sou · H1B385 · 2013-12-18 00:00:00 — Detta kan göras genom beställ- ning av en äkta legitimationshandling, vilket förutsätter att någon annan felaktigt intygar att fotot tillhör den uppgivna personen. I ett sådant fall skapas den felaktiga identitetshandlingen av den som ställer ut identitetskortet, dvs. av någon som själv är i god tro. En annan möjlighet är att beställa en falsk legitimationshandling på någon hemsida där sådana tjänster numera erbjuds mot betalning. En oriktig eller falsk legitimation kan vara en förutsättning för att kunna hämta ut beställda varor eller för att handla varor över disk på ett kontokort i någon annans namn. Det är inte bara individer utan även andra rättssubjekt som ris- kerar att råka ut för brott av detta slag. Ett registrerat aktiebolag eller handelsbolag kan på motsvarande sätt råka ut för en s.k. före- tagskapning. Det kan gå till så att någon skickar in förfalskade upp- gifter till den som ansvarar för registreringen av bolaget om att styrelsen har ändrats, att verkställande direktören har bytts ut, att företaget har bytt adress eller liknande. upptäcker detta och hinner reagera kan t.ex. bankkonton ha öppnats, omfatt- ande beställningar ha gjorts i bolagets namn, utbetalningar ha gjorts till fel mottagare, lån tagits upp etc. Till skillnad mot vad som gäller Olovlig användning av annans identitetsuppgifter vid identitetsstöld som riktar sig mot fysiska personer innefattar motsvarande gärningar mot företag någon form av förfalskningsbrott. Den som på något av ovan angivna sätt olovligen använder någon annans identitet gör sig normalt skyldig till bedrägeri eller något annat brott i 9 kap. BrB, men brottet riktar sig då mot den som har vilseletts till en förmögenhetsöverföring, dvs. att betala för något som inte existerar eller inte är till salu eller att bevilja lån eller att lämna ut varor till fel person. 10.2.2Nätfiske – s.k. phishing En företeelse som är starkt förknippad med identitetsstöld är s.k. phishing, som på svenska kallas nätfiske eller lösenordsfiske. Nät- fiske utförs som regel genom att någon skickar e-postmeddelanden – som ofta ser ut att komma från en bank eller ett kreditkortsföretag – och som innehåller en uppmaning att logga in möjligt och en länk till en falsk webbsida med inloggningsformulär. E-postmed- delandet kan också vara utformat så att det ser ut att komma från t.ex. ett företags supportavdelning eller en myndighet. Det före- kommer också att gärningsmännen skapar falska webbsidor utan att skicka ut e-postmeddelanden, i förhoppningen om att enskilda ska logga in på fel hemsida. Metoden används ibland också på det sättet att det görs ett massutskick, som skenbart kommer från ett företag med många kunder, och som underrättar mottagaren om att han eller hon tyvärr har debiterats två gånger för samma räkning och där man efterfrågar kontonummer och andra uppgifter för att kunna sätta in det felaktigt debiterade beloppet på kundens konto. Syftet är oftast att lura innehavare till bankkonton eller kredit- kort att lämna ut kreditkortsnummer, lösenord eller annan känslig information till den som skickat meddelandet. Gärningsmannen vill komma åt uppgifterna om bankkonton och kreditkort för att kunna föra över pengar från kontona eller kunna utnyttja kreditkortsnum- mer för köp via internet. Det efterföljande förfarandet – som nor- malt riktar sig mot en bank, ett kontokortsföretag eller någon annan finansiell aktör – är som regel straffbart som bedrägeri. Utskick av e-postmeddelanden kan också vara ett sätt att få till- gång till enskilda personers identitetsuppgifter, antingen genom att de själva ombeds lämna ut vissa uppgifter, eller genom att de om- beds klicka på en länk som medför att de omedvetet laddar ner ett Olovlig användning av annans identitetsuppgifter datavirus eller ett program som gör det möjligt för avsändaren att få tillgång till den drabbades hårddisk eller e-postkonto. Det förekommer även många andra varianter av phishing, t.ex. e-postmeddelanden som är utformade som erbjudanden om utlott- ningar där man måste fylla i vissa uppgifter för att kunna delta. En annan variant är meddelanden som ser ut att komma från en bekant eller närstående, vars e-postkonto har blivit kapat, där gärnings- mannen utger sig för att vara den personen och säger sig ha hamnat i en nödsituation som gör att han eller hon tillfälligt behöver en summa pengar. Ett likartat förfarande är att skicka SMS som har till syfte att genom intrång i mobiltelefonen komma åt pengar som finns på telefoner med kontantkort. Om mottagaren öppnar SMS:et töms kontot automatiskt och pengarna överförs till någon annan. 10.2.3Hur stort är problemet? Det uppges att problemet med stöld av identiteter har vuxit sig mycket stort . Eftersom det inte finns någon särskild straffbestämmelse som är tillämplig kan man inte utläsa något av brottsstatistiken. I medierna har uppgetts att det före- kommit ca 20 000 fall enbart i . Vid kontakter med åklagare och polisen bekräftar de att iden- titetsstöld numera är ett vanligt problem. Företrädare för , Företagarna och Upplysningscentralen ger ungefär samma bild. Om förfarandet har den omfattning som uppges utgör det onekligen ett samhällsproblem som det finns anledning att ta itu med. Det är nämligen viktigt att förhindra att oskyldiga drabbas av allvarliga ekonomiska eller andra konsekvenser av att någon annan olovligen har använt deras identiteter. Det förhållandet att någon olovligen har använt en annan persons identitet innebär som regel att den drabbade tvingas lägga tid på att reda upp situationen. I de fall där någon har lurat andra att betala för något som inte är till salu består problemen främst i praktiska olägenheter. Den som äger föremålet eller disponerar bostaden får ta hand om arga betalare – som har betalat hyra, handpenning eller Olovlig användning av annans identitetsuppgifter annan likvid – och försöka förklara vad som har hänt. I en del fall har dock gärningsmannen gått så långt att han eller hon har skickat uppgifter till myndigheter som den drabbade måste få rättade. I de fall där det olovliga användandet har resulterat i att den andre av- hänts egendom eller angetts som låntagare eller beställare av varor tvingas den vars identitet olovligen har använts att anmäla brott, bestrida krav och försöka undvika betalningsanmärkningar. Han eller hon måste också försöka förhindra ytterligare problem på grund av identitetsförväxling. Det uppstår som regel inte bara olägenheter utan också direkta kostnader för den som drabbas av att någon har missbrukat hans eller hennes identitet. Kostnaderna kan avse sådant som att spärra kort, att byta lås eller att tvingas ta ledigt från arbetet för att kunna besöka myndigheter, domstolar och företag, i syfte att få till stånd rättelse av felaktiga uppgifter. Den som drabbas av att någon annan olovligen har använt hans eller hennes identitet uppfattar som regel detta som en allvarlig integritetskränkning. Förfarandet skapar också otrygghet hos den drabbade som inte vet om hans eller hennes identitet har använts även på andra sätt än vad som redan är känt. Finns det fler lån, kommer det fler betalningsanmärkningar etc. Många upplever det inte bara som obehagligt utan också som kränkande att uppfattas som en dålig betalare och att riskera att bli nekad vanliga konsu- menttjänster på grund av att någon annan har missbrukat identite- ten. Det kan i många fall vara svårt för den enskilde att få felaktiga uppgifter rättade. Det kan t.ex. finnas juridiska hinder mot att rätta vissa uppgifter. Vidare är risken stor att den drabbade inte kan iaktta de frister som gäller för betalning och krav etc. och att han eller hon då riskerar extra olägenheter. För att freda sig mot att identiteten används olovligen tvingas vissa drabbade att vidta den ganska drastiska åtgärden att begära att deras personuppgifter spärras hos Upplysningscentralen och hos andra kreditupplysningsföretag. Det får i sin tur till följd att han eller hon själv är förhindrad att ta upp lån eller att handla på kredit, vilket försvårar många vardagliga transaktioner som exempelvis kortköp. En sådan spärr förutsätter normalt att en polisanmälan görs. Olovlig användning av annans identitetsuppgifter I princip kan vem som helst drabbas av brott som innebär att deras identitet används olovligen. Eftersom syftet med brotten oftast är att få ut pengar eller varor på felaktiga grunder löper personer som är ekonomiskt någorlunda välbeställda och inte har några betal- ningsanmärkningar större risk att drabbas än andra. Det innebär t.ex. att brotten medvetet kan riktas mot äldre. I de fall där den drabbade gör en polisanmälan är det inte givet att han eller hon betraktas som målsägande och därmed får insyn i brottsutredningen och möjlighet att driva frågan om eventuell er- sättning. Det beror framför allt på hur brottet rubriceras. Om man tar som exempel att någon har lyckats ta upp lån i en annan persons namn så riktar sig bedrägeriet i det fallet mot långivaren, inte mot den vars identitet har använts. Han eller hon betraktas alltså inte automatiskt som ett brottsoffer, trots de långtgående konsekvenser som det olovliga användandet kan innebära, eftersom de eventuella brotten formellt riktar sig mot någon annan. 10.5Vilka befintliga straffbestämmelser kan en identitetsstöld falla under? Identitetsstöld innefattar vanligtvis ett antal moment. Gärnings- mannen måste få tillgång till identitetsuppgifterna och därefter använda dem. I många fall utgör anskaffandet av uppgifterna inte något brott. Det kan t.ex. röra sig om uppgifter som är offentliga eller som brottsoffret själv har spridit. Gärningsmannen kan också genom s.k. phishing lura brottsoffret att själv lämna ut sina identi- tetsuppgifter, personliga koder eller andra motsvarande uppgifter, genom att få det att framstå som att det är en bank eller ett annat företag där vederbörande är kund som efterfrågar uppgifterna. I andra fall kan redan anskaffandet av identitetsuppgifterna vara brottsligt, t.ex. om gärningsmannen eller någon annan kommer över uppgifterna genom dataintrång eller inbrott. Användandet kan också innefatta andra brott än identitetsstölden i sig. För att an- vända identitetsuppgifterna behöver gärningsmannen ibland till- verka eller låta tillverka någon form av legitimationshandling med den drabbades identitetsuppgifter. Olovlig användning av annans identitetsuppgifter gärningsmannen ibland den drabbades namnunderskrift. En gär- ningsman kan utföra alla moment eller bara en del av dem. I det följande redovisas översiktligt vilka befintliga straffbestämmelser som kan aktualiseras i samband med identitetsstöld. Innan dessa redovisas bör dock något sägas om skyddet i allmänhet för privatli- vet och behandling av personuppgifter. I artikel 8.1 i föreskrivs att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korre- spondens. gäller som lag i enligt lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. Att olovligen använda någon annans identitetsuppgifter bör anses ut- göra en kränkning av rätten till respekt för privatlivet. Europakon- ventionens bestämmelse är visserligen utformad som en rättighet för enskilda i förhållande till staten. har dock i flera fall slagit fast att artikel 8, som reglerar rätten till skydd för privat- och familjeliv, även medför en skyldighet för staterna att genom positiva åtgärder, oftast i form av lagstiftning, upprätthålla ett tillräckligt rättsskydd mot förbjudna ingrepp i rättigheten. Sta- ten kan alltså vara skyldig att vidta vissa åtgärder för att skydda den enskilde även från att andra enskilda personer kränker hans eller hennes rättigheter enligt artikel 8 (se exempelvis Europadomsto- lens domar mot respek- tive mot ). Grundlagsskyddet för den kroppsliga integriteten regleras i 2 kap. 6 § första stycket RF. Skyddet för den personliga integriteten ut- ökades genom att ett andra stycke infördes i paragrafen , då den tidigare bestämmelsen i 2 kap. 3 § RF om skydd mot att den personliga integriteteten kränks genom att upp- gifter registreras med hjälp av automatisk databehandling upphävdes (prop. 2009/10:80 En reformerad grundlag, bet. Olovlig användning av annans identitetsuppgifter 2009/10:KU19, rskr. 2009/10:304, bet. 2010/11:KU4, rskr. 2010/11:21). I den nya bestämmelsen slås fast att var och en gente- mot det allmänna är skyddad mot betydande intrång i den person- liga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Det grundlagsfästa integritetsskyddet omfattar således inte i sig den enskildes identitetsuppgifter. Det ger inte heller något skydd mot kränkningar som begås av andra enskilda rättssubjekt. Rege- ringsformen är enbart utformad som ett skydd för den enskilde mot det allmänna. Enligt 1 § personuppgiftslagen (1998:204) syftar lagen till att skyd- da människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen är enligt 2 § subsidiär i för- hållande till andra författningar. Enligt 22 § personuppgiftslagen får uppgifter om personnummer eller samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Med behandling avses i lagen varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Som exempel på sådana åtgärder nämns bl.a. insamling, regi- strering, lagring, bearbetning, användning och spridning av upp- gifter (3 §). Det är rimligt att utgå från att den som samlar in personnummer i syfte att använda dem för att begå brott inte uppfyller kriterierna för när en sådan behandling ska vara tillåten. Lagen gäller dock inte för sådan behandling av personuppgifter som en fysisk person ut- för som ett led i en verksamhet av rent privat natur (6 §). Själva insamlandet och lagrandet av personnummer är därmed inte otillå- tet enligt personuppgiftslagen. I rättsfallet RH 2004:51 gjorde hov- rätten bedömningen att ett förfarande varigenom någon på internet offentliggör personuppgifter så att de blir åtkomliga för ett obe- stämt antal personer inte omfattas av undantaget för privat behand- ling av personuppgifter. I linje med det rättsfallet skulle spridning av andras personnummer kunna omfattas av förbudet i 22 § person- uppgiftslagen. En överträdelse kan medföra skadestånd enligt 48 § men är inte straffsanktionerad. Olovlig användning av annans identitetsuppgifter Personuppgiftslagen ger dock inget skydd mot sådant olovligt användande av andras identitetsuppgifter som t.ex. kan utgöra led i bedrägeribrott. Dataintrång kan vara ett sätt att komma över identitetsuppgifter. Ansvar för dataintrång enligt 4 kap. 9 c § BrB förutsätter att någon olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift. Det spelar ingen roll vad för slags uppgifter det rör. Syftet med intrånget är också irrelevant. Det som är kriminaliserat är den olovliga åtkomsten. Brottet kan sägas vara riktat mot den som äger datasystemet men drabbar även dem som i förtroende tillåtit att uppgifter om dem lagras eller vilkas uppgifter registrerats på annan grund. Har den som olovligen använder någon annans identitet kommit över uppgifterna t.ex. via sociala medier eller offentliga register, ger bestämmelsen om dataintrång inget skydd. Utredningen om It-brottskonventionen föreslår i sitt betän- kande konvention om it-relaterad brottslighet en särskild straffskala för grovt dataintrång. Som exempel på situatio- ner där ett dataintrång kan bedömas som grovt nämner utred- ningen vissa fall av identitetsstöld som får långtgående konsekven- ser för den enskilde (SOU 2013:39 s. 336). Förslaget bereds inom . Urkundsförfalskning, osant intygande m.m. Identitetsstöld innefattar ofta brott mot 14 kap. BrB (förfalsk- ningsbrott) eller 15 kap. BrB (sanningsbrott). Förfalskningsbrotten tar sikte på åtgärder som påverkar ett bevismedels äkthet. Syftet med straffbestämmelserna är att skydda tilltron till skriftliga hand- lingar och vissa andra objekt. Även sanningsbrotten kan röra upp- gifter i skriftliga handlingar men tar sikte på gärningar som endast förgriper sig på sanningen. Förfalskningsbrotten och sannings- brotten räknas som brott mot allmänheten. Olovlig användning av annans identitetsuppgifter Att skriva någon annans namn på en handling kan exempelvis bestraffas som urkundsförfalskning (14 kap. 1 § BrB) om åtgärden innebär fara i bevishänseende. Användandet av en falsk legitima- tionshandling är straffbart som brukande av falsk urkund, som i straffhänseende jämställs med att gärningsmannen själv har gjort förfalskningen (14 kap. 10 § BrB). Att låta någon annan tillverka en falsk urkund är inte straffbart som urkundsförfalskning men skulle kunna utgöra anstiftan till sådant brott eller förberedelse till bru- kande av något som är förfalskat (14 kap. 12 § BrB). Är det fråga om en äkta handling med ett osant innehåll, t.ex. en legitimations- handling som har utfärdats med stöd av felaktiga uppgifter, kan den som har medverkat till det oriktiga innehållet straffas för osant inty- gande (15 kap. 11 § första stycket BrB). Användandet av en sådan handling kan vara straffbart som brukande av osann urkund (15 kap. 11 § tredje stycket BrB). Använder gärningsmannen i stället en äkta identitetshandling som utfärdats för någon annan och påstår att den gäller för honom eller henne kan förfarandet vara straffbart som missbruk av urkund (15 kap. 12 § första stycket BrB). Två centrala rekvisit i dessa bestämmelser är urkund och fara i bevishänseende. Med urkund avses enligt 14 kap. 1 § BrB bl.a. en handling som upprättats till bevis eller som annars är av betydelse som bevis och som har utställarangivelse och originalkaraktär (första punkten) eller en elektronisk handling som upprättats till bevis eller som annars är av betydelse som bevis och som har en utställarangi- velse som kan kontrolleras på ett tillförlitligt sätt (andra punkten). För att handlingen ska kunna ha betydelse som bevis krävs att den har ett föreställningsinnehåll, dvs. att någon form av budskap kan utvinnas ur den. Med utställarangivelse avses att det av hand- lingen ska framgå direkt eller indirekt vem som står bakom den. Kravet på originalkaraktär är uppställt för att handlingen ska kunna äkthetsprövas, dvs. att det ska gå att göra en bedömning av vem som är utställare. Med fara i bevishänseende avses bl.a. att hand- lingen ska ha en sådan likhet med en äkta urkund att det är sanno- likt att en förväxling kan ske eller att det förfalskade på annat sätt tas för äkta (prop. 2012/13:74 s. 35 f.). Olovlig användning av annans identitetsuppgifter Bedrägeri och oredligt förfarande Det är vanligt att den som skaffat sig tillgång till någon annans identitetsuppgifter använder dessa för att begå bedrägeri. Använ- dandet av annans identitetsuppgifter kan i dessa fall beaktas som en försvårande omständighet vid rubriceringen (på grund av att gär- ningen har varit av särskilt farlig art) och vid straffmätningen av bedrägeribrottet. Vissa former av identitetsstöld kan också bestraffas som förbe- redelse till bedrägeri. Den som t.ex. låter tillverka en legitimations- handling med sitt eget foto men med någon annans identitetsupp- gifter kan anses ha tagit sådan befattning som avses i 23 kap. 2 § 2 BrB med något som är särskilt ägnat att användas som hjälpmedel vid ett brott. Används någon annans identitetsuppgifter i syfte att vilseleda en tredje person till handling eller underlåtenhet genom vilken han eller hon åsamkas skada kan förfarandet bestraffas som oredligt förfarande (9 kap. 8 § BrB). Brottet anses begånget mot den som vilseletts. Den som använder någon annans identitetsuppgifter på ett trakasse- rande sätt, t.ex. för att beställa varor eller tjänster i hans eller hennes namn, kan i vissa fall anses ha handlat på ett sådant hänsynslöst sätt att förfarandet kan leda till straffansvar för ofredande (4 kap. 7 § BrB). Upprepade ofredanden mot samma person kan under vissa förutsättningar bedömas som olaga förföljelse (4 kap. 4 b § BrB). Att olovligen använda en annan persons identitet i samband med ett polisingripande eller liknande, i syfte att undgå åtal eller bötesföreläggande, kan vara straffbart som falsk tillvitelse (15 kap. 7 § BrB). Brottet anses vara ett brott mot allmänheten men kon- sumerar ansvar för förtal för samma gärning. I undantagsfall torde användande av någon annans identitets- uppgifter kunna bedömas som förtal enligt 5 kap. 1 eller 2 § BrB. För det krävs att förfarandet innefattar lämnande av en uppgift som är ägnad att väcka andras missaktning. Olovlig användning av annans identitetsuppgifter Immaterialrättsligt skydd för identitetsuppgifter En fysisk persons identitetsuppgifter har inget generellt skydd för ensamrätten på det sätt som gäller för immaterialrätter. Gemen- samt för sådana rättigheter är att de skyddar upphovsmannens exklusiva rätt till sin personliga insats. Immaterialrätt är en förmö- genhetsrätt som rättighetsinnehavaren förfogar över. En persons identitetsuppgifter kan i normalfallet inte sägas vara något resultat av hans eller hennes personliga insats. Ett person- namn kan emellertid registreras som ett varumärke och som sådant vara skyddat enligt 1 kap. 4 och 6 §§ varumärkeslagen (2010:1877). En förutsättning för skydd är att varumärket har särskiljningsför- måga, dvs. att det kan skilja varor eller tjänster som tillhandahålls i en näringsverksamhet från dem som tillhandahålls i en annan (1 kap. 5 § varumärkeslagen). Även utan registrering kan den som använder sitt namn som varukännetecken ha ensamrätt till detta som varukännetecken, under förutsättning att namnet har särskilj- ningsförmåga för de varor eller tjänster som det används för och att varukännetecknet anses vara inarbetat (1 kap. 7 och 8 §§). Ensamrätten skyddar inte bara mot användning av det aktuella namnet utan även mot användning av förväxlingsbara namn. För- budet för andra att använda namnet gäller dock inte generellt utan är framför allt begränsat till varor och tjänster av liknande slag som de som rättighetsinnehavaren använder varumärket för (1 kap. 10 § varumärkeslagen). Den som uppsåtligen eller av grov oaktsamhet gör intrång i rätten till ett varukännetecken (varumärkesintrång) döms enligt 8 kap. 1 § varumärkeslagen till böter eller fängelse i högst . Intrånget är också skadeståndsgrundande enligt 8 kap. 4 § varu- märkeslagen. Lagstiftning som skyddar namn Egenartade efternamn, dvs. namn som är ägnade att utmärka till- hörigheten till en viss släkt, ges ett visst skydd i 20 § namnlagen (1982:670). Namn som lätt kan förväxlas med ett egenartat efter- namn får inte utan vidare användas av andra. Skyddet gäller både för privat bruk och i kommersiella sammanhang. Den som gör intrång i någon annans rätt till ett egenartat efternamn kan enligt 23 § namnlagen bli skadeståndsskyldig. Olovlig användning av annans identitetsuppgifter slår i sitt betänkande En ny lag om personnamn vissa ändringar i reglerna men låter i huvudsak skyddet för egenartade efternamn bestå (SOU 2013:35 s. 404 f.). I 1 § lagen (1978:800) om namn och bild i reklam förbjuds näringsidkare att vid marknadsföring av vara, tjänst eller annan nyttighet använda någon annans namn eller bild utan hans eller hennes samtycke. Den som uppsåtligen eller av grov oaktsamhet bryter mot förbudet döms enligt 2 § till böter. Dessutom kan den som olovligen använt annans namn och bild åläggas särskild ersätt- ningsskyldighet enligt 3 § lagen. 10.6Tidigare utredningar och utländsk rätt 10.6.1Utredningar med anknytning till frågan