sou · GVB392 · 2008-01-01 00:00:00 — 29TP PT SFS 1998:206 och prop. 1997/98:44. 30TP PT SFS 2007:213 och prop. 2006/07:66. Gällande rätt – en översikt Bestämmelsen var med andra ord en s.k. paraplybestämmelse. I förarbetena till datalagenTPF31FPT och kommentaren till densammaTPF32FPT påpekades att olika brottsbalksbrott kunde bli tillämpliga på sådant obehörigt förfarande med datamaterial som angavs i datalagens bestämmelse om dataintrång. Som exempel nämndes bl.a. bestäm- melserna om skadegörelse och tillgreppsbrott. Men även brotts- balkens bestämmelser om förfalskning hänvisades till i motiven. Ändring eller utplåning av ADB-upptagningar skulle i första hand bedömas som förfalskningsbrott, och inte som dataintrång, i den mån föremålet för åtgärden var att betrakta som en urkund. I motiven till datalagen uttryckte departementschefen den syn- punkten, att även upptagningar för ADB i stor utsträckning faller under begreppet urkund, bl.a. med hänvisning till den tolkning av urkundsbegreppet som gjorts i den dåvarande upplagan av brotts- balkskommentaren där även anteckningar som åstadkommits på helt maskinell väg, t.ex. diktafonband eller grafiska framställningar ansågs omfattas.TPF33FPT Av propositionen Angrepp mot informationssystem (prop. 2006/07:66) framgår att dataintrångsbestämmelsen nu genomgått såväl sakliga som redaktionella ändringar. När det gäller paragrafens första mening så har denna ändrats i två avseenden. Dels har det s.k. upptagningsbegreppet i sin helhet ersatts med begreppet uppgift som är avsedd för automatiserad behandling, dels har det straffbara området utvidgats till att omfatta även den som olovligen blockerar en uppgift som är avsedd för automatiserad behandling. Avsikten med det nya begreppet uppgift som är avsedd för automatiserad behandling är att förtydliga att alla uppgifter, dvs. fakta, information eller begrepp, som uttrycks i en för en dator an- passad och läsbar form omfattas av bestämmelsen. I detta ligger att även program av olika slag omfattas. Det är för tillämpningen av begreppet utan betydelse var uppgifterna finns eller förvaras i systemet. Alltså omfattas alla uppgifter oavsett på vilket data- medium de finns. Därmed innefattas också uppgifter som finns i en dators temporära minne. Vidare innebär det att också uppgifter som är under befordran omfattas. Det senare gäller oavsett på vilket sätt befordran sker. Beträffande uppgifter som befordras via radio gäller dock som regel att avlyssning av sådan radiokommuni- 31TP PT Prop. 1973:33 s. 105. 32TP PT C. Kring och S. , Datalagen med kommentar, 1989, s. 234 f. 33TP PT I den nuvarande upplagan av brottsbalkskommentaren se s. 14:19 (av bl.a. m.fl.) är man mer tveksam till om urkundsbegreppet kan utsträckas till att avse även automatiska uppteckningar som inte antagit språklig form, exempelvis färdskrivardiagram. Gällande rätt – en översikt kation faller utanför det straffbara området. Om intrånget däremot sker i radiobefordrade uppgifter som t.ex. är krypterade kan dock ansvar för dataintrång komma i fråga. Sådant ansvar kan också komma i fråga för ändring eller utplånande av eller annan påverkan på radiobefordrade uppgifter som anges i paragrafen. Den brottsliga gärning som lagts till i första meningen beskrivs så att någon olovligen blockerar en uppgift som är avsedd för automatiserad behandling. Med detta åsyftas åtgärder som innebär att en sådan uppgift görs oåtkomlig eller att den hindras från att flöda. Det handlar alltså om hindrande eller spärrande åtgärder av olika slag. Om uppgifterna förändras eller förstörs, kan ansvar i stället komma i fråga för ändring eller utplånande av dessa. En förutsättning för straffansvar är att gärningen begås uppsåt- ligen och olovligen. Beträffande uppsåtskravet förutsätts inte att gärningsmannen handlar med ett direkt uppsåt att åstadkomma den angivna effekten – blockerar – utan alla uppsåtsformer är tillämpliga. Andra meningen i bestämmelsen är också ny och innebär en utvidgning av straffansvaret för dataintrång. Genom bestämmelsen föreskrivs straffansvar för den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en uppgift som är avsedd för automatiserad behandling. Det straffbara förfarandet tar alltså sikte på åtgärder som verkar på ett sådant sätt att de stör eller hindrar att sådana uppgifter kan användas på avsett sätt. Det kan t.ex. handla om program som skapar och sänder så stora mängder e-post att mottagarens system kollapsar eller får kraftigt nedsatt funktion och därmed hindrar eller stör använd- ningen av de uppgifter som finns i systemet. Utanför det straffbara området faller rena opinionsyttringar som innebär att meddelanden med visst åsiktsinnehåll sänds, t.ex. med e-post, till en mottagare för att denne ska ta del av innehållet och eventuellt låta sig påverkas av det. Kriminaliseringen träffar inte heller fall där någon genom t.ex. e-post gör bruk av sin grundlagsfästa meddelarfrihet. Detsamma gäller reklam i e-post, som regleras i marknadsföringslagen (1995:450). Bestämmelsen i 4 kap. 9 c § kan fortfarande till viss del hänföras till en paraplybestämmelse, i vart fall i förhållande till regleringen om brytande av post- och telehemlighet (4 kap. 8 § ) och intrång i förvar (4 kap. 9 § ). Utgångs- punkten är i övrigt att sedvanliga konkurrensregler ska tillämpas. Det innebär normalt att när det är fråga om konkurrens mellan data- intrångsbrottet och ett annat brott med samma skyddsintresse ska Gällande rätt – en översikt domstolen döma enbart för det brott med den strängare straff- skalan. För övriga konkurrenssituationer som kan förekomma får domstolen göra en prövning i varje enskilt fall enligt gällande kon- kurrensprinciper. Försök och förberedelse till dataintrång som om det fullbordats inte skulle ha ansetts som ringa är straffbart enligt 4 kap. 10 § brotts- balken. 2.6.2Datorbedrägeri – 9 kap. 1 § st. 2 En person, som genom att ändra i program eller upptagning eller som på annat sätt olovligen påverkar resultatet av en automatisk informationsbehandling eller någon annan liknande automatisk process, kan dömas för bedrägeri (s.k. datorbedrägeri) enligt 9 kap. 1 § andra stycket . För ansvar för datorbedrägeri förut- sätts inte, till skillnad från vad som gäller för andra fall av bedrägeri, ett vilseledande. Det är tillräckligt att resultatet av informations- behandlingen eller någon annan liknande process påverkas så att det innebär för gärningsmannen (eller annan) och skada för någon annan. I första hand avses olovliga förfaranden med datorer, men bestämmelsen är inte begränsad till olovlig påverkan av datorer. Även manipulationer med bankomater och andra varuautomater omfattas. I bestämmelsen anges några exempel på förfaranden som, om övriga rekvisit är uppfyllda, kan leda till ansvar för datorbedrägeri. Den brottsliga handlingen kan bestå i att lämna en oriktig eller ofullständig uppgift som ska ligga till grund för en automatisk informationsbehandling, att ändra i program, dvs. i instruktionerna för den automatiska informationsbehandlingen samt att på något annat sätt påverka resultatet av en automatisk informationsbehand- ling eller någon annan liknande automatisk process. De i brotts- beskrivningen angivna exemplen utgör emellertid inte någon ut- tömmande uppräkning av samtliga tänkbara förfaranden eller metoder som kan leda till ansvar enligt förevarande bestämmelse. I ett rättsfall från (RH 2002:14) dömdes en person för datorbedrägeri som använt andra personers användarnamn och koder till ett Internetabonnemang som han fått tillgång till av en okänd person via en s.k. chatt på Internet. Med hjälp av dessa kunde gärningsmannen vara uppkopplad mot Internet utan att själv bli debiterad för kostnaden. Gällande rätt – en översikt För att ett bedrägeribrott ska anses fullbordat krävs att det sker en omedelbar förmögenhetsöverföring, dvs. att denna överföring är en omedelbar följd av förfarandet. Man behöver inte avvakta händelseförloppets slutliga utveckling. Redan en beaktansvärd fara för slutlig förlust respektive uppfyller straffbestämmelsens krav på förmögenhetsöverföring. Kravet att skada och ska följa av dispositionen ska alltså inte uppfattas så strängt att en rättshandling inte skulle anses innebära förmögen- hetsöverföring om skadan respektive vinningen blir definitiv först efter själva rättshandlingens företagande. Det är således inte straffbart som datorbedrägeri (eller någon annan bedrägeriform) att förvanska det slutliga resultatet av en informationsbehandling utan att detta leder till för gärningsmannen och skada för någon annan. Genom kravet på att gärningsmannens disposition ska innebära, inte medföra, skada och placeras punkten för fullbordat brott till ett tidigt stadium av händelseförloppet.TPF34FPT Häri ligger således en skillnad mellan bedrägeribrotten och för- falskningsbrotten. Medan ansvar för bedrägeri förutsätter att rätts- handlingen innebär en viss effekt (förmögenhetsöverföring) är det tillräckligt för ansvar för t.ex. urkundsförfalskning att man kan konstatera att någon framställt en förfalskad eller oäkta urkund. Det finns med andra ord inte längre något krav på att den för- falskade urkunden ska ha brukats på något sätt. Däremot förut- sätter rekvisitet fara i bevishänseende att det föreligger en risk för att t.ex. någon utomstående, trots förfalskarens försiktighet, kan komma att bruka urkunden och att ett sådant begagnande skulle kunna medföra skada eller olägenhet. Man kan nog på goda grunder ändå hävda att det i många fall där förfalskningsbrott har uppdagats, att förfalskningsobjektet också kommit till användning i syfte att bereda gärningsmannen ekonomiska fördelar av något slag. 34TP PT Se bl.a. NJA 1937 s. 185, där det ansågs vara fullbordat bedrägeri att genom vilseledande förmå annan att teckna sig som utställare och endossent på en växel. I utredningsuppdraget ingår att göra en internationell utblick och studera hur några jämförbara länder har behandlat användningen och utvecklingen av informationstekniken i ett straffrättsligt hänseende. I det följande redogör vi för det straffrättsliga skyddet mot för- falskning av bl.a. elektroniska dokument/handlingar i och i vissa andra länder. Vi belyser också vilka lagstiftningsåtgärder som gjorts i staterna för att genomföra artikel 7 i konven- tion om IT-relaterad brottslighet (ETS 185) som behandlar dator- relaterad förfalskning. 3.2Europarådets konvention om IT-relaterad brottslighet (ETS 185) lämnade för brottsfrågor (CDPC) i uppdrag åt en expertkommitté att utreda frågor rörande IT-relaterad brottslighet. Målet var att åstadkomma en konvention eller annan bindande internationell överenskommelse på området. Behovet av en sådan överenskommelse sågs mot de förändringar i samhället som datoriseringen och den explosivt ökande användning- en av internettjänster inneburit. Internet har visserligen inneburit stora framsteg genom de nya möjligheterna att snabbt, enkelt och billigt ta del av, hämta in eller distribuera stora mängder informa- tion. innebär en ökad användning av Internet en oro för att datorer och dess nätverk kan komma att användas för att begå brott. Detta, menade man, har sammantaget skapat behov av en sam- ordnad, effektiv kamp över gränserna mot den här typen av brotts- lighet. påbörjade sitt arbete . Den slutliga versionen av konventionen lades fram för ministerrådet . antog ministerrådet förslaget. under- tecknade konventionen . Konventionen, som fått namnet IT-relaterad brottslighet eller Convention on Cyber- crime (ETS nr 185), trädde i kraft , då kravet på att fem stater (varav minst tre medlemsstater i ) hade rati- ficerat konventionen var uppfyllt. Under arbetet med konventionen fanns det några frågor som man inte hann slutbehandla, bl.a. frågor om kriminalisering av gärningar av rasistisk och främlingsfientlig natur som begåtts med hjälp av ett datorsystem. Dessa frågor har tagits upp i ett tilläggsprotokoll (Tilläggsprotokoll till konventionen om IT-rela- terad brottslighet om kriminalisering av gärningar av rasistisk och främlingsfientlig natur begångna med hjälp av datorsystem, ETS nr 189). Protokollet har två syften. Det ena är att åstadkomma en harmonisering av den materiella straffrätten i fråga om ovannämnda gärningar. Det andra är att förbättra det internationella samarbetet vid bekämpning av sådana brott. Tilläggsprotokollet trädde i kraft , då kravet på att fem stater ratificerat protokollet var uppfyllt. 3.2.2Konventionens innehåll i korthet Konventionen kan sägas ha tre huvudsyften. Det första är att åstad- komma en harmonisering av den nationella straffrätten beträffande vissa gärningar som behandlas i konventionen, om dessa begås med hjälp av datorsystem. Bland de gärningar som behandlas i konven- tionen kan nämnas olagligt intrång i datorsystem, datorbedrägeri, datorrelaterad förfalskning, barnpornografi samt intrång i upphovs- rätt och i närstående rättigheter. Det andra huvudsyftet är att få fram nationella processrättsliga bestämmelser som tillgodoser be- hoven av att dels utreda och lagföra de brott som behandlas i kon- ventionen och andra IT-relaterade brott som begås med hjälp av datorer, dels ta tillvara bevisning i elektronisk form i brottmål. Det tredje är att lägga grunden för ett effektivt internationellt samarbete vid bekämpningen av IT-relaterade brott. Konventionen är indelad i fyra kapitel. Dessa innehåller defini- tioner (artikel 1), bestämmelser om åtgärder som ska vidtas på nationell nivå (artiklarna 2–13, som innehåller straffrättsliga regler, och artiklarna 14–22, som innehåller processrättsliga regler), bestäm- melser om internationellt samarbete (artiklarna 23–35) och slut- bestämmelser (artiklarna 36–48). Syftet med de straffrättsliga reglerna i konventionen är att förbättra möjligheterna att förhindra och förebygga IT-relaterade brott genom att skapa en gemensam minimistandard för sådana brott. Det är med andra ord fullt tillåtet för konventionsanslutna länder att låta den nationella rätten gå längre i fråga om kriminaliseringen än vad kon- ventionens bestämmelser innebär. Genom en harmoniseringen av straffrätten kan man bl.a. förhindra att brottsligheten flyttas från en stat till en annan med lindrigare lagstiftning. Vidare underlättas det internationella samarbetet i fråga om utlämning och rättslig hjälp. Gemensamt för gärningarna är att de för straffansvar förutsätter ett uppsåtligt handlande. Konventionens första artikel innehåller en mängd definitioner av termer som förekommer i texten. Datorbehandlingsbara uppgifter definieras där som framställning av fakta, information eller begrepp i en form som lämpar sig för behandling i ett datorsystem, inklu- sive program som utformats för att få ett datorsystem att utföra en viss funktion.TPF1FPT I artiklarna 2–6 behandlas inledningsvis sådana gärningar som är riktade mot datorsystem och datorbehandlingsbara uppgifter. En- ligt artikel 2 ska olaga intrång i hela eller delar av ett datorsystem straffbeläggas. Olovlig avlyssning regleras i artikel 3 och i artikel 4 behandlas datastörning som består i att någon skadar, raderar, för- sämrar, ändrar eller undertrycker datorbehandlingsbara uppgifter. Störning av datorsystem behandlas i artikel 5 och i artikel 6 straff- beläggs otillåtet bruk av sådant som kan användas som hjälpmedel vid brott enligt artiklarna 2–5. I artiklarna 7 och 8 behandlas s.k. datorrelaterade brott. Frågor om datorrelaterad förfalskning regleras i artikel 7, medan artikel 8 behandlar frågor om datorrelaterat bedrägeri. I den förklarande rapporten anges att syftet med artikel 7 är att ge samma skydd för 1TP PT Jfr även Ds 2005:06, Brott och brottsutredning i IT-miljö s. 66 och 389. förfalskning av elektroniska dokument som traditionella skriftliga dokument har.TPF2FPT Artikel 7 i konvention om IT-relaterad brottslighet har följande lydelse: Varje part skall vidta nödvändiga lagstiftningsåtgärder och andra åtgär- der för att i sin nationella lagstiftning straffbelägga följande gärningar när de begås uppsåtligen och orättmätigt: Att mata in, ändra, radera eller undertrycka datorbehandlingsbara uppgifter så att icke autentiska uppgifter uppstår med uppsåt att dessa skall beaktas eller ligga till grund för handlande i rättsliga hänseenden som om de vore autentiska, oavsett om uppgifterna är direkt läsbara och begripliga. En part får uppställa krav på bedrägligt uppsåt eller liknande brottsligt uppsåt för att straffansvar skall gälla. Enligt den förklarande rapporten är minimikravet att de nationella straffbestämmelserna ska täcka utställarens äkthet. Det står emeller- tid respektive stat fritt att avgöra om även ändringar m.m. av själva innehållet i ett dokument ska påverka dess äkthet och därmed om- fattas av det straffrättsliga skyddet. Det saknar betydelse om upp- gifterna är i läsbar och förståelig eller annan form. Av andra stycket framgår att medlemsstaterna får uppställa som krav för straffansvar, att gärningsmannen ska ha en bedräglig eller annan brottslig avsikt gav en särskild utredare i uppdrag att utarbeta en departementspromemoria som tog upp frågan om tillträde till och genomförande i svensk rätt av konventionen. Uppdraget utvidgades under hand till att även gälla tilläggsprotokollet. Arbetet resulterade i departementsskrivelsen Brott och brottsutredning i IT-miljö (Ds 2005:6) som är föremål 2TP PT Arbetet med att utforma bestämmelsen om förfalskning tog sin utgångspunkt i det pågåen- de arbetet med det som sedermera blev och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signaturer (signatur- direktivet). Angående artikel 7 anfördes i den förklarande rapporten bl.a. följande: It aims at filling gaps in criminal law related to traditional forgery, which requires visual readability of statements, or declarations embodied in a document and which does not apply to electro- nically stored data. Manipulations of such data with evidentiary value may have the same serious consequences as traditional acts of forgery if a third party is thereby misled. Computer- related forgery involves unauthorised creating or altering stored data so that they acquire a different evidentiary value in the course of legal transactions, which relies on the authen- ticity of information contained in the data, is subject to a deception. The protected legal interest is the security and reliability of electronic data which may have consequences for legal relations. It should be noted that national concepts of forgery vary greatly. One con- cept is based on the authenticity as to the author of the document, and others are based on the truthfulness of the statement contained in the document. However, it was agreed that the deception as to authenticity refers at minimum to the issuer of the data, regardless of the correctness or veracity of the contents of the data. Parties may go further and include under the term "authentic" the genuineness of the data. för beredning inom . En kort redogörelse för inne- hållet i promemorian lämnas i kapitel 4 av vårt betänkande. 3.3EU:s rambeslut om angrepp mot informationssystem Europeiska kommissionen presenterade ett förslag till rambeslut om angrepp mot informationssystem. riks- dag godkände rambeslutet . Efter sedvanlig behand- ling antog EU rambeslutet . Rambeslutet syftar till att harmonisera medlemsstaternas straffrättsliga lagstiftning när det gäller angrepp mot informationssystem och därigenom förbättra samarbetet mellan rättsliga och andra myndigheter för att på så sätt bidra till kampen mot organiserad brottslighet och terrorism. Rambeslutet innehåller bestämmelser om vilka handlingar som ska vara straffbelagda som angrepp mot informationssystem. Dess- utom finns bestämmelser om bl.a. påföljder för brotten, ansvar och påföljder för juridiska personer, medlemsstaternas domförhet och utbyte av uppgifter medlemsstaterna emellan. För att rambeslutet fullt ut ska uppfyllas har det bedömts att det krävs ett utvidgat straffansvar i förhållande till gällande rätt på om- rådet. Enligt förslaget i prop. 2006/07:66 Angrepp mot informa- tionssystem har denna utvidgning föreslagits ske i bestämmelsen om dataintrång i . En sådan lagändring trädde i kraft (se avsnitt 2.6.1). De övriga nordiska länderna har liksom undertecknat Europa- rådets konvention om IT-relaterad brottslighet (ETS 185). I skrivande stund har också samtliga länder utom ratificerat konven- tionen. Innehållet i de undertecknade dokumenten har föranlett de nor- diska staterna att överväga i vilken utsträckning som utvecklingen på IT-området gör det nödvändigt med ändrade eller nya straffbe- stämmelser och vilka ändringar – om några – som i så fall är nödvän- diga för att en ratifikation av konventionen, och i förekommande fall tilläggsprotokollet, ska kunna komma i fråga. Som kommer att framgå av de följande avsnitten har staterna kommit olika långt i sina överväganden. Även behovet av ändringar och tillägg har varierat mellan länderna med hänsyn till utformningen av gällande rätt och utarbetad praxis på området. undertecknade konventionen om IT-relaterad brottslig- het (och tilläggsprotokollet ) och ratificerade densamma . Konventionen trädde för del i kraft och tilläggsprotokollet . presenterade justitieministeriet de förslag till ändringar i den danska straff-, process-, marknadsförings- och upp- hovsrättsliga lagstiftningen som ansågs nödvändiga för att skulle kunna ratificera konventionen. Dessa ändringar byggde i allt väsentligt på förslag som en för uppgiften tillsatt kommitté lämnat – den s.k. Brydensholtudvalget. Beträffande de straffrättsliga bestäm- melserna konstaterade kommittén att den gällande danska straffe- loven uppfyllde flertalet av de bestämmelser som behandlas i kon- ventionen (artiklarna 2–5 och 8) och att några ändringar av betydelse därför inte var aktuella i dessa delar. Däremot bedömdes att den be- stämmelse som reglerade dataförfalskning krävde mer omfattande ändringar i den danska lagstiftningen. Detta hade huvudsakligen sin grund i att de danska straffbestämmelserna om förfalskning förut- satte att det angripna objektet utgjorde en skriftlig handling. Av tidigare uttalanden från bl.a. StraffelovrådetTPF3FPT framgick att den tidigare lydelsen av förfalskningsbestämmelsen, med dess krav på skriftlig form och utställarangivelse, inte täckte dator- relaterade förfalskningar. Man fann emellertid inte att det då fanns anledning att utvidga bestämmelsen om dokumentförfalskning i 171 § straffeloven till att även omfatta datorrelaterade förfalskningar. Brydensholtutvalget fann i ett betänkande att det fanns anledning att även låta elektroniska dokument skyddas av strafflag- stiftningen och att det fanns ett värde i att reglera förfalskning av en skriftlig respektive en elektronisk handling i en och samma straff- bestämmelse. Kommittén föreslog därför att det i dokumentdefini- tionen i förfalskningsbestämmelsens andra stycke skulle läggas till 3TP PT Se betænkning nr. 1032/1985 om datakriminalitet s. 59–64. att även elektroniska dokument skulle omfattas av straffbestäm- melsen. Här menade man dock att det var för snävt att endast ge sådana elektroniska dokument som innehåller en elektronisk signa- tur straffrättsligt skydd. Även dokument som saknar sådan signatur ska således kunna omfattas av straffbestämmelsen.TPF4FPT Kommittén kon- staterar dock i sitt betänkande att förekomsten av en elektronisk signatur kan underlätta bevisföringen i fråga om bl.a. vem som är utställare till dokumentet. Kommittén föreslog att s.k. lejlighedsdokumenter (tillfällighetsdokument) inte längre skulle om- fattas av straffskyddet. Man menade att dessa dokument saknade erforderligt krav på precision och att den sparsamma rättspraxis på området talade för att det inte längre fanns ett straffvärt skydds- behov av sådana dokument. anslöt sig i allt väsentligt till de förslag som lagt fram. Detta har också resulterat i en ändrad lagstiftning av bl.a. förfalskningsbestämmelsen i straffeloven. Den ändrade bestämmelsen har numera följande lydelse.