sou · H1B339 · 2013-06-03 00:00:00 — I statistiken över uppklarade brott redovisas de anmälda brott som åtgärdats under ett kalenderår. Begreppet uppklarade brott inne- bär dock endast att brottet fått ett polisiärt klarläggande, och be- höver inte betyda att man har bundit en gärningsman till brottet (2006:1 s. 32). De uppklarade brotten delas i statistiken upp i kategorierna personuppklarade brott, där åklagaren ansett sig kunna knyta en gärningsman till brottet, och tekniskt uppklarade brott, där utredningen av brottet lags ned av olika skäl. Om ett brott är personuppklarat har beslut om att väcka åtal, utfärda strafförelägg- ande eller meddela åtalsunderlåtelse fattats. De vanligaste besluten som innebär att brott i statistiken redovisas som tekniskt uppklarade avser att det inte kan styrkas att ett brott har begåtts, att den an- mälda gärningen inte bedöms vara brott eller att den misstänkte inte är straffmyndig. De vanligaste besluten som innebär att brott anses som ouppklarade är att polis eller åklagare beslutat att spanings- uppslag saknas, att spaningarna inte lett till något resultat, att det trots utredning inte kan styrkas att den som varit skäligen miss- tänkt har begått brottet eller att utredningen visar att den skäligen misstänkte är oskyldig. De ouppklarade brotten redovisas inte i statistiken (2006:1 s. 32). Uppklarningsprocenten redovisas i statistiken utifrån antalet brott som klarats upp ett visst år jämfört med antalet brott som anmälts . Det kan, men behöver inte, finnas en direkt koppling mellan antalet anmälda brott och antalet uppklarade brott under ett och . Medan de anmälda brotten endast hänför sig till det aktuella året kan ett brott som klarats upp härröra från en anmälan . Antalet dataintrång som upp i förhållande till antalet anmälda brott varierar till viss del men ligger i genomsnitt . –2012 varierade uppklarningsprocenten för dataintrång mellan lägst () och högst 78 pro- cent (). Andelen personuppklarade dataintrång är låg. För dataintrång varierade andelen personuppklarade brott mellan 3– –2012. Den genomsnittliga person- uppklarningsprocenten låg på . Straffskalorna för brytande av post- eller telehemlighet och dataintrång 9.2.4Lagförda dataintrång och brytande av post- eller telehemlighet Med lagföring avses i den officiella statistiken domslut (dom i tings- rätt), strafföreläggande eller åtalsunderlåtelse. En enskild person kan lagföras . I statistiken redovisas en lagförd person för varje enskilt lagföringsbeslut som denne står för . Detta betyder att om flera personer ingår i samma lagföring redovisas varje person som en enhet för sig i statistiken. En person kan lagföras för flera brott i ett och samma lagförings- beslut. Det förhållandet att lagföringsstatistiken avser domar i tingsrätt innebär att en person som befunnits skyldig i tingsrätt, men frikänts i högre instans, kommer att stå kvar som dömd i statistiken. Eftersom frikännande domar inte redovisas kommer vidare en person som frikänts i tingsrätt men därefter fällts i högre instans inte att finnas med i lagföringsstatistiken. Lagföringsstatistiken avseende huvudbrott och huvudpåföljd redovisar brottet med den strängaste straffskalan. Av statistiken framgår inte om lagförings- besluten avser ett eller flera brott (2006:1 s. 40–41). Av tabell 1 nedan framgår att antalet lagföringsbeslut för data- intrång i princip ökade mellan åren 2002–20111 samt att ungefär hälften av lagföringarna består av domar. Övriga består så- ledes av strafförelägganden och åtalsunderlåtelser. Av tabell 2 nedan framgår att antalet lagföringar för brytande av post- eller telehemlighet är ytterst få, totalt 18 under hela den redo- visade tioårsperioden, och att ungefär hälften av dem består av domar. 1 Slutlig statistik över personer lagförda för brott 2012 kommer enligt Brå att finnas tillgäng- lig från . De statistiska uppgifterna i avsnittet avser därför tioårsperioden –2011. SOU 2013:39 Straffskalorna för brytande av post- eller telehemlighet och dataintrång Antal lagföringsbeslut efter dataintrång som huvudbrott, Antal lagföringsbeslut efter brytande av post- eller telehemlighet som huvudbrott, –2011 9.2.5Påföljdsval för dataintrång och brytande av post- eller telehemlighet som huvudbrott Den officiella kriminalstatistiken visar att böter är den vanligaste påföljden för såväl dataintrång som brytande av post- eller tele- hemlighet. Inte i något fall –20112 har fängelse 2 Slutlig statistik över personer lagförda för brott 2012 kommer enligt Brå att finnas tillgäng- lig från . De statistiska uppgifterna i avsnittet avser därför tioårsperioden –2011. Straffskalorna för brytande av post- eller telehemlighet och dataintrång bestämts som påföljd när huvudbrottet varit dataintrång eller brytande av post- eller telehemlighet. I endast två fall har en frivårdspåföljd i kombination med samhällstjänst dömts ut (när huvudbrottet var dataintrång). Av tabellerna nedan framgår vilken huvudpåföljd som dömts ut när huvudbrottet varit dataintrång (tabell 3) respektive brytande av post- eller telehemlighet (tabell 4). Kategorin annat innefattar förutom andra påföljder än de särskilt redovisade även de fall då åtals- underlåtelse bestämts. Tabell 3 Val av påföljd för dataintrång som huvudbrott, åren 2002–2011 St/Vd (shtj)3 10 (2) 3Skyddstillsyn/Villkorlig dom (i förekommande fall i kombination med samhällstjänst). 4Andra påföljder än de särskilt redovisade och åtalsunderlåtelse. SOU 2013:39 Straffskalorna för brytande av post- eller telehemlighet och dataintrång Val av påföljd för brytande av post- eller telehemlighet som huvudbrott, åren 2002–2011 St/Vd (shtj)5 När det gäller de redovisade statistikuppgifterna kan bl.a. konsta- teras följande. Antalet anmälda dataintrång har ökat mycket : från 2003 till 8 2012, vilket innebär en ökning med nästan 1 . En svaghet i de statistiska uppgifterna ligger i det förhållandet att dataintrångsbestämmelsen omfattar en mängd olika typer av för- faranden av varierande grad av allvar men att dataintrång enbart representeras av en enskild brottskod i den officiella kriminalstati- stiken. Det är alltså omöjligt att av statistiken utläsa vilken typ av dataintrångsgärning en viss anmälan avsett och om den stora ökningen av antalet anmälda dataintrång avser en viss typ av gärning. Andelen personuppklarade dataintrång, dvs. fall där en gärnings- man kunnat knytas till brottet, är låg och ligger på i genomsnitt . Påföljden för dataintrång eller brytande av post- eller telehem- lighet som huvudbrott har inte i något fall –2011 bestämts till fängelse och den vanligaste påföljden har varit böter. 5Skyddstillsyn/Villkorlig dom (i förekommande fall i kombination med samhällstjänst). 6Andra påföljder än de särskilt redovisade och åtalsunderlåtelse. Straffskalorna för brytande av post- eller telehemlighet och dataintrång Antalet lagföringar när det gäller brytande av post- eller tele- hemlighet har varit ytterst få. En förklaring till att andelen personuppklarade dataintrång varit låg kan vara att leverantörer av elektroniska kommunikationsnät och elektroniska kommunikationstjänster fram till enbart var skyldiga att lämna ut uppgifter om abonnemang beträff- ande misstanke om brott som bedömdes kunna föranleda annan påföljd än böter. Som framgått har den vanligaste påföljden för data- intrång varit böter, varför det i viss utsträckning kan ha varit tekniskt svårt att utreda dessa brott. När det gäller dataintrång kan vidare befaras att mörkertalet är betydande och att statistiken över anmälda dataintrång inte ger en rättvisande bild av hur många brott som faktiskt begåtts ett visst år. Enligt uppgifter som vi inhämtat är företag som utsatts för olika former av dataintrång – överbelastnings- tillgänglighets- eller intrångs- attacker – inte sällan rädda för de skadeverkningar och negativa effekter i form av minskat förtroende för och minskad efterfrågan av deras tjänster som publicitet om att de utsatts för en attack kan leda till. Rädslan för publicitet medför att brottet inte anmäls. Upp- fattningen från polis- och åklagarhåll är även att anmälningsfrekvensen generellt sett är låg när det gäller dataintrång. 9.3Behovet av ändrade straffskalor Bedömning: Det finns ett behov av skärpta straff för data- intrång. Motsvarande behov finns inte när det gäller brytande av post- eller telehemlighet. Allmänna utgångspunkter vid utformning av straffskalor Utgångspunkterna såväl vid utformning av straffskalor som vid straff- mätning i domstol är principerna om proportionalitet och ekvivalens. De straffteoretiska grunderna för påföljdssystemet har beskrivits och diskuterats i flera lagstiftningsarbeten på straffrättens område (se bl.a. , Påföljd för brott, SOU 1986:13– 15, som behandlas i prop. 1987/88:120, , Ett reformerat straffsystem, SOU 1995:91, som behandlas i prop. Straffskalorna för brytande av post- eller telehemlighet och dataintrång och betänkanden, Straffskalan för mord, SOU 2007:90, och Straff i proportion till brottets allvar, SOU 2008:85, som behandlas i prop. 2008/09:118 respektive 2009/10:147). I korthet innebär proportionalitets- och ekvivalensprinciperna att straff ska motsvara brottets svårhet. Svårare brott ska bestraffas strängare än lindrigare brott och brott som är lika svåra ska be- straffas lika strängt. Det straff som en domstol i det enskilda fallet dömer ut visar således hur allvarlig gärningen är i förhållande till andra brott. På samma sätt ger ett brotts straffskala en indikation om hur allvarligt det brottet är i förhållande till andra brott. Dataintrångsbestämmelsen har samma straffskala som när bestäm- melsen först infördes i datalagen (1973:289) i samband med den lagens tillkomst. Straffskalan har alltså varit oförändrad . har det skett en betydande samhällsutveck- ling och informationssystem har en ojämförligt större betyd- else i samhället än . Informationssystemen är i stor utsträckning sammankopplade, vilket medför att angrepp lätt kan få långtgående konsekvenser. Myndigheter, företag och organisationer är i hög grad beroende av informationssystem och använder i stor utsträckning datorer och datasystem anslutna till lokala datanät, vilka i sin tur ofta är anslutna till större företagsnät eller internet. Många företag, inte minst inom den finansiella sektorn, baserar hela sin verksamhet på internet och internet används även som infrastruktur för styrning av processer inom industrin. Även samhällsviktig infrastruktur är beroende av datasystem, datanät, elektroniska kommunikationer och internet för en rad funktioner. Den offentliga sektorn har ökat sitt internetberoende bl.a. i och med satsningar på självbetjäningstjänster och 24-timmarsmyndigheter. Elektroniska kommunikationer och internet är därmed i dagens samhälle av stor betydelse för såväl företagens affärstransaktioner som statens möjligheter att tillhanda- hålla tjänster till medborgarna. Informationssystem är av avgörande betydelse för människors vardag, vilket bl.a. det stora antal betal- ningar som allmänheten gör via internet visar på. Tilliten till och förtroendet för elektroniska kommunikationstjänster och internet är därmed av betydande vikt. Straffskalorna för brytande av post- eller telehemlighet och dataintrång (), som av regeringen fått i uppdrag att lämna förslag på en strategi för ett säkrare internet i , har konstaterat att det, i takt med att samhället blir allt mer beroende av it i allmänhet och internet i synnerhet, blir allt mer intressant för organiserad brottslighet att angripa samhället genom systematiska tekniska attacker i stället för via mer traditionella medel (PTS rapport för ett säkrare Internet i , 2006, PTS-ER- 2006:12, s. 24–25). Attackerna utförs, enligt PTS, inte längre enbart av enstaka hackare som vill testa sin förmåga, utan även av mer organiserade grupperingar som har ekonomisk som syfte eller som har ideologiska motiv. För varje nät eller system som är anslutet till internet finns en risk att drabbas av olika former av angrepp så som datavirus, e-post- virus, trojaner, försök till intrång, intrång och överbelastnings- attacker. Angreppen kan medföra synnerligen allvarliga konsekvenser för den verksamhet som drabbas. Till synes kan angreppen i princip drabba vilka nät och datasystem som helst. Risken för sådana an- grepp kan ses som ett bakgrundshot för nät och datorer anslutna till internet (se PTS utredning Förutsättningar för att inrätta en särskild funktion för IT-incidenthantering, , s. 23). Myndigheter, företag och organisationer kan också utsättas för riktade angrepp, dvs. angrepp som avsiktligt är riktade mot ett visst mål. Exempel på sådana angrepp är överbelastnings- eller tillgäng- lighetsattacker som antingen utförs av enstaka angripare eller genom att många användare mobiliseras för angrepp, i syfte att skada det angripna målet. Angripare kan exempelvis försöka uppnå att målets verksamhet störs för att påverka dess affärsverksamhet eller för att sabotera en verksamhet som man ogillar av det ena eller andra skälet. Angrepp i form av intrångsattacker eller andra typer av angrepp kan också riktas mot myndigheter, företag och organisationer i syfte att tillskansa angriparna egen och som ett led i andra brott, exempelvis olika former av bedrägerier eller utpressning, riktade mot den angripna personen (se PTS utredning Förutsättningar för att inrätta en särskild funktion för IT-incidenthantering, 28 novem- ber 2000, s. 24 och 32). Angreppen kan orsaka betydande ekono- miska skador på grund av avbrott i informationssystemens drift och kommunikation. De kan också leda till förlust eller förvanskning av hemlig eller i övrigt integritetskänslig information. Som tidigare framhållits är det med hänsyn till den stora betyd- else som informationssystem har i dagens samhälle av vikt att för- troendet för elektroniska kommunikationstjänster kan upprätthållas. Straffskalorna för brytande av post- eller telehemlighet och dataintrång Omfattande angrepp mot informationssystem kan, förutom de verk- ningar som tidigare nämnts – dvs. omfattande ekonomiska skador och förlust eller förvanskning av information – få konsekvenser som är svåra att överblicka. Överbelastningsattacker eller andra former av angrepp eller intrång mot en eller flera banker skulle kunna få till följd att ett helt bank- eller betalningssystem kollapsade. Även om följderna inte skulle bli fullt så dramatiska skulle ett an- grepp av det slaget kunna orsaka stora samhällskostnader. Mot bakgrund av den betydelse som informationssystem har i dagens samhälle och de synnerligen stora skador, ekonomiska eller av andra slag, som ett angrepp mot informationssystem kan orsaka är det lätt att tänka sig fall där en sådan gärning, om man tar de straffteoretiska principerna om proportion och ekvivalens som ut- gångspunkt, har ett straffvärde som är betydligt högre än fängelse . Till sina verkningar skulle angrepp av det beskrivna slaget kunna jämföras med grov skadegörelse eller sabotage. Som vi närmare redogjort för i avsnitt 7.3.7 kan i vissa fall av angrepp mot informationssystem ansvar för grov skadegörelse, sabo- tage, grovt sabotage och terroristbrott komma i fråga. Dessa straff- bestämmelser ger möjlighet till utdömande av högre straff. Straff- skalan för grov skadegörelse är fängelse i högst . Straff- skalorna för sabotage och grovt sabotage är fängelse i högst respektive fängelse , lägst två och högst , eller på livstid. För terroristbrott är straffet fängelse , lägst fyra och högst , eller på livstid. Är brottet mindre grovt, är straffet fängelse, lägst och högst . Det kan emellertid tänkas en rad situationer där det, trots att gärningen medfört stora ekonomiska skador på grund av avbrott i informationssystems drift och kom- munikation, inte är möjligt att tillämpa skadegörelse-, sabotage-, och terroristbrottsbestämmelserna, exempelvis för att skadan är av tillfällig karaktär eller för att inte sådan för samhället viktig egen- dom som avses i sabotagebestämmelsen skadats. I den tidigare beskrivna situationen med överbelastningsattacker eller andra former av angrepp eller intrång mot en eller flera banker är det mycket tveksamt om någon annan straffbestämmelse än data- intrångsbestämmelsen skulle bli tillämplig, trots att angreppet fått vittgående konsekvenser. Som framgår av den tidigare redovisade kriminalstatistiken har antalet anmälda dataintrång ökat markant och trenden visar på en fortsatt ökning. Den redovisade statistiken i fråga om val av påföljd, som visar att straffvärdet endast i ett fåtal fall har Straffskalorna för brytande av post- eller telehemlighet och dataintrång ansetts överstiga böter när huvudbrottet varit dataintrång, indikerar enligt vår mening att dataintrångsbrottets farlighet och skadlighet inte har värderats tillräckligt. I några tings- och hovrättsdomar som vi har gått igenom, där gärningsmännen dömts för relativt allvarliga former av dataintrång och där skadeverkningarna antingen blivit eller i vart fall kunnat bli förhållandevis allvarliga skulle enligt vår mening gärningarna kunna anses ha ett högre straffvärde än vad dom- stolarna har kommit fram till. Vår uppfattning är att det även för sådana dataintrångsgärningar som ryms inom den befintliga straff- skalan finns ett allmänt behov av att göra en mer differentierad bedömning av straffvärdet och i större utsträckning utnyttja spänn- vidden i straffskalan. Dataintrångsbestämmelsen inrymmer en mängd olika förfaranden av varierande grad av allvar. Vissa av dem moti- verar inte annan påföljd än böter, vissa har ett straffvärde i paritet med allvarligare former av grov skadegörelse och sabotage och vissa, slutligen, har ett straffvärde någonstans där emellan. Beroendet av elektroniska informationssystem och internet ökar ständigt och som en konsekvens av det blir samhället allt mer mot- tagligt för it-angrepp. Det finns tecken på att utvecklingen går mot allt farligare och mer storskaliga angrepp mot informationssystem, till exempel intrång i eller överbelastningsattacker mot bankers och myndigheters informationssystem. Överbelastningsattackerna mot ett antal svenska myndigheter och organisationer inom bl.a. bank- sektorn och media är ett exempel på detta. Drabbade myndigheter och organisationer fick sina webbplatser temporärt otillgängliga under de perioder attackerna pågick. I några fall drabbades webbplatser av upprepade attacker, och i åtminstone ett fall lyckades angripare göra intrång i en webbserver och byta ut information på en myndighets hemsida. Några allvarligare dataintrång kunde emellertid inte kopplas till attackerna och konsekvenserna begränsades till att de drabbade webbplatserna inte kunde nås. Skade- effekterna var därmed svårvärderade och bestod i huvudsak i minskad servicegrad och i några fall i bortfall av potentiella intäkter samt eventuell negativ publicitet (se Myndigheten för samhällsskydd och beredskap [MSB], PM, , diarienr 2012-5642). Riktade intrångsförsök mot svenska intressen har även skett vid tidigare tillfällen. Intrångsförsöken har bl.a. utförts genom att individuellt anpassad e-post sänts till individer inom den utsatta organisationen. Breven har sett ut att ha trovärdiga avsändare som förefallit rimliga i förhållande till brevens innehållstext och texten har varit relevant för det arbetsområde mottagaren verkat inom. Med breven har följt Straffskalorna för brytande av post- eller telehemlighet och dataintrång bilagor, vilka om de öppnats infekterat mottagarens dator med en medföljande skadlig kod, alternativt har meddelandetexten inne- hållit länkar som lett till webbplatser som infekterar mottagarens dator. Den skadliga kod som installeras på den drabbade maskinen gör det möjligt för angriparen att utifrån ta kontroll över maskinen och på så sätt uppstår en risk att information hämtas ut från den drabbade maskinen (MSB:s nyhetsbrev ). Dataintrångbestämmelsens nuvarande straffskala, som sträcker sig från böter till fängelse , ger enligt vår uppfattning inte tillräckligt utrymme för att i överensstämmelse med principer om olika gärningars relativa proportionalitet kunna be- akta allvaret i storskaliga angrepp mot informationssystem. Som vi har konstaterat är det av olika skäl inte alltid möjligt att vid sådana angrepp mot informationssystem tillämpa andra straffbestäm- melser med högre straffskalor, såsom bestämmelserna om sabotage, grov skadegörelse och terroristbrott. Uppfattningen att straffskalan för dataintrång bör skärpas har framförts av olika myndigheter i annat sammanhang (se exempelvis , Säkerhetspolisens och tingsrätts remissyttranden över promemorian Angrepp mot informationssystem [Ds 2005:5]). Rege- ringen har då gjort bedömningen att en ändring av straffskalan för dataintrång eller ett införande av ett grovt sådant brott förutsatte en analys som det saknades beredningsunderlag för och som inte heller var möjlig att göra inom ramen för det aktuella lagstiftnings- ärendet (prop. 2006/07:66 s. 30). Vi har tidigare gjort bedömningen att det för att uppfylla direk- tivets bestämmelser om straffskalornas utformning när det gäller brotten olaglig systemstörning och olaglig datastörning finns behov av att skärpa straffskalan för dataintrång (se avsnitt 7.3.7). Enligt vår mening finns det vid sidan av direktivet andra kriminalpolitiska skäl för detta. Brytande av post- eller telehemlighet Bestämmelsen om brytande av post- eller telehemlighet har haft samma straffskala sedan tillkomst . Bestämmelsen skyddar såväl meddelanden i traditionell form som elektroniska meddelanden och omfattar intrång i den sist nämnda typen av meddelanden oavsett på vilket sätt dessa tekniskt förmed- las, med visst undantag för meddelanden som befordras via radio. Straffskalorna för brytande av post- eller telehemlighet och dataintrång Skyddet sträcker sig från den tidpunkt när meddelandet har avläm- nats för befordran till dess att meddelandet har nått mottagaren. I den mån meddelanden i ett elektroniskt kommunikationsnät befordras på annat sätt än via ett telebefordringsföretag, exempelvis via privata kommunikationsnät, skyddas de inte av straffbestäm- melsen. Den brottsliga gärningen består i att bereda sig tillgång till meddelandet. Av den redovisade kriminalstatistiken framgår att antalet lag- föringar när det gäller brytande av post- eller telehemlighet har varit ytterst få . Av statistiken fram- går inte hur många – om ens någon – av lagföringarna som avsett intrång i elektroniska meddelanden. Bestämmelsen om brytande av post- eller telehemlighet syftar till att bereda straffrättsligt hemlighetsskydd för befordran av post- försändelser och elektroniska meddelanden (NJA II 1962 s. 135 och m.fl., En kommentar kap. 1–12, s. 4:34). Rätten att fritt och utan obehörigt intrång kunna skicka såväl traditionella som elektroniska meddelanden anses höra till medborgarnas per- sonliga frihet och det är av vikt att det finns ett straffrättsligt skydd mot angrepp på denna rätt. Det är emellertid svårt att se att det förfarande som bestämmelsen om brytande av post- eller telehem- lighet straffbelägger skulle kunna orsaka motsvarande skada och få så vittgående konsekvenser som vissa av de förfaranden som dataintrångsbestämmelsen straffbelägger och som har beskrivits i föregående avsnitt. Sådana storskaliga angrepp mot informations- system som det finns ett behov av att kunna utdöma hårdare straff för, i den mån de inte träffas av sabotage- och skadegörelsebestäm- melserna, omfattas inte av bestämmelsen om brytande av post- eller telehemlighet utan av dataintrångsbestämmelsen. Möjligtvis skulle, som en del i ett storskaligt angrepp, intrång kunna göras i ett elek- troniskt meddelande under befordran i syfte att få del av informa- tion som behövs för det planerade angreppet. Det är emellertid inte då den del av förfarandet som avser brytandet av telehemligheten som åstadkommer den stora skadan, utan senare delar som är straff- belagda enligt bestämmelserna om dataintrång, skadegörelse, sabo- tage eller terroristbrott.