[pic] | ΕΠΙΤΡΟΠΗ ΤΩΝ ΕΥΡΩΠΑΪΚΩΝ ΚΟΙΝΟΤΗΤΩΝ |

Βρυξέλλες, 14.7.2008

COM(2008) 448 τελικό

ΕΚΘΕΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΣΥΜΒΟΥΛΙΟ

βάσει του άρθρου 12 της απόφασης-πλαίσιο του Συμβουλίου της 24ης Φεβρουαρίου 2005 για τις επιθέσεις κατά των συστημάτων πληροφοριών

1. ΕΙΣΑΓΩΓΗ

1.1. Πλαίσιο

Η παρούσα έκθεση έχει ως σκοπό να αξιολογήσει εάν τα κράτη μέλη εφαρμόζουν ορθά την απόφαση-πλαίσιο 2005/222/ΔΕΥ του Συμβουλίου για τις επιθέσεις κατά των συστημάτων πληροφοριών[1] (εφεξής «η απόφαση-πλαίσιο») στο εθνικό τους δίκαιο.

Ο κύριος στόχος[2] της απόφασης-πλαίσιο είναι η βελτίωση της συνεργασίας μεταξύ των δικαστικών και άλλων αρμόδιων αρχών, συμπεριλαμβανομένης της αστυνομίας και άλλων εξειδικευμένων υπηρεσιών επιφορτισμένων με την επιβολή του νόμου στα κράτη μέλη, μέσω της προσέγγισης των κανόνων του ποινικού δικαίου των κρατών μελών που αφορούν επιθέσεις κατά των συστημάτων πληροφοριών. Με δεδομένο αυτό το στόχο, η απόφαση-πλαίσιο έχει σκοπό να συμπληρώσει και να αναπτύξει άλλες κοινοτικές και διεθνείς πράξεις (ιδίως τη σύμβαση του Συμβουλίου της Ευρώπης για το έγκλημα στον κυβερνοχώρο[3]).

Μετά την έκδοση της απόφασης-πλαίσιο, διαδοχικές εγκληματικές επιθέσεις κατά των συστημάτων πληροφοριών τόνισαν επανειλημμένα την ανάγκη για μεγαλύτερο ευρωπαϊκό συντονισμό ώστε να δοθεί απάντηση στις επιθέσεις αυτού του είδους. Η μαζική άρνηση παροχής υπηρεσίας κατά την επίθεση κατά της υποδομής πληροφοριών της Εσθονίας τον Μάιο του 2007 χρησίμευσε ως έγκαιρη υπενθύμιση των αποδιοργανωτικών και καταστροφικών συνεπειών των εν λόγω επιθέσεων.

Συνεπώς, η ανάγκη πλήρους και ορθής εφαρμογής της απόφασης-πλαίσιο από κάθε κράτος μέλος ενισχύθηκε από την έκδοση της απόφασης-πλαίσιο. Ο επίκαιρος χαρακτήρας της παρούσας έκθεσης τονίζεται περαιτέρω στα συμπεράσματα της πρόσφατης συνόδου του Συμβουλίου Δικαιοσύνης και Εσωτερικών Υποθέσεων[4] με τη ρητή αναφορά στην καταπολέμηση του εγκλήματος στον κυβερνοχώρο. Επίσης στα συμπεράσματα αυτά σημειώθηκε ότι αναμένεται η έκθεση της Επιτροπής για την εφαρμογή.

1.2. Κοινοποιήσεις και απαντήσεις

Στο άρθρο 12 παράγραφος 2 της απόφασης-πλαίσιο θεσπίζεται υποχρέωση των κρατών μελών να διαβιβάσουν έως τις 16 Μαρτίου 2007 το κείμενο των διατάξεων με τις οποίες μεταφέρουν στο εθνικό τους δίκαιο τις υποχρεώσεις που υπέχουν δυνάμει της απόφασης-πλαίσιο. Μέχρι την ημερομηνία αυτή μόνο ένα κράτος μέλος (η Σουηδία) είχε διαβιβάσει το κείμενο των εθνικών διατάξεών της στην Επιτροπή και ακόμα και αυτό το κείμενο ήταν ατελές. Επομένως, η Επιτροπή απέστειλε υπενθύμιση στα κράτη μέλη, ζητώντας από αυτά να της αποστείλουν το κείμενο όλων των εθνικών διατάξεών τους με τις οποίες μεταφέρουν την απόφαση-πλαίσιο καθώς και κάθε άλλη συναφή πληροφορία σχετικά με την εφαρμογή αυτού του μέτρου.

Μέχρι την 1η Ιουνίου 2008 η Επιτροπή είχε παραλάβει κοινοποιήσεις ή απαντήσεις στην υπενθύμιση από 23 κράτη μέλη. Δεν παρελήφθησαν απαντήσεις από τη Μάλτα, την Πολωνία[5], τη Σλοβακία και την Ισπανία . Επιπλέον, οι απαντήσεις από την Ιρλανδία, την Ελλάδα και το Ηνωμένο Βασίλειο, όπως αναγνωρίστηκε από τις αντίστοιχες κυβερνήσεις, δεν επιτρέπουν την αξιολόγηση της εφαρμογής στα κράτη αυτά, λόγω της καθυστέρησης της εφαρμογής.

Επομένως, τα προαναφερθέντα επτά κράτη μέλη δεν εκπλήρωσαν την υποχρέωση κοινοποίησης που υπέχουν δυνάμει του άρθρου 12 παράγραφος 2 της απόφασης-πλαίσιο. Συνεπώς, η παρούσα έκθεση παρουσιάζει την αξιολόγηση της νομοθεσίας μόνο για τα υπόλοιπα 20 κράτη μέλη.

1.3. Μέθοδος και κριτήρια αξιολόγησης

Η παρούσα έκθεση βασίζεται στις πληροφορίες που παρέχουν τα κράτη μέλη. Ωστόσο, μερικά από τα δεδομένα που απαιτούνται ελλείπουν. Συνεπώς, η αξιολόγηση και τα επακόλουθα συμπεράσματα σε αυτή την έκθεση βασίζονται εν μέρει σε ελλιπείς πληροφορίες.

Δυνάμει του άρθρου 34 παράγραφος 2 στοιχείο β) της συνθήκης για την Ευρωπαϊκή Ένωση, οι αποφάσεις-πλαίσιο δεσμεύουν τα κράτη μέλη ως προς το επιδιωκόμενο αποτέλεσμα, αλλά αφήνουν στην αρμοδιότητα των εθνικών αρχών την επιλογή του τύπου και των μέσων. Για την αντικειμενική αξιολόγηση της πλήρους εφαρμογής απόφασης-πλαίσιο από κράτος μέλος, έχουν αναπτυχθεί μερικά γενικά κριτήρια όσον αφορά τις οδηγίες. Τα κριτήρια αυτά μπορούν να εφαρμοστούν τηρουμένων των αναλογιών στις αποφάσεις-πλαίσιο. Ειδικότερα, οι κανόνες για την εφαρμογή της απόφασης-πλαίσιο πρέπει να λειτουργούν αποτελεσματικά, λαμβανομένων υπόψη των στόχων της, πρέπει να ικανοποιούν τις απαιτήσεις της σαφήνειας και της ασφάλειας του δικαίου, πρέπει να διασφαλίζουν την πλήρη εφαρμογή του κειμένου κατά τρόπο αρκούντως σαφή και ακριβή και πρέπει να εφαρμόζονται εντός της ταχθείσας περιόδου.

Η παρούσα έκθεση εστιάζεται κυρίως στο τυπικό επίπεδο εφαρμογής των διατάξεων ποινικού δικαίου της απόφασης-πλαίσιο. Ωστόσο, η εφαρμογή στην πράξη των κανόνων αυτών υπερβαίνει την εμβέλεια της παρούσας έκθεσης.

2. ΑΞΙΟΛΟΓΗΣΗ

2.1. Γενικό σημείο σχετικά με την εφαρμογή

Η απόφαση-πλαίσιο εφαρμόστηκε με πολύ διαφορετικό τρόπο στα 20 κράτη μέλη. Στα περισσότερα κράτη μέλη, η διατύπωση της εθνικής νομοθεσίας προσεγγίζει τη διατύπωση της απόφασης-πλαίσιο. Σε άλλα κράτη μέλη η μέθοδος εφαρμογής είναι περισσότερο έμμεση και γενική. Σε πολλές περιπτώσεις αυτό σημαίνει ότι οι νομικές έννοιες και εκφράσεις δεν μπορούν να συγκριθούν εύκολα. Στο μέτρο του δυνατού, η παρούσα έκθεση θα λάβει υπόψη της το γενικό ποινικό δίκαιο των κρατών μελών και θα σημειώσει τυχόν ειδικές δυσκολίες που συνδέονται με την προσέγγιση αυτή.

2.2. Ορισμοί (άρθρο 1)

Τα 20 κράτη μέλη δεν παρείχαν σαφείς ή πλήρεις πληροφορίες για τον τρόπο εφαρμογής στο εθνικό τους δίκαιο των ορισμών που περιλαμβάνονται στην απόφαση-πλαίσιο. Ωστόσο, το γενικό πλαίσιο σαφώς καταδεικνύει ότι οι ορισμοί στο εθνικό τους δίκαιο συνάδουν προς την απόφαση-πλαίσιο.

2.3. Παράνομη πρόσβαση στα συστήματα πληροφοριών (άρθρο 2)

Η Επιτροπή θεωρεί ότι όλα τα 20 κράτη μέλη ενσωμάτωσαν την κύρια υποχρέωση, δηλαδή εξασφάλισαν ότι η εκ προθέσεως πρόσβαση, χωρίς δικαίωμα, στο σύνολο ή σε μέρος συστήματος πληροφοριών, τιμωρείται ως ποινικό αδίκημα.

Η τελευταία πρόταση της πρώτης παραγράφου επιτρέπει στα κράτη μέλη την επιλογή να ποινικοποιήσουν την εν λόγω πράξη μόνο «όταν δεν πρόκειται για ήσσονος σημασίας περιπτώσεις». Τα ακόλουθα κράτη μέλη, χρησιμοποίησαν, περισσότερο ή λιγότερο ρητά, αυτή την επιλογή με βάση ότι τα συστήματα που περιγράφονται παρακάτω αντιστοιχούν σε «μη ήσσονος σημασίας περιπτώσεις» :

- Στην Αυστρία , το νομικό κριτήριο ποινικής ευθύνης συνίσταται στην ύπαρξη πρόθεσης για τη διάπραξη κατασκοπείας δεδομένων και τη χρήση των δεδομένων αυτών με σκοπό τον προσπορισμό οφέλους ή την πρόκληση ζημίας.

- Η Τσεχική Δημοκρατία ποινικοποίησε την παράνομη πρόσβαση μόνο σε περιπτώσεις που υπήρξε μεταγενέστερη μη δέουσα χρήση ή προκλήθηκε ζημία των δεδομένων.

- Στη Φινλανδία προϋπόθεση της ποινικής ευθύνης είναι η «διακινδύνευση» των δεδομένων στα οποία σημειώθηκε πρόσβαση.

- Στη Λετονία , η παράνομη πρόσβαση ποινικοποιείται μόνο εάν «προκαλείται με αυτή ουσιώδης βλάβη».

Απαιτείται ειδική ερμηνεία των «μη ήσσονος σημασίας περιπτώσεων» για να καταστεί δυνατή η αξιολόγηση της συνοχής των συστημάτων αυτών με την απόφαση-πλαίσιο. Απαιτείται ανάλογη ερμηνεία για να αποδειχθεί εάν τουλάχιστον ο βασικός πυρήνας της ποινικοποίησης, στην οποία απέβλεπε η απόφαση-πλαίσιο, καλύπτεται επίσημα από τα κράτη μέλη. Το άρθρο 2 αποσκοπεί στην προστασία του απορρήτου των συστημάτων πληροφοριών. Συνεπώς, η Επιτροπή εκτιμά ότι η έννοια των «ήσσονος σημασίας περιπτώσεων» πρέπει να αναφέρεται σε υποθέσεις όπου τα περιστατικά παράνομης πρόσβασης έχουν ήσσονα σημασία ή όπου η παράβαση του απορρήτου συστήματος πληροφοριών είναι ήσσονος βαθμού. Ωστόσο, οι αντίστοιχοι κανόνες της Αυστρίας, της Τσεχικής Δημοκρατίας, της Φινλανδίας και της Λετονίας, οι οποίοι αναφέρονται παραπάνω, περιγράφουν με λεπτομέρεια συνθήκες, για παράδειγμα την ύπαρξη ειδικής εγκληματικής πρόθεσης ή ειδικών κινδύνων ή ζημιών, που δεν μπορούν να θεωρηθούν ότι συνάδουν με την προαναφερθείσα ερμηνεία. Επομένως, η Επιτροπή διατηρεί σοβαρές επιφυλάξεις για το εάν οι εν λόγω διατάξεις της Αυστρίας, της Τσεχικής Δημοκρατίας, της Φινλανδίας και της Λετονίας ευθυγραμμίζονται με την έννοια των συνθηκών που χαρακτηρίζουν τις «μη ήσσονος σημασίας περιπτώσεις» της απόφασης-πλαίσιο.

Γενικότερα, αυτή η διαφοροποίηση της ερμηνείας και της εφαρμογής της επιλογής να μην ποινικοποιούνται ορισμένες πράξεις θέτει σε σοβαρό κίνδυνο το στόχο προσέγγισης των κανόνων ποινικού δικαίου των κρατών μελών στον τομέα των επιθέσεων κατά των συστημάτων πληροφοριών.

Επομένως, η Επιτροπή εκτιμά ότι μόνο 16 από τα 20 κράτη μέλη κατέδειξαν ότι έχουν εφαρμόσει ορθά το άρθρο 2 της απόφασης-πλαίσιο.

Το άρθρο 2 παράγραφος 2 επιτρέπει στα κράτη μέλη να αποφασίζουν εάν η αναφερόμενη στην παράγραφο 1 πράξη ποινικοποιείται μόνον όταν το αδίκημα διαπράττεται κατά παράβαση μέτρου ασφαλείας. Η επιλογή αυτή εφαρμόστηκε σε επτά από τα 20 κράτη μέλη ( Αυστρία, Φινλανδία, Γερμανία, Ουγγαρία, Ιταλία, Λετονία και Λιθουανία ).

2.4. Παράνομη παρεμβολή σε σύστημα (άρθρο 3)

Η Επιτροπή θεωρεί ότι και τα 20 κράτη μέλη καλύπτουν την κύρια υποχρέωση, δηλαδή εξασφαλίζουν ότι η εκ προθέσεως σοβαρή παρεμπόδιση ή διακοπή της λειτουργίας συστήματος πληροφοριών, με την εισαγωγή, μετάδοση, ζημία, διαγραφή, φθορά, αλλοίωση, απόκρυψη ηλεκτρονικών δεδομένων ή με τον αποκλεισμό της πρόσβασης στα δεδομένα αυτά, τιμωρείται ως ποινικό αδίκημα.

Ωστόσο, μπορεί να απαιτείται περαιτέρω ανάλυση της πρακτικής σε εκείνα τα κράτη μέλη που επέλεξαν σχετικά γενικές διατάξεις για την εφαρμογή αυτού του λεπτομερούς άρθρου της απόφασης-πλαίσιο προκειμένου να επιβεβαιωθεί αυτή η αξιολόγηση. Αυτό συμβαίνει στην περίπτωση της Δανίας , η οποία ισχυρίζεται ότι μια πολύ γενική νομική διάταξη που αφορά την καταστροφή ή τη ζημία ή την κατάργηση κάθε είδους ιδιοκτησίας καλύπτει όλα τα κριτήρια που απαριθμούνται στο εν λόγω άρθρο. Παρόλο που μια ανάλογη προσέγγιση είναι κατ’ αρχήν αποδεκτή, μπορεί να δημιουργήσει ερωτήματα για το βαθμό στον οποίο η διάταξη αυτή εφαρμόζεται σε επιθέσεις κατά της προσβασιμότητας, ιδίως σε περιπτώσεις όπου η ζημία μπορεί να είναι μόνο προσωρινή[6].

Η τελευταία πρόταση του άρθρου 3 επιτρέπει στα κράτη μέλη την επιλογή να ποινικοποιήσουν ανάλογη πράξη μόνο «όταν δεν πρόκειται για ήσσονος σημασίας περιπτώσεις». Η επιλογή αυτή χρησιμοποιήθηκε από έξι κράτη μέλη, τα οποία ισχυρίστηκαν, περισσότερο ή λιγότερο ρητά, ότι τα ακόλουθα συστήματα καλύπτουν ανάλογες περιστάσεις :

- Το δίκαιο της Αυστρίας ποινικοποιεί την παρεμβολή μόνο σε «σοβαρές» περιπτώσεις.

- Το δίκαιο της Τσεχικής Δημοκρατίας απαιτεί πρόθεση για την πρόκληση βλάβης ή απώλειας[7].

- Το δίκαιο της Γερμανίας απαιτεί το σύστημα πληροφοριών στο οποίο σημειώθηκε η παρεμβολή «να έχει ουσιώδη σημασία για τρίτο μέρος».

- Το δίκαιο της Εσθονίας εξαρτά την ποινική ευθύνη από το κριτήριο «πρόκλησης σημαντικής ζημίας ...».

- Το δίκαιο της Λιθουανίας ποινικοποιεί μόνο τα περιστατικά «με τα οποία προκαλείται ζημία».

- Το δίκαιο της Λετονίας ποινικοποιεί την παρέμβαση μόνο όταν «σημειώνεται ζημία ή καταστροφή των προστατευτικών συστημάτων ή προκαλείται μεγάλης κλίμακας απώλεια».

Επίσης, απαιτείται στενότερος καθορισμός «των μη ήσσονος σημασίας περιπτώσεων» για να καταστεί δυνατόν να αξιολογηθεί εάν τα προαναφερθέντα συστήματα συνάδουν με την απόφαση-πλαίσιο. Η ανάγκη αυτή συζητήθηκε προηγουμένως όσον αφορά το άρθρο 2 στο παραπάνω τμήμα 2.3.

Το άρθρο 3 αποσκοπεί στην ακεραιότητα των συστημάτων πληροφοριών. Συνεπώς, η Επιτροπή εκτιμά ότι η έννοια των «ήσσονος σημασίας περιπτώσεων» πρέπει να αναφέρεται σε υποθέσεις όπου οι παρεμβολές στο σύστημα έχουν ήσσονα σημασία ή όπου η παρεμβολή η οποία σημειώνεται στην ακεραιότητα του συστήματος πληροφοριών είναι μόνο ήσσονος βαθμού. Οι σχετικοί κανόνες της Αυστρίας, της Τσεχικής Δημοκρατίας, της Εσθονίας και της Λετονίας, οι οποίοι αναφέρονται παραπάνω, φαίνεται να αποβλέπουν σε ακριβώς αυτές τις περιστάσεις και πρέπει να θεωρηθούν ότι συμμορφώνονται με την απαίτηση ότι μόνο οι περιπτώσεις ήσσονος σημασίας πρέπει να αποκλεισθούν από την ποινικοποίηση.

Ωστόσο, ο σχετικός κανόνας της Γερμανίας αναφέρεται στη σημασία για τρίτους και ο κανόνας της Λετονίας αναφέρεται σε ζημίες των προστατευτικών συστημάτων ή μεγάλης κλίμακας απώλειες. Η Επιτροπή θεωρεί ότι ο σύνδεσμος αυτών των διατάξεων με την ακεραιότητα των συστημάτων πληροφοριών δεν επαρκεί για να αξιολογηθεί εάν συνάδουν με την επιλογή της απόφασης-πλαίσιο να αποκλεισθούν από την ποινικοποίηση «οι μη ήσσονος σημασίας περιπτώσεις» και ότι αυτό δεν ευθυγραμμίζεται με το στόχο της απόφασης-πλαίσιο για την προσέγγιση των κανόνων ποινικού δικαίου των κρατών μελών που αφορούν επιθέσεις κατά των συστημάτων πληροφοριών.

Γενικότερα, αυτή η διαφοροποίηση της ερμηνείας και της εφαρμογής της επιλογής να μην καταστούν αξιόποινες ορισμένες πράξεις δημιουργεί σοβαρό κίνδυνο για το στόχο προσέγγισης των κανόνων ποινικού δικαίου των κρατών μελών στον τομέα των επιθέσεων κατά των συστημάτων πληροφοριών.

Επομένως, η Επιτροπή εκτιμά ότι μόνο 18 από τα 20 κράτη μέλη κατέδειξαν ότι έχουν εφαρμόσει ορθά το άρθρο 3 της απόφασης-πλαίσιο.

2.5. Παράνομη παρεμβολή σε δεδομένα (άρθρο 4)

Η Επιτροπή θεωρεί ότι και τα 20 κράτη μέλη καλύπτουν την κύρια υποχρέωση να εξασφαλίσουν ότι η εκ προθέσεως διαγραφή, ζημία, φθορά, αλλοίωση, απόκρυψη ηλεκτρονικών δεδομένων ενός συστήματος πληροφοριών ή ο αποκλεισμός της πρόσβασης στα δεδομένα αυτά, τιμωρείται ως ποινικό αδίκημα. Πολλά κράτη μέλη εφάρμοσαν τόσο το άρθρο 3 όσο και το άρθρο 4 σε μια ενιαία εθνική διάταξη. Επίσης, εκ νέου στην περίπτωση της Δανίας , η Επιτροπή δεν είναι πεπεισμένη ότι μια πολύ γενική νομική διάταξη που αφορά την καταστροφή ή τη ζημία ή την κατάργηση κάθε είδους ιδιοκτησίας καλύπτει όλες τις πράξεις που αφορούν τα ηλεκτρονικά δεδομένα, οι οποίες απαριθμούνται στο εν λόγω άρθρο. Για σύντομη συζήτηση αυτού του θέματος, βλέπε τις παρατηρήσεις σχετικά με το άρθρο 3 στο τμήμα 2.4.

Η τελευταία πρόταση του άρθρου επιτρέπει στα κράτη μέλη την επιλογή να ποινικοποιήσουν ανάλογη πράξη μόνο «όταν δεν πρόκειται για ήσσονος σημασίας περιπτώσεις». Η επιλογή αυτή χρησιμοποιήθηκε από τρία κράτη μέλη, τα οποία ισχυρίστηκαν, περισσότερο ή λιγότερο ρητά, ότι τα ακόλουθα συστήματα καλύπτουν ανάλογες περιστάσεις :

- Το δίκαιο της Τσεχικής Δημοκρατίας απαιτεί πρόθεση για την πρόκληση βλάβης ή απώλειας[8].

- Το δίκαιο της Εσθονίας απαιτεί «πρόκληση σημαντικής ζημίας ...».

- Το δίκαιο της Λετονίας (άρθρο 243 του ποινικού νόμου) εφαρμόζει το ακόλουθο κριτήριο : «σημειώνεται ζημία ή καταστροφή των προστατευτικών συστημάτων ή προκαλείται μεγάλης κλίμακας απώλεια».

Όπως τονίσθηκε προηγουμένως στο τμήμα 2.4 σχετικά με τις ίδιες διατάξεις για την εφαρμογή του άρθρου 3 της απόφασης-πλαίσιο, η Επιτροπή θεωρεί ότι η νομοθεσία της Τσεχικής Δημοκρατίας συνάδει με την απόφαση-πλαίσιο σχετικά με το θέμα αυτό και ότι μπορεί να θεωρηθεί πως το ίδιο ισχύει και για τη νομοθεσία της Εσθονίας. Όπως και προηγουμένως, δεν μπορεί να θεωρηθεί ότι η Λετονία πληροί τις υποχρεώσεις της βάσει αυτού του σημείου της απόφασης-πλαίσιο.

Η Επιτροπή θεωρεί ότι 19 από τα 20 κράτη μέλη κατέδειξαν ότι έχουν εφαρμόσει ορθά το άρθρο 4 της απόφασης-πλαίσιο.

2.6. Ηθική αυτουργία, υποβοήθηση και συνέργεια και απόπειρα (άρθρο 5)

Η Επιτροπή θεωρεί ότι 18 από τα 20 κράτη μέλη πληρούν κατ’ αρχήν την κύρια υποχρέωση δηλαδή εξασφαλίζουν ότι η ηθική αυτουργία, η υποβοήθηση και συνέργεια σε αδίκημα καθώς και η απόπειρα διάπραξης τιμωρούνται ως ποινικό αδίκημα. Η Φινλανδία και η Πορτογαλία ανακοίνωσαν εθνικούς κανόνες που αφορούν μόνο την απόπειρα και επομένως δεν κατέδειξαν τον τρόπο κάλυψης των υποχρεώσεων σχετικά με την ηθική αυτουργία, την υποβοήθηση και τη συνέργεια στο εθνικό τους δίκαιο. Η Σουηδία δεν προβλέπει τιμωρία υποθέσεων ηθικής αυτουργίας, υποβοήθησης και συνέργειας και απόπειρας ήσσονος σημασίας. Η προσέγγιση αυτή δεν συνάδει με τις απαιτήσεις της απόφασης-πλαίσιο.

Τα κράτη μέλη μπορούν να αποφασίσουν να μην εφαρμόσουν την υποχρέωση ποινικοποίησης κάθε απόπειρας διάπραξης του αδικήματος της παράνομης πρόσβασης στα συστήματα πληροφοριών. Η Γερμανία και η Σλοβενία ανέφεραν ότι κάνουν χρήση αυτής της επιλογής .

Επομένως, η Επιτροπή θεωρεί ότι το άρθρο 5 εφαρμόστηκε ορθά σε 17 από τα 20 κράτη μέλη.

2.7. Κυρώσεις και επιβαρυντικές περιστάσεις (άρθρα 6-7)

Η Επιτροπή θεωρεί ότι και τα 20 κράτη μέλη εξασφάλισαν ότι τα αδικήματα που αναφέρονται στα άρθρα 2 έως 5 της απόφασης-πλαίσιο, τιμωρούνται με ευλόγως αποτελεσματικές, αναλογικές και αποτρεπτικές ποινικές κυρώσεις[9]. Οι κυρώσεις που θεσπίζονται για την παράνομη παρεμβολή σε σύστημα και την παράνομη παρεμβολή σε δεδομένα πληρούν επίσης τις ειδικές απαιτήσεις του άρθρου 6 παράγραφος 2 της απόφασης-πλαίσιο.

Όσον αφορά την υποχρέωση να λαμβάνονται υπόψη «οι επιβαρυντικές περιστάσεις» για αδίκημα που διαπράχθηκε στο πλαίσιο εγκληματικής οργάνωσης (άρθρο 7) η κατάσταση ποικίλλει περισσότερο.

- Οι διατάξεις που κοινοποιήθηκαν από την Αυστρία σαφώς δεν πληρούν αυτή την υποχρέωση που επιβάλλεται από την απόφαση-πλαίσιο.

- Στη νομοθεσία της Δανίας δεν γίνεται άμεση αναφορά σε εγκληματικές οργανώσεις.

- Στη Φινλανδία δεν γίνεται αναφορά σε εγκληματικές οργανώσεις στη σχετική νομοθεσία.

- Η Πορτογαλία χρειάζεται να κάνει ορισμένες προσαρμογές στη νομοθεσία της για να συμμορφωθεί πλήρως με την απόφαση-πλαίσιο.

Στις διατάξεις που κοινοποίησαν στην Επιτροπή άλλα κράτη μέλη ( Βουλγαρία, Ιταλία, Λετονία και Σουηδία ) δεν γίνεται αναφορά στο κριτήριο «των εγκληματικών οργανώσεων». Ωστόσο, τα κείμενα που ανακοινώθηκαν αποδεικνύουν ότι η υποχρέωση εφαρμογής αυστηρότερων κυρώσεων για τα αδικήματα στα οποία ενέχονται εγκληματικές οργανώσεις έχει ήδη καλυφθεί πλήρως - πλην όμως εμμέσως- από εθνικές διατάξεις στη Βουλγαρία, την Ιταλία και τη Λετονία . Σε αυτά τα κράτη μέλη οι ισχύουσες διατάξεις για όλες τις περιπτώσεις των εν λόγω αδικημάτων θεσπίζουν αυστηρότερες ελάχιστες κυρώσεις από αυτές που αναφέρονται στο άρθρο 7 της απόφασης-πλαίσιο. Η κυβέρνηση της Σουηδίας ισχυρίζεται ότι τα αδικήματα που διαπράχθηκαν στο πλαίσιο εγκληματικών οργανώσεων καλύπτονται πλήρως από τις επιβαρυντικές περιστάσεις για το «σοβαρό έγκλημα» στο σουηδικό δίκαιο και παρείχαν λεπτομερή εξήγηση σχετικά με το θέμα αυτό.

Επομένως, η Επιτροπή θεωρεί ότι το άρθρο 6 έχει εφαρμοστεί ορθά και από τα 20 κράτη μέλη και ότι 16 από αυτά συμμορφώνονται προς τις υποχρεώσεις που επιβάλλει το άρθρο 7 της απόφασης-πλαίσιο.

2.8. Ευθύνη νομικών προσώπων και κυρώσεις κατά νομικών προσώπων (άρθρα 8 και 9)

Η Επιτροπή θεωρεί ότι 16 από τα 20 κράτη μέλη έχουν σαφώς λάβει τα αναγκαία μέτρα προκειμένου να εξασφαλίσουν ότι τα νομικά πρόσωπα είναι δυνατό να υπέχουν ευθύνη για τα αδικήματα που αναφέρονται στα άρθρα 2, 3, 4 και 5 σύμφωνα με τις συνθήκες που περιγράφονται στο άρθρο 8 παράγραφος 1.

Η Τσεχική Δημοκρατία[10], η Λετονία και το Λουξεμβούργο[11] δεν εκπλήρωσαν την υποχρέωσή τους να κοινοποιήσουν στην Επιτροπή ανάλογους κανόνες.

Η Εσθονία ισχυρίζεται ότι οι κανόνες της για την αστική ευθύνη καλύπτουν όλες τις υποθέσεις που περιγράφονται στο άρθρο 8 παράγραφος 1 αλλά δεν παρουσίασε τις λεπτομέρειες αυτών των κανόνων στην Επιτροπή. Δεν υφίσταται υποχρέωση όσον αφορά το χαρακτήρα της εν λόγω ευθύνης και οι εθνικοί κανόνες για τη διοικητική ή την αστική ευθύνη, όταν συνάδουν πλήρως με το άρθρο 8, μπορεί θεωρητικά να επαρκούν. Ωστόσο, η Εσθονία δεν εξήγησε τον τρόπο με τον οποίο η νομοθεσία της για την αστική ευθύνη καλύπτει πλήρως τις υποχρεώσεις βάσει της απόφασης-πλαίσιο.

Το άρθρο 8 παράγραφος 2 υποχρεώνει τα κράτη μέλη να εξασφαλίζουν ότι ένα νομικό πρόσωπο μπορεί να υπέχει ευθύνη όταν η απουσία εποπτείας ή ελέγχου εκ μέρους ενός από τα πρόσωπα που αναφέρονται στην παράγραφο 1 κατέστησε δυνατή την τέλεση αδικήματος προς όφελος του εν λόγω νομικού προσώπου από πρόσωπο που τελεί υπό την εξουσία του. Η Επιτροπή θεωρεί ότι 10 από τα 20 κράτη μέλη συμμορφώθηκαν με αυτή την απαίτηση. Όσον αφορά την Τσεχική Δημοκρατία, την Εσθονία, τη Λετονία και το Λουξεμβούργο , τα συμπεράσματα που εξήχθησαν για το άρθρο 8 παράγραφος 1 ισχύουν και για το άρθρο 8 παράγραφος 2. Η Δανία, η Φινλανδία, η Γαλλία και η Πορτογαλία δεν υπέβαλαν σχετικούς κανόνες για την ευθύνη των νομικών προσώπων. Η Γαλλία δήλωσε ότι ανάλογη ευθύνη απορρέει από τους κανόνες για την αστική ευθύνη αλλά δεν παρείχε επεξήγηση του ακριβούς περιεχομένου της εν λόγω ευθύνης.

Βάσει του άρθρου 9, τα κράτη μέλη λαμβάνουν επίσης τα αναγκαία μέτρα προκειμένου να εξασφαλίσουν ότι σε νομικό πρόσωπο το οποίο υπέχει ευθύνη δυνάμει του άρθρου 8 παράγραφοι 1 και 2, επιβάλλονται αποτελεσματικές, αναλογικές και αποτρεπτικές κυρώσεις. Όλα τα 14 κράτη μέλη που υπέβαλαν μέτρα εφαρμόζοντας ορθά το άρθρο 8 παράγραφος 1 και τα 10 κράτη μέλη που εκπλήρωσαν τις υποχρεώσεις τους δυνάμει του άρθρου 8 παράγραφος 2 εκπλήρωσαν επίσης αυτές τις υποχρεώσεις.

Επομένως, η Επιτροπή θεωρεί ότι μόνο 12 από τα 20 κράτη μέλη κατέδειξαν ότι έχουν πλήρως εφαρμόσει τα άρθρα 8 και 9 της απόφασης-πλαίσιο.

2.9. Δικαιοδοσία (άρθρο 10)

Η Επιτροπή θεωρεί ότι 17 από τα 20 κράτη μέλη εκπλήρωσαν την υποχρέωσή τους να θεμελιώσουν τη δικαιοδοσία τους για τα αδικήματα που αναφέρονται στα άρθρα 2, 3, 4 και 5 της απόφασης-πλαίσιο (βάσει των ειδικών κριτηρίων που θεσπίζονται στο άρθρο 10). Μολονότι οι διαφορετικές μέθοδοι για την έκδοση νομοθεσίας σε θέματα δικαιοδοσίας στα διάφορα κράτη μέλη δυσχεραίνουν τη σύγκριση, η Επιτροπή εκτιμά ότι το άρθρο εφαρμόστηκε ορθά. Η Λετονία και η Πορτογαλία δεν εκπλήρωσαν την υποχρέωσή τους να ενημερώσουν την Επιτροπή για τους εθνικούς τους κανόνες σχετικά με την εφαρμογή του άρθρου 10.

Η επιλογή που προβλέπεται στην παράγραφο 5, η οποία δίδει στα κράτη μέλη τη δυνατότητα να αποφασίσουν να μην εφαρμόζουν ή να εφαρμόζουν μόνο σε ειδικές περιπτώσεις ή συνθήκες τους κανόνες δικαιοδοσίας που ορίζονται στην παράγραφο 1 στοιχεία β) και γ) χρησιμοποιήθηκε και κοινοποιήθηκε από τη Γαλλία [στην περίπτωση της παραγράφου 1 στοιχείο β)] και την Αυστρία, Φινλανδία, Γερμανία, Ουγγαρία και Λιθουανία [(για την παράγραφο 1 στοιχείο γ)]. Η Ιταλία επίσης φαίνεται να έχει κάνει χρήση των παραγράφων 1 στοιχεία β) και γ) και η Εσθονία και η Ρουμανία της παραγράφου 1 στοιχείο γ), παρόλο που δεν το έχουν επισήμως δηλώσει. Επίσης, η Αυστρία ενημέρωσε την Επιτροπή ότι μελετά ακόμα εάν θα συνεχίσει να κάνει χρήση αυτής της επιλογής.

Επομένως, η Επιτροπή θεωρεί ότι το άρθρο 10 εφαρμόστηκε ορθά σε 17 από τα 20 κράτη μέλη.

2.10. Ανταλλαγή πληροφοριών (άρθρο 11)

Τα κράτη μέλη υποχρεούνται να διασφαλίζουν τη χρήση του υφιστάμενου δικτύου λειτουργικών σημείων επαφής που είναι διαθέσιμο σε 24ωρη βάση και τις επτά ημέρες της εβδομάδας. Η Επιτροπή δεν έλαβε πληροφορίες που να της επιτρέπουν να αξιολογήσει εάν αυτό συμβαίνει στο Βέλγιο, την Τσεχική Δημοκρατία, τη Γερμανία, την Ιταλία, τις Κάτω Χώρες, την Πορτογαλία και τη Σλοβενία .

Όσον αφορά την υποχρέωση ενημέρωσης της γενικής γραμματείας του Συμβουλίου και της Επιτροπής για το σημείο επαφής που έχει οριστεί (άρθρο 11 παράγραφος 2), η Επιτροπή δεν έχει λάβει σαφή κοινοποίηση από την Αυστρία, τη Βουλγαρία, την Ιταλία και την Πορτογαλία.

Επομένως, η Επιτροπή θεωρεί ότι μόνο 11 από τα 20 κράτη μέλη κατέδειξαν ότι πληρούν πλήρως τις υποχρεώσεις που θεσπίζονται στο άρθρο 11.

3. ΣΥΜΠΕΡΑΣΜΑΤΑ

3.1. Επίπεδο εφαρμογής

Η παρούσα έκθεση παρέχει μια πρώτη εικόνα της εφαρμογής της απόφασης-πλαίσιο από τα κράτη μέλη. Επιβεβαιώνει την ευρεία ποικιλία των τρόπων με τους οποίους τα κράτη μέλη εφάρμοσαν την ποινική νομοθεσία και την επακόλουθη δυσκολία για την πλήρη αξιολόγηση της εθνικής νομοθεσίας χωρίς να εξετάζεται ο τρόπος εφαρμογής της στην πράξη.

Η Επιτροπή σημειώνει ότι η απόφαση-πλαίσιο βρίσκεται ακόμα στη διαδικασία μεταφοράς από τα κράτη μέλη. Και στα 20 κράτη μέλη που αξιολογήθηκαν στην παρούσα έκθεση σημειώθηκε σημαντική πρόοδος, και το επίπεδο εφαρμογής θεωρήθηκε σχετικά καλό.

Προφανώς, η μεγαλύτερη ανησυχία της Επιτροπής εστιάζεται στα επτά κράτη μέλη που δεν έχουν ακόμα ανακοινώσει τα μέτρα εφαρμογής τους. Η Επιτροπή καλεί τα κράτη μέλη που δεν έχουν ακόμα μεταφέρει την απόφαση-πλαίσιο στις εθνικές τους διατάξεις να τη μεταφέρουν το συντομότερο δυνατό. Επίσης, η Επιτροπή καλεί τα κράτη μέλη να επανεξετάσουν προσεκτικά τη νομοθεσία τους για να εντείνουν τις προσπάθειές τους όσον αφορά την αντιμετώπιση των επιθέσεων κατά των συστημάτων πληροφοριών.

3.2. Μελλοντικές εξελίξεις

Οι πρόσφατες επιθέσεις στην Ευρώπη μετά την έκδοση της απόφασης-πλαίσιο, τόνισαν την ύπαρξη διαφόρων απειλών όπως η εμφάνιση μαζικών ταυτόχρονων επιθέσεων κατά συστημάτων πληροφοριών και η αυξημένη εγκληματική χρήση του καλούμενου δικτύου προγραμμάτων ρομπότ (botnet)[12]. Αυτές οι επιθέσεις δεν βρίσκονταν στο επίκεντρο της έκδοσης της απόφασης-πλαίσιο. Για να αντιμετωπίσει αυτές τις εξελίξεις, η Επιτροπή θα μελετήσει μέτρα που αποβλέπουν στην εξεύρεση καλύτερων απαντήσεων στις απειλές που προκαλούνται από τα δίκτυα προγραμμάτων ρομπότ. Αυτά τα μέτρα μπορεί να καλύπτουν την ποινικοποίηση ορισμένων δραστηριοτήτων που διευκολύνουν την εγκληματική χρήση των δικτύων προγραμμάτων ρομπότ και να προβλέπουν αυστηρότερες ελάχιστες κυρώσεις για αδικήματα που διαπράττονται με τη μορφή μαζικών και ιδιαίτερα επικίνδυνων επιθέσεων κατά των συστημάτων πληροφοριών.

Η Επιτροπή μελετά επίσης την ανάληψη δράσης για την προώθηση της αποτελεσματικής και έγκαιρης χρήσης των σημείων επαφής που είναι διαθέσιμα σε 24ωρη βάση και τις επτά ημέρες της εβδομάδας και τα οποία αναφέρονται στο άρθρο 11. Τα σοβαρά επεισόδια του 2007 υπογράμμισαν την ανάγκη λήψης γρήγορων ενεργειών από κοινού, συχνά σε συνεργασία με ιδιωτικούς φορείς, σε διεθνές επίπεδο για την αντιμετώπιση μαζικών επιθέσεων κατά των συστημάτων πληροφοριών. Για την προώθηση του καλύτερου συντονισμού και της συνεκτικότητας σε ένα ανάλογο σύστημα αντίδρασης, τα κράτη μέλη πρέπει να συνεχίσουν να εξετάζουν εάν πρέπει να χρησιμοποιούν τα ίδια σημεία επαφής με εκείνα των δικτύων του Συμβουλίου της Ευρώπης ή της G8[13]. Ειδικότερα, η Επιτροπή θα εξετάσει την κατάρτιση κατευθυντήριων γραμμών της ΕΕ για τη χρήση των διάφορων διεθνών δικτύων για θέματα εγκληματικότητας υψηλής τεχνολογίας.

[1] ΕΕ L 69 της 16.3.2005, σ. 67.

[2] Αιτιολογική σκέψη 1.

[3] http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm.

[4] 8 και 9 Νοεμβρίου 2007, βλέπε http://register.consilium.europa.eu/pdf/gr/07/st14/st14617.el07.pdf

[5] Μολονότι η κοινοποίηση από την Πολωνία, που υποβλήθηκε με καθυστέρηση την 1η Ιουλίου 2008, δεν μπορεί να ληφθεί υπόψη λόγω των αυστηρών προθεσμιών για τη δημοσίευση, θα συνυπολογισθεί αργότερα στις ενέργειες που θα ακολουθήσουν τη δημοσίευση της έκθεσης.

[6] Όπως τονίστηκε στην κοινοποίηση προς την Επιτροπή από άλλα κράτη μέλη.

[7] Η τσεχική κυβέρνηση δήλωσε ότι η προϋπόθεση αυτή θα καταργηθεί μετά την έγκριση του νέου ποινικού δικαίου.

[8] Η τσεχική κυβέρνηση δήλωσε ότι η προϋπόθεση αυτή θα καταργηθεί μετά την έγκριση του νέου ποινικού δικαίου.

[9] Πρέπει να σημειωθεί ότι η Αυστρία φαίνεται να θέτει ερωτήματα για το εάν οι κυρώσεις της για την παράνομη παρεμβολή σε σύστημα είναι επαρκώς αποτρεπτικές.

[10] Η τσεχική κυβέρνηση δήλωσε ότι έχει ορισμένους κανόνες που αφορούν την αστική ευθύνη σε αυτό το πλαίσιο, αλλά ούτε ανακοίνωσε το κείμενο αυτών των κανόνων ούτε περιέγραψε το περιεχόμενό τους.

[11] Μια πρόταση κανόνων για την κάλυψη αυτής της υποχρέωσης υποβλήθηκε στο Κοινοβούλιο του Λουξεμβούργου το 2007 αλλά η Επιτροπή δεν γνωρίζει εάν εγκρίθηκε.

[12] Ο όρος «δίκτυο προγραμμάτων ρομπότ» (botnet) αναφέρεται εν συντομία σε μια ομάδα προσβεβλημένων υπολογιστών που εκτελούν προγράμματα υπό κεντρικό έλεγχο.

[13] Άρθρο 35 της σύμβασης.