sou · H1B339 · 2013-06-03 00:00:00 — Enligt artikel 3 ska konventionsstaterna straffbelägga gärningar som består i att till allmänheten sprida eller på annat sätt göra tillgängligt rasistiskt och främlingsfientligt material med hjälp av datorsystem. En konventionsstat får förbehålla sig rätten att inte införa straffansvar när materialet förespråkar, främjar eller upp- muntrar diskriminering utan samband med hat eller våld, under förutsättning att det finns andra effektiva motåtgärder. Vidare finns en möjlighet att förbehålla sig rätten att inte tillämpa artikeln i sådana fall av diskriminering där det, på grund av etablerade prin- ciper om yttrandefrihet i statens rättssystem, inte kan föreskrivas åtgärder. I artikel 4 behandlas hot som är rasistiskt och främlingsfientligt motiverade. Konventionsstaterna ska straffbelägga gärningar som består i att med hjälp av ett datorsystem antingen hota personer av det skälet att de kännetecknas av en viss ras, hudfärg, härstamning eller nationellt eller etniskt ursprung eller trosbekännelse, eller att hota en grupp av personer som särskiljs på sätt som har sagts, med att begå vad som enligt statens nationella lagstiftning är ett all- varligt brott. Artikel 5 handlar om kränkningar som är rasistiskt eller främ- lingsfientligt motiverade. Kriminaliseringen ska omfatta gärningar som består i att offentligen med hjälp av ett datorsystem kränka antingen personer av det skälet att de tillhör en grupp som känne- tecknas av viss ras, hudfärg, härstamning eller nationellt eller etniskt ursprung eller trosbekännelse, eller en grupp av personer som sär- skiljs genom något av dessa kännetecken. En konventionsstat får antingen uppställa krav på att brottet resulterar i att personen eller gruppen av personer utsätts för hat, missaktning eller löje eller för- behålla sig rätten att helt eller delvis inte tillämpa artikeln. I artikel 6 behandlas spridning av visst material som rör folk- mord eller brott mot mänskligheten. Innehållet i konventionen, tilläggsprotokollet och direktivet straffbelägga gärningar som består i att med hjälp av ett dator- system till allmänheten sprida eller på annat sätt göra tillgängligt material som förnekar, grovt förringar, gillar eller rättfärdigar gär- ningar som utgör folkmord eller brott mot mänskligheten. Det ska vara fråga om folkmord eller brott mot mänskligheten så som dessa gärningar definieras i folkrätten och som har erkänts genom laga- kraftvunna beslut i vissa internationella domstolar. Syftet med bestämmelsen är att slå fast att fakta beträffande vissa välbelagda historiska skeenden inte ska kunna förnekas, förringas, förhärligas eller rättfärdigas. En konventionsstat har möjlighet att antingen uppställa krav på att förnekande eller grovt förringande görs med uppsåt att upp- muntra till hat, diskriminering eller våld mot en enskild person eller en grupp av personer på grund av ras, hudfärg, härstamning eller nationellt eller etniskt ursprung eller trosbekännelse eller att för- behålla sig rätten att helt eller delvis inte tillämpa artikeln. Enligt artikel 7 ska uppsåtlig medhjälp till brott som straff- beläggs i enlighet med protokollet kriminaliseras. Kapitel III – Förhållandet mellan konventionen och tilläggsprotokollet I artikel 8, som behandlar förhållandet mellan konventionen och tilläggsprotokollet, föreskrivs att följande artiklar i konventionen i tillämpliga delar ska gälla även för protokollet: -artikel 1 som innehåller definitioner, -artikel 12 om juridiska personers ansvar, -artikel 13 om påföljder och åtgärder, -artikel 22 om jurisdiktion, -artikel 41 om federala stater, -artikel 44 om ändringar, -artikel 45 om tvistlösning, och -artikel 46 om samråd mellan parterna. Innehållet i konventionen, tilläggsprotokollet och direktivet Vidare ska de fördragsslutande staterna utvidga tillämpnings- området för konventionens processrättsliga bestämmelser (artik- larna 14–21) och bestämmelser om internationellt samarbete (artik- larna 23–35) till att gälla även artiklarna 2–7 i protokollet. Kapitel IV – Slutbestämmelser I det avslutande kapitlet finns, liksom i konventionens avslutande kapitel, ett antal bestämmelser av formell karaktär. Artikel 9 behandlar frågor om undertecknande. Protokollet står öppet för undertecknande av alla som har undertecknat konven- tionen. Det är alltså inte möjligt att tillträda enbart tilläggsproto- kollet. Artikel 10 behandlar ikraftträdande och artikel 11 rör anslutning till protokollet efter att detta har trätt i kraft. Enligt artikel 12 gäller förbehåll och förklaringar som har av- getts rörande bestämmelser i konventionen också för tilläggsproto- kollet, om inte den fördragsslutande staten förklarar något annat. I artikeln anges vidare i vilken utsträckning staterna får förklara att de utnyttjar möjligheten att ställa upp särskilda rekvisit. Slutligen anges att en stat har möjlighet att göra förbehåll enligt två artiklar i konventionen, nämligen artikel 22.2 och artikel 41.1, oavsett tidi- gare förbehåll. Några andra förbehåll är inte tillåtna. I artikel 13 regleras återtagande av förbehåll. Protokollets terri- toriella tillämpning behandlas i artikel 14. Möjligheten till uppsäg- ning av protokollet regleras i artikel 15. Meddelanden angående protokollet behandlas i artikel 16. 4.3Direktivets innehåll i korthet och rådets direktiv om angrepp mot informa- tionssystem och om ersättande av rambeslut /222/RIF syftar till att ytterligare närma medlemsstaternas strafflagstiftning till varandra på området för angrepp mot informationssystem. Vidare är avsikten att förbättra samarbetet mellan myndigheter och brotts- bekämpande organ i medlemsstaterna. I direktivets preambel uttalas bl.a. att angrepp mot informa- tionssystem, särskilt angrepp som är kopplade till organiserad brotts- lighet, är ett växande problem både inom unionen och på global Innehållet i konventionen, tilläggsprotokollet och direktivet nivå, och att oron ökar för terroristattacker eller politiskt moti- verade angrepp mot de informationssystem som ingår i medlems- staternas och unionens kritiska infrastruktur. Mot bakgrund av att detta utgör ett hot mot arbetet för att skapa ett säkrare informa- tionssamhälle och ett område med frihet, säkerhet och rättvisa understryks behovet av motåtgärder på unionsnivå och bättre sam- ordning och samarbete på internationell nivå. Vidare uttalas att direktivet särskilt syftar till att sörja för att grundläggande friheter och rättigheter – bl.a. de principer som erkänns särskilt i Europeiska unionens stadga om de grundläggande rättigheterna och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna – respekteras fullt ut. Tyngdpunkten i direktivet utgörs av materiella straffrättsliga bestämmelser. De straffrättsliga bestämmelserna överensstämmer till stor del med dem som finns i konventionen och i rådets ram- beslut /222/RIF om angrepp mot informationssystem, av vilket det senare alltså ersätts med direktivet. Som nämnts i avsnitt 3 är direktivet ännu inte formellt antaget, men förhandlingarna om det är i allt väsentligt slutförda. Det åter- står för EU:s institutioner att formellt anta den text som har godkänts av företrädare för rådet och (dok. 11399/12). En svensk version av denna text är bifogad betänkandet som bilaga 5. I artikel 1 anges syftet med direktivet, nämligen att fastställa minimiregler när det gäller definitionen av vad som ska utgöra brott och vilka påföljder som ska följa på brotten på området angrepp mot informationssystem. Syftet är också att underlätta förebygg- ande av sådan brottslighet och att förbättra samarbetet mellan myndigheter som verkar inom området. I artikel 2 finns definitioner av vissa centrala begrepp som ska gälla vid genomförandet av direktivet. De begrepp som definieras är informationssystem, datorbehandlingsbara uppgifter, juridisk person och orättmätigt. Definitionerna överensstämmer i många delar med de definitioner som finns i artikel 1 i rambeslutet och i artikel 1 i konventionen. Direktivet innehåller inget krav på att definitionerna ska införas i nationell rätt. I artiklarna 3–7 behandlas vilka gärningar som ska utgöra brott, om de utförs uppsåtligen och orättmätigt. Enligt artikel 3 ska intrång i hela eller en del av ett informations- system vara straffbart när brottet begås genom intrång i en säker- hetsåtgärd. fall behöver dock inte straffbeläggas. Innehållet i konventionen, tilläggsprotokollet och direktivet Av artikel 4 följer att det ska vara straffbart att allvarligt hindra eller avbryta driften av ett informationssystem genom att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter, åt- minstone i fall som inte är ringa. Enligt artikel 5 ska det vara straffbart att radera, skada, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt dator- behandlingsbara uppgifter i ett informationssystem, åtminstone i fall som inte är ringa. Enligt artikel 6 ska avlyssning med tekniska hjälpmedel av icke- offentliga överföringar av datorbehandlingsbara uppgifter till, från eller inom ett informationssystem, inklusive elektromagnetisk strål- ning från informationssystem som innehåller sådana uppgifter, straffbeläggas, åtminstone i fall som inte är ringa. Artikel 7 anger att viss befattning med olika typer av verktyg ska utgöra ett brott, om gärningen begås i syfte att brott enligt artik- larna 3–6 ska begås, åtminstone i fall som inte är ringa. I artikel 8 anges att anstiftan av och medhjälp till sådana gär- ningar som utgör brott enligt direktivet ska straffbeläggas. Det an- ges även att brotten olaglig systemstörning och olaglig datastör- ning i artikel 4 respektive 5 ska straffbeläggas på försöksnivå. Artikel 9 innehåller både generella och artikelspecifika bestäm- melser om vilka påföljder som ska kunna dömas ut för brotten i direktivet. Enligt artikel 9.1 ska brotten i direktivet generellt ha påföljder som är effektiva, proportionerliga och avskräckande. Enligt artikel 9.2 ska samtliga brott i direktivet, undantaget osjälv- ständiga brottsformer och ringa brott, ha en straffskala med ett maximistraff fängelse. För brotten olaglig system- störning (artikel 4) och olaglig datastörning (artikel 5) krävs enligt artikel 9.3 dessutom ett lägsta maximistraff fängelse när ett betydande antal informationssystem har påverkats genom använd- ning av ett verktyg som har utformats eller anpassats primärt för detta syfte. För brotten olaglig systemstörning och olaglig data- störning ställs vidare enligt artikel 9.4 ett krav på ett lägsta maximi- straff på fängelse under tre alternativa förutsättningar: (a)brottet har begåtts inom ramen för en kriminell organisation, (b)brottet har orsakat allvarlig skada, eller (c) brottet har begåtts mot ett kritiskt infrastrukturinformationssystem. Artikel 9.5 anger att missbruk av andra personers personuppgifter ska utgöra en för- svårande omständighet vid brotten olaglig systemstörning och olaglig datastörning när det innebär olägenheter för denna person i Innehållet i konventionen, tilläggsprotokollet och direktivet den mån detta missbruk inte redan täcks av andra brott i den natio- nella lagstiftningen. Artikel 10 har under förhandlingarna utgått ur utkastet till direktiv. I artiklarna 11 och 12 regleras juridiska personers ansvar samt påföljder för juridiska personer. Jurisdiktionsfrågor regleras i artikel 13. I artikel 14 finns bestämmelser om informationsutbyte, som bl.a. innebär att medlemsstaterna ska peka ut en operativ nationell kon- taktpunkt som kan nås dygnet runt . I artikel 15 finns bestämmelser om övervakning och statistik. Direktivet avslutas med bestämmelser om ersättande av 2005 års rambeslut (artikel 16), införlivande (artikel 17), rapporteringsskyldig- het (artikel 18), ikraftträdande (artikel 19) och adressater (artikel 20). 5Behovet av lagändringar mot bakgrund av konventionen I vårt uppdrag ingår att analysera behovet av författningsändringar för att ska kunna tillträda konvention om it- relaterad brottslighet (konventionen) med tilläggsprotokoll. Vi ska också lämna förslag till de författningsändringar som behövs för att möjliggöra ett svenskt tillträde till instrumenten. I detta kapitel analyseras med utgångspunkt i konventionens artiklar de behov av lagändringar som konventionen föranleder. I följande kapitel görs motsvarande analys i förhållande till tilläggsprotokollet. 5.2Definitioner (artikel 1) I artikel 1 finns definitioner av centrala termer som ska gälla vid tillämpning av konventionen. Det ställs inte något krav på att defi- nitionerna ska införas i nationell rätt. Med datorsystem avses i konventionen en apparat eller grupp av apparater som är sammankopplade eller som hör samman med varandra, av vilka en eller flera genom ett program utför automati- serad behandling av uppgifter. Definitionen är avsedd att täcka såväl traditionella datorer som andra tekniska apparater som kan användas för datakommunikation, exempelvis moderna mobiltelefoner. Den omfattar både hårdvara och mjukvara och alla tekniska delar från hårddisk till skrivare. Definitionen omfattar såväl enstaka datorer som nätverk. Den täcker vidare alla typer av nätverk oavsett på vilket sätt de är tekniskt förbundna med varandra. I svenskt språkbruk torde den lämpligaste termen för det som åsyftas i konventionen vara datasystem. Enligt Svenska datatermgruppens ordlista (ord- Behovet av lagändringar mot bakgrund av konventionen listeartikel 64) innefattas nämligen i detta begrepp datorer, program, servrar m.m. liksom den tekniska lösningen och utformningen. Definitionen av datorbehandlingsbara uppgifter bygger på Inter- nationella () definition av be- greppet. Med datorbehandlingsbara uppgifter avses framställning av fakta, information eller begrepp i en form som lämpar sig för be- handling i ett datorsystem. Definitionen omfattar även program. Däremot faller elektromagnetiska emissioner utanför definitionen (se dock artikel 3). Definitionen avser data i elektronisk eller annan direkt processbar form. Med tjänsteleverantör avses en offentlig eller privat enhet som erbjuder sina användare möjlighet att kommunicera med hjälp av datorsystem samt varje annan enhet som behandlar eller lagrar dator- behandlingsbara uppgifter för en sådan kommunikationstjänst eller för användarna av en sådan tjänst. Det saknar betydelse om det är fråga om öppna eller slutna nätverk. I lagen (2003:389) om elektronisk kommunikation (LEK) defi- nieras operatör som den som innehar eller på annat sätt råder över ett allmänt kommunikationsnät eller tillhörande installation (1 kap. 7 §). Konventionens definition av tjänsteleverantör är alltså vidare än LEK:s definition av operatör. Begreppet tjänsteleverantör i kon- ventionens mening omfattar enligt vår bedömning i huvudsak den krets av aktörer som på flera ställen i LEK benämns som den som tillhandahåller ett elektroniskt kommunikationsnät eller en elektro- nisk kommunikationstjänst (se 6 kap. 20 och 22 §§ LEK). Vi kom- mer fortsättningsvis att använda oss av begreppet leverantör när vi åsyftar en vidare personkrets än den som omfattas av LEK:s defini- tion av operatör. I sammanhanget kan dock påpekas att regleringen i LEK i fråga om vilka tjänster och nät som omfattas av lagen och vilka skyldigheter som gäller för olika aktörer inte är lättöverskådlig. Trafikuppgifter är en form av hjälpmedel som skapas av datorer- na själva i syfte att göra det möjligt att följa datakommunikationen från början till slutet. Med trafikuppgifter avses i konventionen varje typ av datorbehandlingsbara uppgifter som hänför sig till ett meddelande som förmedlas med hjälp av datorsystem och som gene- reras av ett datorsystem som ingick i kommunikationskedjan och som anger meddelandets ursprung, destination, färdväg, tid, datum, storlek, varaktighet eller typ av underliggande tjänst (t.ex. elektro- nisk post). Behovet av lagändringar mot bakgrund av konventionen Konventionens straffrättsliga bestämmelser omfattar brott som är direkt riktade mot datorbehandlingsbara uppgifter och datorsystem (artiklarna 2–6), datorrelaterade brott (artiklarna 7 och 8), innehålls- relaterade brott (artikel 9), och brott mot upphovsrätt m.m. (arti- kel 10) samt försök och medhjälp till de nämnda brotten (artikel 11). Konventionen behandlar enbart uppsåtliga brott. I samtliga artiklar, utom artikeln som gäller upphovsrätt, finns dessutom krav på att gärningen ska ha begåtts orättmätigt (without right). Syftet med detta är, som nämnts i avsnitt 4.1, att ange att ett visst handlande, trots att det faller in under beskrivningen av vad som ska vara krimi- naliserat, ändå kan vara tillåtet. Det kan till exempel stödjas på lag, medgivande, avtal eller omständigheter som utesluter straffansvar enligt den nationella rätten. Vad som ska läggas i begreppet orätt- mätigt får avgöras utifrån det sammanhang där det förekommer (se den förklarande rapporten p. brott får, utan att det har kommit till direkt uttryck i kon- ventionstexten, undantas från kriminalisering (se den förklarande rapporten p. 5.3.2Den svenska dataintrångsbestämmelsen och motsvarande bestämmelser i , och När det gäller frågan om svensk rätt uppfyller konventionens krav är den svenska bestämmelsen om dataintrång i 4 kap. 9 c § brotts- balken av central betydelse för flera av konventionens straffrättsliga artiklar. I detta avsnitt görs därför en genomgång av bestämmelsen om dataintrång. Bestämmelsen om dataintrång infördes i 1998 i sam- band med att den tidigare datalagen (1973:289) ersattes med person- uppgiftslagen (1998:204). Datalagens bestämmelse om dataintrång (21 §) överfördes då till utan ändring i sak. Datalagen hade tillkommit som vissa ändringar gjorts i tryckfrihets- förordningens bestämmelser om allmänna handlingars offentlighet. Bestämmelsen om dataintrång fick sin nuvarande utformning genom en lagändring 2007 som i huvudsak syftade till att genomföra EU:s rambeslut /222/RIF om angrepp mot informationssystem. Behovet av lagändringar mot bakgrund av konventionen För dataintrång döms den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olov- ligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift. Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan upp- gift. Straffet är böter eller fängelse i högst . Uttrycket uppgift som är avsedd för automatiserad behandling infördes i bestämmelsen i samband med lagändringen 2007. Det ersatte då det tidigare använda begreppet upptagning för automa- tisk databehandling. Denna lagändring var inte direkt föranledd av det nämnda rambeslutet utan hade till syfte att förtydliga och språk- ligt modernisera dataintrångsbestämmelsen. Avsikten med det valda begreppet är att fånga in alla uppgifter, dvs. fakta, information eller begrepp, som uttrycks i en för en dator anpassad och läsbar form och att även program av olika slag ska omfattas av begreppet (prop. 2006/07:66 s. 40 och 49). För tillämpningen av begreppet ska det vara utan betydelse var någonstans de nämnda uppgifterna finns eller förvaras i systemet och det ska inte längre finnas något utrymme för diskussioner om uppgifterna är att anse som fixerade eller inte, på vilket datamedium de förvaras eller med vilken teknik de överförs (prop. 2006/07:66 s. 40–41). Även uppgifter som finns i en dators temporära minne omfattas och vidare också uppgifter som är under befordran, oavsett på vilket sätt befordran sker (prop. 2006/07:66 s. 49). När det gäller uppgifter som befordras via radio sägs emellertid i propositionen att avlyssning av sådan radiokom- munikation faller utanför det straffbara området eftersom det följer av principen om att etern är fri och av att olovlighetsrekvisitet (se närmare i det följande) därmed inte kan anses uppfyllt (prop. 2006/07:66 s. 49). Om intrånget däremot sker i radiobefordrade uppgifter som t.ex. är krypterade anges i propositionen att ansvar för dataintrång dock kan komma i fråga och att sådant ansvar också kan komma i fråga för ändring eller utplånande av eller annan på- verkan på radiobefordrade uppgifter som anges i paragrafen (prop. 2006/07:66 s. 49). Ansvar för dataintrång förutsätter uppsåt (1 kap. 2 § ). Gärningsmannen behöver inte handla med ett direkt uppsåt att åstadkomma viss effekt utan alla uppsåtsformer, även likgiltighets- uppsåt, är tillämpliga (m.fl., En kommentar Kap. 1–12, s. 4:50 c). För straffansvar krävs vidare att gärningen ut- förs olovligen. Härmed utesluts från det straffbara området sådant förfarande som sker med samtycke av den som har rätt att förfoga Behovet av lagändringar mot bakgrund av konventionen över uppgiften eller i överensstämmelse med gällande rätt, t.ex. regler om tvångsmedel (jfr m.fl., En kommentar Kap. 1–12, s. 4:50 c). Det handlande som straffbeläggs i dataintrångsbestämmelsen är för det första att någon bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling. Det krävs inte att det sker i ett visst syfte eller att det medför någon särskild effekt, t.ex. skada. Inte heller förutsätts att någon säkerhetsåtgärd kringgås. Vidare straffbeläggs att ändra, utplåna eller blockera en sådan uppgift som angetts. En ändring kan direkt gälla den uppgift som ska data- behandlas. En ändring kan också göras i det datorprogram som styr den aktuella databehandlingen. Ändringen kan vara bestående eller tillfällig (m.fl., En kommentar Kap. 1–12, s. 4:50 a). Att en uppgift utplånas innebär att den helt eller delvis förstörs, t.ex. genom radering. Att dataintrångsbestämmelsen även omfattar den som olovligen blockerar en uppgift som är avsedd för automatiserad behandling infördes som en följd av anpass- ningen till det tidigare nämnda rambeslutet . Med blockera ska förstås åtgärder som innebär att en uppgift görs oåtkomlig eller hindras från att flöda. Det ska alltså handla om hindrande eller spär- rande åtgärder av olika slag (prop. 2006/07:66 s. 50). Som exempel på åtgärder nämns i propositionen inmatning eller spridning av olika typer av sabotageprogram, t.ex. datavirus, trojaner eller logiska bomber. Det är vidare också straffbelagt som dataintrång att föra in en uppgift som är avsedd för automatiserad behandling i ett register. Registerbegreppet medför en begränsning av det straffbara området så till vida att endast sådana införingar som sker i uppgifter struk- turerade på visst sätt omfattas. Således omfattar tillämpningsområdet för dataintrångsbestämmelsen i denna del inte alla slag av införingar av uppgifter. Andra införingar kan dock vara straffbara genom att de träffas av de delar av bestämmelsen som straffbelägger ändring eller utplånande av samt intrång i uppgifter. Slutligen omfattar dataintrångsbestämmelsen även den som olov- ligen genom någon annan liknande åtgärd än de som redovisats ovan allvarligt stör eller hindrar användningen av en uppgift som är av- sedd för automatiserad behandling. Även denna del av bestämmel- sen tillkom till följd av anpassningen till rambeslutet. Det straffbara förfarandet tar sikte på åtgärder som verkar på ett sådant sätt att de stör eller hindrar att uppgifter som är avsedda för automatiserad behandling kan användas på avsett sätt, dvs. Behovet av lagändringar mot bakgrund av konventionen driften av ett system och därmed också användningen av de upp- gifter som finns i systemet utan att uppgifterna helt blockeras (prop. 2006/07:66 s. 43–44 och 50). Som exempel på sådana åtgärder nämns i propositionen tillgänglighetsattacker eller överbelastnings- attacker och anges att det t.ex. kan handla om program som skapar och sänder så stora mängder e-post att mottagarens system kollapsar eller får kraftigt nedsatt funktion och därmed hindrar eller stör an- vändningen av de uppgifter som finns i systemet (prop. 2006/07:66 s. 50).