Logi systemowe jako dowód w sądzie. Co naprawdę można z nich ustalić?

Logi systemowe odgrywają coraz większą rolę w postępowaniach dotyczących cyberprzestępczości, nieautoryzowanych transakcji płatniczych, naruszeń bezpieczeństwa informacji oraz sporów technologicznych. Pozwalają ustalić m.in. czas logowania, adres IP, z którego nawiązano połączenie, czy operacje wykonane w określonym systemie.

Nie oznacza to jednak, że każdy zapis systemowy stanowi jednoznaczny dowód określonego działania. Istotne jest nie tylko to, co wynika z logów, lecz także sposób ich pozyskania, zabezpieczenia i interpretacji.

Czy logi systemowe są dowodem w sądzie?

Polskie przepisy dopuszczają wykorzystanie zapisów elektronicznych w postępowaniu sądowym. W sprawach cywilnych zastosowanie mogą znaleźć art. 243¹ i art. 308 k.p.c., zależnie od charakteru przedstawionego materiału. Jego wiarygodność i moc dowodowa podlegają ocenie sądu na zasadach określonych w art. 233 § 1 k.p.c.

W postępowaniu karnym znaczenie mają przede wszystkim art. 7 i art. 167 k.p.k., dotyczące oceny oraz przeprowadzania dowodów.

Automatyczne wygenerowanie zapisu nie przesądza o jego autentyczności. Logi mogą być niekompletne, zawierać błędne oznaczenia czasu lub podlegać modyfikacjom. Dlatego ich ocena wymaga uwzględnienia sposobu działania i konfiguracji systemu, z którego pochodzą.

Czy adres IP pozwala ustalić sprawcę?

Adres IP może umożliwić identyfikację połączenia sieciowego, nie stanowi jednak jednoznacznego identyfikatora osoby fizycznej.

Ten sam publiczny adres IP może być wykorzystywany przez wielu użytkowników. Dodatkowe trudności wynikają ze stosowania mechanizmów NAT, sieci VPN czy dynamicznego przydzielania adresów.

Podobnie zarejestrowanie operacji na koncie przypisanym określonemu użytkownikowi nie przesądza, że czynność została wykonana osobiście przez właściciela konta. Dane uwierzytelniające mogły zostać przejęte lub wykorzystane przez osobę nieuprawnioną.

Szczególne znaczenie ma to w sporach dotyczących nieautoryzowanych transakcji płatniczych. Zgodnie z art. 45 ust. 2 ustawy o usługach płatniczych samo wykazanie zarejestrowanego użycia instrumentu płatniczego nie wystarcza do udowodnienia autoryzacji transakcji przez użytkownika.

Należy zatem odróżnić ustalenie aktywności określonego konta lub urządzenia od przypisania tej aktywności konkretnej osobie.

Jak prawidłowo zabezpieczyć i przedstawić logi sądowi?

W praktyce logi przedstawiane są w postaci wydruków, raportów PDF lub plików elektronicznych, np. CSV, JSON, XML czy plików właściwych dla danego systemu.

Przepisy nie przewidują jednego obowiązkowego formatu eksportu. Z perspektywy dowodowej najistotniejsze jest jednak zachowanie danych źródłowych lub możliwie wiernego eksportu, umożliwiającego ich późniejszą weryfikację.

Sam wydruk albo raport PDF może okazać się niewystarczający, zwłaszcza gdy druga strona kwestionuje kompletność zapisów. Eksport może bowiem obejmować jedynie wybrane zdarzenia, z pominięciem informacji istotnych dla odtworzenia ich rzeczywistego przebiegu.

Warto zatem udokumentować czynności zabezpieczenia danych, wskazując źródło ich pochodzenia, datę i sposób eksportu, osobę wykonującą czynność oraz zastosowane kryteria wyboru zapisów.

Przedstawiając logi sądowi, należy również określić, jakie fakty mają zostać za ich pomocą wykazane. Sposób przekazania plików musi odpowiadać wymaganiom właściwego postępowania.

Integralność logów. Czy podpis elektroniczny wystarczy?

Jednym ze sposobów weryfikacji integralności plików jest obliczenie kryptograficznej wartości skrótu, np. SHA-256. Pozwala ona sprawdzić, czy zawartość zabezpieczonego pliku uległa zmianie. Dodatkowym zabezpieczeniem może być podpis elektroniczny, pieczęć elektroniczna lub kwalifikowany elektroniczny znacznik czasu. Zgodnie z art. 35 ust. 2 rozporządzenia eIDAS kwalifikowana pieczęć elektroniczna korzysta z domniemania integralności danych i autentyczności ich pochodzenia. Natomiast art. 41 ust. 2 przewiduje domniemanie dokładności daty i czasu oraz integralności danych powiązanych z kwalifikowanym elektronicznym znacznikiem czasu.

Nie oznacza to jednak, że opatrzenie wyeksportowanych logów podpisem lub pieczęcią potwierdza prawdziwość wszystkich zawartych w nich informacji. Integralność pliku nie jest tożsama z autentycznością danych źródłowych. Podpisanie raportu nie wyklucza, że przed jego sporządzeniem doszło do modyfikacji zapisów albo pominięcia części informacji.

Kiedy konieczna jest opinia biegłego?

Jeżeli analiza logów wymaga wiadomości specjalnych, uzasadnione może być przeprowadzenie dowodu z opinii biegłego na podstawie art. 278 § 1 k.p.c. lub art. 193 § 1 k.p.k. Opinia może służyć w szczególności ustaleniu sposobu działania systemu, weryfikacji integralności zapisów, ocenie ich kompletności oraz określeniu, czy możliwe jest powiązanie zarejestrowanej aktywności z konkretnym urządzeniem lub użytkownikiem. Biegły powinien wyjaśnić techniczne znaczenie materiału. Ostateczna ocena jego wiarygodności i mocy dowodowej pozostaje w kompetencji sądu.

Podsumowanie

Logi systemowe mogą stanowić istotny materiał dowodowy, jednak ich wykorzystanie wymaga odpowiedniego zabezpieczenia i właściwej interpretacji.

Prawidłowy eksport, zachowanie danych źródłowych, udokumentowanie czynności zabezpieczających oraz weryfikacja integralności zwiększają możliwość późniejszej oceny materiału. Nie przesądzają jednak o prawdziwości zapisów ani o tożsamości osoby, której przypisuje się określone działanie.

W sprawach technologicznych zasadnicze znaczenie ma rozróżnienie między tym, co system zarejestrował, a tym, co można na tej podstawie rzeczywiście udowodnić.

EPOQUE Kancelaria Adwokacka zajmuje się sprawami z zakresu cyberprzestępczości, prawa nowych technologii oraz sporów technologicznych, w tym zagadnieniami dotyczącymi zabezpieczania i oceny dowodów cyfrowych.

Stan prawny na dzień: 10 listopada 2026 roku

Zdjęcie: magnific.com