sou · H1B339 · 2013-06-03 00:00:00 — Det förfarande som åsyftas är bl.a. användning av s.k. botnät, då ett stort antal datorer kan tas över och fjärrstyras till följd av att de har infekterats av sabotageprogram genom riktade it- angrepp (se beaktandesats 3). I ett senare skede kan de smittade datorerna, som utgör botnätet, utan användarnas vetskap aktiveras för storskaliga it-angrepp. Även om en tillgänglighetsattack eller en attack av något annat slag har fått till följd att ett stort antal informationssystem har påverkats, och exempelvis har fått till följd att ett betydande antal webbplatser blivit otillgängliga eller att ett stort antal datorer tagits över, är det långt ifrån klart att sabotagebestämmelsen blir tillämp- lig. Förutom att skadan kan vara av tillfällig karaktär är det inte säkert att de informationssystem som påverkats kan anses utgöra sådan för samhället viktig egendom att de kan anses utgöra sabo- tageobjekt. Enligt punkt 4 ska vidare, som framgått, brotten olaglig system- störning och olaglig datastörning ha ett lägsta maximistraff fängelse när de a) begås inom ramen för en kriminell organi- sation, b) förorsakar allvarlig skada, eller c) begås mot ett kritiskt infrastruktursystem. De enskilda medlemsstaterna får själva fast- ställa vad som utgör allvarlig skada enligt sin nationella lagstiftning och praxis. Enligt beaktandesats 3 kan som sådan emellertid bl.a. betraktas störning av systemtjänster av stort allmänintresse, orsak- ande av stora ekonomiska kostnader eller förlust av personupp- gifter eller känslig information. Med kritisk infrastruktur avses enligt beaktandesats 2a anläggningar, system eller delar av dessa belägna i medlemsstaterna som är nödvändiga t.ex. för att upprätt- hålla centrala samhällsfunktioner, hälsa, säkerhet, försörjnings- trygghet och ekonomisk eller social välfärd såsom kraftverk, trans- portnät eller nätverk av myndigheter och där driftstörning eller förstörelse av dessa skulle få betydande konsekvenser i en med- lemsstat till följd av att man inte lyckas upprätthålla dessa funk- tioner. Gärningar under c kan i många fall omfattas av sabotagebestäm- melsen. När det gäller gärningar under b däremot kan mycket väl Behovet av lagändringar mot bakgrund av direktivet tänkas situationer där olika former av angrepp och attacker mot informationssystem orsakar betydande ekonomiska skador på grund av avbrott i informationssystemens drift och kommunikation, men där sabotagebestämmelsen inte skulle bli tillämplig, antingen för att skadan är av tillfällig karaktär eller för att inte sådan för samhället viktig egendom som avses i sabotagebestämmelsen skadats. Även om skadegörelsebestämmelsen skulle vara tillämplig är straffskalan för grov skadegörelse otillräcklig, eftersom den enbart sträcker sig till fängelse. Inte heller är det självklart att sabotagebestäm- melsen skulle bli tillämplig för gärningar under a. Vår bedömning är att det krävs lagstiftningsåtgärder för att upp- fylla direktivets krav på påföljder enligt såväl punkt 3 som 4. Punkt 5 ställer, som framgått, krav på att det ska kunna anses som en försvårande omständighet när brotten olaglig systemstör- ning och olaglig datastörning begås genom missbruk av person- uppgifter. Uppgifterna ska avse annan person än gärningsmannen, syftet ska vara att vinna tredje mans förtroende och handlandet ska medföra skada för den som identiteten tillhör. Om dessa omstän- digheter redan täcks av ett annat brott som är straffbart i nationell lagstiftning, behöver de inte anses som försvårande inom ramen för brotten olaglig systemstörning och olaglig datastörning. Införandet av effektiva åtgärder mot identitetsstöld och andra identitetsrelaterade brott utgör enligt beaktandesats 7a en viktig del i en samlad ansats mot it-brottslighet. De förfaranden som punkt 5 främst torde avse är sådana där gärningsmannen bereder sig tillgång till en legitim användares IP-adress och därigenom får tillgång till denne persons användarkonton och därefter sänder skräddarsydd bedräglig e-post till specifikt utvalda mål eller grupper inom en organisation. Genom den stora massan av allmänt tillgänglig per- sonlig information om ledande befattningshavare och offentliga personer som finns på olika sociala nätverk har denna typ av brott blivit allt enklare att begå. Med hjälp av sådan personlig information kan gärningsmannen nämligen skapa ett trovärdigt e- postmeddelande som kan innehålla trojaner eller andra typer av sabotageprogram. Eftersom den som mottar e-posten får uppfatt- ningen att denna kommer från en pålitlig källa öppnar han eller hon den och sabotageprogrammen installeras därmed på värddatorn. Sabotageprogrammet kan sedan exempelvis ge gärningsmannen fri tillgång till den angripna organisationens eller personens server. I svensk rätt motsvaras, som nämnts, brotten olaglig system- störning och olaglig datastörning främst av brottet dataintrång. Behovet av lagändringar mot bakgrund av direktivet Någon försvårande omständighet hänförlig till identitetsstöld an- ges inte i dataintrångsbestämmelsen. Enligt 29 kap. 2 § 2, 3 och 6 ska emellertid som försvårande omständighet vid bedömningen av straffvärdet, vid sidan av vad som gäller för varje särskild brottstyp, särskilt beaktas om den tilltalade visat stor hän- synslöshet (punkt 2), utnyttjat någon annans skyddslösa ställning eller svårighet att värja sig (punkt 3) eller om brottet exempelvis föregåtts av särskild planering (punkt 6). Punkterna 2 och 3 skulle kunna vara tillämpliga i vissa situa- tioner. Punkt 6 kan, som framgått, tillämpas bl.a. om brottet före- gåtts av särskild planering. Så kan anses vara fallet om någon ut- nyttjat annans personuppgifter på det sätt som avses i artikel 9.5. Missbruk av personuppgifter kan även ske på ett sådant sätt att de svenska bestämmelserna om exempelvis bedrägeri, urkundsförfalsk- ning och förtal blir tillämpliga. Sammanfattningsvis gör vi bedömningen att det inte krävs några lagstiftningsåtgärder för att leva upp till kraven i punkt 5. 7.3.8Ansvar och påföljder för juridiska personer (artiklarna 11 och 12) Bedömning: Svensk rätt får genom bestämmelserna om före- tagsbot och förverkande anses uppfylla de krav som direktivet ställer i fråga om ansvar och påföljder för juridiska personer. I artiklarna 11 och 12 finns bestämmelser om ansvar och påföljder för juridiska personer. Med juridisk person avses enligt artikel 1 c, som nämnts i avsnitt 7.2, enhet som har sådan status enligt tillämp- lig lagstiftning, med undantag av stater eller andra offentliga organ vid utövandet av de befogenheter som de har i egenskap av stats- makter samt internationella offentliga organisationer. Som tidigare nämnts förekommer definitionen även i rambeslutet. Bestämmelserna om ansvar och påföljder för juridiska personer innebär att påföljder i form av bötesstraff eller administrativa av- gifter under vissa förutsättningar ska kunna åläggas sådana per- Behovet av lagändringar mot bakgrund av direktivet soner när brott har begåtts till deras förmån. Något krav på att införa straffrättsligt ansvar finns alltså inte. Motsvarande bestämmelser finns i rambeslutet (artiklarna 8–9) och i konventionen (artiklarna 12 och 13.2). Vid genomförandet av rambeslutet i svensk rätt gjorde rege- ringen bedömningen att de svenska reglerna om företagsbot fick anses motsvara de krav som ställs i rambeslutets artikel 8 och 9 (prop. 2006/07:66 s. 31). Vi har i avsnitt 5.3.13 gjort motsvarande bedömning när det gäller konventionens krav på ansvar och på- följder för juridiska personer. I avsnittet hänvisas även till möjlig- heten i svensk rätt att förverka värdet av ekonomiska fördelar som uppkommit för näringsidkare vid brott i näringsverksamhet. I av- snittet finns en redogörelse över de svenska bestämmelserna om företagsbot och förverkande. Vi gör bedömningen att de svenska reglerna om företagsbot och förverkande även i fråga om direktivet får anses motsvara de krav som ställs i artiklarna 11 och 12 om ansvar och påföljder för juri- diska personer. 7.4Domsrätt (artikel 13) Bedömning: Direktivets krav på behörighet (domsrätt) mot- svarar svenska bestämmelser på området. bör i den ord- ning som föreskrivs i direktivet lämna underrättelse om att svenska regler om domsrätt innebär en mer vidsträckt behörig- het över brott som begåtts utomlands än direktivet kräver, t.ex. när gärningsmannen har sin hemvist i . I artikel 13 finns bestämmelser om behörighet (domsrätt). Enligt punkt 1 a ska en medlemsstat ha domsrätt i fråga om brott enligt direktivet som har ägt rum helt eller delvis på med- lemsstatens territorium. Enligt punkt 2 ska behörigheten innefatta situationer där a) gärningsmannen är fysiskt närvarande på med- lemsstatens territorium när brottet begås, oavsett om brottet riktar sig mot ett informationssystem på denna medlemsstats territorium eller inte, eller b) brottet riktar sig mot ett informationssystem på Behovet av lagändringar mot bakgrund av direktivet medlemsstatens territorium oavsett om gärningsmannen är fysiskt närvarande på detta territorium när brottet begås eller inte. Enligt svenska regler om domsrätt döms efter svensk lag och vid svensk domstol för brott som begåtts här i riket (2 kap. 1 § brotts- balken). Detsamma gäller om det är ovisst var ett brott har förövats men det finns skäl att anta att det har begåtts inom riket. Ett brott anses begånget där den brottsliga handlingen företogs men också där brottet fullbordades, eller, vid försök, där brottet skulle ha fullbordats (2 kap. 4 § ). Så snart någon del av hand- lingen har ägt rum här i riket är alltså handlingen i sin helhet att anse som begången i . Motsvarande bestämmelser om domsrätt finns i rambeslutet (artikel 10.1 a och 10.2). Vid genomförandet av rambeslutet i svensk rätt gjorde regeringen bedömningen att de svenska regler om doms- rätt som redogjorts för, ger svenska domstolar behörighet att döma över brott i de fall som avses, och att bestämmelserna därför uppfyllde rambeslutet i dessa avseenden (prop. 2006/07:66 s. 32). Vi gör motsvarande bedömning såvitt avser direktivets krav på domsrätt i de fall som avses i punkt 1 a och 2. Någon lagändring krävs alltså inte. Enligt punkt 1 b ska varje medlemsstat ha domsrätt beträffande brott enligt direktivet som har begåtts av en av medlemsstatens medborgare, åtminstone i sådana fall där gärningen utgör ett brott på den plats där den begicks. En motsvarande bestämmelse om domsrätt finns även i ram- beslutet (artikel 10.1 b). Enligt den bestämmelsen får emellertid inte, till skillnad från direktivsbestämmelsen, krav uppställas på dubbel straffbarhet för domsrätt. Enligt svensk rätt döms för brott som begåtts utom riket efter svensk lag vid svensk domstol bl.a. om brottet har begåtts av en svensk medborgare (2 kap. 2 § 1 ). För att svensk doms- rätt ska föreligga för sådana brott krävs dock normalt att gärningen är straffbar där den begicks (krav på dubbel straffbarhet). Vidare får inte dömas till påföljd som är att anse som strängare än det svåraste straff som är föreskrivet för brottet enligt lagen på gärningsorten. Svensk rätt uppfyller således även åtagandet i punkt 1 b, efter- som krav på dubbel straffbarhet får uppställas enligt punkten. Någon lagändring krävs alltså inte (jfr motsvarande bedömning vid genomförandet av rambeslutet, prop. 2006/07:66 s. 32). Enligt punkt 3 ska en medlemsstat underrätta kommissionen om den beslutar att fastställa ytterligare domsrätt över ett brott enligt SOU 2013:39 Behovet av lagändringar mot bakgrund av direktivet artikel 3–8 som har begåtts utanför dess territorium, t.ex. när a) gärningsmannen har sin hemvist på denna medlemsstats terri- torium, eller b) när gärningen har begåtts till förmån för en juridisk person som är etablerad inom denna medlemsstats territorium. Rambeslutet innehåller inte någon motsvarande bestämmelse. Några krav på medlemsstaternas lagstiftning uppställs alltså inte i punkt 3. Eftersom svenska regler om domsrätt är vidsträckta och det generellt finns goda möjligheter att ingripa även mot brott som har begåtts utomlands, krävs emellertid att underrättar kommissionen om i vilka fall svensk domsrätt föreligger. Enligt 2 kap. 2 § döms exempelvis efter svensk lag och vid svensk domstol om brottet begåtts 1) av utlänning med hemvist i , 2) av utlänning utan hemvist i , som efter brottet blivit svensk medborgare eller tagit hemvist här i riket eller som är dansk, finsk, isländsk, eller norsk medborgare och finns här, eller 3) av annan utlänning som finns här i riket och på brottet enligt svensk lag kan följa fängelse . För att svensk domsrätt ska föreligga för sådana brott ställs dock normalt, liksom när det gäller brott begångna utomlands av svenska medborgare, krav på dubbel straffbarhet. Vidare får inte dömas till påföljd som är att anse som strängare än det svåraste straff som är föreskrivet för brottet enligt lagen på gärningsorten. 7.5Informationsutbyte (artikel 14) Bedömning: Bestämmelserna om informationsutbyte kräver inte lagstiftningsåtgärder. bör lämna underrättelse om att ska vara kontaktpunkt för utbytet av upp- gifter. Enligt artikel 14 ska medlemsstaterna för utbyte av uppgifter om de brott som avses i direktivet se till att ha en operativ nationell kontaktpunkt och använda det befintliga nät med operativa kontakt- punkter som kan nås dygnet runt . Det nät som åsyftas är – vilket framgår av beaktandesats 11 – det som omnämns i rådets rekommendation av om kontaktpunkter som upprätthåller ett öppethållande dygnet runt Behovet av lagändringar mot bakgrund av direktivet för bekämpning av högteknologisk brottslighet (EGT C 187, , s. 5). Detta nätverk skapades i G8, som utgörs av åtta ledande industriländer (prop. 2006/07:66 s. 33). Enligt artikeln ska medlemsstaterna också se till att ha förfar- anden som gör att de vid brådskande förfrågningar inom högst efter mottagandet kan ange åtminstone huruvida fram- ställningen om bistånd kommer att besvaras samt formen och den beräknade tidpunkten för svaret. Av artikeln följer vidare att varje medlemsstat ska underrätta kommissionen om sin kontaktpunkt. Slutligen följer av artikeln att medlemsstaterna ska vidta de åt- gärder som är nödvändiga för att se till att lämpliga rapporterings- kanaler är tillgängliga för att underlätta att de brott som avses i artiklarna 3–6 rapporteras till behöriga nationella myndigheter utan dröjsmål. En motsvarande artikel om utbyte av uppgifter och utseende av kontaktpunkt finns i rambeslutet (artikel 11) och i konventionen (artikel 35). Enligt rambeslutets bestämmelse finns emellertid inte någon skyldighet att besvara en brådskande begäran om bistånd . Vid genomförandet av rambeslutet i svensk rätt utsågs Riks- polisstyrelsen till kontaktpunkt (prop. 2006/07:66 s. 34). har nämligen deltagit i . Någon reglering för att uppfylla åtagandet om utbyte av uppgifter i ram- beslutet ansågs mot den bakgrunden inte behövlig. Vi gör motsvarande bedömning när det gäller åtagandet enligt direktivets artikel 14. När det gäller skyldigheten att besvara en brådskande begäran är den inte, mot bakgrund av att beskedet endast ska ange huruvida, i vilken form och när en be- gäran om hjälp kommer att besvaras, att förstå så att ett fullständigt svar i sak ska kunna lämnas inom fristen. bör således lämna underrättelse om att ska vara kontaktpunkt för utbytet av uppgifter. I avsnitt 5.6.14 har vi gjort samma bedömning när det gäller konventionens krav på nätverk. Som påpekats i det avsnittet kan det finnas skäl att, mot bakgrund av konventions- åtagandet, se över organisationen inom så att den enhet som i praktiken ska fungera som kontaktpunkt förfogar över de resurser som krävs för att fullgöra denna uppgift. Mot- svarande gäller vid genomförandet av direktivet. Vi gör bedömningen att även uppfyller det generella kravet på lämpliga kanaler för rapportering av brott. Behovet av lagändringar mot bakgrund av direktivet 7.6Övervakning och statistik (artikel 15) Bedömning: Bestämmelserna om övervakning och statistik kräver inte lagstiftningsåtgärder. Enligt artikel 15 ska medlemsstaterna se till att det finns ett system för registrering, insamling och tillhandahållande av statistiska upp- gifter om brott som avses i direktivet, undantaget osjälvständiga brottsformer. De statistiska uppgifterna ska åtminstone omfatta befintliga uppgifter om antalet brott som registrerats av medlems- staterna och antalet personer som åtalats och dömts för sådana brott. Medlemsstaterna ska översända de uppgifter som samlats in till kommissionen. Det åligger därefter kommissionen att se till att en samlad översikt över dessa statistiska rapporter offentliggörs och översänds till behöriga specialiserade unionsorgan och byråer. Någon mot artikel 15 svarande artikel finns inte i rambeslutet eller konventionen. I ansvarar (Brå) för den offi- ciella rättsstatistiken. Brå sammanställer, publicerar och utvecklar officiella kriminalstatistik. Statistikskyldigheten omfattar bl.a. brott och för brott lagförda personer (1 § andra stycket lagen [2001:99] om den officiella statistiken jfr med 2 § första stycket förordningen [2001:100] om den officiella statistiken jämte bilaga). I den officiella rättsstatistiken ingår ärenden som handläggs av polis, tull, åklagare, domstol och kriminalvård. Statistiken bygger på de uppgifter som myndigheterna registrerar i sina administrativa system, i samband med utredningen av en misstänkt brottslig händ- else, lagföring av en person som befunnits skyldig till brott och verkställande av en utdömd påföljd. Brå:s uppdrag och arbete när det gäller den officiella rättsstati- stiken innebär att uppfyller direktivets krav på system för registrering, insamling och tillhandahållande av statistiska upp- gifter. Några lagstiftningsåtgärder krävs alltså inte mot bakgrund av artikel 15. 8Genomförandet av konventionen och tilläggsprotokollet i svensk rätt I avsnitt 5 och 6 har analyserats vilket behov av lagändringar som konventionen respektive tilläggsprotokollet föranleder. Vi har kommit fram till att svensk rätt redan uppfyller såväl kon- ventionens som tilläggsprotokollets krav på straffrättsliga bestäm- melser, under förutsättning att dels regeringens förslag till ett nytt urkundsbegrepp i 14 kap. 1 § antas av (se prop. 2012/13:74 Förfalsknings- och sanningsbrotten), dels utnyttjar möjligheten att kräva sådant ytterligare rekvisit för straff- ansvar som avses i tilläggsprotokollets artikel 6.2 a. Vad avser konventionens processrättsliga bestämmelser, till vilka tilläggsprotokollet hänvisar, har vi gjort bedömningen att lagstift- ningsåtgärder krävs för att svensk rätt ska leva upp till konven- tionens krav såvitt avser skyndsamt säkrande av lagrade dator- behandlingsbara uppgifter och skyndsamt säkrande och partiellt röjande av trafikuppgifter (artikel 16 respektive 17). Vi bedömer också att det finns skäl att överväga att införa en sådan möjlighet till föreläggande att lämna information inom ramen för en hus- rannsakan som avses i artikel 19.4, även om svensk rätt formellt sett redan kan anses uppfylla de krav som ställs i artikeln genom reglerna om vittnesförhör inför rätta under en förundersökning. I övrigt anser vi att svensk rätt redan uppfyller de krav som ställs med hänsyn till de möjligheter till förbehåll som finns i artik- larna 20 och 21. Vi har vidare gjort bedömningen att svensk rätt är förenlig med konventionens och tilläggsprotokollets bestämmelser om domsrätt. Genomförandet av konventionen och tilläggsprotokollet i svensk rätt När det gäller konventionens bestämmelser om internationellt samarbete, till vilka tilläggsprotokollet på samma sätt som när det gäller de processrättsliga bestämmelserna hänvisar, har vi kommit fram till att lagstiftningsåtgärder krävs för att svensk rätt ska leva upp till konventionens krav på rättslig hjälp med skyndsamt säk- rande av lagrade datorbehandlingsbara uppgifter och skyndsamt röjande av vissa trafikuppgifter (artikel 29 respektive 30, dvs. mot- svarigheterna till artikel 16 och 17 på området för rättslig hjälp). I övrigt bedömer vi att svensk rätt redan uppfyller de krav som ställs. Konventionens och tilläggsprotokollets slutbestämmelser föranleder enligt vår mening inte några lagändringar. I vårt uppdrag ligger att ta ställning till i vilken utsträckning bör utnyttja möjligheten att göra förbehåll och att avge förklaring att ytterligare rekvisit uppställs. Vi ska vidare lämna för- slag till de författningsändringar eller andra förändringar som krävs för att tillåta ett tillträde till konventionen och tilläggsprotokollet. I det följande ger vi förslag till hur konventionen och tilläggsproto- kollet ska genomföras i svensk rätt. 8.2Anpassningen av den straffrättsliga regleringen När det gäller konventionens straffrättsliga artiklar är det endast artikeln om datorrelaterad förfalskning (artikel 7) som kräver lag- stiftningsåtgärder för att möjliggöra ett svenskt tillträde till kon- ventionen. finns en möjlighet att kräva ytterligare rekvi- sit i form av krav på bedrägligt uppsåt för att straffansvar enligt artikeln ska gälla (jfr avsnitt 5.3.8). Enligt vår mening skulle i sådana fall förfarandet sannolikt vara att bedöma som förberedelse eller försök till bedrägeri. Som vi har redovisat i avsnitt 5.3.8 har rege- ringen lämnat förslag till ett nytt urkundsbegrepp i 14 kap. 1 § (se prop. 2012/13:74 Förfalsknings- och sannings- brotten). Om förslagen i propositionen antas av innebär det att svensk rätt genom bestämmelsen om urkundsförfalskning kommer att uppfylla konventionskravet i denna del fullt ut. Mot den bakgrunden avstår vi från att lämna något eget förslag i denna del. När det gäller tilläggsprotokollets straffrättsliga artiklar krävs inte några lagstiftningsåtgärder för att ska kunna tillträda Genomförandet av konventionen och tilläggsprotokollet i svensk rätt protokollet, om möjligheten att kräva ytterligare rekvisit för straff- ansvar för sådant förnekande, grovt förringande, gillande eller rätt- färdigande av folkmord eller brott mot mänskligheten som avses i artikel 6 används. Frågan om ska utnyttja denna möjlighet behandlas i avsnitt 8.2.2. 8.2.2Bör möjligheten att kräva ytterligare rekvisit för straffansvar när det gäller förnekande, grovt förringande, gillande eller rättfärdigande av folkmord eller brott mot mänskligheten utnyttjas? Förslag: ska, i enlighet med artikel 6.2 a och 12.3 i tilläggsprotokollet, förklara att krav uppställs på att förnekandet eller det grova förringandet görs med uppsåt att uppmuntra till hat, diskriminering eller våld mot en enskild person eller en grupp av personer på grund av ras, hudfärg, härstamning, natio- nellt eller etniskt ursprung liksom även trosbekännelse. I tilläggsprotokollets artikel 6.1 uppställs krav på kriminalisering av gärningar som innebär att någon uppsåtligen och orättmätigt med hjälp av ett datorsystem sprider eller på annat sätt för allmänheten tillgängliggör material som förnekar, grovt förringar, gillar eller rättfärdigar gärningar som enligt folkrätten eller vissa internatio- nella domstolar utgör folkmord eller brott mot mänskligheten. Av artikel 6.2 a framgår att en fördragsslutande stat får uppställa krav på att förnekandet eller det grova förringande som avses i arti- kel 6.1 görs med uppsåt att uppmuntra till hat, diskriminering eller våld mot en enskild person eller en grupp av personer på grund av ras, hudfärg, härstamning, nationellt eller etniskt ursprung liksom även trosbekännelse, under förebärande av något av de förstnämnda karakteristika. I avsnitt 6.2.5 har vi gjort bedömningen att svensk rätt, genom främst bestämmelserna om hets mot folkgrupp och uppvigling, uppfyller artikelns krav på vad som ska vara straffbelagt, om krav uppställs på att förnekandet eller det grova förringandet görs med sådant uppsåt som anges i artikel 6.2 a. Någon anledning att inom ramen för en ratificering av tilläggsprotokollet föreslå ändringar i Genomförandet av konventionen och tilläggsprotokollet i svensk rätt