sou · H1B339 · 2013-06-03 00:00:00 — Straffskalan för brytande av post- eller telehemlighet sträcker sig från böter till fängelse . Enligt vår mening är den nuvarande straffskalan alltjämt väl avvägd. Att den tekniska utvecklingen inne- burit att bestämmelsen, sett till antal meddelanden som befordras, säkerligen skyddar långt fler elektroniska än traditionella med- Straffskalorna för brytande av post- eller telehemlighet och dataintrång delanden, påverkar inte denna bedömning. Skyddsintresset är fort- farande hemligheten i de meddelanden som befordras och detta blir inte starkare eller svagare beroende på vilket sätt som meddelandet befordras på. En oförändrad straffskala för brytande av post- eller telehemlighet innebär att denna också i fortsättningen är densamma som för intrång i förvar (4 kap. 9 §) och olovlig avlyssning (4 kap. 10 §). Enligt vår uppfattning är det riktigt eftersom samtliga dessa bestämmelser i princip avser att skydda samma intresse – integri- teten i olika former av kommunikationer – och samtliga dessa brotts- typer får anses lika allvarliga. Om någon exempelvis olovligen öppnar ett brev som är under befordran är gärningen straffbar som bryt- ande av posthemlighet medan om samma brev öppnas sedan det lämnats i adressatens brevlåda är gärningen straffbar som intrång i förvar. Det finns inte anledning att ha olika straffskalor beroende på sättet som hemligheten bryts på. För uppfyllande av kraven i direktivet är brottet brytande av post- eller telehemlighet enbart av betydelse för direktivets artikel 6 om olaglig avlyssning (se avsnitt 7.3.4). Direktivet ställer inte högre krav på straffskalan för olaglig avlyssning än att denna gärning ska ha en straffskala med ett maximistraff fängelse (se artikel 9.2 och avsnitt 7.3.7). Följaktligen uppfyller svensk rätt redan direktivets krav i detta avseende. Enligt vår uppfattning finns alltså inte, varken mot bakgrund av direktivet eller vid sidan av detta, skäl att skärpa straffet för bryt- ande av post- eller telehemlighet. 9.4En särskild straffskala för grovt dataintrång Förslag: En särskild straffskala för grovt dataintrång införs. Straff- skalan ska sträcka sig från fängelse till fängelse . Vid bedömande av om ett dataintrång är grovt ska särskilt beaktas om gärningen har orsakat eller kunnat orsaka allvarlig skada eller har avsett ett stort antal uppgifter eller om gärningen annars varit av särskilt farlig art. Bestämmelsen om dataintrång ska inte längre vara subsidiär i förhållande till straffbestämmelserna om brytande av post- eller telehemlighet och om intrång i förvar. Försök och förberedelse till grovt dataintrång ska vara straff- bart. Straffskalorna för brytande av post- eller telehemlighet och dataintrång Vi har i tidigare avsnitt gjort bedömningen att det för att uppfylla direktivets bestämmelser om straffskalornas utformning när det gäller brotten olaglig systemstörning och olaglig datastörning finns behov av att skärpa straffskalan för dataintrång (se avsnitt 7.3.7). I föregående avsnitt har vi konstaterat att det även finns själv- ständiga skäl att skärpa straffet för dataintrång. Förändring av straffskalan eller särskild straffskala för grovt brott? Den grundläggande utgångspunkten för utformning av straffskalor är, som nämnts i tidigare avsnitt, brottets allvar. Straffskalan för ett brott ska återspegla hur allvarligt eller klandervärt brottet är. Ett allvarligt brott ska bestraffas strängare än ett mindre allvarligt brott och lika allvarliga brott ska bestraffas lika strängt. Den nuvarande straffskalan för dataintrång sträcker sig från böter till fängelse . Straffbestämmelsen omfattar en mängd olika typer av förfaranden av varierande grad av allvar. Straffstadgandet innefattar alltså gärningar av mycket olika straffvärde och straff- skalan måste vara utformad på ett sådant sätt att den medger en nyanserad bedömning av straffvärdet i enlighet med de nämnda principerna om proportionalitet och ekvivalens. För en rad av de förfaranden som straffbeläggs som dataintrång, exempelvis vissa fall då någon gjort en otillåten slagning i ett data- system på arbetet, på annat sätt enbart berett sig tillgång till en uppgift i ett datasystem utan att något skadats eller att någon säker- hetsåtgärd kringgåtts eller mindre allvarliga fall av kapning av ett Facebook-konto eller falska statusuppdateringar på Facebook eller andra konton på sociala medier (s.k. facerapes), är den nuvarande straffskalan fullt tillräcklig och för de förfaranden som nämnts kan böter säkerligen i många fall vara en adekvat påföljd för brottet. Som brottstyp betraktat är det inte heller allvarligare att olovligen bereda sig tillgång till ett elektroniskt meddelande som är under befordran i ett privat kommunikationsnät än att olovligen bereda sig tillgång till ett elektroniskt meddelande som är under befordran via ett telebefordringsföretag. Straffminimum för dataintrång bör mot den bakgrunden vara densamma som för brytande av post- Straffskalorna för brytande av post- eller telehemlighet och dataintrång Enligt vår uppfattning är det alltså inte aktuellt att föreslå en höjning av straffminimum för dataintrångsbrottet. Vår uppfattning är att det inte heller finns någon anledning att föreslå en ringa form av dataintrång. Böter ingår redan i straffskalan för dataintrång och det är, mot bakgrund av vad som sagts, rimligt att straffskalan för de minst allvarliga fallen av dataintrång harmonierar med den som gäller för brytande av post- eller tele- hemlighet. Enligt artikel 9.3 i direktivet ska brotten olaglig systemstörning och olaglig datastörning ha ett lägsta maximistraff fängelse när ett betydande antal informationssystem har påverkats genom användning av ett verktyg som har utformats primärt för detta syfte. Enligt artikel 9.4 ska vidare brotten olaglig systemstörning och olaglig datastörning ha ett lägsta maximistraff fängelse när de a) begås inom ramen för en kriminell organisation, b) för- orsakar allvarlig skada, eller c) begås mot ett kritiskt infrastruktur- system. Svensk rätt uppfyller genom främst dataintrångsbestäm- melsen direktivets krav på vilka handlingar som ska vara straffbelagda som olaglig systemstörning och olaglig datastörning. Vissa av de gärningar som nämns i artikel 9.3 och 9.4 kan även tänkas motsvara andra brott i svensk rätt, främst skadegörelse och sabotage, men långt ifrån alla. Mot den bakgrunden måste straffet för vissa former av dataintrång skärpas till fängelse för att svensk rätt ska uppfylla direktivets krav i fråga om påföljder. Att inom ramen för en och samma straffbestämmelse ha en straffskala som sträcker sig från böter till fängelse eller mer är enligt vår uppfattning inte lämpligt. Det skapar helt enkelt en för stor spänning i straffskalan. En sådan vid straffskala skulle också innebära att även dataintrång med lågt straffvärde, som inte moti- verar annat än ett bötesstraff, skulle få en förlängd preskriptionstid . En sådan konsekvens är enligt vår mening inte rim- lig. I stället föreslår vi i enlighet med svenska principer för straff- rättslig lagstiftning en särskild straffskala för grovt dataintrång. Genom att föreskriva en särskild straffskala för de allvarligaste fallen av dataintrång är det också möjligt att peka ut de omständig- heter som bör leda till en strängare bedömning än annars. Att enbart höja straffskalan för dataintrång och inte införa en särskild straffskala för grovt brott skulle även innebära att straff- maximum för dataintrång generellt skulle vara högre än straff- maximum för brytande av post- eller telehemlighet och intrång i förvar. Konsekvensen skulle alltså bli att brottstypen dataintrång Straffskalorna för brytande av post- eller telehemlighet och dataintrång skulle anses allvarligare än de andra två brottstyperna. Så kan emeller- tid inte generellt anses vara fallet. Många av de förfaranden som träffas av dataintrångbestämmelsen har samma grad av allvar som de som träffas av bestämmelserna om brytande av post- eller tele- hemlighet och intrång i förvar (jfr den tidigare jämförelsen om att olovligen bereda sig tillgång till ett elektroniskt meddelande som är under befordran i ett privat kommunikationsnät respektive via ett telebefordringsföretag). Att det finns behov av skärpta straff för dataintrång beror på att det brottet i vissa fall kan bestå i stor- skaliga eller av andra skäl särskilt farliga angrepp mot informations- system som kan orsaka betydande ekonomiska skador eller skador av annat slag. Som har konstaterats behövs vidare en skärpt straffskala för dataintrång för att genomföra direktivet. Vilka omständigheter bör tillmätas särskild vikt vid bedömande av om ett dataintrång är grovt? När en särskild straffskala för grovt dataintrång införs bör det på det sätt som är vanligt i svensk straffrätt anges vilka omständigheter som särskilt ska beaktas vid bedömningen av om brottet är grovt. En sådan utformning leder normalt till bättre förutsebarhet och till större enhetlighet i rättstillämpningen (jfr prop. 2011/12:109 s. 16). Avsikten är inte att endast de omständigheter som lyfts fram i be- stämmelsen ska beaktas eller att de alltid ska leda till en användning av den strängare straffskalan. En helhetsbedömning ska göras av samtliga omständigheter i det enskilda fallet, varvid såväl försvårande som förmildrande omständigheter ska beaktas. Frågan är då hur bestämmelsen närmare bör utformas. När det gäller vilka omständigheter som bör anges i bestämmelsen bör hän- syn tas till EU-direktivets artikel 9.3 och 9.4. I dessa anges vissa lägsta maximistraff för brott som i svensk rätt i huvudsak mot- svaras av dataintrång när vissa uppräknade omständigheter före- ligger. De omständigheter som anges är 1) att ett betydande antal informationssystem har påverkats genom användning av vissa verk- tyg, exempelvis olika former av sabotageprogram (artikel 9.3) eller att brotten 2) begås inom ramen för en kriminell organisation, 3) förorsakar allvarlig skada, eller 4) begås mot ett kritiskt infra- struktursystem (artikel 9.4). Att dataintrånget inneburit att ett stort antal informationssystem har påverkats, exempelvis genom en överbelastnings- eller tillgäng- Straffskalorna för brytande av post- eller telehemlighet och dataintrång lighetsattack, bör enligt vår mening kunna utgöra grund för att ett dataintrång bedöms som grovt. Det är typiskt sett en sådan om- ständighet som, mot bakgrund av den stora betydelse som infor- mationssystem har i dagens samhälle och den tillit till systemen som detta förutsätter, kan få allvarliga konsekvenser, såväl för en- skilda företag och banker som för statliga myndigheter. Även andra former av storskaliga attacker som inte innebär att själva systemet påverkas utan att uppgifterna i systemet exempelvis raderas eller ändras bör kunna utgöra grund för att ett dataintrång bedöms som grovt. Det objekt som skyddas genom dataintrångsbestämmelsens nu- varande utformning är uppgift som är avsedd för automatiserad behandling. Utgångspunkten är alltså att det är uppgiften som är det skyddsvärda. En bestämmelse om grovt dataintrång bör utformas i enlighet med detta grundläggande synsätt. Mot den bakgrunden anser vi att bestämmelsen bör utformas så att den ger möjlighet att beakta att gärningen har avsett ett stort antal uppgifter. Omfatt- ande tillgänglighets- eller överbelastningsattacker liksom stor sprid- ning av virusprogram eller andra sabotageprogram är exempel på gärningar av detta slag. Ett annat exempel är då en betydande mängd uppgifter har manipulerats på något av de sätt som sägs i första stycket eller då någon berett sig tillgång till en stor mängd upp- gifter. En sådan utformning innebär alltså att den omständighet som anges i direktivets artikel 9.3 fångas upp som försvårande och särskilt bör beaktas vid bedömningen av om brottet är grovt. Ytterligare en omständighet som bör beaktas som försvårande är om gärningen har orsakat eller kunnat orsaka allvarlig skada. Att brottet orsakar allvarlig skada är, som framgått, en omständighet som även tas upp i direktivet. Gärningens skadeverkningar bör, om de är tillräckligt omfattande, ensamt kunna kvalificera brottet som grovt, oavsett övriga omständigheter under förutsättning här som annars att den skada som orsakats eller kunnat orsakas täcks av gär- ningsmannens uppsåt. Den skada som vi avser är främst sådan som är av ekonomisk natur, men även skada av annat slag, exempelvis sådan ideell skada som kan uppkomma vid intrång i informationssystem som inne- håller integritetskänslig information, omfattas. Som särskild omständighet att beakta vid bedömande av om ett dataintrång är grovt bör slutligen anges att gärningen varit av sär- skilt farlig art. Genom denna omständighet täcks sådana förfaran- den in där det kan vara svårt att avgöra hur omfattande skadan blivit Straffskalorna för brytande av post- eller telehemlighet och dataintrång eller kunnat bli, men där själva förfarandet i sig fått eller kunnat få långtgående konsekvenser. Som exempel på sådana förfaranden skulle kunna nämnas intrång i myndigheters datasystem med upp- gifter om personer med skyddad identitet eller attacker som i för- längningen skulle kunna leda till en kollaps av betalningssystemet. Även det förhållande som anges i direktivets artikel 9.4, att brottet begås mot ett kritiskt infrastruktursystem, täcks enligt vår mening in av omständigheten att gärningen varit av särskilt farlig art. Som nämnts i avsnitt 7.3.7 kan dock gärningar som begås mot kritiska infrastruktursystem i många fall även omfattas av den svenska sabotagebestämmelsen. I direktivets artikel 9.4 anges även, som framgått, att en sådan omständighet som ska kunna medföra att brott som i svensk rätt i huvudsak motsvaras av dataintrång ska vara belagda med visst maximi- straff är att brotten begås inom ramen för en kriminell organisa- tion. Enligt svensk rätt ska som en försvårande omständighet vid bedömningen av ett brotts straffvärde i allmänhet beaktas om brottet utgjort ett led i en brottslighet som utövats i organiserad form eller systematiskt eller om brottet föregåtts av särskild planering (29 kap. 2 § 6 ). Detta ger enligt vår mening tillräckligt utrymme för att beakta att gärningen begåtts inom ramen för en kriminell organisation. Direktivets artikel 9.5 ställer krav på att det ska kunna anses som en försvårande omständighet när brott som i svensk rätt i huvudsak motsvaras av dataintrång begås genom missbruk av personuppgifter. Enligt vår mening finns utrymme att inom ramen för 29 kap. 2 § beakta denna omständighet som försvårande (jfr av- snitt 7.3.7). Vilken straffskala bör gälla för grovt dataintrång? Straffet för grovt dataintrång måste vara fängelse för att svensk rätt i alla delar ska uppfylla direktivets krav i fråga om påföljder. Ett maximistraff fängelse passar mindre väl in i den svenska systematiken när det gäller utformningen av straff- skalor. Frågan är också om ett maximistraff fängelse är tillräckligt för att en adekvat bedömning av straffvärdet ska kunna göras vid de mest allvarliga formerna av dataintrång. Som fram- hållits i avsnitt 9.3 kan omfattande angrepp mot informationssystem skapa en allmän osäkerhet om huruvida det går att känna tilltro till Straffskalorna för brytande av post- eller telehemlighet och dataintrång viktiga samhällsfunktioner, bl.a. myndigheters och bankers data- system och tjänster. De skadeverkningar som ett dataintrång kan orsaka liknar därför de skadeverkningar som kan orsakas av sådana gärningar som träffas av bestämmelsen om sabotage och i vissa fall även av grovt sabotage. Grovt sabotage är dock som brottstyp att anse som ett allvarligare brott än grovt dataintrång. Mot den bak- grunden föreslår vi ett maximistraff fängelse. Straffskalorna för dataintrång av normalgraden och grovt data- intrång bör vara något överlappande. Med detta menas att en viss del av straffskalan för en grad av ett brott är gemensam med straff- skalan för en annan grad av brottet. Om straffskalan för grovt data- intrång bestäms till fängelse i lägst och högst , blir överlappningen mellan straffskalorna jämförlig med hur över- lappningen utformats vid jämförbara gradindelade brott. Exempel på andra brott i med helt motsvarande gradindelade straffskalor är olaga tvång/olaga tvång som är grovt (4 kap. 4 §), trolöshet mot huvudman/trolöshet mot huvudman som är grovt (10 kap. 5 §) och utnyttjande av barn för sexuell posering/grovt utnyttjande av barn för sexuell posering (6 kap. 8 §). Även stöld/grov stöld, bedrägeri/grovt bedrägeri, häleri/grovt häleri och förskingring/grov förskingring har en motsvarande över- lappning, men där ingår inte böter i straffskalan för stöld, bedrägeri, häleri och förskingring eftersom det finns särskilda ringa former av dessa brott genom bestämmelserna om snatteri, bedrägligt beteende, häleriförseelse och undandräkt (8 kap. 1, 2 och 4 §§, 9 kap. 1–3 §§, 9 kap. 6 och 7 §§ respektive 10 kap. 1–3 §§). Vi har tidigare angett att vi inte anser att det finns skäl att införa en särskild ringa form av dataintrång. Som tidigare nämnts innefattar dataintrångsbestämmelsen gär- ningar av mycket olika straffvärde. En utformning av straffskalan för grovt dataintrång i enlighet med vad som sagts innebär enligt vår mening att straffskalan medger en adekvat bedömning av straffvärdet för olika former av dataintrång. En sådan utformning innebär också att svensk rätt i alla delar uppfyller direktivets krav i fråga om påföljder. Utformningen passar slutligen väl in i brotts- balkens systematik när det gäller gradindelade brott. Vi föreslår alltså att straffskalan för grovt dataintrång bestäms till fängelse lägst och högst . Försök och förberedelse till grovt dataintrång bör vara straff- bart. Mot bakgrund av den restriktivitet som finns i svensk rätt att Straffskalorna för brytande av post- eller telehemlighet och dataintrång straffbelägga brott redan på stämplingsstadiet anser vi däremot inte att stämpling till grovt dataintrång bör vara straffbart. Förhållandet mellan dataintrångsbestämmelsen och bestämmelserna om brytande av post- eller telehemlighet och intrång i förvar Den nuvarande ordningen innebär att dataintrångsbestämmelsen är subsidiär i förhållande till bestämmelserna om brytande av post- eller telehemlighet och intrång i förvar. Skälen för den uttryckliga subsidiaritetsregeln angavs inte i samband med att den infördes då dataintrångsbestämmelsen utan ändring i sak fördes över från data- lagen (1973:289) till (prop. 1997/98:44 s. 113 och 149). Som vi har redovisat ser vi inte något behov av att, på det sätt som vi föreslår när det gäller dataintrång, lämna förslag till skärpta straff för brytande av post- eller telehemlighet. Enligt vårt förslag ska straffskalan för dataintrång av normal- graden vara densamma som för brytande av post- eller telehem- lighet och intrång i förvar, dvs. böter eller fängelse i högst . införs en särskild straffskala för grovt dataintrång som sträcker sig från fängelse till fängelse . Det leder till att dataintrångsbestämmelsens subsidiaritet inte bör behållas. Vi återkommer till olika konkurrensfrågor i författningskommentaren. Ett införande av en särskild straffskala för grovt dataintrång som sträcker sig från fängelse till fängelse får också andra konsekvenser än sådana som är hänförliga till straffmätningen, bl.a. när det gäller möjligheterna att tillgripa vissa straffprocessuella tvångsmedel. Generellt gäller att möjligheterna till tvångsmedels- användning ökar ju högre straffvärde brottet har. Hemlig avlyssning av elektronisk kommunikation får användas 1) vid förundersökning som avser ett brott för vilket det inte är före- skrivet lindrigare straff än fängelse eller 2) försök, förbered- else eller stämpling till ett sådant brott, om sådan gärning är belagd med straff, samt 3) vid förundersökning som gäller ett brott med lägre straffminimum, om brottets straffvärde bedöms överstiga fäng- else (27 kap. 18 § andra stycket ). Straffskalorna för brytande av post- eller telehemlighet och dataintrång Enligt straffvärdeventilen i den tredje punkten behöver alltså minimistraffet inte vara fängelse för att hemlig avlyssning av elektronisk kommunikation ska få beslutas. Bestämmelsen är enligt förarbetena tillämplig även vid osjälvständiga brott (prop. 2002/03:74 s. 34–35). Även försök, förberedelse och stämpling – i den utsträck- ning dessa osjälvständiga brottsformer är straffbara – omfattas alltså av straffvärdeventilen. Motsvarande förutsättningar som gäller för hemlig avlyssning av elektronisk kommunikation gäller för användning av hemlig kamera- övervakning (27 kap. 20 a § andra stycket ). Med den utformning av straffskalan för grovt dataintrång som vi föreslår, blir det möjligt att besluta om hemlig avlyssning av elektronisk kommunikation och hemlig kameraövervakning vid miss- tanke om grovt dataintrång eller försök eller förberedelse till sådant brott under förutsättning att domstolen gör bedömningen att brottets straffvärde är högre än . Hemlig övervakning av elektronisk kommunikation får användas vid förundersökning om brott för vilket det inte är föreskrivet lindrigare straff än fängelse och vid förundersökning om vissa särskilt angivna brott (27 kap. 19 § andra stycket rätte- gångsbalken). Dataintrång är ett sådant särskilt angivet brott, varför möjligheterna att besluta om hemlig övervakning av elektronisk kommunikation vid misstanke om dataintrång inte direkt påverkas av vårt förslag. Ett införande av en särskild straffskala för grovt dataintrång får även betydelse för frågan om preskription av brott. Med nuvarande straffskala innebär regleringen i 35 kap. 1 § att påföljd inte får dömas ut för dataintrång om inte den misstänkte har häktats eller har fått del av åtal för brottet från det begicks. Förslaget om en särskild straffskala för grovt dataintrång innebär att preskriptionstiden för sådana fall av dataintrång som be- döms som grova kommer att bli . De konsekvenser av att en särskild straffskala för grovt data- intrång införs som här redogjorts för bedömer vi som rimliga. 10 Konsekvenser av förslagen Enligt 14–15 a §§ kommittéförordningen (1998:1474) ska varje ut- redning beräkna och redovisa i vad mån dess förslag påverkar kostnaderna eller intäkterna för staten, kommuner, lands- ting, företag eller andra enskilda, innebär samhällsekonomiska konsekvenser i övrigt, har betydelse för den kommunala självstyrelsen, brottsligheten och det brottsförebyggande arbetet, sysselsättning och offentlig service i olika delar av landet, små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, eller har betydelse för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. När det gäller förslag som innebär kostnadsökningar och intäkts- minskningar för det allmänna, dvs. staten, kommuner eller lands- ting, åligger det utredningen att i sådant fall också föreslå en finan- siering. Våra förslag innebär i huvudsak ett införande av dels två nya straff- processuella tvångsmedel, dels en särskild straffskala för grovt data- intrång. De förslag som vi redovisar bedöms kunna få vissa ekono- miska konsekvenser för staten och vissa företag samt ha viss, om än marginell, betydelse för brottsligheten och det brottsförebyggande arbetet. I övrigt har förslagen ingen betydelse för de många övriga angivna intressen, vilka enligt kommittéförordningen ska beaktas i utredningssammanhang. Det föreläggande att bevara lagrade elektroniska uppgifter som vi föreslår ska visserligen även kunna riktas mot enskilda men föreläggande kommer enligt vår upp- fattning i praktiken inte att användas mot enskilda personer. fall kommer de brottsutredande myndigheterna även att använda sig av husrannsakan och beslag för att säkra elektroniska uppgifter. De ekonomiska effekterna, liksom betydelsen för brottspreven- tion redovisas i följande avsnitt.