prop · H10392 · 2014-02-19 00:00:00 — Regeringens proposition 2013/14:92 Skärpt straff för dataintrång Regeringen överlämnar denna proposition till . Dagens samhälle präglas av att användningen av informationsteknik genomsyrar i stort sett alla sektorer. Myndigheter, företag och organisationer är i hög grad beroende av fungerande informationssystem. Den tekniska utvecklingen innebär att samhället blir mer sårbart för brottsliga angrepp. Det finns tecken på att utvecklingen går mot allt farligare och mer storskaliga angrepp mot informationssystem. Det är angeläget att strafflagstiftningen är utformad så att denna typ av brottslighet kan mötas med påföljder som står i proportion till brottens allvar. I propositionen föreslås därför att det införs en bestämmelse om grovt dataintrång i . Straffet föreslås vara fängelse i lägst och högst . Vid bedömningen av om brottet är grovt ska det särskilt beaktas om gärningen har orsakat allvarlig skada eller avsett ett stort antal uppgifter eller annars varit av särskilt farlig art. Även försök och förberedelse till grovt dataintrång ska vara straffbart. Vidare föreslås att bestämmelsen om dataintrång inte längre ska vara subsidiär i förhållande till straffbestämmelserna om brytande av post- eller telehemlighet och intrång i förvar. I propositionen behandlas även genomförandet av EU:s direktiv om angrepp mot informationssystem. Genom den straffskärpning som föreslås uppfyller kraven i direktivet. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i ......................................... Ärendet och dess beredning .............................................................. Bakgrund och allmänna utgångspunkter........................................... Angrepp mot informationssystem ...................................... åtgärder inom EU och ...................... EU:s direktiv om angrepp mot informationssystem.......................... Genomförandet av direktivet .......................................................... Skärpt straff för dataintrång ............................................................ Straffskalan för brytande av post- eller telehemlighet .................... Ikraftträdande- och övergångsbestämmelser................................... Bilaga 2 Sammanfattning av betänkandet konvention om it-relaterad brottslighet (SOU 2013:39) ....... Bilaga 4 Förteckning över remissinstanserna...................................... Utdrag ur protokoll vid regeringssammanträde Regeringen föreslår att antar regeringens förslag till lag om ändring i . 2013/14:92 2 Förslag till lag om ändring i Härigenom föreskrivs1 att 4 kap. 9 c och 10 §§ ska ha Den som i annat fall än som sägs i 8 och 9 §§ olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Är brottet grovt, döms för grovt dataintrång till fängelse i lägst och högst . Vid bedömande av om brottet är grovt ska det särskilt beaktas om gärningen har orsakat allvarlig skada eller avsett ett stort antal uppgifter eller annars varit av särskilt farlig art. För försök, förberedelse eller stämpling till människorov, människohandel eller olaga frihetsberövande och för underlåtenhet att avslöja sådant brott döms till ansvar enligt vad som sägs i 23 kap. Detsamma gäller för försök eller förberedelse till olaga tvång som är grovt eller till dataintrång som om det fullbordats inte skulle ha varit att För försök, förberedelse eller stämpling till människorov, människohandel eller olaga frihetsberövande och för underlåtenhet att avslöja ett sådant brott döms det till ansvar enligt 23 kap. Detsamma gäller för försök eller förberedelse till olaga tvång som är grovt, dataintrång som om det fullbordats inte skulle ha varit att anse som ringa, eller grovt 1Jfr och rådets direktiv /40/EU av om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF (EUT L 218, , s. 8–14, Celex 32013L0040). 2Senaste lydelse 2007:213. 3Senaste lydelse 2004:406. anse som ringa. Denna lag träder i kraft . Ärendet och dess beredning lade Europeiska kommissionen fram ett förslag till direktiv om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF. Förslaget byggde i stora delar dels på det tidigare rambeslutet, dels på konvention om it-relaterad En faktapromemoria om direktivförslagets innehåll har överlämnats till (2010/11:FPM15). och rådets direktiv /40/EU av 2013 om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF (fortsättningsvis direktivet) trädde i kraft den Direktivet ska vara genomfört Direktivet finns i bilaga 1. Regeringen gav en särskild utredare i uppdrag att efter en behovsanalys lämna förslag på de författningsändringar som krävs för att ska kunna tillträda konvention om it- dess tilläggsprotokoll (dir. 2011:98). Utredningen, som tog namnet Utredningen om it-brottskonventionen, fick genom tilläggsdirektiv i uppdrag att även analysera behovet av och lämna förslag till de författningsändringar som behövs för att genomföra direktivet. Utredningen fick dessutom i uppgift att överväga behovet av skärpta straff för brytande av post- eller telehemlighet och dataintrång (dir. 2012:102). Utredningen lämnade betänkandet konvention om it-relaterad brottslighet (SOU 2013:39). I betänkandet lämnas bl.a. förslag till de lagändringar som bedöms nödvändiga för att tillträda konventionen och dess tilläggsprotokoll samt för att genomföra Denna proposition behandlar de frågor som omfattades av utredningens tilläggsuppdrag, dvs. genomförandet av direktivet och frågan om skärpta straff för dataintrång och brytande av post- eller Utredningens övriga förslag bereds vidare inom En sammanfattning av betänkandet och dess lagförslag i relevanta delar finns i bilaga 2 respektive bilaga 3. Betänkandet har remissbehandlats och en förteckning över remissyttrandena i nu aktuella delar finns tillgänglig i (Ju2013/4173/Å). Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 5. Lagrådets yttrande finns i bilaga 6. Lagrådet har lämnat förslaget utan erinran. I förhållande till lagrådsremissens lagförslag har en mindre språklig ändring gjorts. Bakgrund och allmänna utgångspunkter Prop. Dagens samhälle präglas av att användningen av informationsteknik genomsyrar i stort sett alla sektorer. Myndigheter, företag och organisationer är i hög grad beroende av fungerande informationssystem. Många företag baserar sin verksamhet på internet. Även inom den offentliga sektorn har beroendet av internet ökat bl.a. med satsningar på självbetjäningstjänster och 24-timmarsmyndigheter. Internet är också av avgörande betydelse för människors vardag, t.ex. för att söka information, kommunicera med andra eller sköta bankärenden. Denna tekniska utveckling är i allt väsentligt eftersträvansvärd och positiv. har utvecklingen medfört att samhället är mer sårbart för olika former av brottsliga angrepp som riktar sig mot informationssystem. Det finns tecken på att utvecklingen går mot farligare och mer storskaliga angrepp, till exempel intrång i eller överbelastningsattacker mot bankers och myndigheters informationssystem. Angreppen begås med allt mer sofistikerade metoder och kan orsaka betydande ekonomiska skador på grund av avbrott i informationssystemens drift och i kommunikationen. Angreppen kan även orsaka förlust eller förvanskning av hemlig eller i övrigt integritetskänslig information som är av stor betydelse för enskilda. Informationssystemens ökade betydelse visar att det är en angelägen uppgift för samhället att motverka och bekämpa angrepp mot sådana system. I det ligger att säkerställa att brottsligheten kan mötas med straffrättsliga påföljder som motsvarar brottens svårhetsgrad. 4.2Tidigare åtgärder inom EU och EU:s rambeslut om angrepp mot informationssystem (2005/222/RIF) Inom EU antogs ett rambeslut om angrepp mot informationssystem (2005/222/RIF). Rambeslutet omfattade åtaganden att kriminalisera olagligt intrång i informationssystem, olaglig systemstörning och olaglig datastörning samt förstadier till dessa gärningar. Det reglerade även vilka påföljder som gärningarna ska kunna leda till. Vidare fanns bestämmelser om försvårande omständigheter, ansvar och sanktioner för juridiska personer, domsrätt samt utbyte av uppgifter. Rambeslutet föranledde ändringar i bestämmelse om dataintrång. Bestämmelsen utvidgades till att omfatta dels den som olovligen blockerar en uppgift som är avsedd för automatiserad behandling, dels den som olovligen allvarligt stör eller hindrar användningen av en sådan uppgift. Lagändringarna trädde i kraft (prop. 2006/07:66, bet. 2006/07:JuU13, rskr. 2006/07:147). I och med antagandet av direktivet ersattes rambeslutet. konvention om it-relaterad brottslighet konvention om it-relaterad brottslighet (Convention on Cybercrime, ETS No.185) har till stor del utgjort en förebild för såväl EU:s rambeslut om angrepp mot informationssystem som direktivet. Konventionen innehåller bl.a. bestämmelser om vilka handlingar som ska vara straffbelagda som olagligt intrång i datorsystem, olaglig avlyssning, datastörning, systemstörning och missbruk av apparatur. Därutöver innehåller konventionen ytterligare straffbestämmelser om it- Konventionen innehåller också processuella bestämmelser och bestämmelser om internationellt samarbete. Frågor om kriminalisering av gärningar av rasistisk och främlingsfientlig natur som har begåtts med hjälp av datorsystem behandlas i ett tilläggsprotokoll till konventionen. undertecknat, men inte tillträtt, konventionen och tilläggsprotokollet. Den centrala straffbestämmelsen när det gäller olika former av angrepp mot informationssystem är bestämmelsen om dataintrång i 4 kap. 9 c § . Bestämmelsen fick sitt nuvarande innehåll genom en lagändring 2007, som i huvudsak syftade till att genomföra EU:s rambeslut om angrepp mot informationssystem. förtydligades bestämmelsen och moderniserades språkligt. För dataintrång döms den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift. Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Avsikten med begreppet uppgift som är avsedd för automatiserad behandling är att alla uppgifter, dvs. fakta, information eller begrepp, som uttrycks i en för en dator anpassad och läsbar form ska omfattas av bestämmelsen. Det är för tillämpningen av begreppet utan betydelse var uppgifterna finns eller förvaras i systemet. Det innebär att alla uppgifter oavsett på vilket datamedium de finns omfattas. Även uppgifter som är under befordran omfattas, oavsett på vilket sätt befordran sker (prop. 2006/07:66 s. 38 f.). När det gäller uppgifter som befordras via radio gäller dock som regel att avlyssning av sådan radiokommunikation faller utanför det straffbara området. Det följer av principen om att etern är fri och att olovlighetskravet därmed inte kan anses vara uppfyllt. Om intrånget däremot sker i radiobefordrade uppgifter som t.ex. är krypterade kan dock ansvar för dataintrång komma i fråga (s. 49). Det handlande som straffbeläggs i bestämmelsen är för det första att någon bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling. Det krävs inte att det sker i ett visst syfte eller att det medför någon särskild effekt, t.ex. skada. Inte heller behöver någon säkerhetsåtgärd kringgås. Vidare straffbeläggs att ändra, utplåna eller blockera en uppgift som är avsedd för automatiserad behandling. En ändring kan direkt gälla den uppgift som ska databehandlas eller göras i det datorprogram som styr Prop. 2013/14:92 den aktuella databehandlingen. Att en uppgift utplånas innebär att den helt eller delvis förstörs genom t.ex. radering. Med begreppet blockera ska förstås åtgärder som innebär att en sådan uppgift görs oåtkomlig eller att den hindras från att flöda. Det kan även vara straffbart att föra in en uppgift som är avsedd för automatiserad behandling i ett register. Registerbegreppet medför en begränsning av det straffbara området så till vida att endast sådana införingar som sker i uppgifter som är strukturerade på visst sätt omfattas. Slutligen omfattar dataintrångsbestämmelsen även den som genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en uppgift som är avsedd för automatiserad behandling. Exempel på sådana åtgärder är tillgänglighets- eller överbelastningsattacker. Bestämmelsen om dataintrång är subsidiär i förhållande till straffbestämmelserna i 4 kap. 8 och 9 §§ om brytande av post- eller telehemlighet respektive intrång i förvar. Straffskalan för dataintrång sträcker sig från böter till fängelse i högst . Försök och förberedelse till dataintrång som om det fullbordats inte skulle ha ansetts som ringa är straffbart enligt 4 kap. 10 § . Av 23 kap. 2 § tredje stycket framgår att straffet för förberedelse ska bestämmas under den högsta och får sättas under den lägsta gräns som gäller för fullbordat brott. Högre straff än fängelse får bestämmas endast om fängelse eller däröver kan följa på det fullbordade brottet. Medverkan till dataintrång är straffbelagd enligt 23 kap. 4 § . Förfaranden som innebär angrepp mot informationssystem kan även vara straffbara som t.ex. brytande av post- eller telehemlighet (4 kap. 8 § ), skadegörelse (12 kap. 1 § ), grov skadegörelse (12 kap. 3 § ), sabotage (13 kap. 4 § ), grovt sabotage (13 kap. 5 § ) eller under vissa förutsättningar som terroristbrott enligt lagen (2003:148) om straff för terroristbrott. 5EU:s direktiv om angrepp mot informationssystem och rådets direktiv om angrepp mot informationssystem har ersatt det tidigare rambeslutet. Direktivets mål är att närma medlemsstaternas strafflagstiftning till varandra när det gäller angrepp mot informationssystem genom att fastställa minimiregler för brottsrekvisit och påföljder. Syftet är också att främja förebyggandet av sådana brott och förbättra samarbetet mellan rättsliga och andra behöriga myndigheter. Tyngdpunkten i direktivet utgörs av materiella straffrättsliga bestämmelser som till stor del överensstämmer med dem som finns i rambeslutet och konventionen. Efter artikel 1 som innehåller en beskrivning av syftet med direktivet följer i artikel 2 definitioner av vissa begrepp som används i direktivet. I artiklarna 3–7 anges de gärningar som ska vara straffbelagda när de begås uppsåtligen och orättmätigt. fall behöver dock inte straffbeläggas. Artikel 3, Olagligt intrång i informationssystem, reglerar intrång i informationssystem när det begås genom intrång i en säkerhetsåtgärd. Enligt artikel 4, Olaglig systemstörning, ska det vara straffbart att allvarligt hindra eller avbryta driften av ett informationssystem genom att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter. Av artikel 5, Olaglig datastörning, följer att det ska vara straffbart att radera, skada, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter i ett informationssystem. Enligt artikel 6, Olaglig avlyssning, ska avlyssning med tekniska hjälpmedel av icke-offentliga överföringar av datorbehandlingsbara uppgifter, till, från eller inom ett informationssystem, inklusive elektromagnetisk strålning från informationssystem som innehåller sådana uppgifter vara straffbelagda. Enligt artikel 7, Verktyg som används för att begå brott, ska det vara straffbart att tillverka, sälja, anskaffa i syfte att använda, importera, distribuera eller på annat sätt tillgängliggöra vissa uppräknade verktyg, om det sker orättmätigt och med uppsåt att begå något av de brott som avses i artiklarna 3–6. De verktyg som avses är datorprogram som utformats eller anpassats i första hand för att begå något av de brott som avses i artiklarna 3–6. Vidare avses ett lösenord, en åtkomstkod eller liknande uppgifter som gör det möjligt att få tillgång till ett informationssystem eller delar av ett sådant system. I artikel 8 anges att anstiftan av och medhjälp till sådana gärningar som ska utgöra brott enligt direktivet ska straffbeläggas. Där anges även de gärningar för vilka försök ska vara straffbart, nämligen de i artiklarna 4 och 5. Artikel 9 reglerar vilka påföljder som ska kunna dömas ut. Enligt punkt 1 ska påföljderna vara effektiva, proportionella och avskräckande. Enligt punkt 2 ska brott som avses i artiklarna 3–7 ha ett maximistraff fängelse, åtminstone i fall som inte är ringa. Av punkt 3 följer att olaga systemstörning och olaglig datastörning ska ha ett maximistraff fängelse när ett betydande antal informationssystem har påverkats genom användningen av ett verktyg som avses i artikel 7 och som har utformats eller anpassats i första hand för detta syfte. För dessa brott ställs vidare i punkt 4 ett krav på lägsta maximistraff på fängelse om brottet: a)begåtts inom ramen för en kriminell organisation, b)förorsakat allvarlig skada, eller c)begåtts mot ett informationssystem som utgör kritisk infrastruktur. Av punkt 5 följer att det ska ses som en försvårande omständighet när olaglig systemstörning och olaglig datastörning begåtts genom missbruk av personuppgifter. I artiklarna 10 och 11 regleras juridiska personers ansvar samt påföljder för dessa. Frågor om domsrätt regleras i artikel 12. Därefter följer i artikel 13 bestämmelser om informationsutbyte och i artikel 14 bestämmelser om övervakning och statistik. Avslutningsvis ges i artiklarna 15–19 bestämmelser om bl.a. införlivande, rapportering och Direktivet ska vara genomfört Prop. 2013/14:92 2015. Regeringens bedömning: Svensk rätt uppfyller genom befintlig lagstiftning kraven enligt direktivet med undantag för att det krävs straffskärpning för brottet dataintrång. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser har på ett övergripande plan förklarat sig dela bedömningarna som utredningen har gjort i Enligt är dock hållbarheten av bedömningen beträffande olovlig avlyssning i artikel 6 beroende både av hur direktivbestämmelsen tolkas och av hur principen om eterns frihet Frågan bör därför övervägas ytterligare under den fortsatta Hovrätten över och har ansett att eftersom bestämmelsen i 4 kap. 9 b § endast omfattar en mycket specifik befattning med det tekniska hjälpmedlet kan det finnas anledning att överväga om kraven i artikel 7 är uppfyllda i svensk rätt. Skälen för regeringens bedömning Genomförandet av direktivet i svensk rätt Ett EU-direktiv är bindande med avseende på det resultat som ska uppnås men överlåter åt de nationella myndigheterna att bestämma form och tillvägagångsätt för genomförandet. I den utsträckning som det som föreskrivs i direktivet redan är uppfyllt är det tillräckligt att hänvisa till befintlig lagstiftning och andra åtgärder. Det är regeringen som ansvarar för att EU-rättsliga direktiv genomförs korrekt och i rätt tid. utsträckning det krävs lagändringar för att genomföra hela eller delar av ett direktiv sker det i enlighet med den ordinarie lagstiftningsprocessen, vilket innefattar sedvanlig remiss- och riksdagsbehandling. I samband med att det nu aktuella förslaget till direktiv presenterades gjordes inom en analys av förslaget liksom av dess konsekvenser för svensk lagstiftning vid ett kommande genomförande. En faktapromemoria som beskrev innehållet i förslaget samt gällande svenska regler och förslagets effekt på dessa överlämnades till . I faktapromemorian redogjordes bl.a. för att artiklarna 6 och 7 om olovlig avlyssning respektive befattning med vissa angivna verktyg var nya i förhållande till rambeslutet och att det krävdes ytterligare analys av bestämmelsernas överenstämmelse med svensk rätt. att även direktivets bestämmelser om påföljder och försvårande omständigheter behövde analyseras vidare. Därefter har en särskild utredare haft i uppdrag att bl.a. analysera behovet av och lämna förslag till de författningsändringar som krävs för att genomföra direktivet i svensk rätt. Enligt utredningen krävs lagstiftningsåtgärder för att uppfylla direktivets bestämmelse i artikel 9 om påföljder. Utredningen har konstaterat att punkten 2 ställer krav på att vissa straffbara befattningar med verktyg som avses i artikel 7 ska vara belagda med ett maximistraff fängelse. Enligt utredningen uppfyller svensk rätt kriminaliseringsåtagandet genom främst bestämmelserna om förberedelse till brott, bl.a. förberedelse till dataintrång. Eftersom straffskalan för dataintrång inte medger att ett fängelsestraff som uppgår till döms ut för förberedelse till brottet, har utredningen ansett att det krävs en skärpning av straffskalan. Vidare har utredningen konstaterat att punkterna 3 och 4 kräver att sådana gärningar som beskrivs i artiklarna om olaglig systemstörning och olaglig datastörning i vissa fall ska vara belagda med ett maximistraff på minst tre respektive fängelse. Utredningen har gjort bedömningen att svensk rätt uppfyller direktivets kriminaliseringskrav främst genom dataintrångsbestämmelsen. Eftersom det högsta straffet för dataintrång är fängelse i högst , har utredningen gjort bedömningen att direktivet även i denna del kräver en skärpning av straffskalan. När det gäller övriga artiklar i direktivet har utredningen gjort bedömningen att svensk rätt uppfyller de krav som ställs. uppfyller genom befintlig lagstiftning i huvudsak kraven enligt direktivet Regeringen delar utredningens bedömning av vilka lagstiftningsåtgärder som krävs för att ska uppfylla direktivets förpliktelser. I likhet med utredningen anser alltså regeringen att direktivet kräver en skärpning av straffet för dataintrång. När det gäller de synpunkter som remissinstanserna har framfört gör regeringen följande överväganden. Regeringen instämmer inledningsvis i utredningens bedömning att det som direktivet betecknar som olovlig avlyssning kan utgöra brytande av telehemlighet, om det är fråga om överföring av meddelanden via ett allmänt kommunikationsnät. Likaså ansluter sig regeringen till utredningens bedömning att förfarandet annars kan utgöra dataintrång bestående i att någon bereder sig tillgång till uppgifter avsedda för automatiserad behandling. För straffansvar för brytande av telehemlighet och dataintrång krävs dock också att intrånget varit olovligt. Som regel faller då avlyssning av uppgifter som befordras via radio utanför det straffbara området. Det följer av principen om att etern är fri och att olovlighetskravet därmed inte är uppfyllt. Om intrånget däremot sker i radiobefordrade uppgifter som är t.ex. krypterade kan dock ansvar för dataintrång komma ifråga (prop. 2006/07:66 s. 49). Utredningen har uttalat att det är osäkert hur långt principen om eterns frihet sträcker sig när det gäller information som inte kan avlyssnas med t.ex. en vanlig radiomottagare, utan vars avlyssning kräver användning av speciella tekniska hjälpmedel. Enligt regeringens mening saknas det bärande skäl för att inom ramen för detta lagstiftningsärende göra uttalanden om eller närmare beröra hur principen om eterns frihet ska avgränsas med beaktande av t.ex. den tekniska utvecklingen. avgörande utgångspunkt för denna bedömning är att direktivet endast Prop.