Las disposiciones legislativas de AT, BG, CY, CZ, DE, EE, EL IE, FI, HR, LT, MT, NL, PT, RO y UK (Gibraltar) recogen el término «datos informáticos», mientras que la información facilitada por ES, FR, IT, LU, LV, PL, SE, SK y UK (excepto Gibraltar) no resultó concluyente. Sin embargo, en el caso de SE, la formulación específica de los artículos referentes hace que esta definición sea redundante. En cuanto al resto de Estados miembros, HU únicamente aplica la definición de «datos informáticos» a las infracciones descritas en los artículos 4 y 5 de la Directiva, mientras que ni BE ni SI incluyen los «programas que sirven para hacer que dicho sistema de información realice una función» en la definición de «datos informáticos».

La definición prevista en la Directiva se basa en la definición de «sistema informático» tal como se recoge en el artículo 1, letra a), del Convenio de Budapest, y añade los propios datos informáticos como parte del sistema de información. CY, EL, IE, FI, HR, MT, PT y UK (Gibraltar) han incorporado disposiciones legislativas que incluyen la definición de «sistema de información», mientras que los datos facilitados por DE, ES, FR, LU, LV, PL, SE y SK no fueron concluyentes. En cuanto a los demás Estados miembros, es decir, AT, BE, BG, CZ, EE, HU, IT, LT, NL, RO, SI y UK (excepto Gibraltar), las definiciones jurídicas correspondientes no se refieren explícitamente a los datos informáticos. Esto implica una referencia al artículo 1, letra a), del Convenio de Budapest con un alcance idéntico para la definición de sistema informático.

Además de las cuestiones identificadas en este informe, pueden existir dificultades adicionales para la transposición y otras disposiciones no comunicadas a la Comisión, o cambios legislativos y no legislativos posteriores. Por lo tanto, este informe no es óbice para que la Comisión siga evaluando algunas disposiciones y apoyando a los Estados miembros en la transposición y la aplicación de la Directiva.

Al vencer el plazo de transposición, 22 Estados miembros habían notificado a la Comisión que habían concluido la transposición de la Directiva. En noviembre de 2015, la Comisión inició procedimientos de infracción por ausencia de notificación de las medidas nacionales de transposición nacional contra los cinco Estados miembros restantes: BE, BG, EL, IE y SI . A 31 de mayo de 2017, aún no habían concluido los procedimientos de infracción por ausencia de notificación de las medidas nacionales de transposición contra BE, BG e IE .

c) Persona jurídica

Excepto en el caso de LU, que no facilitó información concluyente sobre la transposición del artículo 2, letra c), la transposición de la definición de «persona jurídica» no generó problemas. Esto se debe a que, por lo general, ya se recoge en el Derecho civil o mercantil de los Estados miembros. Únicamente CY cuenta con una disposición específica entre las medidas adoptadas para transponer la Directiva.

d) Sin autorización

En cuanto a la definición del término «sin autorización» recogida en el artículo 2, letra d), únicamente notificaron su transposición CY, IE, RO y UK (Gibraltar), lo que significa que 23 Estados miembros no han adoptado ninguna medida de transposición para esta definición. Sin embargo, cabe señalar que en todos los Estados miembros existe el principio general de ausencia de responsabilidad penal por cualquier acción que pueda tomarse si esta medida se realiza con autorización.

2.2 Infracciones penales específicas (artículos 3 a 7 de la Directiva)

a) Acceso ilegal a los sistemas de información

En cuanto al acceso ilegal a los sistemas de información, el artículo 3 de la Directiva está incluido en la legislación nacional de AT, CY, CZ, EL, ES, IE, FI, FR, LT, LU, NL, PL, PT, SE y SK.

En el resto de los Estados miembros, es decir, BE, BG, DE, EE, HR, HU, IT, LV, MT, RO, SI y UK, la descripción nacional de esta infracción penal no establece diferencia entre si se logra el acceso a la totalidad o solo a una parte del sistema de información, incluso si la Directiva lo establece explícitamente. Además, la transposición de DE no incluye el mero acceso a los equipos informáticos, AT y LU han fijado requisitos adicionales relacionados con la existencia de una intención específica (intención de adquirir información, provocar una desventaja o fines fraudulentos) y LV sobre el hecho de que se causen daños sustanciales. En el caso de BE, BG, FR, HR, LU, MT, PT, RO, SI y UK, las disposiciones nacionales tienen un alcance superior al previsto en la Directiva, puesto que no requieren la elusión de medidas de seguridad para establecer la responsabilidad penal. El resto de Estados miembros se refieren literalmente al hecho de que la infracción se cometa transgrediendo medidas de seguridad (CY, EL y SK), o utilizan una terminología similar para describir esta cuestión (AT, CZ, DE, EE, ES, FI, HU, IT; LT, LV, NL, PL y SE).

b) Interferencia ilegal en los sistemas de información

El artículo 4 de la Directiva se refiere a la interferencia ilegal en los sistemas de información. La Directiva enumera ocho actos que podrían cometerse (introducir, transmitir, dañar, borrar, deteriorar, alterar, suprimir o hacer inaccesibles datos informáticos) y dos posibles resultados para cada acto (obstaculización o interrupción significativa del funcionamiento de un sistema de información). BE, CY, CZ, EL, IE, FR, HR, LU, MT, PT, SE y UK (excepto Gibraltar) han introducido las medidas legislativas correspondientes. BG únicamente se refiere a la introducción de un virus, y el resto de Estados miembros (AT, DE, EE, ES, HU, IT, LV, NL, PL, RO, SI, SK y UK) no hacen referencia específica a entre 1 y 4 de los posibles actos. En este contexto, puede observarse que la mayoría de los problemas planteados están relacionados con los términos «deteriorar» (ausente en 8 casos) y «hacer inaccesible» (ausente en 9 casos).

c) Interferencia ilegal en los datos

El artículo 5 de la Directiva se refiere a la interferencia ilegal en los datos y enumera los siguientes seis actos que podrían cometerse: borrar, dañar, deteriorar, alterar, suprimir o hacer inaccesibles datos informáticos. CY, EL, IE y MT han transpuesto esta disposición de manera literal; BE, CZ, LT, PT y SE emplearon términos más genéricos para cubrir todos los actos posibles. Las medidas de transposición de los demás Estados miembros no se refieren a todas las posibilidades, sino que únicamente cubren cinco alternativas (FI y SK) o menos (AT, BG, DE, EE, FR, HR, HU, IT, LU, NL, PL, RO, SI y UK). La mayoría de los problemas surgieron con los términos «dañar» (ausente en 8 casos), «deteriorar» (13 casos), «suprimir» (11 casos) y «hacer inaccesibles» (13 casos). Además de lo previsto en el texto de la Directiva, FI requiere «el propósito de causar daños o pérdidas financieras» para establecer la responsabilidad penal, mientras que LT y LV requieren que se cause un daño sustancial.

d) Interceptación ilegal

El artículo 6 se refiere a la interceptación ilegal de transmisiones no públicas de datos informáticos y emisiones electromagnéticas desde un sistema de información que contenga dichos datos. CY, CZ, DE, ES, IE, FI, HR, LV, MT, RO, SE, SK y UK (Gibraltar) han introducido legislación que cubre el artículo 6 en su totalidad. El alcance general de la Directiva en lo relativo a la interceptación de datos informáticos se limita a los mensajes (AT y BG), la observación de una persona (EE) o la correspondencia (FR y HU). Asimismo, las medidas de transposición de los siguientes Estados miembros no cubren la interceptación de emisiones electromagnéticas: BE, BG, EE, FR, HU, IT, LT, LU, NL, PL, PT, SI y UK (excepto Gibraltar). Además, algunos Estados miembros requieren una intención especial (por ejemplo, adquirir información, conseguir un beneficio económico o provocar una desventaja, véase AT, EL y HU), o actos adicionales específicos (por ejemplo, registrar o conocer el contenido interceptado, véase GB y HU).

e) Instrumentos utilizados para cometer las infracciones

El artículo 7 tipifica como delito una serie de actos relacionados con el uso de instrumentos como los programas informáticos o los códigos de acceso para cometer las infracciones a las que se refieren los artículos 3 a 6: producción, venta, adquisición para el uso, importación, distribución u otra forma de puesta a disposición de dichos instrumentos. AT, BE, CY, DE, EL, IE y SK han introducido medidas legislativas nacionales correspondientes. Algunos Estados miembros no cubren todas las infracciones a las que se hace referencia (EE, IT, MT, PL y SI). Algunos no se refieren al autor del artículo 7 como a persona diferente del autor de las infracciones mencionadas en los artículos 3 a 6 (CZ y SI). Algunos requieren una intención específica (causar daños o actuar de manera fraudulenta, véase FI, IT y LU), un resultado concreto, como la violación del secreto (BG), o al menos un nivel de preparación de las infracciones mencionadas (SE). Por último, existen discrepancias entre el artículo 7 y las medidas nacionales debido a la ausencia de transposición de todos los posibles actos enumerados. Este es, por ejemplo, el caso de BG, CZ, EE, ES, FR, HR, HU, IT, LT, LU, LV, PL, PT, RO, SI y UK. De estos países, la legislación de LU se refiere explícitamente a 5 de los 6 posibles actos enumerados en la Directiva, mientras que los demás Estados miembros únicamente se refieren explícitamente a solo 4 o menos.

Únicamente ES ha transpuesto la alternativa de adquisición para el uso.

2.3 Normas generales para las infracciones en cuestión (artículos 8 a 12 de la Directiva)