prop · GR03164 · 2004-06-01 00:00:00 — Enligt punkt 1 skall medlemsstaterna senast efter det att rambe- slutet har trätt i kraft vidta de åtgärder som är nödvändiga för att följa bestämmelserna i rambeslutet. Punkt 2 föreskriver att medlemsstaterna senast till rådets generalsekretariat och kommissionen skall överlämna texten till bestämmelser genom vilka skyldigheterna enligt rambeslutet införlivas med deras nationella lagstiftning. Vidare föreskrivs att rådet senast 30 månader efter rambeslutets ikraftträdande, på grundval av en rapport som skall utarbetas utifrån information och en skriftlig rapport från kommis- sionen, skall bedöma i vilken utsträckning medlemsstaterna har följt be- stämmelserna i rambeslutet. Enligt artikel 13 träder rambeslutet i kraft som det offentlig- görs i Europeiska unionens officiella tidning. I samband med att rambeslutet antas skall ett uttalande från kommissio- nen tas till rådets protokoll. I utkastet till uttalandet beklagar kommissio- nen att artikeln om påföljder (artikel 6 punkt 2) saknar föreskrift om ett minimistraff för olagligt intrång i informationssystem (artikel 2). 5 Antagande av rambeslutet Regeringens förslag: godkänner det inom Europeiska unio- nen upprättade utkastet till rambeslut om angrepp mot informationssy- stem. Skälen för regeringens förslag Dagens samhälle präglas av att informationsteknik genomsyrar i stort sett alla sektorer. Det innebär att samhället är sårbart för olika for- mer av angrepp som riktar sig mot informationssystem, såsom olovliga intrång i systemen och störningar av systemen och av data i systemen. Datavirus och andra sabotageprogram förstör eller ändrar uppgifter och kan avbryta eller hindra driften av informationssystem men kan också förvanska innehållet på t.ex. webbplatser och webbsidor. Vissa program orsakar skador på själva datorn medan andra i stället utnyttjar datorn för att angripa andra apparater i samma nät. En del program ofta kallade logiska bomber kan ligga inaktiva tills de aktiveras genom en viss hän- delse, t.ex. att ett visst datum infaller, och då förstöra eller modifiera uppgifter. Andra program utlöser angrepp när de öppnas. Dessa kallas ofta trojanska hästar. Ytterligare en typ av program, s.k. datamaskar, ko- pierar sig själva. Kopiorna skapar sedan ännu fler kopior, vilket leder till att systemet översvämmas av kopiorna. Ett vanligt sätt att sprida datavirus och andra sabotageprogram är i bilagor till elektronisk post eller på webbplatser. Det förekommer även s.k. tillgänglighetsattacker eller på engelska De- nial of Service-attacker (DoS-attacker). Sådana attacker kan innebära att informationssystem blockeras eller att funktionen hos systemen kraftigt sätts ned genom automatiskt genererade meddelanden. Sådana överbe- lastningar kan liknas vid fall där faxar blockeras av långa och upprepade meddelanden. Program som skickar stora mängder elektronisk post kan avbryta eller allvarligt hindra driften hos informationssystem. Detsamma kan gälla sändningar i stor skala av elektronisk post. Andra typer av attacker innefattar t.ex. störningar av servrar som hanterar do- männamnssystemet (DNS). Det förekommer också kombinationer av de nu nämnda formerna av attacker. Som exempel kan nämnas datavirus som sprids i bilagor till elektronisk post. När viruset infekterar en dator öppnas en hemlig s.k. bakdörr till datorn som gör att datorn senare tillfälligt kan användas för att genomföra tillgänglighetsattacker. synes angrepp mot informationssystem ha blivit allt vanligare. Som exempel kan nämnas dataviruset Loveletter och masken Sobig.f., som båda snabbt spred sig över hela världen. I öppna nät, som exempelvis Internet, är det möjligt att relativt enkelt sprida t.ex. nyska- pade datavirus. Spridningen följer ibland vissa mönster bl.a. beroende av operativsystem, språk som används i ett elektroniskt brev eller brister i program och datorutrustning. Vissa attacker kan genomföras snabbt men vara svåra att använda för att nå precisa mål. Datavirus kan få en snabb men okontrollerad spridning. Tillgänglighetsattacker har i flera fall haft tydliga mål. Att kartlägga och undersöka system för att få t.ex. ökad pre- cision eller effekt i attacker kan dock vara kostsamt och ta . Det ökar också risken för att bli upptäckt. Tillgänglighetsattacker har riktats mot nätoperatörer och Internetleverantörer. Det finns en risk att IT- system inom t.ex. industrin, sjukvården eller myndigheter kan utsättas för allvarliga tillgänglighetsattacker över öppna nät eller mer avancerade intrång och attacker i systemen. Även andra kan utsättas. Angreppen kan orsaka betydande kostnader och ekonomiska förluster eller annars få all- varliga konsekvenser. De riskerar också att göra informationssystemen dyrare och därmed mindre överkomliga för användarna. Förtroendet för den nya tekniken och elektroniska tjänster som t.ex. 24- timmarsmyndigheter kan också skadas. Angreppen utförs ofta av enskilda individer som handlar på eget initia- tiv. Utvecklingen går emellertid i den riktningen att den organiserade brottsligheten i allt högre utsträckning angriper informationssystem i olagliga syften. Det finns exempelvis organiserade grupper som förstör webbplatser och sedan erbjuder de drabbade hjälp med att återställa webbplatserna mot ersättning. Det finns också en stigande oro i världen för att terroristattacker skall riktas mot informationssystem, främst såda- na system som ingår i staters samhällsviktiga infrastruktur. Hur omfat- tande och allvarlig brottsligheten är i råder det delade meningar om (se 2002:2 s. 49 och SOU 2000:25 s. 178 och 208). Däremot råder det enighet om att den måste tas på allvar. Behovet av EU-gemensamma regler Angreppen mot informationssystem utgör ett hot mot skapandet av ett säkert informationssamhälle och ett område med frihet, säkerhet och rättvisa. Redan i Fördraget om Europeiska unionen, artikel 29, anges att unionens mål inom detta område skall uppnås genom straffrättsligt sam- arbete och polissamarbete. Bland den brottslighet som särskilt nämns där finns terrorism. Av fördragets artikel 34.2 b följer att tillnärmning av medlemsstaternas lagstiftning skall ske genom rambeslut. I ett antal olika sammanhang inom unionen har betonats att ett effektivt svar på hoten mot informationssystemen kräver en samlad syn på informationssäkerhet och gemensamma regler om högteknologisk brottslighet. Det finns ett mervärde i att på EU-nivå utforma gemensamma beskriv- ningar av vilka handlingar som skall anses utgöra straffbara angrepp mot informationssystem och vilka påföljder dessa brott skall kunna leda till. Därigenom skapas ett gemensamt rättsområde som underlättar det rättsli- ga och polisiära samarbetet för att förebygga och bekämpa sådan brotts- Syftet är också att förbättra möjligheterna att bekämpa den organi- serade brottsligheten och terrorism. Det upprättade utkastet till rambeslut om angrepp mot informationssystem tillnärmar medlemsstaternas straff- rättsliga lagstiftning på detta sätt. Rambeslutet skall också ses som ett komplement till rambeslutet om bekämpande av terrorism (EGT L 164, 22.6.2002, s. 3). Rambeslutet om bekämpande av terrorism innehåller bl.a. bestämmelser om straffbara terroristhandlingar som orsakar omfat- tande förstörelse av infrastruktur, däribland informationssystem, och som kan utsätta människoliv för fara eller förorsaka betydande ekonomiska skador. Den betydelse som rambeslutet om angrepp mot informationssy- stem anses ha för kampen mot terrorism har också kommit till uttryck i Europeiska rådets deklaration om bekämpande av terrorism där det slås fast att rambeslutet skall antas . Också inom har behovet av gemensamma regler om IT- relaterade brott uppmärksammats. konvention om IT- relaterad brottslighet, som presenterats närmare i avsnitt 3.3, innehåller bl.a. bestämmelser om vilka handlingar som skall vara straffbara som IT- relaterade brott. har undertecknat konventionen och frågan om att ratificera den bereds inom . intar en framträdande position som IT-nation och det är natur- ligt att som en del i ett säkert informationssamhälle ha en straffrättslig lagstiftning som ger ett skydd mot direkta angrepp mot och missbruk av tekniken. stödjer vidare kampen mot terrorism, som bl.a. förs genom en harmonisering av straffrätten på olika områden i EU:s med- lemsstater. har också deltagit aktivt i EU och annat internatio- nellt samarbete som syftar till att förhindra och bekämpa angrepp mot informationssystem och terrorism. Mot denna bakgrund måste det anses vara av yttersta vikt att åstadkomma en ny, förbättrad EU-gemensam lagstiftning mot angrepp mot informationssystem. Som redogörs för i avsnitt 6 nedan innehåller rambeslutet bestämmelser som, om rambeslutet antas, föranleder vissa ändringar av svensk lag. Ändringarna rör vilka handlingar som skall vara straffbelagda och inne- bär att det straffbara området i vissa avseenden utvidgas. Dessa hand- lingar avser förfaranden som även från svensk utgångspunkt måste anses straffvärda. Ändringarna får därmed anses behövliga. Ändringarna torde också kunna genomföras i svensk rätt med bibehållande av den nuvaran- de systematiken. Utformningen av lagändringarna kräver dock noggran- na överväganden. Ett beredningsunderlag grundat på en utförlig och om- sorgsfull analys av relevanta frågeställningar måste hämtas in. Det vore givetvis önskvärt att den lagstiftning som rambeslutet föranleder presen- teras som rambeslutet läggs fram för godkännande. I den ovan nämnda deklarationen mot terrorism anges att antagandet skall ske . Att avvakta med ett godkännande till dess att ett beredningsunderlag har hämtats in och förslag till lagstiftning kan pre- senteras skulle emellertid innebära en avsevärd försening av antagandet av rambeslutet. bör mot bakgrund av deklarationen och för att visa sitt fortsatta stöd för unionens gemensamma arbete på detta område verka för att rambeslutet antas möjligt. Eftersom rambeslutet en- Prop. 2003/04:164 ligt artikel 34.2 b i Fördraget om Europeiska unionen är bindande för medlemsstaterna och då det innehåller bestämmelser som kräver lagänd- ringar, krävs som redan framgått godkännande innan Sve- rige röstar för ett antagande av rambeslutet i ministerrådet (10 kap. 2 § regeringsformen). Regeringen föreslår därför att godkänner det upprättade utkastet till rambeslut om angrepp mot informationssystem. 6 Behovet av lagändringar 6.1Handlingar som skall vara straffbelagda Regeringens bedömning: Svensk rätt uppfyller till övervägande del rambeslutets krav på vilka handlingar som skall vara straffbelagda. De svenska bestämmelserna torde dock inte fullt ut motsvara rambeslutets krav när det gäller att avbryta eller allvarligt hindra ett informationssy- stems drift och att hindra flödet av datorbehandlingsbara uppgifter eller göra sådana uppgifter oåtkomliga. I dessa avseenden torde alltså krävas lagändringar. Skälen för regeringens bedömning Allmänt om rambeslutets straffbestämmelser Rambeslutet innehåller bestämmelser om att olagliga intrång i informa- tionssystem, olagliga systemstörningar och olagliga datastörningar skall vara straffbelagda. Det får dock göras undantag för ringa fall. Vidare följer av artikel 47 i Fördraget om Europeiska unionen att rambeslutet inte påverkar Europeiska gemenskapernas behörighet. Detta innebär i praktiken att instrument som antagits på det område som regleras i första pelaren till skillnad mot rambeslutet som behandlas inom ramen för tredje pelaren inte påverkas och att nationell svensk lagstiftning med anledning av sådana instrument därmed kan lämnas opåverkad. Detta gäller t.ex. direktiv om intrång i immateriella rättigheter i en digital mil- jö. Olagligt intrång i informationssystem Enligt artikel 2 i rambeslutet skall uppsåtligt orättmätigt intrång i ett in- formationssystem som helhet eller en del av ett sådant system vara straffbart, åtminstone i fall som inte är ringa. Den svenska dataintrångsbestämmelsen straffbelägger uppsåtlig olov- lig tillgång till upptagning för automatisk databehandling. Såväl rambe- slutets bestämmelse som dataintrångsbestämmelsen förutsätter alltså för det första att gärningen begås med uppsåt. Vidare krävs enligt rambeslu- tet att gärningen utförs orättmätigt och enligt bestämmelsen om datain- trång att gärningen är olovlig. Till begreppet orättmätigt anknyter ingres- skäl 13 där det bl.a. sägs att det finns ett behov av att undvika att krimi- nalisera rättighetshavare och behöriga personer. Kravet på orättmätighet innebär alltså att handlingar som i och för sig uppfyller övriga krav för straffbarhet enligt rambeslutet men som utförs av eller med tillstånd från ägare eller annars behöriga personer i ett företag eller liknande i enlighet med behörigheten inte omfattas av det straffbara området. Huruvida en person intar en sådan ställning får avgöras på samma sätt som gäller i andra sammanhang. När det gäller offentliga webbplatser bör vidare den som tillhandahåller webbplatsen anses ha lämnat tillstånd i rambeslutets mening. Allmänheten kan därmed besöka webbplatsen utan att anses göra sig skyldig till orättmätigt intrång. ställer en innehavare upp vissa regler, som krav på betalning eller annat, för att en webbplats skall få besökas. Den som iakttar uppställda regler kan inte anses ha orättmä- tigt berett sig tillgång till webbplatsen. Detsamma gäller den som använ- der normala tekniker, t.ex. länkar, för att få tillgång till en webbplats. Utanför det straffbara området faller vidare handlingar som medges i nationell lagstiftning. Det kan här vara fråga om brottsbekämpande åt- gärder som exempelvis hemlig teleövervakning. Den innebörd av be- greppet orättmätigt som beskrivits måste anses motsvara vad som en- ligt dataintrångsbestämmelsen bör förstås med olovligt. Rambeslutets krav på att handlingen skall bestå i ett intrång motsvarar dataintrångsbestämmelsens krav på att det skall vara fråga om att bereda sig tillgång. Det svenska brottet rubriceras för övrigt dataintrång. In- trånget skall vidare enligt rambeslutet ha skett i ett informationssystem. Definitionen av vad som utgör ett sådant system innebär att det straffbara området omfattar intrång i datorutrustning, t.ex. persondatorer, fickdato- rer och mobiltelefoner som har vissa databehandlingsfunktioner såsom WAP. Vidare omfattas datorbehandlingsbara uppgifter för drift, använd- ning, skydd och underhåll. Det svenska begreppet upptagning för auto- matisk databehandling måste anses täcka det som i rambeslutet avses med informationssystem. Dataintrångsbestämmelsen torde följaktligen straffbelägga det område som enligt artikel 2 i rambeslutet skall vara kriminaliserat som olagligt intrång i informationssystem. Enligt rambeslutet är det dessutom möjligt för en medlemsstat att som ytterligare krav för straff- barhet föreskriva att gärningen skall begås genom intrång i en säkerhets- åtgärd för att vara straffbar. Dataintrångsbestämmelsen förutsätter inte att en säkerhetsåtgärd kringgås. Sammanfattningsvis gör alltså regeringen bedömningen att svensk rätt torde uppfylla rambeslutets krav på att olagligt intrång i informationssy- stem skall vara straffbelagt. Enligt artikel 3 skall det vara straffbart att uppsåtligen och orättmätigt allvarligt hindra eller avbryta driften av ett informationssystem genom att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter, åtmin- stone i fall som inte är ringa. Rekvisiten mata in och överföra är av särskild relevans när det gäller s.k. tillgänglighetsattacker. Övriga rekvisit avser särskilt problemet med datavirus och andra former av sabotageprogram som förstör eller modifierar uppgifter. Angående vad som avses med dessa olika former av attacker, se avsnitt 5. I svensk rätt straffbeläggs som dataintrång att olovligen ändra eller ut- plåna en upptagning för automatisk databehandling eller att föra in en sådan upptagning i register. Bestämmelsen förutsätter uppsåt och mot- svarar därvidlag rambeslutets bestämmelse. Vidare innehåller båda be- stämmelserna krav på att handlingen skall utföras olovligen respektive orättmätigt. Innebörden av dessa två begrepp måste anses vara densam- ma. I denna fråga hänvisas till vad som sagts i föregående avsnitt om olagligt intrång i informationssystem. Här bör dock tilläggas att sedvan- liga åtgärder såsom att testa säkerheten hos ett system eller att installera nya program, som vidtas av behöriga personer i enlighet med behörighe- ten, inte utgör olagliga störningar av informationssystem även om driften hos systemet allvarligt hindras eller avbryts genom åtgärderna. Enligt rambeslutet skall handlingen riktas mot ett informationssystem. Definitionen av vad som utgör ett sådant system innebär att det som av- ses är dels apparater som automatiskt behandlar datorbehandlingsbara uppgifter, dels datorbehandlingsbara uppgifter för drift, användning, skydd och underhåll av apparaterna. är det så att angreppet sker genom användning av eller påverkan på datorbehandlingsbara upp- gifter i allmänhet. Det svenska upptagningsbegreppet i dataintrångsbe- stämmelsen måste, som redan konstaterats i avsnittet om olagligt intrång ovan, anses omfatta det som avses med informationssystem i rambeslu- tet. Den handling som skall vara straffbelagd enligt rambeslutet består i att allvarligt hindra eller att avbryta driften av ett informationssystem. Hur dessa störningar kan åstadkommas anges, som redan framgått, genom en uppräkning. Störningarna kan sålunda orsakas genom att någon matar in, överför, skadar, raderar, försämrar, ändrar, hindrar flödet av eller gör det omöjligt att komma åt datorbehandlingsbara uppgifter. Det svenska data- intrångsbrottet förutsätter att någon ändrar eller utplånar en upptagning för automatisk databehandling eller att någon för in en sådan upptagning i ett register. Att ändra eller utplåna måste anses motsvara de handlingar i rambeslu- tet som benämns att skada, radera, försämra och ändra. Också rambeslu- tets handlingar att hindra flödet av och göra det omöjligt att komma åt datorbehandlingsbara uppgifter torde i vissa fall kunna åstadkommas genom en ändring i eller ett utplånande av en upptagning eller möjligen rentav genom ett införande i ett register enligt dataintrångsbestämmelsen. Dessutom är det straffbart att olovligen bereda sig tillgång till en upptag- ning, också när det sker som ett led i ett handlande som går ut på att göra uppgifter otillgängliga. Emellertid torde inte dataintrångsbrottet täcka samtliga de situationer där datorbehandlingsbara uppgifter hindras eller görs oåtkomliga. Exempelvis torde det vara tveksamt om bestämmelsen gäller i fall där så sker endast temporärt. Uppgifterna kan då knappast anses utplånade eller ändrade. I denna del torde en lagändring bli nöd- vändig, om inte andra svenska straffbestämmelser omfattar dessa situa- tioner. Innan dessa bestämmelser diskuteras skall också beröras rambeslutets krav på att inmatningar och överföringar skall straffbeläggas. fall torde dessa handlingar utgöra dataintrång, eftersom de medför att ursprungliga upptagningar ändras eller utplånas. Dessutom är det straffbart som dataintrång att göra införingar i register. Registerbe- greppet torde dock vara snävare än begreppet upptagning för automatisk databehandling. Vidare är åtgärder som innebär att någon olov- ligen bereder sig tillgång till en upptagning straffbara som dataintrång. Däremot torde dataintrångsbestämmelsen inte omfatta övriga införingar i eller överföringar till upptagningar för automatisk databehandling. Ram- beslutet innebär emellertid att samtliga inmatningar och överföringar skall vara straffbara förutsatt att de avbryter eller allvarligt hindrar ett informationssystems drift. Det skall t.ex. vara straffbart att genom auto- matiskt genererade meddelanden kontakta eller försöka kontakta ett in- formationssystem så att systemet blockeras. Lagändringar torde därför vara nödvändiga i dessa avseenden för såvitt inte andra gällande straffbe- stämmelser uppfyller rambeslutets krav i dessa delar. De straffbestämmelser som främst aktualiseras är reglerna om skade- görelse- och sabotagebrott. Dessa förutsätter som regel att gärningen medför en skada av inte endast tillfällig natur. För att ansvar skall kom- ma i fråga förutsätts också att ett beteende som att skriva in ett komman- do på ett tangentbord för att kontakta en dator kan betraktas som en ska- degörande handling. Det finns inte någon rättspraxis som belyser den senare frågeställningen. Straffansvaret för skadegörelse och sabotage torde inte heller omfatta vissa av de situationer som enligt rambeslutet skall vara straffbelagda som systemstörning, t.ex. då skadan endast är tillfällig eller då det överhuvudtaget inte uppstår skada. Straffbestämmel- sen om egenmäktigt förfarande (8 kap. 8 § ), som omfattar bl.a. det fallet att någon olovligen rubbar annans besittning, kan vara till- lämplig i dessa situationer om gärningen riktas mot en fysisk databärare men knappast i andra fall, eftersom brottet torde kräva en rumslig besitt- ningsrubbning. Försök till egenmäktigt förfarande är för övrigt inte straffbelagt, vilket rambeslutet förutsätter att försök till olagliga system- störningar skall vara. Enligt svensk rätt är det vidare straffbart som undertryckande av ur- kund att förstöra, göra obrukbar eller undanskaffa en urkund över vilken vederbörande inte får förfoga på detta sätt, om åtgärden innebär fara i bevishänseende (14 kap. 4 § ). Det kan diskuteras om denna bestämmelse kan tillämpas på de situationer som i rambeslutet beskrivs som att flödet av uppgifter hindras och att uppgifter görs oåtkomliga. Tillräcklig praxis i detta avseende liksom huruvida vissa andra liknande straffbestämmelser omfattar elektroniska rutiner saknas dock. Rättsläget får därmed anses som oklart. Det kan i detta sammanhang nämnas att en utredning som skall få till uppgift att se över vissa bestämmelser i 14 och 15 kap. planeras att tillsättas. Av det redovisade framgår att det, utöver dataintrångsbestämmelsen, i första hand är bestämmelserna om skadegörelsebrott och sabotagebrott som är av intresse i sammanhanget. Dessa bestämmelser torde dock inte heller vara tillräckliga för att uppfylla åtagandena enligt rambeslutet i de delar som inte omfattas av dataintrångsbestämmelsen. Lagändringar tor- de därför vara nödvändiga för att fullt ut uppfylla rambeslutets krav på att det skall vara straffbart att avbryta eller annars allvarligt hindra ett informationssystems drift. Regeringen gör sammanfattningsvis bedömningen att det torde krävas lagändringar för att generellt kriminalisera att någon avbryter eller annars allvarligt hindrar ett informationssystems drift. Enligt artikel 4 i rambeslutet skall det vara straffbart som olaglig data- störning att uppsåtligt radera, skada, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter i ett informationssystem, om gärningen utförs orättmätigt, åtminstone i fall som inte är ringa. Enligt definitionen i artikel 1 b avses med dator- behandlingsbara uppgifter framställning av fakta, information eller be- grepp i en form som lämpar sig för behandling i ett informationssystem, inklusive program som lämpar sig för att få ett informationssystem att utföra en viss uppgift. Det straffbara området omfattar alltså uppsåtligt och orättmätigt raderande etc. av uppgifter av detta slag som finns i ett informationssystem, dvs. enligt definitionen i artikel 1 a i princip i apparater som automatiskt behandlar sådana uppgifter. Olagliga datastörningar kan utgöras av datavirusangrepp riktade mot innehållet i t.ex. en persondator och annan förvanskning av t.ex. webb- platser, jfr vad som sagts om sabotageprogram i avsnitt 5. Enligt den svenska dataintrångsbestämmelsen är det, som framgått ovan, straffbelagt att olovligen ändra eller utplåna en upptagning för au- tomatisk databehandling eller att föra in en sådan upptagning i ett regis- ter.