sou · H1B339 · 2013-06-03 00:00:00 — Som ytterligare exempel på åtgärder som kan verka på ett sådant sätt nämns i propositionen upprepade anrop eller försök till anrop, införing av virusprogram eller annat sabotageprogram. Bestämmelsen om dataintrång är subsidiär i förhållande till straff- bestämmelserna om brytande av post- eller telehemlighet i 4 kap. 8 § och om intrång i förvar i 4 kap. 9 § . Som framgått av det anförda anges det objekt som skyddas i data- intrångsbestämmelsen med begreppet uppgift som är avsedd för automatiserad behandling. Utgångspunkten är alltså att det är upp- giften som är det skyddsvärda. På samma sätt utgår bestämmelsen om brytande av post- eller telehemlighet i 4 kap. 8 § från att det är själva meddelandet som är det skyddsvärda. Den svenska regleringen skiljer sig i detta avseende till viss del från vissa andra staters, vilkas reglering i större utsträckning i stället tar själva till- vägagångssättet som utgångspunkt för den straffrättsliga regleringen. Även konventionens straffrättsliga artiklar är till stor del uppbygg- da med utgångspunkt i själva förfarandet. I ska den dömas för dataintrång som genom att göra bruk av en användaridentifikation som han inte har rätt till eller genom att annars bryta säkerhetsarrangemang obehörigen tränger in i ett datasystem där data behandlas, lagras eller överförs elektro- niskt eller med någon annan sådan teknisk metod eller i en särskilt skyddad del av ett sådant system (38 kap. 8 § 1 mom. strafflagen). Brottet fullbordas när personen tar sig igenom systemets skydd och uppgifterna i systemet behöver inte röras på något sätt för att brottet ska fullbordas. Om uppgifterna används eller skadas tillämpas be- stämmelser om olovligt brukande eller skadegörelse (28 kap. resp. 35 kap. strafflagen, se den finska regeringens proposition RP 153/2006 rd s. 14). Vidare ska den dömas för dataintrång som utan att tränga in i datasystemet eller en del av detta med tekniska specialanord- ningar obehörigen tar reda på information som finns i ett sådant data- system som nämnts (samma bestämmelses 2 mom.). Hand- landet förutsätter alltså inte att något egentligt intrång gjorts i Behovet av lagändringar mot bakgrund av konventionen systemet utan dataintrånget görs t.ex. genom att man lagrar och analyserar s.k. elektromagnetiska emissioner från en dator (se den finska regeringens proposition RP 153/2006 rd s. 14). När det gäller förfaranden som innebär att datorbehandlingsbara uppgifter skadas, raderas, försämras, ändras eller blockeras (jfr artikel 4 i konventionen) straffas de i enligt bestämmelser om skadegörelse (35 kap. 1 § strafflagen). För skadegörelse ska den dömas som för att skada någon orättmätigt förstör, skadar, döljer eller hemlighåller information som har upptagits på ett datamedium eller någon annan upptagning (2 mom. i den nämnda bestämmelsen). Med information som har upptagits på ett datamedium avses såväl informationens sakinnehåll som de tecken som förmedlar sakinne- hållet. Med datamedium avses t.ex. dokument, grammofonskivor, film och disketter (se den finska regeringens proposition RP 153/2006 rd s. 16). Härutöver finns bestämmelser som syftar till allmänt skydd av kommunikation och som täcker exempelvis överbelastningsattacker riktade mot kommunikation. Den som genom att ingripa i en för posttrafik eller för tele- eller radiokommunikationer använd anord- ningsfunktion, genom att med en radioanläggning eller över ett tele- nät av okynne sända störande meddelanden eller på något annat mot- svarande sätt obehörigen hindrar eller stör posttrafik eller tele- eller radiokommunikationer, ska dömas för störande av post- och teletrafik (38 kap. 5 § strafflagen). Bestämmelsens tillämpningsområde be- gränsar sig alltså till kommunikation, dvs. överföring av meddelanden från ett ställe till ett annat (se den finska regeringens proposition RP 153/2006 rd s. 17). Det finns därför även särskilda bestäm- melser om systemstörning (vilka infördes för att tillgodose kon- ventionens krav i artikel 5). För systemstörning ska den dömas som i syfte att orsaka en annan person olägenhet eller ekonomisk skada matar in, överför, skadar, ändrar eller undertrycker data eller på något annat med dessa jämförbart sätt obehörigen hindrar ett informa- tionssystems funktion eller orsakar allvarlig skada i det. I ska den dömas för intrång i datasekretess (kraenkelse af datahemmeligheden) som oberättigat bereder sig tillgång till någon annans uppgifter eller program, som är avsedda att användas i en anläggning för elektronisk databehandling (straffelovens § 263, stk 2). När det gäller förfaranden som innebär att datorbehandlings- bara uppgifter skadas, raderas osv. straffbeläggs de, liksom i , enligt bestämmelser om skadegörelse (haervaerk). För skadegörelse döms således den som förstör, skadar eller avlägsnar sak som tillhör Behovet av lagändringar mot bakgrund av konventionen någon annan (straffelovens § 291, stk 1). Bestämmelsen anses alltså tillämplig även på sådana åtgärder som innebär att datorbehandlings- bara uppgifter exempelvis skadas eller blockeras (se det danska bedömning i Forslag til Lov om aendring af straffeloven, retsplejeloven, markedsføringsloven og ophavsrets- loven, Lovforslag nr. L 55, 2003–04, s. 43). Även förfaranden som består i att hindra ett datorsystems drift genom att skada, radera, försämra, ändra eller blockera datorbehand- lingsbara uppgifter, anses omfattas av det nämnda skadegörelse- brottet (straffelovens § 291, stk 1). När det gäller åtgärder som innebär att driften av ett datorsystem hindras genom att datorbehandlingsbara uppgifter matas in eller över- förs anses dessa omfattas av en bestämmelse som enligt svensk rätt närmast är att beteckna som egenmäktigt förfarande (rådighetshind- ring). Enligt bestämmelsen (straffelovens § 293, stk. 2) straffas den som oberättigat hindrar en annan att helt eller delvis råda över saker. Uttrycket oberättigat hindrar ersatte, i samband med tillträde till konventionen, den i bestämmelsen tidigare använda for- muleringen lägger hinder i vägen för att precisera att det inte krävs något fysiskt hindrande för att bestämmelsen ska kunna tillämpas och att således också hinder av elektroniskt slag omfattas. Uttrycket helt eller delvis är valt för att precisera att också ett hinder som innebär att den berättigade begränsas väsentligt i sin rådighet om- fattas, t.ex. när det är fråga om tillgänglighetsattacker, som bara del- vis omöjliggör användningen av ett informationssystem (se författ- ningskommentaren till ändringarna i bestämmelsen i Forslag til Lov om aendring af straffeloven, retsplejeloven, markedsføringsloven og ophavsretsloven, Lovforslag nr. L 55, 2003–04, s. 64). I döms den för dataintrång (datainbrudd) som genom att bryta en säkerhetsåtgärd eller på liknande sätt oberättigat bereder sig tillgång till uppgifter (data) eller program (programutrustning) som är lagrade eller som överförs med elektroniska eller tekniska hjälpmedel (straffeloven § 145 andra stycket).1 Med uppgifter avses all slags maskinläsbar information, t.ex. om personliga, tekniska eller ekonomiska förhållanden. Med program avses instruktioner till en datamaskin, alltså dataprogram (se den norska propositionen Ot.prp. 40, [2004–2005] s. 12). I begreppet bereda sig tillgång till ligger inget krav på att personen som gjort intrånget tillägnat 1 beslutades om vissa ändringar i den norska dataintrångbestämmelsen och om vissa nya bestämmelser om datakriminalitet. Dessa har emellertid inte trätt i kraft och det är ovisst när de kommer att göra det. Behovet av lagändringar mot bakgrund av konventionen sig informationen utan det är tillräckligt att uppgifterna, genom intrånget, gjorts tillgängliga för honom eller henne (se Datakrim- utvalgets betänkande Lovtiltak mot datakriminalitet, NOU 2003:27, s. 14). Bestämmelsen om dataintrång anses tillämplig på olika former av avlyssning av datorbehandlingsbara uppgifter och även på avlyss- ning av elektromagnetisk strålning, om strålningen kan omskapas till logisk information (se Datakrimutvalgets betänkande Lovtiltak mot datakriminalitet, NOU 2003:27, s. 16). När det gäller förfaranden som innebär att datorbehandlingsbara uppgifter skadas, raderas osv. straffbeläggs de, liksom i och , enligt bestämmelser om skadegörelse, varigenom det är straffbart att förstöra eller skada ett föremål (straffeloven § 291). Uppgifterna i sig skyddas i och för sig inte av bestämmelsen men ett medium för lagring av uppgifter är ett sådant föremål som avses i bestämmelsen. En ändring eller radering av uppgifter anses inne- bära skadegörelse på lagringsmediet eftersom det då inte kan använ- das på det sätt som är förutsatt (se Datakrimutvalgets betänkande Lovtiltak mot datakriminalitet, NOU 2003:27, s. 17). Även åtgärder som innebär att ett datorsystems drift störs anses kunna straffas enligt den nämnda skadegörelsebestämmelsen (se Datakrimutvalgets betänkande Lovtiltak mot datakriminalitet, NOU 2003:27, s. 18). 5.3.3Olagligt intrång (artikel 2) Bedömning: Svensk rätt uppfyller genom dataintrångsbestäm- melsen konventionens krav på vad som ska vara straffbelagt som olagligt intrång. Krav på att brottet begås genom intrång i säker- hetsåtgärder med uppsåt att komma över datorbehandlingsbara uppgifter eller med annat brottsligt uppsåt eller mot ett dator- system som är kopplat till ett annat datorsystem behöver inte uppställas. Enligt artikel 2 ska orättmätigt intrång i hela eller en del av ett dator- system vara straffbart, när det görs uppsåtligen. Krav får uppställas på att brottet begås genom intrång i säkerhetsåtgärder med uppsåt att komma över datorbehandlingsbara uppgifter eller med annat Behovet av lagändringar mot bakgrund av konventionen brottsligt uppsåt eller mot ett datorsystem som är kopplat till ett annat datorsystem. Handlingen kan rikta sig mot antingen hela eller en del av ett dator- system. Begreppet datorsystem definieras i artikel 1 a som en apparat eller en grupp av sammankopplade apparater eller apparater som hör samman med varandra, av vilka en eller flera genom ett program ut- för automatiserad behandling av uppgifter. Gärningen ska begås genom intrång. Detta innebär att gärnings- mannen ska komma in i datorsystemet, och enbart sändande av e-post eller en fil till datorsystemet innebär exempelvis inte intrång i artikelns mening (se den förklarande rapporten p. Artikeln förutsätter att gärningen begås med uppsåt och att den utförs orättmätigt. Kravet på att handlingen ska vara orättmätig inne- bär att handlingar som i och för sig uppfyller övriga krav på straffbar- het men som utförs antingen av eller med tillstånd från ägare eller annars behöriga personer i ett företag i enlighet med behörigheten, t.ex. för att testa datasäkerheten, inte omfattas av det område som ska vara straffbelagt. Inte heller omfattas att bereda sig tillgång till ett datorsystem som tillåter fritt och öppet tillträde, exempelvis att ladda ner internetsidor som är avsedda att vara offentliga (se den förklarande rapporten p. 38 och 47). Som framgått i avsnitt 5.3.2 straffbelägger den svenska data- intrångsbestämmelsen bl.a. den som uppsåtligen och olovligen be- reder sig tillgång till en uppgift som är avsedd för automatiserad behandling. Såväl dataintrångsbestämmelsen som artikel 2 förut- sätter alltså att gärningen begås med uppsåt. Begreppet orättmätigt i artikel 2 får anses motsvara begreppet olovligen i dataintrångs- bestämmelsen. Som vidare framgått var avsikten med införandet av begreppet uppgift som är avsedd för automatiserad behandling i data- intrångsbestämmelsen att förtydliga att alla uppgifter, dvs. fakta, information eller begrepp, som uttrycks i en för en dator anpassad och läsbar form, omfattas av bestämmelsen och att även program av olika slag omfattas. Det är för tillämpningen av begreppet utan bety- delse var uppgifterna finns eller förvaras i systemet, vilket innebär att alla uppgifter, oavsett på vilket datamedium de finns, omfattas. Således omfattas uppgifter som finns i en dators temporära minne, t.ex. arbetsminnet, och uppgifter som är under befordran, oavsett på vilket sätt befordran sker (med viss reservation för uppgifter som befordras via radio). För straffansvar för dataintrång är det tillräckligt att någon bereder sig tillgång till uppgifter avsedda för automatiserad behandling, dvs. Behovet av lagändringar mot bakgrund av konventionen att personen kan få del av dem. Det krävs alltså inte att personen verk- ligen tar del av uppgifterna. Bestämmelsen kan därför vara tillämplig så snart någon olovligen tar sig in i en apparat som används för upp- gifter avsedda för automatiserad behandling (se prop. 2006/07:66 s. 24). Genom tillträdet till apparaten har personen skaffat sig möjlig- het att ta del av de uppgifter som finns i apparaten och alltså berett sig tillgång till dessa. Enligt vår bedömning uppfyller svensk rätt, genom dataintrångs- bestämmelsen, konventionens krav på vad som ska vara straffbelagt som olagligt intrång. Motsvarande bedömning gjordes i promemorian Brott och brottsutredning i it-miljö (Ds 2005:6, s. 95). Det finns inte anledning att utnyttja rätten att uppställa krav på att brottet begås genom intrång i säkerhetsåtgärder med uppsåt att komma över dator- behandlingsbara uppgifter eller med annat brottsligt uppsåt eller mot ett datorsystem som är kopplat till ett annat datorsystem. I sammanhanget bör nämnas att konventionens artikel 2 i huvud- sak motsvarar artikel 2 i EU:s rambeslut om angrepp mot infor- mationssystem (Rådets rambeslut /222/RIF av om angrepp mot informationssystem). I den proposition i vilken behovet av lagändringar för att genomföra rambeslutet över- vägdes, gjorde regeringen bedömningen att svensk rätt genom data- intrångsbestämmelsen uppfyllde artikelns krav (prop. 2006/07:66 s. 22–24). Vidare bör nämnas att i det kommande EU-direktivet som ska ersätta rambeslutet upptas en bestämmelse om olagligt intrång i informationssystem (artikel 3) som i princip överensstämmer med artikel 2 i rambeslutet, och därmed också med konventionens artikel 2 (se närmare avsnitt 7.3.1). 5.3.4Olaglig avlyssning (artikel 3) Bedömning: Svensk rätt uppfyller genom bestämmelsen om bry- tande av post- eller telehemlighet och dataintrångsbestämmelsen konventionens krav på vad som ska vara straffbelagt som olaglig avlyssning. Krav på att brottet begås med brottsligt uppsåt eller mot ett datorsystem som är kopplat till ett annat datorsystem behöver inte uppställas vid ett tillträde till konventionen. Behovet av lagändringar mot bakgrund av konventionen Enligt artikel 3 ska det vara straffbart som olaglig avlyssning att uppsåtligen med tekniska hjälpmedel orättmätigt avlyssna icke all- männa överföringar av datorbehandlingsbara uppgifter till, från eller inom ett datorsystem, däribland elektromagnetiska emissioner från ett datorsystem med sådana datorbehandlingsbara uppgifter. Krav får uppställas på att brottet begås med brottsligt uppsåt eller mot ett datorsystem som är kopplat till ett annat datorsystem. Begreppet datorbehandlingsbara uppgifter definieras i artikel 1 b som framställning av fakta, information eller begrepp i en form som lämpar sig för behandling i ett datorsystem, inklusive program som utformats för att få ett datorsystem att utföra en viss funktion (se under avsnitt 5.2 vad som avses med begreppet datorsystem). Redan här bör nämnas att begreppet uppgift som är avsedd för auto- matiserad behandling i dataintrångsbestämmelsen måste anses mot- svara vad som enligt konventionen ska förstås med datorbehand- lingsbara uppgifter (jfr prop. 2006/07:66 s. 25–26). Enligt den förklarande rapporten (p. 51) är syftet med bestäm- melsen att skydda rätten till privatliv när det gäller datakommunika- tion. Olaglig avlyssning av datorbehandlingsbara uppgifter utgör enligt rapporten motsvarande kränkning av rätten till privata kom- munikationer som traditionell avlyssning och inspelning av telefon- samtal mellan personer (se artikel 8 i ). Enligt rapporten gäller alltså brottet alla former av elektronisk dataöver- föring, oavsett om den sker genom telefon, fax, e-post eller filöver- föring. Med att avlyssna avses i bestämmelsen att lyssna på eller övervaka innehållet i kommunikation eller att få tillgång till innehållet i upp- gifter antingen direkt genom åtkomst till och användande av dator- systemet eller indirekt genom användande av elektronisk avlyssnings- utrustning och kan också innefatta inspelning (se den förklarande rapporten p. Bestämmelsen omfattar endast avlyssning med tekniska hjälpmedel, vilket är avsett att innebära en begränsning av bestämmelsens räckvidd (se den förklarande rapporten p. Bestämmelsen träffar enbart icke allmänna överföringar. Begrep- pet icke allmän (non-public) avser karaktären av överföringen och inte karaktären av uppgifterna som överförs. Uppgifterna kan alltså bestå av information som är allmänt tillgänglig men avlyssning av dem ändå träffas av bestämmelsen om de som kommunicerar har för avsikt att göra detta förtroligt. Begreppet fångar också upp fall Behovet av lagändringar mot bakgrund av konventionen där informationen är tänkt att vara tillgänglig först när mottagaren har betalt för den, exempelvis vid betal-tv (se den förklarande rappor- ten p. 54).2 Kommunikationen, dvs. överföringen av datorbehand- lingsbara uppgifter, kan ske mellan datorer, mellan olika delar i en dator eller mellan en dator och dess användare (se den förklarande rapporten p. Det straffbara handlandet ska, som framgått, omfatta även orätt- mätig avlyssning av elektromagnetiska emissioner från ett datorsystem med datorbehandlingsbara uppgifter. I sammanhanget bör följande nämnas. Genom elektromagnetiska emissioner eller elektromagne- tisk strålning överförs energi som en vågrörelse av elektriska och magnetiska fält, vilka fortplantas och rum. Vågorna karakterise- ras av frekvens, våglängd, utbredningshastighet och polarisation. Exempel på elektromagnetisk strålning är radiovågor, värmestrålning, ljus (exempelvis infrarött ljus) samt röntgen- och gammastrålning. Radiovågor är den mest lågfrekventa formen av elektromagnetisk strålning. I lagen (2003:389) om elektronisk kommunikation (LEK) definieras radiovågor som elektromagnetiska vågor med frekvenser från till 3 000 gigahertz som breder ut sig utan särskilt anordnad ledare. Vid trådlös teknik, exempelvis vid användning av trådlösa telefoner och trådlösa datornätverk, skickas signaler med hjälp av radiovågor från en apparat till en annan. I trådlösa dator- nätverk sänder både routern och datorns nätverkskort radiovågor. Sådan radioöverföring kan ske slutet, dvs. i ett stängt lösenords- försett nätverk, eller öppet. Kommunikation mellan ett trådlöst tangentbord och en dator sker också vanligtvis via radiokommunika- tion men det finns även typer som använder infraröd strålning, alltså elektromagnetisk strålning i ett annat frekvensområde än radio- vågor. I vart fall om det är fråga om ett bluetooth-tangentbord är kommunikationen oftast krypterad. Även mobiltelefoner och de basstationer som en sådan har kontakt med skickar och tar emot signaler med hjälp av radiovågor. Enligt den förklarande rapporten (p. 57) kan elektromagnetiska emissioner sändas ut av en dator under drift. Sådana emissioner anses inte vara uppgifter enligt konventionens definition av datorbehand- 2 I svensk rätt är i stort sett all kommersiell hantering av utrustning för olovlig avkodning straffbar genom lagen (2000:171) om förbud beträffande viss avkodningsutrustning. Någon särskild straffrättslig sanktion för privat bruk eller innehav av olovlig avkodningsutrustning finns dock inte. Vår uppfattning är emellertid att detta inte hindrar oss från att tillträda kon- ventionen, eftersom sådana förfaranden som artikel 3 främst avser att straffbelägga är straff- bara som brytande av post- eller telehemlighet eller dataintrång, se närmare i det följande. Behovet av lagändringar mot bakgrund av konventionen lingsbara uppgifter i artikel 1 b. Eftersom emissionerna emellertid kan omskapas till uppgifter har avlyssning av uppgifter ur elektro- magnetiska emissioner tagits med som ett brott i bestämmelsen. Enligt rapporten (p. 56) innebär den omständigheten att begreppet datorsystem också kan omfatta radioförbindelser inte en skyldig- het att kriminalisera avlyssning av varje radioöverföring som, även om den inte är allmän, äger rum på ett relativt öppet och lättillgäng- ligt sätt och därför kan avlyssnas av exempelvis radioamatörer. Gärningen ska vidare begås orättmätigt, vilket innebär att be- stämmelsen exempelvis inte träffar en myndighet som har laglig rätt att avlyssna för att utreda brott eller den som har fått tillstånd att avlyssna från dem som deltar i överföringen. Inte heller är bestäm- melsen tänkt att omfatta användningen av s.k. kakor3 för att i kom- mersiella syften följa enskilda användare på webbplatser (se den förklarande rapporten p. I svensk rätt är det främst bestämmelserna om brytande av post- eller telehemlighet (4 kap. 8 § ) och dataintrång (4 kap. 9 c § ) som är relevanta för frågan i vad mån uppfyller kraven på kriminalisering i artikel 3. Upplysningsvis kan här nämnas att i promemorian Brott och brottsutredning i it-miljö (Ds 2005:6) gjordes bedömningen att det krävdes lagändringar för att leva upp till konventionens krav på kriminalisering av olaglig avlyssning.4 Det föreslogs därför att dataintrångsbestämmelsen skulle ändras på visst sätt (Ds 2005:6 s. 217–223). Innan straffbestämmelserna gås igenom bör emellertid något sägas om principen om eterns frihet. har, såväl nationellt som internationellt, ansetts gälla som en grundläggande princip att etern är fri. Detta har ansetts innebära att det i princip är tillåtet för var och en att fritt avlyssna såväl radiokommunikation som är riktad till allmänheten som annan typ av radiokommunikation (se t.ex. prop. 1992/93:200 s. 166, 2002/03:110 s. 254 och 2006/07:66 s. 41). Uppfattningen synes för svenskt vidkommande ha sin främsta grund i ett förarbetsuttalande till 2 kap. 6 § regeringsformen (den nya bestämmelsen 2 kap. 6 § första stycket regeringsformen motsvarar i denna del förutvarande bestämmelse, prop. 2009/10:80 s. 249). 3En kaka (cookie) är en liten textbaserad datafil som en webbserver kan be att få spara i webbplatsbesökarens dator. Kakorna skickas i allmänhet tillbaka med varje förfrågan till den aktuella webbplatsen. Det är därför möjligt för servern att hålla reda på besökarens prefe- renser eller identitet. Kakor kan användas för statistik, reklam m.m. De kan också användas för att besökaren automatiskt ska få det språk och den textstorlek som denne har valt. 4När bedömningen gjordes var begreppet upptagning för automatisk databehandling i dataintrångsbestämmelsen ännu inte ersatt av det nu använda uppgift som är avsedd för automatiserad behandling, vilket kan ha haft viss betydelse för bedömningen. Behovet av lagändringar mot bakgrund av konventionen 2 kap. 6 § första stycket regeringsformen följer att var och en (tidi- gare varje medborgare) i är gentemot det allmänna skyd- dad mot bl.a. kroppsvisitation, husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Av 2 kap. 6 § andra stycket regeringsformen följer dessutom att var och en, utöver vad som föreskrivs i bestäm- melsens första stycke, gentemot det allmänna är skyddad mot bety- dande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes person- liga förhållanden (bestämmelsen tillkom i samband med grund- lagens reformering, och innebär alltså att skyddet mot intrång i den personliga integriteten har utvidgats, prop. 2009/10:80 s. 250). Skyddet i 2 kap. 6 § regeringsformen är relativt i den meningen att det under vissa förutsättningar får begränsas genom lag.