Be to, pagal Direktyvą baudžiamoji atsakomybė pradedama taikyti fiziniams ir (arba) juridiniams asmenims, kurie kursto ir padeda vykdyti minėtą nusikalstamą veiką, bendrininkauja ją vykdant ir kėsinasi tokią veiką vykdyti (8 straipsnis). Atsakomybėn už kurstymą, pagalbą ir bendrininkavimą traukiama padarius visas 3–7 straipsniuose nurodytas nusikalstamas veikas, o už pasikėsinimą – tik 4 ir 5 straipsniuose nurodytą veiką.

Be to, valstybės narės turi imtis būtinų priemonių, kad sudarytų palankesnes sąlygas pranešti kompetentingoms nacionalinėms institucijoms apie minėtas nusikalstamas veikas (13 straipsnio 3 dalis), taip pat rinkti būtiniausius statistinius duomenis apie tokias nusikalstamas veikas ir jais dalytis (14 straipsnis).

Dėl keitimosi informacija 13 straipsnio 1 dalyje reikalaujama, kad valstybės narės turėtų ištisą parą be poilsio dienų veikiančius nacionalinius informacinius punktus ir galėtų per aštuonias valandas atsakyti į bet kokį skubų užsienio prašymą.

Terminas „kompiuteriniai duomenys“ nustatytas AT, BG, CY, CZ, DE, EE, EL, IE, FI, HR, LT, MT, NL, PT, RO ir UK (Gibraltaro) teisės aktuose, o ES, FR, IT, LU, LV, PL, SE, SK ir UK (išskyrus Gibraltarą) pateikta informacija nėra įtikinama. Vis dėlto SE nustatyta speciali nuorodų į straipsnius sistema, todėl ši apibrėžtis nereikalinga. Dėl kitų valstybių narių HU kompiuterinių duomenų apibrėžtimi naudojamasi tik kalbant apie Direktyvos 4 ir 5 straipsniuose nurodytas nusikalstamas veikas, o į BE ir SI kompiuterinių duomenų apibrėžtį neįtraukta formuluotės dalis „įskaitant programą, tinkamą tam, kad informacinė sistema atliktų funkciją“.

Direktyvoje nustatyta apibrėžtis grindžiama Budapešto konvencijos 1 straipsnio a punkte pateiktos sąvokos „kompiuterinė sistema“ apibrėžtimi, tačiau informacinės sistemos dalimi taip pat laikomi kompiuteriniai duomenys. CY, EL, IE, FI, HR, MT, PT ir UK (Gibraltaras) patvirtino teisės aktų nuostatas, kuriomis nustatoma informacinės sistemos apibrėžtis, o DE, ES, FR, LU, LV, PL, SE ir SK pateikta informacija nėra įtikinama. Kitų valstybių narių, t. y. AT, BE, BG, CZ, EE, HU, IT, LT, NL, RO, SI ir UK (išskyrus Gibraltarą), atitinkamose teisinėse apibrėžtyse kompiuteriniai duomenys konkrečiai nenurodomi. Tai reiškia, kad remiamasi Budapešto konvencijos 1 straipsnio a punktu, kuriame nustatyta tokia pat kompiuterinės sistemos apibrėžties aprėptis.

Šioje ataskaitoje pateikiamas padėties apibūdinimas ir analizė grindžiami informacija, kurią valstybės narės pateikė iki 2017 m. gegužės 31 d. Į pranešimus, gautus po šio termino, neatsižvelgiama. Buvo atsižvelgta į visas priemones, apie kurias buvo pranešta ir kuriose daromos nuorodos į nacionalinės teisės aktus, taip pat į teismo sprendimus ir, jei tinkama, į bendrą teisės teoriją. Be to, atlikdama analizę, Komisija tiesiogiai kreipėsi į valstybes nares, kai tai buvo būtina ir tinkama, kad jos pateiktų papildomą informaciją arba paaiškinimus. Atliekant analizę buvo atsižvelgta į visą surinktą informaciją.

Iki perkėlimo į nacionalinę teisę termino 22 valstybės narės buvo pranešusios Komisijai, kad visiškai perkėlė Direktyvą į nacionalinę teisę. 2015 m. lapkričio mėn. Komisija prieš kitas penkias valstybes nares (BE, BG, EL, IE ir SI ) pradėjo pažeidimo nagrinėjimo procedūras, nes jos nepranešė apie nacionalines įgyvendinimo priemones. 2017 m. gegužės 31 d. dar nebuvo baigtos prieš BE, BG ir IE pradėtos pažeidimo nagrinėjimo procedūros dėl nepranešimo apie nacionalines įgyvendinimo priemones .

Išskyrus LU, kuris nepateikė jokios įtikinamos informacijos apie 2 straipsnio c punkto perkėlimą į nacionalinę teisę, dėl sąvokos „juridinis asmuo“ perkėlimo į nacionalinę teisę nekilo jokių problemų. Taip yra todėl, kad apskritai ši sąvoka jau įtvirtinta daugumoje valstybių narių civilinės teisės arba komercinės teisės nuostatų. Konkreti nuostata įtraukta tik į CY patvirtintas Direktyvos perkėlimo į nacionalinę teisę priemones.

d) Punktas „neturint tam teisės“

Kalbant apie 2 straipsnio d punkte nustatytos sąvokos „neturint tam teisės“ apibrėžtį, tik CY, IE, RO ir UK (Gibraltaras) pranešė, kad ji perkelta į nacionalinę teisę, o kitos 23 valstybės narės nėra patvirtinusios šios apibrėžties perkėlimo į nacionalinę teisę priemonių. Vis dėlto reikia pažymėti, kad visose valstybėse narėse taikomas bendrasis principas netraukti baudžiamojon atsakomybėn už veiksmus, jeigu jie vykdomi tam turint atitinkamą teisę.

2.2. Konkrečios nusikalstamos veikos (Direktyvos 3–7 straipsniai)

a) Neteisėta prieiga prie informacinių sistemų

Kalbant apie neteisėtą prieigą prie informacinės sistemos, Direktyvos 3 straipsnis perkeltas į AT, CY, CZ, EL, ES, IE, FI, FR, LT, LU, NL, PL, PT, SE ir SK nacionalinės teisės aktus.

Visų kitų valstybių narių, t. y. BE, BG, DE, EE, HR, HU, IT, LV, MT, RO, SI ir UK, atitinkamose šios nusikalstamos veikos nacionalinėse apibrėžtyse nedaroma skirtumo tarp prieigos prie visos informacinės sistemos ir prieigos prie jos dalies, nors Direktyvoje tai aiškiai nustatyta. Be to, į DE nacionalines įgyvendinimo priemones neįtrauktos nuostatos dėl paprasčiausios prieigos prie kompiuterio programinės įrangos, o kitos valstybės narės yra nustačiusios papildomų sąlygų: AT ir LU turi būti konkrečių ketinimų (įgyti žinių, įstumti į nepalankią padėtį, taip pat ketinimų sukčiauti), o LV turi būti padaryta didelė žala. BE, BG, FR, HR, LU, MT, PT, RO, SI ir UK nacionalinių nuostatų taikymo sritis platesnė už Direktyvos nuostatų taikymo sritį, nes pagal jas nereikia apeiti apsaugos priemonės, kad būtų patraukta baudžiamojon atsakomybėn. Kitos valstybės narės arba tiesiogine prasme nurodo, kad pažeidžiant apsaugos priemonę padaroma nusikalstama veika (CY, EL ir SK), arba šiam aspektui apibūdinti vartoja panašius terminus (AT, CZ, DE, EE, ES, FI, HU, IT, LT, LV, NL, PL ir SE).

b) Neteisėtas įsikišimas į sistemą

Direktyvos 4 straipsnyje kalbama apie neteisėtą įsikišimą į sistemą. Direktyvoje išvardijamos aštuonios galimos neteisėtos veikos (kompiuterinių duomenų įvedimas, perdavimas, sugadinimas, ištrynimas, pažeidimas, pakeitimas, pašalinimas ir prieigos prie tokių duomenų užkirtimas) ir dviejų rūšių galimi atitinkamos veikos padariniai (rimtas informacinės sistemos veikimo sutrikdymas arba nutraukimas). BE, CY, CZ, EL, IE, FR, HR, LU, MT, PT, SE ir UK (išskyrus Gibraltarą) patvirtino atitinkamas teisines priemones. BG teisės aktuose nurodomas tik kompiuterio užkrėtimas virusu, o kitų valstybių narių (AT, DE, EE, ES, HU, IT, LV, NL, PL, RO, SI, SK ir UK) teisės aktuose konkrečiai nepaminėta nuo vienos iki keturių galimų veikų. Atsižvelgiant į tai, galima pažymėti, kad daugiausia problemų kilo į nacionalinę teisę perkeliant sąvokas „kompiuterinių duomenų pažeidimas“ (ji neįtraukta į aštuonių valstybių narių teisės aktus) ir „prieigos prie kompiuterinių duomenų užkirtimas“ (neįtraukta į devynių valstybių narių teisės aktus).

c) Neteisėtas įsikišimas į duomenis

Direktyvos 5 straipsnio objektas – neteisėtas įsikišimas į duomenis; jame išvardytos šešios galimos veikos: kompiuterinių duomenų ištrynimas, sugadinimas, pažeidimas, pakeitimas, pašalinimas ir prieigos prie tokių duomenų užkirtimas. CY, EL, IE ir MT tiesiogiai perkėlė šią nuostatą į nacionalinę teisę; BE, CZ, LT, PT ir SE, siekiant įtraukti visas galimas veikas, vartojami bendresni terminai. Visų kitų valstybių narių nacionalinėse įgyvendinimo priemonėse nenumatomos visos galimos veikos: FI ir SK nustatytos tik penkios, o AT, BG, DE, EE, FR, HR, HU, IT, LU, NL, PL, RO, SI ir UK – dar mažiau. Daugiausia problemų kilo dėl sąvokų „kompiuterinių duomenų sugadinimas“ (neįtraukta į aštuonių valstybių narių teisės aktus), „kompiuterinių duomenų pažeidimas“ (neįtraukta į trylikos valstybių narių teisės aktus), „kompiuterinių duomenų pašalinimas (neįtraukta į vienuolikos valstybių narių teisės aktus) ir „prieigos prie kompiuterinių duomenų užkirtimas“ (neįtraukta į trylikos valstybių narių teisės aktus). Be Direktyvos formuluotės, nustatytos papildomos traukimo baudžiamojon atsakomybėn sąlygos: FI turi būti „ketinama padaryti žalą arba sukelti finansinių nuostolių“, o LT ir LV „veika turi daryti didelę arba esminę žalą“.

d) Neteisėtas duomenų perėmimas

6 straipsnyje kalbama apie neteisėtą duomenų perėmimą, kai kompiuteriniai duomenys ir elektromagnetinė spinduliuotė iš informacinės sistemos, kurioje kaupiami tokie duomenys, perduodami ne viešai. CY, CZ, DE, ES, IE, FI, HR, LV, MT, RO, SE, SK ir UK (Gibraltaras) patvirtino teisės aktus, į kuriuos įtrauktos visos 6 straipsnio nuostatos. Bendrosios Direktyvos nuostatos, susijusios su kompiuterinių duomenų perėmimu, AT ir BG taikomos tik pranešimams, EE – asmenų stebėjimui, o FR ir HU – korespondencijai. Be to, į BE, BG, EE, FR, HU, IT, LT, LU, NL, PL, PT, SI ir UK (išskyrus Gibraltarą) nacionalines įgyvendinimo priemones neįtrauktos nuostatos, susijusios su elektromagnetinės spinduliuotės perėmimu. Be to, kai kuriose valstybėse narėse nustatyta papildomų sąlygų: turi būti konkrečių ketinimų (pavyzdžiui, gauti informacijos ar ekonominės naudos arba įstumti į nepalankią padėtį; žr. AT, EL, HU atvejus) arba kartu turi būti padaroma kita konkreti veika (pvz., įrašomas perimtas turinys arba apie jį sužinoma; žr. BG ir HU atvejus).

e) Nusikalstamoms veikoms vykdyti naudojamos priemonės

7 straipsnyje kriminalizuojamos veikos, susijusios su tokiomis priemonėmis kaip kompiuterinės programos ar prieigos kodai, kuriomis naudojamasi 3–6 straipsniuose nurodytoms nusikalstamoms veikoms vykdyti. Tokios veikos – tai tokių priemonių gamyba, pardavimas, įsigijimas siekiant naudotis, importas, platinimas arba kitu būdu galimybių naudotis jomis sudarymas. AT, BE, CY, DE, EL, IE ir SK patvirtino atitinkamus nacionalinės teisės aktus. Kai kurios valstybės narės (EE, IT, MT, PL ir SI) į savo teisės aktus įtraukė ne visas nurodytas nusikalstamas veikas. Kitos valstybės narės (CZ ir SI) nenurodo, kad 7 straipsnyje nurodytų nusikalstamų veikų kaltininkas ir 3–6 straipsniuose nurodytas nusikalstamas veikas įvykdęs pažeidėjas yra skirtingi asmenys. Kai kurios valstybės narės yra nustačiusios papildomų sąlygų: turi būti konkrečių ketinimų (padaryti žalą arba veikti nesąžiningai; žr. FI, IT ir LU atvejus), konkrečių tos veikos padarinių, pvz., pažeistas slaptumas (BG), arba turi būti bent rengiamasi daryti minėtas nusikalstamas veikas (SE). Galiausiai nustatyta 7 straipsnio ir nacionalinių priemonių neatitikčių, nes į nacionalinę teisę perkeltos ne visos galimos išvardytos veikos. Taip yra BG, CZ, EE, ES, FR, HR, HU, IT, LT, LU, LV, PL, PT, RO, SI ir UK atvejais. Iš šių valstybių narių tik LU teisės aktuose konkrečiai nurodytos penkios iš šešių Direktyvoje išvardytų galimų veikų, o kitų valstybių narių teisės aktuose aiškiai nurodytos tik keturios ar mažiau.

Tik ES (Ispanija) yra perkėlusi su įsigijimu siekiant naudotis susijusias nuostatas.

2.3. Bendrosios atitinkamų nusikalstamų veikų taisyklės (Direktyvos 8–12 straipsniai)

a) Kurstymas ir bendrininkavimas