prop · H10392 · 2014-02-19 00:00:00 — (30)Skyddet av personuppgifter är en grundläggande rättighet i enlighet med artikel 16.1 i EUF-fördraget och artikel 8 i Europeiska unionens stadga om de grundläggande rättig heterna. Därför bör all behandling av personuppgifter i samband med genomförandet av detta direktiv vara helt och hållet förenlig med den unionsrätt som gäller beträf fande uppgiftsskydd. (31)I enlighet med artikel 3 i protokollet om Förenade kung arikets och ställning med avseende på området med frihet, säkerhet och rättvisa, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unio nens funktionssätt, har dessa medlemsstater meddelat att de önskar delta i antagandet och tillämpningen av detta direktiv. (32)I enlighet med artiklarna 1 och 2 i protokollet om marks ställning, fogat till fördraget om Europeiska unio nen och fördraget om Europeiska unionens funktionssätt, deltar inte i antagandet av detta direktiv, som inte är bindande för eller tillämpligt på . (33)Eftersom målen för detta direktiv, nämligen att under ställa angrepp mot informationssystem i alla medlems stater effektiva, proportionella och avskräckande straff rättsliga påföljder och att förbättra och uppmuntra sam arbete mellan rättsliga och andra behöriga myndigheter, inte i tillräcklig utsträckning kan uppnås av medlemssta terna, och de därför bättre kan uppnås på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritets principen i artikel 5 i fördraget om Europeiska unionen. I enlighet med proportionalitetsprincipen i samma artikel går detta direktiv inte utöver vad som är nödvändigt för att uppnå dessa mål. (34)Syftet med detta direktiv är att ändra och utöka bestäm melserna i rådets rambeslut /222/RIF av om angrepp mot informations system (2). Med avseende på de medlemsstater som deltar i antagandet av detta direktiv bör rambeslut /222/RIF för tydlighetens skull ersättas i sin helhet, eftersom de ändringar som görs är många och väsentliga. (2) EUT L 69, , s. 67. L 218/12 Europeiska unionens officiella tidning HÄRIGENOM FÖRESKRIVS FÖLJANDE. omöjligt att komma åt datorbehandlingsbara uppgifter i ett informationssystem, åtminstone i fall som inte är ringa. Detta direktiv fastställer minimiregler om fastställande av brotts rekvisit och påföljder inom området angrepp mot informations system. Det syftar också till att främja förebyggande av sådana brott och förbättra samarbetet mellan rättsliga och andra behö riga myndigheter. I detta direktiv avses med a)informationssystem: en apparat eller en grupp av samman kopplade apparater eller apparater som hör samman med varandra, av vilka en eller flera genom ett program auto matiskt behandlar datorbehandlingsbara uppgifter, samt da torbehandlingsbara uppgifter som lagras, behandlas, hämtas eller överförs med hjälp av en apparat eller en grupp av apparater för att de ska kunna drivas, användas, skyddas och underhållas, b)datorbehandlingsbara uppgifter: framställning av fakta, infor mation eller begrepp i en form som lämpar sig för behand ling i ett informationssystem, inklusive program som lämpar sig för att få ett informationssystem att utföra en viss upp gift, c)juridisk person: enhet som har status av juridisk person enligt tillämplig rätt, med undantag av stater, eller offentliga organ vid utövandet av de befogenheter som de har i egenskap av statsmakter samt internationella offentliga organisationer, d)orättmätigt: handlande som avses i detta direktiv, inklusive intrång, störning eller avlyssning, utan tillstånd från ägaren eller annan rättighetshavare till systemet eller del av detta, eller som inte är tillåtet enligt nationell rätt. Olagligt intrång i informationssystem Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att orättmätigt intrång som begås uppsåtligen i ett informationssystem som helhet eller en del av ett sådant system straffbeläggs när det begås genom intrång i en säkerhetsåtgärd och åtminstone i fall som inte är ringa. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att det är straffbart att, uppsåtligen och orättmätigt, allvarligt hindra eller avbryta driften av ett informationssystem genom att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbe handlingsbara uppgifter, åtminstone i fall som inte är ringa. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att avlyssning med tekniska hjälpmedel, som sker uppsåtligen och orättmätigt, av icke-offentliga överföringar av datorbehandlingsbara uppgifter till, från eller inom ett infor mationssystem, inklusive elektromagnetisk strålning från infor mationssystem som innehåller sådana uppgifter, straffbeläggs, åtminstone i fall som inte är ringa. Verktyg som används för att begå brott Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att det är straffbart att uppsåtligen tillverka, sälja, anskaffa i syfte att använda, importera, distribuera eller på annat sätt tillgängliggöra ett av följande verktyg, om det sker orätt mätigt och med uppsåt att begå något av de brott som avses i artiklarna 3–6, åtminstone i fall som inte är ringa: a)Ett datorprogram som utformats eller anpassats i första hand för att begå något av de brott som avses i artiklarna 3–6. b)Ett datorlösenord, en åtkomstkod eller liknande uppgifter som gör det möjligt att få tillgång till ett informationssystem eller delar av ett sådant system. Anstiftan, medhjälp och försök 1.Medlemsstaterna ska se till att anstiftan av och medhjälp till de brott som avses i artiklarna 3–7 straffbeläggs. 2.Medlemsstaterna ska se till att försök att begå de brott som avses i artiklarna 4 och 5 straffbeläggs. 1.Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att de brott som avses i artiklarna 3–8 är belagda med effektiva, proportionella och avskräckande straffrättsliga påföljder. 2.Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att de brott som avses i artiklarna 3–7 är belagda med ett maximistraff fängelse, åtminstone i fall som inte är ringa. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att det är straffbart att, uppsåtligen och orättmätigt, radera, skada, försämra, ändra, hindra flödet av eller göra det Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att de brott som avses i artiklarna 4 och 5 är belagda med ett maximistraff fängelse när de Europeiska unionens officiella tidning L 218/13 begås uppsåtligen och när ett betydande antal informations system har påverkats genom användning av ett verktyg som avses i artikel 7 och som har utformats eller anpassats i första hand för detta syfte. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att de brott som avses i artiklarna 4 och 5 är belagda med ett maximistraff fängelse när de a)begås inom ramen för en kriminell organisation enligt defi nitionen i rambeslut /841/RIF, oberoende av den på följdsnivå som föreskrivs däri, eller b)förorsakar allvarlig skada, eller c)begås mot ett informationssystem som utgör kritisk infra struktur. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att det i enlighet med nationell rätt kan anses som en försvårande omständighet, när de brott som avses i artiklarna 4 och 5 begås genom missbruk av personuppgifter som rör en annan person än gärningsmannen i syfte att vinna tredje mans förtroende och därigenom medför skada för den som identite ten tillhör, om inte dessa omständigheter redan täcks av ett annat brott som är straffbart enligt nationell rätt. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att juridiska personer kan ställas till ansvar för de brott som avses i artiklarna 3–8 och som begås till deras för mån av en person som agerar antingen enskilt eller som en del av den juridiska personens organisation och har en ledande ställning inom den juridiska personen, grundad på något av följande: a)Behörighet att företräda den juridiska personen. b)Befogenhet att fatta beslut på den juridiska personens vägnar. c)Befogenhet att utöva kontroll inom den juridiska personen. 2.Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att juridiska personer kan ställas till ansvar när brister i övervakning eller kontroll som ska utföras av en sådan person som avses i punkt 1 har gjort det möjligt för en person som är underställd den juridiska personen att till förmån för denna juridiska person begå något av de brott som avses i artiklarna 3–8. 3.Juridiska personers ansvar enligt punkterna 1 och 2 ska inte utesluta lagföring av fysiska personer som begår, anstiftar eller medverkar till något av de brott som avses i artiklarna 3–8. Påföljder för juridiska personer Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att en juridisk person som har fällts till ansvar enligt artikel 10.1 kan bli föremål för effektiva, proportionella och avskräckande påföljder, som ska innefatta bötesstraff eller administrativa avgifter och som får inbegripa andra påföljder, som a)fråntagande av rätt till offentliga förmåner eller stöd, b)tillfälligt eller permanent näringsförbud, c)rättslig övervakning, d)rättsligt beslut om upplösning av verksamheten, e)tillfällig eller permanent stängning av inrättningar som har använts för att begå brottet. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att en juridisk person som har fällts till ansvar enligt artikel 10.2 kan bli föremål för effektiva, proportionella och avskräckande påföljder eller andra åtgärder. Medlemsstaterna ska fastställa sin behörighet beträffande de brott som avses i artiklarna 3–8, när brottet har begåtts a)helt eller delvis på deras territorium, eller b)av en medborgare i medlemsstaten, åtminstone i sådana fall där gärningen utgör ett brott på den plats där den begicks. En medlemsstat ska vid fastställandet av sin behörighet enligt punkt 1 a se till att behörigheten innefattar fall där a)gärningsmannen är fysiskt närvarande på dess territorium när brottet begås, oavsett om brottet riktar sig mot ett infor mationssystem på denna medlemsstats territorium eller inte, eller b)brottet riktar sig mot ett informationssystem på dess territo rium, oavsett om gärningsmannen är fysiskt närvarande på territoriet när brottet begås eller inte. En medlemsstat ska underrätta kommissionen om den beslutar att fastställa sin behörighet över ett brott som avses i artiklarna 3–8 vilket har begåtts utanför dess territorium, in begripet när a)gärningsmannen har sin hemvist på denna medlemsstats territorium, eller b)gärningen har begåtts till förmån för en juridisk person som är etablerad inom denna medlemsstats territorium. För utbyte av uppgifter om de brott som avses i artiklarna 3–8 ska medlemsstaterna se till att ha en operativ nationell kontaktpunkt och att använda det befintliga nät med operativa kontaktpunkter som kan nås dygnet runt . Medlemsstaterna ska också se till att ha förfaranden som gör att de vid brådskande begäran om bistånd inom högst efter mottagandet kan ange åtminstone huruvida begäran kom mer att besvaras samt formen och den beräknade tidpunkten för svaret. L 218/14 Europeiska unionens officiella tidning 2.Medlemsstaterna ska underrätta kommissionen om sin ut sedda kontaktpunkt som avses i punkt 1. Kommissionen ska vidarebefordra denna information till de andra medlemsstaterna och behöriga specialiserade unionsbyråer och -organ. 3.Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att se till att lämpliga rapporteringskanaler är tillgängliga för att underlätta att de brott som avses i artiklarna 3–6 rapporteras till behöriga nationella myndigheter utan onödigt dröjsmål. 1.Medlemsstaterna ska se till att det finns ett system för registrering, insamling och tillhandahållande av statistiska upp gifter om de brott som avses i artiklarna 3–7. 2.De statistiska uppgifter som avses i punkt 1 ska åtmin stone omfatta befintliga uppgifter om antalet sådana brott som avses i artiklarna 3–7 som registrerats av medlemsstaterna och antalet personer som åtalats och dömts för sådana brott som avses i artiklarna 3–7. 3.Medlemsstaterna ska översända de uppgifter som samlas in enligt denna artikel till kommissionen. Kommissionen ska se till att en samlad översikt över dessa statistiska rapporter offent liggörs och översänds till behöriga specialiserade unionsbyråer och -organ Ersättande av rambeslut /222/RIF Rambeslut /222/RIF ersätts härmed med avseende på med lemsstater som deltar i antagandet av detta direktiv, utan att detta påverkar medlemsstaternas skyldigheter vad gäller tidsfris ten för införlivande av rambeslutet med nationell rätt. Med avseende på de medlemsstater som deltar i antagandet av detta direktiv ska hänvisningar till rambeslut /222/RIF an ses som hänvisningar till detta direktiv. Medlemsstaterna ska sätta i kraft de lagar och andra författningar som är nödvändiga för att följa detta direktiv. 2.Medlemsstaterna ska till kommissionen överlämna texten till de bestämmelser genom vilka skyldigheterna enligt detta direktiv införlivas med deras nationella lagstiftning. 3.När en medlemsstat antar dessa bestämmelser ska de in nehålla en hänvisning till detta direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om hur hänvisningen ska göras ska varje medlemsstat själv utfärda. Kommissionen ska överlämna en rapport till och rådet med en utvärdering av i vilken utsträckning medlemsstaterna har vidtagit de åtgärder som är nödvändiga för att följa detta direktiv, vid behov åtföljd av lagstiftningsförslag. Kommissionen ska även beakta den tek niska och rättsliga utvecklingen på området för it-relaterad brottslighet, särskilt vad gäller tillämpningsområdet för detta direktiv. Detta direktiv träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning. Detta direktiv riktar sig till medlemsstaterna i enlighet med fördragen. Sammanfattning av betänkandet konvention om it-relaterad brottslighet (SOU 2013:39) Behovet av lagändringar mot bakgrund av direktivet Inom EU antogs 2005 ett rambeslut om angrepp mot informationssystem. och rådets direktiv om angrepp mot informationssystem och om ersättande av rambeslut /222/RIF syftar till att ytterligare närma medlemsstaternas strafflagstiftning till varandra på området för angrepp mot informationssystem och att ändra och utöka bestämmelserna i rambeslutet. Vidare är avsikten att förbättra samarbetet mellan myndigheter och brottsbekämpande organ i medlemsstaterna. Tyngdpunkten i direktivet utgörs av materiellt straffrättsliga bestämmelser. Bestämmelserna överensstämmer till stor del med de som finns i konvention om it-relaterad brottslighet. Till skillnad från konventionen ställer direktivet emellertid precisa krav på vilka påföljder som ska kunna dömas ut för vissa av brotten i direktivet. Enligt artikel 9.3 och 9.4 ska brotten olaglig systemstörning och olaglig datastörning i vissa fall vara belagda med ett maximistraff på minst tre respektive fängelse. Svensk rätt uppfyller genom främst dataintrångsbestämmelsen direktivets krav på vilka handlingar som ska vara straffbelagda som olaglig systemstörning och olaglig datastörning. Straffskalan för dataintrång är böter eller fängelse i högst . Utredningen bedömer därför att straffskalan för dataintrång måste skärpas för att ska kunna genomföra direktivet. Av artikel 9.2 följer vidare att vissa straffbara befattningar med verktyg ska vara belagda med ett maximistraff fängelse. Svensk rätt uppfyller i denna del kravet på straffbarhet genom främst bestämmelserna om förberedelse till brott, bl.a. förberedelse till dataintrång. För förberedelse till dataintrång är det inte möjligt att döma till fängelse. Det krävs alltså även av detta skäl en skärpning av straffskalan för dataintrång. I övrigt anser utredningen att svensk rätt redan uppfyller de krav som ställs i direktivet. En särskild straffskala för grovt dataintrång Straffskalan för brytande av post- eller telehemlighet sträcker sig från böter till fängelse . Enligt utredningens mening är den nuvarande straffskalan alltjämt väl avvägd. Något skäl att skärpa straffet för brytande av post- eller telehemlighet anser utredningen alltså inte finnas. Även straffskalan för dataintrång sträcker sig från böter till fängelse . Den nuvarande straffskalan för dataintrång ger emellertid enligt utredningens uppfattning inte tillräckligt utrymme för att kunna beakta allvaret i storskaliga angrepp mot informationssystem. Av olika skäl är det inte alltid möjligt att vid sådana angrepp mot informationssystem tillämpa andra straffbestämmelser med högre straffskalor, såsom bestämmelserna om sabotage, grov skadegörelse och terroristbrott. utredningens mening finns kriminalpolitiska skäl för att skärpa straffskalan för dataintrång. Utredningen föreslår därför att det införs en särskild straffskala för grovt dataintrång. Straffskalan ska sträcka sig från fängelse till fängelse . Vid bedömande av om ett dataintrång är grovt ska särskilt beaktas om gärningen har orsakat eller kunnat orsaka allvarlig skada eller har avsett ett stort antal uppgifter eller om gärningen annars varit av särskilt farlig art. Bestämmelsen om dataintrång ska inte längre vara subsidiär i förhållande till straffbestämmelserna om brytande av post- eller telehemlighet och om intrång i förvar. Försök och förberedelse till grovt dataintrång ska vara straffbart. Förslag till lag om ändring i Härigenom föreskrivs att 4 kap. 9 c och 10 §§ ska ha följande lydelse. Den som i annat fall än som sägs i 8 och 9 §§ olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Om brottet är grovt, döms för grovt dataintrång till fängelse i lägst och högst . Vid bedömande av om brottet är grovt ska särskilt beaktas om gärningen har orsakat eller kunnat orsaka allvarlig skada eller har avsett ett stort antal uppgifter eller om gärningen annars varit av särskilt farlig art. För försök, förberedelse eller stämpling till människorov, människohandel eller olaga frihetsberövande och för underlåtenhet att avslöja sådant brott döms till ansvar enligt vad som sägs i 23 kap. Detsamma gäller för försök eller förberedelse till olaga tvång som är grovt eller till dataintrång som om det fullbordats inte skulle ha varit att anse som ringa. 4Senaste lydelse 2007:213. 5Senaste lydelse 2004:406. För försök, förberedelse eller stämpling till människorov, människohandel eller olaga frihetsberövande och för underlåtenhet att avslöja sådant brott döms till ansvar enligt vad som sägs i 23 kap. Detsamma gäller för försök eller förberedelse till olaga tvång som är grovt, till dataintrång som om det fullbordats inte skulle ha varit att anse som ringa, eller till grovt dataintrång. Denna lag träder i kraft . Efter remiss har yttrande över betänkandet avgetts av ombudsmän, för , Hovrätten över och , , , , , , , , , , , , , , , , Datainspektionen, Försvarsmakten, , , Myndigheten för samhällsskydd och beredskap, , , , i , Statskontoret, , , (), (), , , , ECPAT , Rättighetsalliansen, IT&Telekomföretagen, , och Juliagruppen. Yttrande har också inkommit från Lunds universitets internetinstitut och .SE (). har avstått från att yttra sig. , , , Svenska avdelningen av , Civil Rights Defenders, , Föreningen , , i , och har beretts tillfälle att avge yttrande men har avstått. Förslag till lag om ändring i Härigenom föreskrivs6 att 4 kap. 9 c och 10 §§ ska ha följande lydelse. Den som i annat fall än som sägs i 8 och 9 §§ olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Är brottet grovt, döms för grovt dataintrång till fängelse i lägst och högst . Vid bedömande av om brottet är grovt ska det särskilt beaktas om gärningen har orsakat allvarlig skada eller avsett ett stort antal uppgifter eller annars varit av särskilt farlig art. För försök, förberedelse eller stämpling till människorov, människohandel eller olaga frihetsberövande och för underlåtenhet att avslöja sådant brott döms till ansvar enligt vad som sägs i 23 kap. Detsamma gäller för försök eller förberedelse till olaga tvång som är grovt eller För försök, förberedelse eller stämpling till människorov, människohandel eller olaga frihetsberövande och för underlåtenhet att avslöja sådant brott döms det till ansvar enligt 23 kap. Detsamma gäller för försök eller förberedelse till olaga tvång som är grovt, dataintrång som om det 6Jfr och rådets direktiv /40/EU av om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF (EUT L 218, , s. 8–14, Celex 32013L0040). 7Senaste lydelse 2007:213. 8Senaste lydelse 2004:406. till dataintrång som om det fullbordats inte skulle ha varit att skulle ha varit att anse som ringa, eller grovt anse som ringa. Denna lag träder i kraft . Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitierådet samt justitieråden och . Skärpt straff för dataintrång Enligt en lagrådsremiss () har regeringen beslutat inhämta Lagrådets yttrande över förslag till lag om ändring i . Förslaget har inför Lagrådet föredragits av rättssakkunniga . Lagrådet lämnar förslaget utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: Statsministern , ordförande, och statsråden , , , , , , , , Attefall, , , , , Hatt, Ek, Regeringen beslutar proposition 2013/14:92 Skärpt straff för dataintrång inför, ändrar, upp- Lag om ändring i