sou · H1B339 · 2013-06-03 00:00:00 — I avsnittet kon- stateras vidare att vissa av de förfaranden som beskrivs som system- störning i svensk rätt i vissa fall även kan tänkas motsvara andra brott, främst skadegörelse och sabotage, när handlandet innebär att datorer eller program skadas. Eftersom direktivets arti- kel om olaglig systemstörning i allt väsentligt motsvarar konven- tionens artikel om systemstörning är analysen i avsnittet av relevans även för frågan om svensk rätt lever upp till direktivets krav i denna del. Vi hänvisar därför till denna analys. Mot den angivna bakgrunden är vår bedömning att svensk rätt genom främst dataintrångsbestämmelsen uppfyller kraven i artikel 4. 7.3.3Olaglig datastörning (artikel 5) Bedömning: Svensk rätt uppfyller genom främst dataintrångs- bestämmelsen direktivets krav på vilka handlingar som ska vara straffbelagda som olaglig datastörning. Behovet av lagändringar mot bakgrund av direktivet Enligt artikel 5 ska det vara straffbart att radera, skada, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt dator- behandlingsbara uppgifter i ett informationssystem, när gärningen begås med uppsåt och orättmätigt, åtminstone i fall som inte är ringa. Bestämmelsen överensstämmer helt med artikel 4 i rambeslutet. Den överensstämmer även i stort med artikel 4 om datastörning i konventionen. Som nämnts i föregående avsnitt straffbelades vid genomför- andet av rambeslutet i svensk rätt som dataintrång bl.a. att blockera en uppgift som är avsedd för automatiserad behandling (se närmare avsnitt 5.3.2). Genom denna ändring av dataintrångsbestämmelsen ansågs svensk rätt uppfylla den aktuella artikeln i rambeslutet (prop. 2006/07:66 s. 27–28 och 42–43). I avsnitt 5.3.5 har vi gjort bedömningen att svensk rätt genom främst dataintrångsbestämmelsen uppfyller konventionens krav på vad som ska vara straffbelagt som datastörning. I avsnittet kon- stateras vidare att de förfaranden som beskrivs som datastörning i vissa fall även kan tänkas motsvara andra brott i svensk rätt, främst skadegörelse och sabotage, och att grov skadegörelse, sabotage och grovt sabotage dessutom är straffbart som terroristbrott enligt lagen (2003:148) om straff för terroristbrott under de förutsätt- ningar som anges i den lagen. Eftersom direktivets artikel om olag- lig datastörning i allt väsentligt motsvarar konventionens artikel om datastörning är analysen i avsnittet av relevans även för frågan om svensk rätt lever upp till direktivets krav i denna del. Vi hänvisar därför till denna analys. Mot den angivna bakgrunden är vår bedömning att svensk rätt genom främst dataintrångsbestämmelsen uppfyller kraven i artikel 5. 7.3.4Olaglig avlyssning (artikel 6) Bedömning: Svensk rätt uppfyller genom bestämmelsen om brytande av post- eller telehemlighet och dataintrångsbestäm- melsen direktivets krav på vad som ska vara straffbelagt som olaglig avlyssning. Behovet av lagändringar mot bakgrund av direktivet Enligt artikel 6 ska avlyssning med tekniska hjälpmedel av icke- offentliga överföringar av datorbehandlingsbara uppgifter till, från eller inom ett informationssystem, inklusive elektromagnetisk strålning från informationssystem som innehåller sådana uppgifter, straffbeläggas när gärningen begås med uppsåt och orättmätigt, åtminstone i fall som inte är ringa. Enligt beaktandesats 5a omfattar avlyssning, men är inte nödvändigtvis begränsat till, avlyssning och övervakning av kommunikationsinnehåll och framskaffande av upp- gifter, antingen direkt genom åtkomst till och användning av infor- mationssystem eller indirekt med tekniska hjälpmedel, genom användning av olika typer av elektroniska avlyssningsanordningar. Definitionen är huvudsakligen hämtad från konventionens för- klarande rapport (p. 53, se avsnitt 5.3.4). Bestämmelsen har inte någon motsvarighet i rambeslutet. Den överensstämmer emellertid i princip med artikel 3 om olaglig av- lyssning i konventionen. Enligt konventionsartikeln får emellertid en stat, till skillnad från vad som gäller enligt direktivets bestäm- melse, uppställa krav på att brottet begås med brottsligt uppsåt eller mot ett datorsystem som är kopplat till ett annat datorsystem. I avsnitt 5.3.4 har vi gjort bedömningen att svensk rätt genom bestämmelsen om brytande av post- eller telehemlighet och data- intrångsbestämmelsen uppfyller konventionens krav på vad som ska vara straffbelagt som olaglig avlyssning. Vi har därvid gjort bedömningen att inte behöver uppställa krav på att brottet begås med brottsligt uppsåt eller mot ett datorsystem som är kopp- lat till ett annat datorsystem vid ett tillträde till konventionen. Eftersom direktivets artikel om olaglig avlyssning i allt väsentligt motsvarar konventionens artikel om olaglig avlyssning är analysen i avsnittet av relevans även för frågan om svensk rätt lever upp till direktivets krav i denna del. Vi hänvisar därför till denna analys. Mot den angivna bakgrunden är vår bedömning att svensk rätt genom bestämmelsen om brytande av post- eller telehemlighet och dataintrångsbestämmelsen uppfyller kraven i artikel 6. Behovet av lagändringar mot bakgrund av direktivet 7.3.5Verktyg som används för att begå brott (artikel 7) Bedömning: Svensk rätt uppfyller genom bestämmelserna om förberedelse till brott direktivets krav på vilka befattningar med verktyg som ska vara straffbara. Enligt artikel 7 ska det vara straffbart att tillverka, sälja, anskaffa i syfte att använda, importera, distribuera eller på annat sätt tillgäng- liggöra vissa uppräknade verktyg, om gärningen begås med uppsåt och orättmätigt, i syfte att begå något av de brott som avses i artik- larna 3–6, åtminstone i fall som inte är ringa. De verktyg som räknas upp är ett datorprogram som utformats eller anpassats i första hand för att begå något av de brott som avses i artiklarna 3–6, samt ett lösenord, en åtkomstkod eller liknande uppgifter som gör det möjligt att få tillgång till ett informationssystem eller delar av ett sådant system. Bestämmelsen har inte någon motsvarighet i rambeslutet, men överensstämmer i stort med artikel 6 om missbruk av apparatur i konventionen. Enligt artikel 6 i konventionen (punkt 1 b) ska det emellertid även vara straffbart att inneha sådant som räknas upp i artikeln. Något motsvarande krav på att straffbelägga innehav finns inte i direktivet. Enligt beaktandesats 9 är verktyg i den mening som avses i direktivet exempelvis sabotageprogram, inklusive sådana som kan skapa s.k. botnät, som används för angrepp mot informations- system. Även om ett verktyg är lämpat eller till och med särskilt lämpat för de brott som upptas i direktivet kan verktyget vara tillverkat för lagliga ändamål. Eftersom det finns ett behov av att undvika kriminalisering av fall där sådana verktyg tillverkas och saluförs för lagliga ändamål, t.ex. för test av informationsteknik- produkters funktionssäkerhet eller informationssystems säkerhet, måste, enligt beaktandesatstexten, utöver det allmänna kravet på uppsåt, också ett krav på direkt uppsåt uppfyllas, dvs. att verktygen är avsedda att användas för att begå något av de brott som upptas i direktivet. Motsvarande förklaring om krav på direkt uppsåt finns i Behovet av lagändringar mot bakgrund av direktivet artikel 6.2 i konventionen (se även den förklarande rapporten p. 76 och 77). I avsnitt 5.3.7 har vi gjort bedömningen att svensk rätt genom bestämmelserna om förberedelse till brott uppfyller konventionens krav på vad som ska vara straffbelagt som missbruk av apparatur. I avsnittet har även nämnts att olika former av tillgängliggörande av de olika hjälpmedel som avses i konventionsbestämmelsen i syfte att begå något av brotten i konventionen enligt svensk rätt även skulle kunna innefatta medverkan till brotten och att även med- verkan till förberedelse är straffbart. Eftersom direktivets artikel om verktyg som används för att begå brott i allt väsentligt motsvarar konventionens artikel om missbruk av apparatur, är analysen i avsnittet av relevans även för frågan om svensk rätt lever upp till direktivets krav i denna del. Vi hänvisar därför till denna analys. Mot den angivna bakgrunden är vår bedömning att svensk rätt genom bestämmelserna om förberedelse till brott uppfyller kraven i artikel 7 och att vissa av de förfaranden som beskrivs i artikeln i svensk rätt även skulle kunna utgöra medverkan till brott. 7.3.6Anstiftan, medhjälp och försök (artikel 8) Bedömning: Svensk rätt uppfyller direktivets krav på kriminali- sering av dels anstiftan av och medhjälp till brotten i artik- larna 3–7, dels försök till brotten i artiklarna 4 och 5. I artikel 8 finns krav på kriminalisering av osjälvständiga brotts- former. Enligt artikel 8.1 ska anstiftan av och medhjälp till brotten i artiklarna 3–7 vara straffbart. I artikel 8.2 föreskrivs att försök att begå brotten i artiklarna 4 och 5 ska vara straffbart. En motsvarande bestämmelse finns i artikel 5 i rambeslutet. Enligt konventionens bestämmelse om kriminalisering av osjälv- ständiga brottsformer (artikel 11) krävs inte uttryckligen att anstiftan straffbeläggs. Bestämmelserna om anstiftan och medhjälp i 23 kap. 4 § brotts- balken gäller vid alla brottsbalksbrott samt de brott i special- Behovet av lagändringar mot bakgrund av direktivet straffrätten för vilka fängelse är föreskrivet eller för vilka särskild föreskrift finns att medverkan ska bestraffas (se även avsnitt 5.3.12). Anstiftan av och medhjälp till brytande av post- eller telehemlighet, dataintrång, skadegörelse, grov skadegörelse, sabotage, grovt sabo- tage och terroristbrott är alltså straffbart. Även anstiftan av och medhjälp till förberedelsebrott är straffbart. I svensk rätt är således anstiftan av och medhjälp till samtliga de brott som vi i avsnitt 7.3.1–7.3.5 ansett motsvara de brott som upp- tas i artiklarna 3–7 straffbart. Försök till brott är enligt 23 kap. 1 § straffbart i de fall det finns ett särskilt stadgande om det. Vi har i avsnitt 7.3.2 och 7.3.3 gjort bedömningen att svensk rätt uppfyller direktivets krav på kriminalisering av brotten i artiklarna 4 och 5 främst genom bestämmelsen om dataintrång, men angett att straffansvar i vissa fall även skulle kunna aktualiseras enligt bestämmelserna om skadegörelse, sabotage och terroristbrott. Försök till dataintrång är straffbart under förutsättning att in- trånget inte skulle ha varit att anse som ringa om det hade full- bordats (4 kap. 10 § ). Även försök till skadegörelse och grov skadegörelse (12 kap. 5 § ), sabotage och grovt sabotage (13 kap. 12 § ) och terroristbrott (4 § lagen [2003:148] om straff för terroristbrott) är straffbart. Sammanfattningsvis uppfyller svensk rätt alltså direktivets krav på kriminalisering av dels anstiftan av och medhjälp till brotten i artiklarna 3–7, dels försök till brotten i artiklarna 4 och 5. 7.3.7Påföljder (artikel 9) Bedömning: Svensk rätt uppfyller i stort direktivets bestäm- melser om påföljder. Det krävs dock lagstiftning för att uppfylla direktivets krav på att dels samtliga sådana straffbara befatt- ningar med verktyg som avses i artikel 7 ska vara belagda med ett maximistraff fängelse, dels brotten olaglig systemstörning och olaglig datastörning i de fall som avses i artikel 9.3 och 9.4 ska vara belagda med ett maximistraff på minst tre respektive fängelse. Behovet av lagändringar mot bakgrund av direktivet Artikel 9 innehåller både generella och artikelspecifika bestäm- melser om vilka påföljder som ska kunna dömas ut för brotten i direktivet. Enligt punkt 1 ska brotten i direktivet generellt ha påföljder som är effektiva, proportionerliga och avskräckande. Enligt beaktande- sats 6 bör påföljderna inbegripa fängelsestraff eller ekonomiska påföljder. Enligt punkt 2 ska samtliga brott i direktivet, undantaget osjälv- ständiga brottsformer (dvs. de brott som avses i artikel 8) och ringa brott, ha en straffskala med ett maximistraff fängelse. För brotten olaglig systemstörning (artikel 4) och olaglig datastör- ning (artikel 5) krävs enligt punkt 3 dessutom ett lägsta maximi- straff fängelse när ett betydande antal informations- system har påverkats genom användning av ett verktyg som har utformats eller anpassats primärt för detta syfte. För brotten olaglig systemstörning och olaglig datastörning ställs vidare enligt punkt 4 ett krav på ett lägsta maximistraff på fängelse under tre alternativa förutsättningar: a)att brottet har begåtts inom ramen för en kriminell organisation enligt definitionen i rambeslut /814/RIF, oberoende av den påföljdsnivå som anges där, b)att brottet har orsakat allvarlig skada, eller c)att brottet har begåtts mot ett kritiskt informationsinfrastruk- tursystem. Enligt punkt 5 ska det kunna anses som en försvårande omstän- dighet i den nationella lagstiftningen när brotten olaglig system- störning och olaglig datastörning begås genom missbruk av person- uppgifter som rör en annan person än gärningsmannen, i syfte att vinna tredje mans förtroende, och därigenom medför skada för den som identiteten tillhör, om inte dessa omständigheter redan täcks av ett annat brott som är straffbart enligt nationell lagstiftning. En motsvarande bestämmelse som den som finns i punkt 1 finns i artikel 13.1 i konventionen (se avsnitt 5.3.14) och i artikel 6.1 i rambeslutet. I konventionen finns ingen specifik bestämmelse om straffskalornas utformning. I rambeslutet finns en bestämmelse som till viss del motsvarar punkt 2. I artikel 6.2 i rambeslutet före- skrivs nämligen att brotten olaglig systemstörning (artikel 3 i Behovet av lagändringar mot bakgrund av direktivet rambeslutet) och olaglig datastörning (artikel 4 i rambeslutet) ska vara belagda med straffrättsliga påföljder som innebär ett maximi- straff på minst ett till fängelse. I rambeslutet finns även bestämmelser som till viss del motsvarar punkt 4 (artikel 7 i ram- beslutet). Enligt rambeslutet räcker det emellertid att fängelse i åtminstone finns i straffskalan. Punkt 4 kräver, som framgått, att fängelse ska finnas i straffskalan. Vi har i tidigare avsnitt gjort bedömningen att svensk rätt uppfyller direktivets krav på kriminalisering av de gärningar som avses i artiklarna 3–6 genom främst bestämmelserna om brytande av post- eller telehemlighet och dataintrång, men att ansvar för dessa gärningar i vissa fall även kan komma i fråga enligt bestäm- melserna om skadegörelse och sabotage. Straffskalan för såväl brytande av post- eller telehemlighet som dataintrång är böter eller fängelse i högst . För skadegörelse och grov skadegörelse är straffskalorna böter eller fängelse i högst respektive fängelse i högst . Straffskalorna för sabotage och grovt sabotage är fängelse i högst respektive fängelse , lägst två och högst , eller på livstid. Samtliga brott, utom skadegörelse av normalgraden har alltså ett maximistraff om fängelse. I fråga om gradindelade brott är det dock enligt vår mening tillräckligt att den grövsta formen – i detta fall grov skadegörelse – motsvarar vad som krävs enligt direktivet (jfr motsvarande bedömning av regeringen vid genomförandet av ram- beslutet, prop. 2006/07:66 s. 29). Följaktligen uppfyller svensk rätt direktivets krav enligt punkterna 1 och 2 såvitt avser brotten i artiklarna 3–6. När det gäller direktivets krav på kriminalisering av sådan befattning med verktyg som avses i artikel 7 har vi i tidigare avsnitt gjort bedömningen att svensk rätt uppfyller kravet genom bestäm- melserna om förberedelse till brott men att vissa av de förfaranden som beskrivs i artikeln i svensk rätt även skulle kunna utgöra medverkan till brott. Förberedelse till brytande av post- eller telehemlighet är genom visst angivet förfarande straffbelagt i en särskild bestämmelse i 4 kap. 9 b § . Straffskalan enligt denna bestämmelse är böter eller fängelse i högst och alltså förenlig med punk- terna 1 och 2. Förberedelse till dataintrång är straffbart, om det fullbordade brottet inte skulle ha varit att anse som ringa. Även förberedelse till grov skadegörelse, sabotage och grovt sabotage är straffbart. Behovet av lagändringar mot bakgrund av direktivet Straffet för förberedelse ska, enligt 23 kap. 2 § tredje stycket , bestämmas under den högsta och får sättas under den lägsta gräns som gäller för fullbordat brott. Högre straff än fängelse får bestämmas endast om fängelse eller däröver kan följa på det fullbordade brottet. Fängelse finns alltså i straffskalan för förberedelse till grov skadegörelse, sabotage och grovt sabotage. Straffskalorna för dessa brott är alltså förenliga med punkterna 1 och 2. För för- beredelse till dataintrång kan dock aldrig, mot bakgrund av att straffskalan för dataintrång är böter eller fängelse i högst och straffet för förberedelse ska bestämmas under den högsta gränsen som gäller för fullbordat brott, dömas till fängelse. I teorin är alltså det högsta straff som kan utdömas för förberedelse till dataintrång fängelse och . Straffskalan för förbered- else till dataintrång är därför möjligtvis förenlig med punkt 1 men inte med det specifika kravet på ett maximistraff fängelse i punkt 2. Det krävs därför lagändring för att uppfylla direktivets krav i denna del. I sammanhanget bör dock även fram- hållas att för det fall en sådan gärning som avses i artikel 7 i svensk rätt är att anse som medverkan till dataintrång uppfyller svensk rätt kravet på påföljd av visst slag. Osjälvständiga brottsformer omfattas, som framgått, inte av kravet på visst maximistraff enligt punkt 2. De ska dock, enligt punkt 1, vara belagda med effektiva, proportionella och avskräck- ande straffrättsliga påföljder. För anstiftan av och medhjälp till brytande av post- eller telehemlighet, dataintrång, skadegörelse, grov skadegörelse, sabotage och grovt sabotage kan dömas till fängelse. Detsamma gäller försök att begå dataintrång, skadegörelse, grov skadegörelse, sabotage och grovt sabotage. Mot den bakgrunden gör vi bedömningen att svensk rätt uppfyller kravet enligt punkt 1 såvitt avser brotten i artikel 8. Punkterna 3, 4 och 5 gäller, som framgått, enbart brotten olaglig systemstörning och olaglig datastörning. Enligt punkt 3 ska dessa brott ha ett maximistraff fängelse när ett stort antal informationssystem har påverkats genom användning av ett verk- tyg som har utformats primärt för detta syfte och enligt punkt 4 ställs krav på ett lägsta maximistraff på fängelse för dessa brott under vissa förutsättningar. Vi har i avsnitt 7.3.2 och 7.3.3 gjort bedömningen att svensk rätt genom främst dataintrångsbestämmelsen uppfyller direktivets krav på vilka handlingar som ska vara straffbelagda som olaglig system- Behovet av lagändringar mot bakgrund av direktivet störning och olaglig datastörning. Straffskalan för dataintrång är, som tidigare nämnts, böter eller fängelse i högst . Data- intrångsbestämmelsen med sin nuvarande straffskala är således inte tillräcklig för att motsvara direktivets krav på ett maximistraff på minst tre respektive fängelse enligt punkt 3 respektive 4. Som redogjorts för i avsnitt 7.3.2 och 7.3.3 kan emellertid de gärningar som i direktivet avses med olaglig systemstörning och olaglig datastörning i svensk rätt i vissa fall även tänkas motsvara andra brott, främst skadegörelse och sabotage. Grov skadegörelse, sabotage och grovt sabotage är dessutom straffbart som terrorist- brott enligt lagen (2003:148) om straff för terroristbrott under de förutsättningar som anges i den lagen. För skadegörelse och grov skadegörelse är, som nämnts, straff- skalorna böter eller fängelse i högst respektive fängelse i högst . Straffskalorna för sabotage och grovt sabotage är fängelse i högst respektive fängelse , lägst två och högst , eller på livstid. För terroristbrott är straffet fängelse , lägst fyra och högst , eller på livstid. Är brottet mindre grovt, är straffet fängelse, lägst och högst . För det fall de gärningar som avses i punkt 3 träffas av straff- ansvaret för grov skadegörelse, sabotage eller grovt sabotage och de gärningar som avses i punkt 4 på motsvarande sätt träffas av straff- ansvaret för grovt sabotage, alternativt om någon av gärningarna skulle vara att anse som terroristbrott, uppfyller svensk rätt således kraven på vilka påföljder som ska kunna dömas ut enligt punkterna. Skadegörelsebestämmelserna avser i huvudsak angrepp på egen- dom som medför att egendomen förstörs eller skadas. Normalt förutsätts att saken verkligen undergår en förändring och att skadan inte är av endast tillfällig natur (jfr m.fl., En kommentar kap. 1–12, s. 12:3). I stor utsträckning gäller det även sabotagebestämmelserna. Sabotagebestämmelserna är emellertid tillämpliga även då användningen av viss närmare angiven egendom allvarligt störs eller hindras utan att denna förstörts eller skadats. Straffbestämmelserna kan således tillämpas i vissa fall när hand- landet innebär att datorer eller program skadas. Med olaglig systemstörning (artikel 4) avses enligt direktivet att uppsåtligen och orättmätigt allvarligt hindra eller avbryta driften av ett informationssystem genom att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter. Förfarandet behöver inte inne- bära att datorer eller program skadas. Vid exempelvis olika former Behovet av lagändringar mot bakgrund av direktivet av överbelastningsattacker eller tillgänglighetsattacker som riktar sig mot själva systemet och dess funktion, och vars syfte t.ex. kan vara att göra en webbplats otillgänglig, är skadan oftast av tillfällig karaktär. Bestämmelserna om skadegörelse och sabotage är då inte tillämpliga. På samma sätt förhåller det sig när det gäller den gärning som i direktivet avses med olaglig datastörning (artikel 5). Gärningen beskrivs som att uppsåtligen och orättmätigt radera, skada, för- sämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter i ett informationssystem. Inte heller detta förfarande behöver innebära att datorer eller program, eller ens befintliga uppgifter i systemet, skadas. Överbelastnings- eller tillgänglighetsattacker kan innebära just att flödet av datorbehand- lingsbara uppgifter i ett informationssystem hindras och att det blir omöjligt att komma åt uppgifterna, utan att skadan är av annat än tillfällig karaktär. När det gäller sabotagebrottet krävs för straffansvar vidare att för samhället viktig egendom förstörs eller skadas eller att använd- ningen av sådan egendom allvarligt störs eller hindras. Den brottsliga gärningen kan uttryckas så att någon ska skada, förstöra eller allvarligt hindra användningen av ett sabotageobjekt (se Ulväng m.fl., Brotten mot allmänheten och staten, 2012, s, 26–27). Som sabotageobjekt upptas, enligt 13 kap. 4 § : 1.egendom som har avsevärd betydelse för a.rikets försvar, folkförsörjning, rättsskipning eller förvaltning, eller b.upprätthållande av allmän ordning och säkerhet i riket, 2.den allmänna samfärdseln, 3.telegraf, telefon, radio, eller dylikt hjälpmedel, och 4.anläggning för allmänhetens förseende med vatten, ljus, värme eller kraft. Gärningar som riktar sig mot objekt enligt 1 ska innebära att egen- domen skadas eller förstörs eller att dess användning allvarligt störs eller hindras. Gärningar som riktar sig mot objekt enligt 2–4 ska innebära att objektets användning allvarligt störs eller hindras. Som exempel på sådana sabotageobjekt som faller under 1 har nämnts befästningsanläggningar, kaserner, förråd av större betyd- else, för folkförsörjningen viktiga fabriker och gruvor, statliga och Behovet av lagändringar mot bakgrund av direktivet kommunala myndigheters lokaler samt polis- och brandstationer (m.fl., En kommentar kap. 13–24, s. 13:17). Som framgått ska enligt punkt 3 brotten olaglig systemstörning och olaglig datastörning ha ett lägsta maximistraff fäng- else när ett betydande antal informationssystem har påverkats genom användning av ett verktyg som har utformats primärt för detta syfte.