prop · GR03164 · 2004-06-01 00:00:00 — För ansvar enligt bestämmelsen krävs liksom enligt rambeslutets be- stämmelse uppsåt. Båda bestämmelserna förutsätter vidare att handlingen utförs olovligen respektive orättmätigt. Dessa krav måste anses ha sam- ma innebörd. I denna del hänvisas till vad som sagts i avsnitten om olagligt intrång i informationssystem och olaglig systemstörning. Den straffbara handlingen enligt rambeslutet riktar sig generellt mot datorbehandlingsbara uppgifter som finns i informationssystem. Den av- ser både innehåll i vanlig bemärkelse och andra uppgifter. De uppgifter som avses i rambeslutet omfattas av begreppet upptagning för automatisk databehandling i dataintrångsbestämmelsen. Datastörningen kan bestå i att någon raderar, skadar, försämrar eller ändrar de datorbehandlingsbara uppgifterna. Dessa handlingar måste an- ses motsvara vad som enligt dataintrångsbestämmelsen är straffbelagt som att ändra eller utplåna. Enligt artikeln skall det vidare vara straffbart att hindra flödet av eller göra det omöjligt att komma åt datorbehand- lingsbara uppgifter. Som angetts i föregående avsnitt om olaglig system- störning kan i vissa fall sådana datastörningar åstadkommas utan att upp- gifterna ändras eller utplånas eller förs in i register eller utan att någon olovligen bereder sig tillgång till en upptagning. I dessa situationer torde dataintrångsbrottet inte motsvara vad som krävs enligt rambeslutet. Som vidare konstaterats i det avsnittet torde inte heller andra svenska straffbe- stämmelser, främst om skadegörelse- och sabotagebrott, vara tillräckliga för att uppfylla rambeslutets krav i dessa delar. För att helt uppfylla ram- beslutets krav på att det skall vara straffbart att hindra flödet av och göra det omöjligt att komma åt datorbehandlingsbara uppgifter torde enligt regeringens bedömning därför krävas lagändring. Anstiftan av, medhjälp till och försök till brott Enligt artikel 5 i rambeslutet skall anstiftan av och medhjälp till olagligt intrång i informationssystem, olaglig systemstörning och olaglig data- störning vara straffbelagt. I svensk rätt är medverkan till dataintrång, skadegörelse, grov skadegörelse samt sabotage och grovt sabotage redan kriminaliserat. Vidare skall försök till olagligt intrång, olaglig systemstörning och olaglig datastörning vara straffbart. När det gäller intrång får dock en medlemsstat besluta att försök inte skall straffbeläggas. I svensk rätt är försök till dataintrång straffbart under förutsättning att intrånget inte skulle ha varit att anse som ringa om det fullbordats. Rambeslutet kräver dock inte att ringa fall av fullbordade brott straffbeläggs. Därmed bör rambeslutet inte heller anses kräva att försök straffbeläggs i de fall det fullbordade brottet skulle ha varit ringa, även om den fullbordade gär- ningen i och för sig kriminaliseras i nationell rätt. När det gäller skadegö- relse, grov skadegörelse, sabotage och grovt sabotage är försök till dessa brott straffbelagda. Sammanfattningsvis gör alltså regeringen bedömningen att svensk rätt uppfyller rambeslutets krav om kriminalisering av anstiftan, medhjälp och försök i fråga om de handlingar som täcks av straffbestämmelserna om dataintrång, skadegörelse, grov skadegörelse, sabotage och grovt sa- botage. Närmare om hur lagändringarna bör utformas Av de föregående avsnitten har framgått att svensk rätt till övervägande del uppfyller de krav som ställs i rambeslutet. Kraven på vilka handlingar som skall vara straffbelagda motsvaras dock inte fullt ut av svenska straffbestämmelser. Enligt rambeslutet skall det vara straffbart att hindra flödet av och göra det omöjligt att komma åt datorbehandlingsbara upp- gifter. Det skall också vara straffbart att avbryta eller allvarligt hindra driften av ett informationssystem, bl.a. när det sker genom inmatningar eller överföringar av datorbehandlingsbara uppgifter. Dessutom skall anstiftan av och medhjälp till samt försök till dessa straffria hand- lingar vara straffbart. I dessa avseenden krävs alltså svenska lagändring- ar. Dataintrångsbestämmelsens skyddsobjekt upptagning för automatisk databehandling motsvarar rambeslutets skyddsobjekt. Bestämmelsen är också uppbyggd med krav på uppsåt och olovlighet på ett sätt som över- ensstämmer med rambeslutet. Det framstår därför som naturligt att de nödvändiga lagändringarna görs i dataintrångsbestämmelsen. Bestäm- melsen bör så långt det är möjligt behållas i sin nuvarande utformning och endast kompletteras med de tillägg som är påkallade till följd av rambeslutet. Eftersom försök till dataintrång är kriminaliserat, krävs inga särskilda lagstiftningsåtgärder om utvidgningen av det straffbara området sker i den bestämmelsen. bestämmelser om medverkan (23 kap. 4 §) innebär att anstiftan av och medhjälp till sådana gärningar kommer att vara kriminaliserade. När det straffbara området skall utformas är det angeläget att överväga Prop. 2003/04:164 detta i förhållande till handlingar som utgör opinionsyttringar eller lik- nande, t.ex. sändande av elektronisk post med visst åsiktsinnehåll till en myndighet i syfte att myndigheten skall ta del av och låta sig påverkas av innehållet. Dessutom måste frågor av teknisk natur övervägas. Utvidg- ningen av det kriminaliserade området kräver sålunda ytterligare analys. Det är därför inte möjligt att nu redovisa den exakta avgränsningen av det straffbara området. Påföljder och försvårande omständigheter Regeringens bedömning: Svensk rätt uppfyller rambeslutets bestäm- melser om påföljder och försvårande omständigheter. Skälen för regeringens bedömning: Straffskalan för dataintrång är böter eller fängelse i högst . För skadegörelse och grov skadegörel- se är straffskalorna böter eller fängelse i högst respektive fängelse i Straffskalorna för sabotage och grovt sabotage är fängelse i högst respektive fängelse i lägst och högst eller på Enligt artikel 6 punkt 1 i rambeslutet skall samtliga de handlingar som enligt rambeslutet skall vara straffbara vara belagda med effektiva, pro- portionella och avskräckande straffrättsliga påföljder. se kräver inte någon lagstiftningsåtgärd. Artikel 6 punkt 2 föreskriver att de brott som avses i artiklarna 3 och 4, olagliga systemstörningar och olagliga datastörningar men däremot inte olagliga intrång i informationssystem enligt artikel 2 och medverkan och försök enligt artikel 5, skall vara belagda med straffrättsliga påföljder som innebär ett maximistraff på minst ett till fängelse. bär ett krav på att fängelse i åtminstone skall finnas i straffskalan. Straffskalorna för dataintrång, skadegörelse, grov skadegörelse liksom för sabotagebrott uppfyller detta krav. inte någon lagändring i denna del. Enligt svensk rätt skall vidare såsom försvårande omständighet vid be- dömningen av ett brotts straffvärde särskilt beaktas om brottet utgjort ett led i en brottslig verksamhet som varit särskilt noggrant planlagd eller bedrivits i stor omfattning och i vilken den tilltalade spelat en betydande roll (29 kap. 2 § 6 ). I artikel 7 punkt 1 i rambeslutet föreskrivs att det skall ses som en för- svårande omständighet att brott begås inom ramen för en sådan kriminell organisation som avses i gemensam åtgärd 98/733/RIF av den 21 decem- ber 1998 om att göra deltagande i en kriminell organisation i unionens medlemsstater till ett brott. Den svenska bestämmelsen måste anses motsvara detta åtagande enligt rambeslutet. När en sådan försvårande omständighet föreligger skall enligt rambe- slutet de gärningar som avses i artikel 2.2 och artiklarna 3 och 4 vara belagda med straffrättsliga påföljder som innebär ett maximistraff på minst två till fängelse. Det innebär att olagliga intrång som begås genom intrång i en säkerhetsåtgärd, olagliga systemstörningar och olag- liga datastörningar skall ha straffskalor som innehåller åtminstone två års De tidigare redovisade straffskalorna för dataintrång, grov ska- Prop. 2003/04:164 degörelse, sabotage och grovt sabotage uppfyller också detta krav. gör däremot inte straffskalan för skadegörelse av normalgraden. I fråga om gradindelade brott är det dock tillräckligt att den grövsta formen i detta fall grov skadegörelse motsvarar vad som krävs enligt rambeslu- tet. Inte heller i denna del kräver rambeslutet därför någon lagändring. Enligt artikel 7 punkt 2 får en medlemsstat även vidta de åtgärder som avses i punkt 1, när gärningen har orsakat allvarliga skador eller påverkat väsentliga intressen. Bestämmelsen är fakultativ och kräver därför inte någon lagändring. Emellertid kan enligt gällande svensk rätt sådana om- ständigheter motivera att brotten bedöms som grov skadegörelse, sabota- ge eller grov sabotage. Straffskalorna för dessa brott motsvarar den fäng- elsenivå i punkt 1 som punkt 2 anvisar. 6.3Ansvar och påföljder för juridiska personer Regeringens bedömning: Svensk rätt uppfyller de krav som rambeslutet ställer i fråga om ansvar och påföljder för juridiska personer. Skälen för regeringens bedömning: Rambeslutet innehåller bestäm- melser om ansvar och påföljder för juridiska personer. Med juridisk per- son avses enligt artikel 1 c enhet som har sådan status enligt tillämplig lagstiftning, med undantag av stater eller andra offentliga organ vid ut- övandet av de befogenheter som de har i egenskap av statsmakter samt internationella offentliga organisationer. Denna definition förekommer i andra redan antagna rambeslut, t.ex. rambeslutet om bekämpning av be- drägeri och förfalskning som rör andra betalningsmedel än kontanter (149, , s. 1). Definitionen är alltså vedertagen. Bestämmelserna om ansvar och påföljder för juridiska personer i artik- larna 8 och 9 innebär att påföljder i form av bötesstraff eller administra- tiva avgifter under vissa förutsättningar skall kunna åläggas juridiska personer när brott har begåtts till deras förmån. Vidare får vissa påföljder införas. Något krav på att införa straffrättsligt ansvar finns alltså inte. Bestämmelserna utgör standardbestämmelser som återkommer i flera andra antagna rambeslut inom ramen för samarbetet i rättsliga och inri- kes frågor. Motsvarande bestämmelser finns bl.a. i EU:s rambeslut om förstärkning av skyddet mot förfalskning i samband med införandet av euron (EGT L 140, , s. 1). I samband med att god- kände det rambeslutet gjordes den bedömningen att de svenska reglerna om företagsbot (36 kap. 710 §§ ) motsvarar de krav som ställs i rambeslutet (prop. 1999/2000:85, bet. 1999/2000:JuU20, rskr. 1999/2000:217). Samma bedömning gjordes i det lagstiftningsärende som behandlade de lagändringar som ansågs nödvändiga till följd av det rambeslutet (prop. 2000/01:40, bet. 2000/01:JuU9, rskr. 2000/01:138). I den rapport som Europeiska kommissionen upprättade avseende med- lemsstaternas genomförande av rambeslutet (KOM [2002] 771 slutlig) angavs också som en av åtta medlemsstater som har lagstiftning varigenom juridiska personer kan ställas till rättsligt ansvar för de brott som omfattas av rambeslutet. Även i fråga om förevarande rambeslut får reglerna om företagsbot anses uppfylla de krav som uppställs vad gäller Prop. 2003/04:164 ansvar och påföljder för juridiska personer. Regeringens bedömning: Rambeslutets krav på behörighet (domsrätt) motsvarar i princip svenska bestämmelser på området. lertid i den ordning som föreskrivs i rambeslutet lämna underrättelse om att inte kommer att tillämpa bestämmelsen om behörighet i arti- kel 10 punkt 1 c i de fall brott har begåtts utanför territorium. Skälen för regeringens bedömning: Svenska regler om straffrättslig behörighet (domsrätt) finns i huvudsak i 2 kap. . som begåtts här i riket döms efter svensk lag vid svensk domstol (1 §). Detsamma gäller om det är ovisst var ett brott förövats men det finns skäl att anta att det har begåtts inom riket. Ett brott anses begånget där den brottsliga handlingen företogs, så ock där brottet fullbordades eller, vid försök, där brottet skulle ha fullbordats (4 §). Så snart någon del av den brottsliga handlingen har ägt rum här i riket är alltså handlingen i sin hel- het att anse som begången i och inte bara den del som faller inom landets gränser. Artikel 10 punkt 1 a i rambeslutet föreskriver att en medlemsstat skall ha behörighet i fråga om brott enligt rambeslutet som har ägt rum helt eller delvis på medlemsstatens territorium. Enligt punkt 2 skall i detta fall behörigheten innefatta situationer där a) brottslingen är fysiskt närvaran- de på medlemsstatens territorium när brottet begås, oavsett om brottet riktar sig mot ett informationssystem på denna medlemsstats territorium eller inte, eller b) brottet riktar sig mot ett informationssystem på med- lemsstatens territorium, oavsett om brottslingen är fysiskt närvarande på detta territorium när brottet begås eller inte. De svenska bestämmelserna om domsrätt över brott som begåtts här i riket och var ett brott skall anses begånget torde i praktiken ge svenska domstolar behörighet att döma över brott i dessa fall. måste därför anses uppfylla de angivna kraven i rambeslutet. krävs inte någon lagändring i denna del. Enligt 2 kap. döms vidare för brott som begåtts utom riket efter svensk lag vid svensk domstol bl.a. om brottet har begåtts av en svensk medborgare (2 §). Genom denna bestämmelse uppfylls åtagandet i punkt 1 b att varje medlemsstat skall fastställa behörighet beträffande brott enligt rambeslu- tet som har begåtts av en av medlemsstatens medborgare. gäller åtagandet i punkt 3 om att en medlemsstat, som enligt sin lagstift- ning ännu inte utlämnar eller överlämnar sina egna medborgare, skall fastställa sin behörighet i fråga om och, när det är lämpligt, väcka åtal för brotten enligt rambeslutet när de har begåtts av en av landets medborgare utanför landets territorium. Bestämmelsen i punkt 1 c att en medlemsstat skall ha behörighet att döma över brott enligt rambeslutet som har begåtts till förmån för en ju- ridisk person som har sitt huvudkontor på medlemsstatens territorium saknar motsvarighet i svensk rätt. Svenska domstolar har emellertid en långtgående behörighet att döma över brott. Som framgått ovan har Prop. 2003/04:164 svenska domstolar alltid behörighet att döma över brott som helt eller delvis har begåtts i . Dessutom har domstolarna en vidsträckt be- hörighet att döma över brott som begåtts utom riket (se främst 2 och 3 §§). Bestämmelsen i rambeslutet motsvaras dock, som redan sagts, inte av en likalydande behörighetsregel i svensk rätt. bör därför ut- nyttja den möjlighet som föreskrivs i punkt 5 att inte tillämpa denna be- hörighetsbestämmelse i rambeslutet när brottet har begåtts utanför Sveri- ges territorium. Enligt punkt 6 skall rådets generalsekretariat och kom- missionen underrättas om detta. Det bör ske genom regeringens försorg. Slutligen reglerar punkt 4 fall där flera medlemsstater har behörighet att döma över samma brott. Bestämmelsen innebär att staterna skall sam- arbeta för att avgöra behörighetsfrågan och att de i det syftet kan anlita de organ eller mekanismer som har inrättats inom Europeiska unionen och att vissa omständigheter därvid kan beaktas. Bestämmelsen innebär alltså en samrådsskyldighet. Formerna för samrådet är emellertid fakulta- tiva. Sådant samråd torde i förekommande fall äga rum formlöst. Någon särskild reglering av frågan kan inte anses nödvändig. Det skall i sammanhanget nämnas att rambeslutet om bekämpande av terrorism (EGT L 164, 22.6.2002, s. 3) innehåller en liknande bestämmelse som, trots att den är av mer obligatorisk karaktär, inte har lett till lagstiftnings- åtgärder (jfr prop. 2001/02:135 och 2002/03:38). Sammanfattningsvis gör regeringen bedömningen att svensk domsrätt föreligger i samtliga fall där medlemsstaterna ovillkorligen skall kunna utöva domsrätt. Regeringens bedömning: Bestämmelserna i rambeslutet om utbyte av uppgifter kräver inte lagstiftningsåtgärder. telse om sin kontaktpunkt för utbytet av uppgifter. Skälen för regeringens bedömning: Enligt artikel 11 i rambeslutet skall medlemsstaterna för utbyte av uppgifter om de brott som avses i rambeslutet säkerställa att de använder det befintliga nät med operativa kontaktpunkter som kan nås dygnet runt . ske med iakttagande av bestämmelser om dataskydd. Det nät som åsyftas är vilket framgår uttryckligen av ingresskäl 16 det nät som omnämns i rådets rekommendation av om kontaktpunkter som upprätthåller ett öppethållande dygnet runt för bekämpning av högtekno- logisk brottslighet (EGT C 187, , s. 5). Vidare skall varje med- lemsstat underrätta rådets generalsekretariat och kommissionen om sin Bestämmelsen innebär sålunda inte ett nytt åtagande att inrätta ett nät I stället skall det redan befintliga nätet användas för dygnet runt som innebär att man alltid kan nå en IT-brottsspecialist. icke kontorstid går kontakten via Rikskommunikationscentralen. den för detta beredskapsåtagande är ett nätverk som skapades i G8 och som deltagit i . I den nämnda rådsrekommendationen uppmanades de medlemsstater som ännu inte anslutit sig till Prop. 2003/04:164 att göra det. Inom har tillskapats en funktion för samordning av IT-relaterade brott och incidenter. Funktio- nen är gemensam för Säkerhetspolisen och . kan denna funktion utgöra en ännu starkare kontaktpunkt än dagens be- redskapsmodell. Det finns alltså redan en kontaktpunkt rörande högteknologisk brotts- lighet. Artikel 11 innebär att denna befintliga punkt skall användas för utbyte av uppgifter om brotten enligt rambeslutet. I detta måste självklart anses ligga att informationsutbytet också skall ske i de former som sker , dvs. med iakttagande av gällande bestämmelser om dataskydd, vil- ket framgår uttryckligen av rambeslutet, och gällande sekretessregler. Någon ny reglering för att uppfylla detta åtagande behövs följaktligen inte. bör genom regeringens försorg underrätta rådets generalsek- retariat och kommissionen om denna kontaktpunkt. I sammanhanget skall också nämnas att har ett sammanhållande myndighetsansvar för samhällets informations- säkerhet. I det arbetet ingår bl.a. att analysera förhållanden som rör in- formationssäkerhet i samhället. Dessutom genomför och sammanställer myndigheten risk- och sårbarhetsanalyser, som tillsammans med erhållet underrättelseunderlag utgör grund för en årlig samlad bedömning till re- geringen. Utöver det arbete som sker med att utbyta uppgifter om IT-brott har regeringen gett i uppdrag att inrätta en rikscentral för IT-incidentrapportering. är IT- incidentcentrum (Sitic) i drift. Sitic har som främsta uppgift att stödja samhället i arbetet med skydd mot IT-incidenter genom att inrätta ett system för informationsutbyte om IT-incidenter mellan samhällets orga- nisationer och Sitic. Sitic skall snabbt kunna sprida information i samhäl- let om nya problem som kan störa IT-system. Att lämna information och råd om förebyggande åtgärder ingår också i uppdraget. Slutligen skall Sitic sammanställa och ge ut statistik som underlag för kontinuerliga för- bättringar i det förebyggande arbetet. Rambeslutet om angrepp mot informationssystem kan föranleda vissa utvidgningar av det straffbelagda området. Dessa torde emellertid kom- ma att vara av begränsad omfattning och torde endast komma att medföra marginella kostnadsökningar för rättsväsendet. Eventuella merkostnader skall finansieras inom befintliga anslag. Rambeslutet om angrepp mot informationssystem om angrepp mot informationssystem EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA RAMBE- SLUT med beaktande av Fördraget om Europeiska unionen, särskilt artiklarna 29, 30.1 a, 31.1 e och 34.2 b i detta, med beaktande av kommissionens förslag1, med beaktande av yttrande2, och av följande skäl: (1)Syftet med detta rambeslut är att förbättra samarbetet mellan rätts- liga och andra behöriga myndigheter, inbegripet polismyndigheter och andra specialiserade brottsbekämpande organ i medlemsstaterna, genom tillnärmning av medlemsstaternas strafflagstiftning på området för an- grepp mot informationssystem. (2)Det har konstaterats att det förekommer angrepp mot informations- system, särskilt till följd av hotet från den organiserade brottsligheten, och det finns en stigande oro för terroristattacker mot de informationssy- stem som ingår i medlemsstaternas vitala infrastruktur. Detta utgör ett hot mot skapandet av ett säkrare informationssamhälle och ett område med frihet, säkerhet och rättvisa och kräver därför motåtgärder på EU- nivå. (3)Ett effektivt svar på dessa hot kräver en samlad syn på nät- och in- formationssäkerhet, vilket betonas i handlingsplanen eEurope, i kommis- sionens meddelande "Nät- och informationssäkerhet: förslag till en euro- peisk strategi" och i rådets resolution av om en gemensam inställning och särskilda åtgärder på området för nät- och in- formationssäkerhet. (4)Behovet av att ytterligare öka medvetenheten om problemen som har att göra med informationssäkerhet och ge praktisk hjälp har också betonats i resolution av . (5)Stora klyftor och skillnader i medlemsstaternas lagstiftning på detta område kan försvåra kampen mot organiserad brottslighet och terrorism 1EGT C 203 E, 27.8.2002, s. 109. 2Yttrandet avgivet (EUT C 300 E, 11.12.2003, s. 16). och komplicera ett effektivt polisiärt och rättsligt samarbete när det gäller angrepp mot informationssystem. nationsöverskridande och gränslösa karaktär innebär att angrepp mot sådana system ofta är gränsöverskridande, vilket understryker det träng- ande behovet av ytterligare insatser för att tillnärma strafflagstiftningen på detta område. (6)Rådets och kommissionens handlingsplan för att på bästa sätt genomföra bestämmelserna i om upprättande av ett område med frihet, säkerhet och rättvisa3, i , i , kommissionen i "resultattavlan" och isin resolution av anger eller uppmanar till lagstift- ningsåtgärder mot högteknologisk brottslighet, inklusive gemensamma definitioner, kriminaliseringar och påföljder. (7)Det arbete som utförs av internationella organisationer, särskilt Eu- roparådets insatser för tillnärmning av strafflagstiftning och G8:s arbete för gränsöverskridande samarbete på området för högteknologisk brotts- lighet, måste kompletteras genom att det fastställs en gemensam strategi på detta område inom Europeiska unionen. Detta krav utvecklades ytter- ligare i kommissionens meddelande till rådet, , Eko- nomiska och sociala kommittén och "Ett säkrare in- formationssamhälle ökad säkerhet i informationsinfrastrukturen och bekämpning av datorrelaterad brottslighet". (8)Strafflagstiftningen om angrepp mot informationssystem bör till- närmas i syfte att få till stånd största möjliga polisiära och rättsliga sam- arbete när det gäller brott som hänför sig till angrepp mot informations- system och att bidra till kampen mot organiserad brottslighet och terro- rism. (9)Alla medlemsstater har ratificerat konvention av om skydd för enskilda vid automatisk databehandling av personuppgifter. Personuppgifter som behandlas i samband med genom- förandet av detta rambeslut bör skyddas i enlighet med principerna i den nämnda konventionen. (10)Gemensamma definitioner på detta område, särskilt av informa- tionssystem och datorbehandlingsbara uppgifter, betyder mycket för att säkra att detta rambeslut tillämpas enhetligt i medlemsstaterna. (11)Det finns ett behov av att fastställa en gemensam inställning i frå- ga om brottsrekvisit, genom att gemensamt kriminalisera olagligt intrång iinformationssystem, olaglig systemstörning och olaglig datastörning. (12)För att kunna bekämpa IT-relaterad brottslighet bör varje med- lemsstat säkerställa effektivt rättsligt samarbete avseende brott vilka bygger på de typer av handlande som avses i artiklarna 2, 3, 4 och 5. 3 EGT C 19, 23.1.1999, s. 1. (13) Det finns ett behov av att undvika att kriminaliseringen går för långt, särskilt i fråga om ringa fall, liksom att undvika att kriminalisera rättighetshavare och behöriga personer. (14)Det finns ett behov av att medlemsstaterna föreskriver påföljder för angrepp mot informationssystem. Dessa påföljder skall vara effekti- va, proportionella och avskräckande.