prop · GR03164 · 2004-06-01 00:00:00 — Regeringens proposition 2003/04:164 antagande av rambeslut om angrepp mot Regeringen överlämnar denna proposition till . I propositionen föreslås att godkänner det inom Europeiska unionen upprättade utkastet till rambeslut om angrepp mot informations- system. Rambeslutet innehåller bestämmelser om vilka handlingar som skall vara straffbelagda som angrepp mot informationssystem och vilka straffrättsliga påföljder dessa brott skall kunna leda till. Bestämmelserna avser att träffa t.ex. spridande av datavirus. Dessutom finns bestämmel- ser om bl.a. ansvar och påföljder för juridiska personer, domsrätt och utbyte av uppgifter. I propositionen redovisas en bedömning av de lag- ändringar som rambeslutet föranleder i svensk rätt. Några förslag till änd- rad lagstiftning lämnas dock inte. Sådana kommer att läggas fram i ett senare sammanhang. Förslag till riksdagsbeslut.................................................................. Ärendet och dess beredning............................................................... Frågans tidigare behandling inom EU ................................ Närmare om rambeslutsprocessen ...................................... konvention om IT-relaterad brottslighet....... Innehållet i rambeslutet om angrepp mot informationssystem och gällande svensk rätt ........................................................................... Artikel 1 Definitioner.......................................................... 4.4Artiklarna 24 Olagligt intrång i informationssystem, olaglig systemstörning och olaglig datastörning Anstiftan, medhjälp och försök ......................... 4.8Artiklarna 8 och 9 Ansvar och påföljder för juridiska Artikel 10 Behörighet ....................................................... Artikel 11 Utbyte av uppgifter.......................................... Artikel 12 Genomförande ................................................. Artikel 13 Ikraftträdande................................................... Antagande av rambeslutet ............................................................... Behovet av lagändringar.................................................................. Handlingar som skall vara straffbelagda........................... Påföljder och försvårande omständigheter........................ Ansvar och påföljder för juridiska personer ..................... Utbyte av uppgifter ........................................................... Bilaga 1 Rambeslutet om angrepp mot informationssystem ............... Bilaga 2 Uttalande från kommissionen................................................ Utdrag ur protokoll vid regeringssammanträde ........... Regeringen föreslår att godkänner det inom Europeiska unio- nen upprättade utkastet till rambeslut om angrepp mot informationssy- stem. 2 Ärendet och dess beredning presenterade Europeiska kommissionen ett förslag till rambeslut om angrepp mot informationssystem (EGT C 203 E, 27.8.2002, s. 109). En faktapromemoria om förslaget upprättades och överlämnades till (2001/02:FPM110). yttrade sig över förslaget (A5- 0328/2002, EUT C 300 E, 11.12.2003, s. 16). Förslaget till rambeslut behandlades vid fem tillfällen i rådets arbets- grupp för materiell straffrätt och samt av den samordningskommitté av höga tjänstemän som inrättats i enlighet med artikel 36 i Fördraget om Europeiska unionen. Förslaget behandlades sedan av Coreper . Därefter träffade rådet för rättsliga och inrikes frågor en politisk överenskommel- se om innehållet i rambeslutet vid sitt möte den 27 och 28 samma månad. Regeringen har under förhandlingsarbetet fortlöpande informerat och samrått med . I samband därmed har regeringen gett in en pro- memoria till inför rådet för rättsliga och inrikes frågor (RD 2002/03:2952, EUJu2003/311/EU). Vid Europeiska rådets möte antogs, mot bakgrund av terroristattackerna i den 11 samma månad, en dekla- ration om bekämpande av terrorism. I deklarationen slås fast att ett antal rambeslut beträffande vilka det föreligger politiska överenskommelser, däribland rambeslutet om angrepp mot informationssystem, skall antas . För att rådet skall kunna anta rambeslutet måste det först god- tas av de nationella parlamenten i de medlemsstater där det krävs parla- mentsgodkännande och sedan måste parlamentsreservationerna hävas. Antagandet kräver enhällighet. Utkastet till rambeslut i senaste svensk version är fogad till denna pro- position som bilaga 1. I bilaga 2 finns ett utkast till uttalande av kom- missionen som skall tas till rådets protokoll i samband med att rambeslu- tet antas. I denna proposition behandlas frågan om godkännande av utkastet till rambeslut och görs en bedömning av de lagändringar som rambeslutet föranleder. Några förslag till lagstiftning om genomförande av åtagandena i rambeslutet lämnas inte av skäl som anges i avsnitt 5. Sådana förslag kommer att läggas fram i ett senare sammanhang. , Justitiekanslern (), Riksåklagaren, , Säker- hetspolisen, , , För- svarsmakten, , och har under hand beretts tillfälle att lämna synpunkter på ett utkast till propositionen (dnr Ju2004/4752/L5). Ett remissförfarande av traditionellt slag har inte tillämpats vid beredningen, eftersom det har ansetts oundgängligen påkallat av den tidsram som gäller för EU:s anta- gande av rambeslutet att i stället ta underhandskontakter med myndighe- ter och andra. En sådan beredning kan under de angivna omständigheter- na ersätta en traditionell remissbehandling (jfr bet. 2002/03:KU10 s. 64). Myndigheterna har varit positiva till eller inte haft någon erinran mot regeringens förslag att skall godkänna utkastet till rambeslut. De har vidare instämt i eller inte invänt mot regeringens bedömning av vilka lagändringar som rambeslutet torde föranleda. dock lämnat vissa andra synpunkter, bl.a. har några framfört att det bör Prop. 2003/04:164 införas ett grovt dataintrångsbrott eller en strängare straffskala för datain- trång även om inte rambeslutet kräver det. däremot har ansett att samfundet inte kan tillstyrka att rambeslutet antas av de skälen att ett traditionellt remissförfarande inte föregått propositionen och att propositionen saknar lagförslag. 3.1Frågans tidigare behandling inom EU antog i en handlingsplan för att på bästa sätt genomföra bestämmelserna i om upprättandet av ett område med frihet, säkerhet och rättvisa (EGT C 19, 23.1.1999, s. 115). I handlingsplanen anges i punkten 46 att Europeiska unionen bör vidta åtgärder för att, om det anses nödvändigt, fastställa minimiregler avseende brottsrekvisit och påföljder på bl.a. områdena terrorism och organiserad brottslighet. I handlingsplanen nämndes vidare databrott. höll ett särskilt möte i om skapandet av ett område med frihet, säkerhet och rättvi- sa i unionen. förklarade då att insatserna för att enas om gemensamma definitioner, brottsbeskrivningar och påföljder i ett första skede bör begränsas till ett antal sektorer med särskild betydelse, där- ibland högteknologisk brottslighet. Vid Europeiska rådets möte i godkände en övergripande handlingsplan för eEu- ropa. Handlingsplanen innefattade åtgärder för att förbättra säkerheten på Internet och skapa en samordnad och enhetlig strategi för bekämpande av databrottslighet. offentliggjorde Europeiska kommissionen ett meddelande med titeln informationssamhälle ökad säkerhet i informa- tionsinfrastrukturen och bekämpning av datorrelaterad brottslighet (KOM [2000] 890 slutlig). I meddelandet föreslogs en strategi för att bekämpa problemen med databrottslighet. I ytterligare ett meddelande från kommissionen 2001 med rubriken och informationssäkerhet: förslag till en europeisk strategi analyserades problem rörande nätsäker- het och presenterades också en strategisk plan för åtgärder inom området (KOM [2001] 298 slutlig). I de båda kommissionsmeddelandena angavs att det finns behov av en snabb tillnärmning av den materiella straffrätten i Europeiska unionen när det gäller angrepp mot informationssystem. Det sistnämnda meddelandet följdes upp med rådets resolution av den 6 de- cember 2001 om nät- och informationssäkerhet. I två resolutioner från respektive behandlades också problem med informationssä- kerhet och högteknologisk brottslighet. Kommissionen arbetar med en resultattavla som innehåller en redogörelse för de framsteg som görs för att skapa ett område med frihet, säkerhet och rättvisa i EU. Varje halvår uppdaterar kommissionen resultattavlan genom ett meddelande till rådet och . 2003/04:164 meddelandet för , som presenterades (KOM [2001] 628 slutlig), angav kommissionen att den avsåg att lägga fram ett förslag till rambeslut om gemensamma definitioner, brottsbe- skrivningar och påföljder för angrepp mot informationssystem. I artikel 29 i Fördraget om Europeiska unionen (FEU) anges att unionens mål skall vara att ge medborgarna en hög säkerhetsnivå inom ett område med frihet, säkerhet och rättvisa genom att bl.a. utforma gemensamma insatser på områdena polissamarbete och straffrättsligt samarbete. Målet skall uppnås genom förebyggande och bekämpande av brottslighet, vare sig denna är organiserad eller inte, särskilt terrorism, människohandel och brott mot barn, olaglig narkotikahandel och olaglig vapenhandel, korruption och bedrägeri. Av artikel 30.1 a FEU följer att de gemensamma insatserna på polis- samarbetets område skall omfatta operativt samarbete mellan de behöriga myndigheterna, inbegripet polisen, tullen och andra specialiserade brottsbekämpande organ i medlemsstaterna för att förebygga, upptäcka och utreda brott. Enligt artikel 31.1 e FEU skall det straffrättsliga samarbetet omfatta gradvisa beslut om åtgärder som fastställer minimiregler avseende brotts- rekvisit och påföljder på områdena organiserad brottslighet, terrorism och olaglig narkotikahandel. Artikel 34.2 b FEU anger att rådet genom enhälligt beslut på initiativ av en medlemsstat eller Europeiska kommissionen skall fatta rambeslut om tillnärmning av medlemsstaternas lagar och andra författningar. Rambesluten skall vara bindande för medlemsstaterna när det gäller de resultat som skall uppnås men skall överlåta åt de nationella myndighe- terna att bestämma form och tillvägagångssätt. presenterade kommissionen ett förslag till rambeslut om angrepp mot informationssystem (EGT C 203 E, 27.8.2002, s. 109). Vid rådet för rättsliga och inrikes frågor träffades en politisk överenskommelse om innehållet i rambeslutet. Dess- förinnan hade yttrat sig över förslaget. Vid Europeiska rådets möte antogs en dekla- ration om bekämpande av terrorism. Enligt deklarationen skall rambeslu- tet antas . 3.3Europarådets konvention om IT-relaterad brottslighet Rambeslutet om angrepp mot informationssystem har till stor del förebild i konvention om IT-relaterad brottslighet (Convention on Cybercrime ETS no.:185). Konventionen antogs av minis- terkommitté . har också un- dertecknat ett tilläggsprotokoll till konventionen. åtaganden att kriminalisera rasistiska och främlingsfientliga handlingar Prop. 2003/04:164 som begås med hjälp av datorsystem. Konventionen innehåller bestämmelser om vilka handlingar som skall vara straffbelagda som olagligt intrång i datorsystem, datastörning och störning av datorsystem (artiklarna 2, 4 och 5). Dessa artiklar och be- stämmelser i konventionen om definitioner (artikel 1) har tjänat som fö- rebild för rambeslutets motsvarande reglering. Därutöver innehåller kon- ventionen ytterligare straffbestämmelser om IT-relaterade brott bl.a. olaglig avlyssning, datorrelaterad förfalskning och datorrelaterat bedrä- geri. Konventionen innehåller också ett flertal straffprocessuella be- stämmelser och bestämmelser om internationellt samarbete. Frågan om konventionen och protokollet bör ratificeras av be- reds inom . Eftersom konventionen innehåller bestämmelser som går utöver de som finns i rambeslutet och också rör helt andra områden, kräver konventionen till stor del andra överväganden än de som rambeslutet föranleder. För att inte fördröja ett antagande av rambeslutet kommer rambeslutet att behandlas fristående från frågan om ratificering av konventionen. Frågan om ett kommande genomförande av rambeslutet bör samordnas med en eventuell ratifice- ring av konventionen får besvaras i ett senare sammanhang. Det kan dock redan nu konstateras att de lagändringar som kan bedömas nödvän- diga för att genomföra rambeslutet i princip torde motsvara vad som krävs enligt konventionens bestämmelser om intrång i datorsystem och störningar av data och datorsystem. 4Innehållet i rambeslutet om angrepp mot informationssystem och gällande svensk rätt Rambeslutet syftar till att tillnärma medlemsstaternas straffrättsliga lag- stiftning när det gäller angrepp mot informationssystem och därigenom förbättra samarbetet mellan rättsliga och andra myndigheter. Rambeslutet innehåller bestämmelser om definitioner (artikel 1), olag- ligt intrång i informationssystem (artikel 2), olaglig systemstörning (arti- kel 3), olaglig datastörning (artikel 4), kriminalisering av anstiftan, med- hjälp och försök (artikel 5), påföljder och försvårande omständigheter (artiklarna 6 och 7), ansvar och påföljder för juridiska personer (artiklar- na 8 och 9), behörighet (artikel 10) och utbyte av uppgifter (artikel 11). Dessutom finns bestämmelser om genomförande och ikraftträdande av rambeslutet (artiklarna 12 och 13). Av artikel 47 i Fördraget om Europeiska unionen följer att rambeslutet inte inverkar på gemenskapsrätten. Det gäller särskilt de rättigheter eller skyldigheter som är förknippade med skydd för privatlivet eller uppgifts- skydd enligt direktiv /46/EG om skydd för enskilda personer med av- seende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och direktiv /58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation. är inte heller att ålägga medlemsstaterna att kriminalisera t.ex. intrång i immateriella rättigheter. Rambeslutet hindrar inte heller Prop. 2003/04:164 tillämpningen av direktiv /84/EG om det rättsliga skyddet för tjänster som bygger på eller utgörs av villkorad tillgång. Dessa områden omfattas alltså av befintlig gemenskapslagstiftning. I ingressen till rambeslutet anges att rådet antar rambeslutet med beak- tande av dels Fördraget om Europeiska unionen, särskilt artiklarna 29, 30.1 a, 31.1 e och 34.2 b, dels kommissionens förslag och Europaparla- mentets yttrande. Vidare hänvisas till bl.a. tidigare åtgärder på området. I ingressen uttalas att det har konstaterats att det förekommer angrepp mot informationssystem, särskilt till följd av hotet från den organiserade brottsligheten. Enligt ingressen finns det en ökande oro för terroristat- tacker mot informationssystem som ingår i medlemsstaternas vitala inf- rastruktur. Vidare betonas att informationssystemens nationsöverskri- dande och gränslösa karaktär innebär att angrepp mot sådana system ofta är gränsöverskridande. Mot denna bakgrund understryks behovet av bl.a. gemensamma defini- tioner och brottsrekvisit samt påföljder. En sådan tillnärmning av med- lemsstaternas strafflagstiftning sägs kunna förbättra samarbetet mellan rättsliga och andra behöriga myndigheter och bidra till kampen mot or- ganiserad brottslighet och terrorism. I artikel 1 definieras vissa begrepp som används i rambeslutet, särskilt i artiklarna om vilka gärningar som skall vara straffbelagda i medlemssta- terna. Punkterna a och b innehåller definitioner av tekniska begrepp, nämligen informationssystem och datorbehandlingsbara uppgifter. I punkterna c och d anges vad som avses med begreppet juridisk person respektive begreppet orättmätigt. I punkt a definieras informationssystem som en apparat eller en grupp av sammankopplade apparater eller apparater som hör samman med var- andra, av vilka en eller flera genom ett program utför automatisk behand- ling av datorbehandlingsbara uppgifter, samt datorbehandlingsbara upp- gifter som lagras, behandlas, hämtas eller överförs med hjälp av dessa för att de skall kunna drivas, användas, skyddas och underhållas. Datorbehandlingsbara uppgifter är enligt punkt b framställning av fak- ta, information eller begrepp i en form som lämpar sig för behandling i ett informationssystem, inklusive program som lämpar sig för att få ett informationssystem att utföra en viss uppgift. Med juridisk person förstås enligt punkt c en enhet som har sådan sta- tus enligt tillämplig lagstiftning, med undantag av stater eller andra of- fentliga organ vid utövandet av de befogenheter som de har i egenskap av statsmakter samt internationella offentliga organisationer. Punkt d innehåller en definition av begreppet orättmätigt. Definitionen innebär att ett intrång är orättmätigt eller att en störning är orättmätig om handlingen sker utan tillstånd från ägaren eller annan rättighetshavare till systemet eller del av detta. Definitionen innebär vidare att handlingen är Prop. 2003/04:164 orättmätig om den inte medges i nationell lagstiftning. Betydelsen av dessa definitioner för rambeslutet och i svensk lagstift- ning behandlas i samband med de artiklar där definitionerna används. 4.4Artiklarna 24 Olagligt intrång i informationssystem, olaglig systemstörning och olaglig datastörning Artikel 2 Olagligt intrång i informationssystem Artikel 2 innebär att medlemsstaterna skall straffbelägga handlande som utgör olagligt intrång i informationssystem. Det som skall kriminaliseras är enligt punkt 1 uppsåtligt orättmätigt in- trång i ett informationssystem som helhet eller en del av ett sådant sy- stem, åtminstone i fall som inte är ringa. Med definitionen av informationssystem i artikel 1 a innebär bestämmelsen att det uppsåtliga intrånget skall ske i en apparat eller en grupp av sammankopplade apparater eller apparater som hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av datorbehandlingsbara uppgifter, eller i sådana datorbehandlingsbara uppgifter som lagras, behandlas, hämtas eller överförs med hjälp av dessa för att de skall kunna drivas, användas, skyddas och underhållas. Med datorbehandlingsbara uppgifter i stort avses enligt artikel 1 b framställning av fakta, information eller begrepp i en form som lämpar sig för behandling i ett informationssystem, inklusive program som lämpar sig för att få ett informationssystem att utföra en viss uppgift. Kravet på att intrånget skall vara orättmätigt innebär, vilket följer av definitionen i artikel 1 d, att intrånget skall ske utan tillstånd från ägaren eller annan rättighetshavare till systemet eller del av detta. Vidare skall intrånget inte medges i nationell lagstiftning. Av punkt 2 följer att varje medlemsstat får besluta att det handlande som avses i punkt 1 endast skall kriminaliseras, om brottet begås genom intrång i en säkerhetsåtgärd. Artikel 3 Olaglig systemstörning Enligt artikel 3 skall medlemsstaterna kriminalisera visst handlande som olaglig systemstörning. I artikeln föreskrivs att det skall vara straffbart att uppsåtligen allvarligt hindra eller avbryta driften av ett informationssy- stem genom att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara upp- gifter, om gärningen utförs orättmätigt, åtminstone i fall som inte är ringa. Definitionen av informationssystem i artikel 1 a innebär att artikeln omfattar uppsåtligt allvarligt hindrande eller avbrytande, genom någon av de nämnda åtgärderna, av driften av en apparat eller en grupp av sammankopplade apparater eller apparater som hör samman med varand- ra, av vilka en eller flera genom ett program utför automatisk behandling av datorbehandlingsbara uppgifter, eller av datorbehandlingsbara uppgif- ter som lagras, behandlas, hämtas eller överförs med hjälp av dessa för att de skall kunna drivas, användas, skyddas och underhållas. Datorbe- handlingsbara uppgifter i stort är enligt artikel 1 b framställning av fakta, information eller begrepp i en form som lämpar sig för behandling i ett informationssystem, inklusive program som lämpar sig för att få ett in- formationssystem att utföra en viss uppgift. Kravet på att systemstörningen skall vara orättmätig innebär enligt ar- tikel 1 d att det skall vara fråga om en störning som sker utan tillstånd från ägaren eller annan rättighetshavare till systemet eller del av detta. Vidare skall störningen inte medges i nationell lagstiftning. Artikel 4 Olaglig datastörning Artikel 4 avser olaglig datastörning. Enligt artikeln skall det vara straff- bart att uppsåtligen radera, skada, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter i ett in- formationssystem, om gärningen utförs orättmätigt, åtminstone i fall som inte är ringa. Enligt definitionen av datorbehandlingsbara uppgifter i artikel 1 b av- ses med sådana uppgifter framställning av fakta, information eller be- grepp i en form som lämpar sig för behandling i ett informationssystem, inklusive program som lämpar sig för att få ett informationssystem att utföra en viss uppgift. Det straffbara området skall alltså omfatta uppsåt- ligt raderande etc. av sådana framställningar under förutsättning att stör- ningen är orättmätig. Kravet på orättmätighet, vilket definieras i artikel 1 d, innebär att störningen skall ske utan tillstånd från ägaren eller annan rättighetshavare till systemet eller del av detta. Det innebär vidare att störningen inte skall medges i nationell lagstiftning. Rambeslutets bestämmelser om vilka handlingar som skall vara straffbe- lagda torde närmast motsvaras av de svenska straffbestämmelserna om dataintrång, skadegörelse och grov skadegörelse. Också bestämmelserna om sabotage och grovt sabotage är av intresse. I sammanhanget skall dessutom nämnas att grov skadegörelse, sabotage och grovt sabotage är straffbart som terroristbrott enligt lagen (2003:148) om straff för terro- ristbrott under de förutsättningar som anges i lagen. För dataintrång döms den som olovligen bereder sig tillträde till upp- tagning för automatisk databehandling eller olovligen ändrar eller utplå- nar eller i register för in sådan upptagning. Med upptagning avses även uppgifter som är under befordran via ett elektroniskt eller annat liknande hjälpmedel för att användas för automatisk databehandling (4 kap. 9 c § ). Bestämmelsen är subsidiär i förhållande till bl.a. bestäm- melsen om brytande av post- eller telehemlighet (4 kap. 8 § brottsbal- ken). Dataintrångsbestämmelsen infördes i 1998 då datalagen (1973:289) ersattes av personuppgiftslagen (1998:204) och datalagens bestämmelse om dataintrång i 21 § överfördes till utan änd- ring i sak. I propositionen till datalagen uttalades i fråga om bestämmelsens tek- niska tillämpningsområde att med upptagning för automatisk databe- handling avses uppgift som är fixerad på någon form av datamedium och som alltså antingen finns i eller kan matas in i en datamaskin. Vidare angavs att i begreppet ligger också att informationen är läsbar endast med ADB-teknik (prop. 1973:33 s. 75). Genom en lagändring 1986 i 21 § datalagen infördes tillägget att med sådan upptagning avses även uppgif- ter som är under befordran via ett elektroniskt eller liknande hjälpmedel för att användas för automatisk databehandling. Tillägget avsåg överfö- ringar av uppgifter som ännu inte fixerats på ett datamedium (prop. 1985/86:65 s. 30 ff.). Syftet med tillägget var att komplettera det skydd för uppgifter som överförs via förbindelser för datakommunikation som bestämmelsen om brytande av telehemlighet och dataintrångs- bestämmelsen redan gav. Enligt bestämmelsen om brytande av telehem- lighet är det straffbart att olovligen bereda sig tillgång till ett telemedde- lande som förmedlas av telebefordringsföretag från en avsändare till en mottagare. Med telemeddelande avses ljud, text, bild, data eller informa- tion i övrigt. Dataintrångsbestämmelsens tillämpningsområde i tekniskt hänseende är alltså i princip knutet till uppgifter, såväl informationsinnehåll som programvara.