluse aluse puudumise tõttu. Kaebuses esitatud väidete osas on Riigiprokuratuur juba põhistatud seisukoha esitanud. Mingeid uusi asjaolusid ringkonnakohtule esitatud kaebuses välja toodud ei ole.
3. Ringkonnakohus selgitab, et vastavalt KrMS § 30 lg-le 1 juhib kohtueelset menetlust prokuratuur, tagades selle seaduslikkuse ja tulemuslikkuse. Seega on kohtueelses menetluses erinevate menetlusotsustuste vastuvõtmine või vastuvõetud menetlusotsustuste põhjendatuse hindamine eeskätt prokuratuuri pädevuses ja kohtul puudub üldjuhul pädevus ette kirjutada edasise menetluse detailset käiku koos kohustuslike toimingutega. Eelmärgitu tähendab seda, et prokuratuuril on kriminaalmenetluse alustamata jätmisel ja lõpetamisel teatud kaalutlusruum, millesse kohus süüdistuskohustusmenetluses ei sekku. Ringkonnakohus hindab süüdistuskohustusmenetluses esmajoones kriminaalmenetluse alustamata jätmise ja lõpetamise õiguspärasust ehk seda, kas uurimisasutuse või prokuratuuri otsustus ei rajane materiaalõiguse vääral tõlgendusel või kriminaalmenetlusõiguse reeglite rikkumisel, kas on läbi viidud vajalikud ja antud kuriteoliigiga seotud tavapärased menetlustoimingud, teiseks, kas konkreetse menetluse asjaolud viitavad võimalusele viia läbi täiendavaid toiminguid ja kolmandaks, kas edasiste toimingute läbiviimine on mõistlik, arvestades nende edulootust ja selleks kuluvaid ressursse. Kui prokuratuur ei ole tõendamisvõimaluste käsitlemisel selgelt eksinud, pole ringkonnakohtul alust prokuratuuri kriminaalmenetluse toimetamiseks või selle jätkamiseks kohustada.
4. Kokkuvõtvalt nõustus riigiprokurör kohtueelse menetlejaga, et toimiku materjalid ei anna tõsikindlat alust jaatada tahtlust arvutisüsteemi sisenemise ebaseaduslikkuse osas. Kaebaja peamine etteheide seisneb selles, et eelnevate menetlejate järeldused etteheidetava teo subjektiivse külje (tahtluse) puudumise osas on valed. Samas ei ole kaebuses välja toodud, mis eesmärgil, milliste lisatõendite saamiseks ja milliseid menetlustoiminguid konkreetselt tuleks täiendavalt teostada. Riigiprokuratuur on seejuures YY versiooni usaldusväärsusega seoses asjakohaselt selgitanud, et kriminaalmenetluses ei pea isik tõendama enda süütust, vaid – vastupidi – kriminaalõiguslik reaktsioon eeldab isiku süü tõendamist. Kohtueelses menetluses 8

(9)1-21-964 kogutud materjalid ei anna alust tõsikindlaks seisukohaks, et YY astus kõnealusesse serverisse sisenemiseks selliseid samme või kasutas selleks sellist viisi, mis viitaks, et ta selgelt mõistis serversisse sisenemisel selleks õigusliku aluse puudumist.

1. Nagu riigiprokurör põhjendatult märkis – kui tõendite uurimisel tekivad menetlejal põhjendatud kahtlused ning neid ei õnnestu muude tõenditega kõrvaldada, siis tuleb in dubio pro reo põhimõttel langetada otsus kahtlustatava kasuks, mitte aga teha kahtlustatavale kahjulikku otsust puudulike tõendite alusel. Kriminaalmenetluses ei otsustata, kas kahtlustatav on tõenäolisemalt süüdi või süütu, vaid inimest saab kuriteos kahtlustada/süüdistada ainult siis, kui kuriteo toimepanemine on nii kindlalt tõendatud, et selles ei jää mõistlikku kahtlust, millist asjaolu aga menetlejad antud kriminaalasjas sedastada ei saanud.
2. Eeltoodu alusel ning juhindudes kriminaalmenetluse seadustiku § 208 lg-st 5 jätab ringkonnakohus Riigiprokuratuuri 07.01.2021.a määruse muutmata ja esitatud kaebuse rahuldamata. (allkirjastatud digitaalselt) 9