[pic] | KOMISJA WSPÓLNOT EUROPEJSKICH |

Bruksela, dnia 22.5.2007

SEK(2007) 641

DOKUMENT ROBOCZY SŁUŻB KOMISJI Dokument towarzyszący

KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO, RADY ORAZ KOMITETU REGIONÓW W kierunku ogólnej strategii zwalczania cyberprzestępczości PODSUMOWANIE OCENY WPŁYWU

{KOM(2007) 267 wersja ostateczna}{SEK(2007) 642}

PODSUMOWANIE

1. WPROWADZENIE

W ostatnich latach znacznie wzrosła liczba użytkowników Internetu, a pojawienie się nowych zjawisk i nowych technologii sprawiło, że obniżył się ogólny poziom bezpieczeństwa.

W swoim programie działalności legislacyjnej i prac na rok 2007 Komisja uznała, że konieczna stała się wszechstronna aktualizacja strategii Komisji w sprawie cyberprzestępczości, dlatego też zaplanowała przygotowanie komunikatu nt. europejskiej strategii w sprawie cyberprzestępczości.

Podczas wstępnych konsultacji stało się jasne, że brak jest odpowiednich danych i statystyk – było to główną przyczyną zamówienia przez Komisję w 2006 r. zewnętrznego badania [1] (zwanego dalej zewnętrznym badaniem), stanowiącego główną podstawę przeprowadzonej oceny wpływu.

Podczas przygotowań Komisja przeanalizowała również kilka środków legislacyjnych i pozalegislacyjnych, szczególnie pod kątem ewentualnych „luk” w istniejących ramach regulacyjnych. Należy podkreślić, że szczególnie skoncentrowano się na konwencji Rady Europy o cyberprzestępczości [2] (zwanej dalej konwencją RE) oraz decyzji ramowej Rady w sprawie ataków na systemy informatyczne [3] , ponieważ zostały one uznane za najbardziej wszechstronne jeśli chodzi o prawo materialne i proceduralne.

Na podstawie tych działań Komisja przygotowuje nową ogólną inicjatywę polityczną, obejmującą komunikat dotyczący zwalczania cyberprzestępczości na szczeblu UE. Niniejsza ocena wpływu będzie zatem przede wszystkim dotyczyła kwestii strategicznych.

W związku z tym Komisja podkreśla swoje zaangażowanie w dbałość o to, aby strategia zwalczania i ścigania cyberprzestępczości została opracowana i wdrożona w sposób w pełni respektujący prawa podstawowe, w szczególności prawo do wolności słowa, prawo do prywatności i życia rodzinnego oraz ochrony danych osobowych. Działania będą prowadzone zgodnie z komunikatem Komisji dotyczącym przestrzegania Karty Praw Podstawowych we wnioskach legislacyjnych Komisji, przyjętym w 2005 r. [KOM(2005) 172].

2. ZASADY I CELE

Szybki rozwój Internetu oraz innych systemów informatycznych sprawił, że powstał całkowicie nowy sektor gospodarczy i nowe szybkie kanały przepływu informacji, produktów i usług przez wewnętrzne i zewnętrzne granice UE. Przyniosło to oczywiście liczne pozytywne skutki dla konsumentów i obywateli. Jednak zmiany te otworzyły również nowe możliwości dla przestępców. Zauważalna stała się nowa forma działań przestępczych, skierowanych przeciwko Internetowi lub przy użyciu systemów informatycznych jako narzędzia przestępstwa. Te działania przestępcze ciągle ewoluują, a przepisy prawne oraz ich stosowanie nie nadążają za zmianami. Nieodłączny transgraniczny charakter tego nowego rodzaju przestępstw powoduje równocześnie konieczność lepszej transgranicznej współpracy w wymiarze sprawiedliwości.

W celu dokładniejszego zbadania całości problemu wyłoniono osiem następujących kwestii strategicznych:

- rosnąca podatność społeczeństwa, przedsiębiorstw i obywateli na zagrożenie cyberprzestępczością

- większa częstotliwość i rosnący stopień skomplikowania cyberprzestępstw

- brak spójnej polityki i prawodawstwa na szczeblu UE w zakresie zwalczania cyberprzestępczości

- konkretne trudności w operacyjnej współpracy organów ścigania w zakresie cyberprzestępczości

- potrzeba rozwijania kompetencji i opracowania narzędzi technicznych: szkolenia i badania

- brak funkcjonalnej struktury służącej współpracy między ważnymi zainteresowanymi podmiotami w sektorze publicznym i prywatnym

- niejasny podział zadań i zakres odpowiedzialności

- brak wiedzy na temat zagrożeń wynikających z cyberprzestępczości

Należy zauważyć, że konsultacje przeprowadzone z myślą o obecnym sprawozdaniu wskazały wyraźnie, że między wszystkimi zainteresowanymi podmiotami - czy to organami wymiaru sprawiedliwości czy prywatnymi spółkami - istnieje duża zgodność co do obecnych problemów UE w tej dziedzinie.

2.1. Kogo dotyczy problem?

Cyberprzestępczość dotyczy wszystkich sektorów społecznych, a strategia jej zwalczania będzie również widoczna praktycznie wszędzie. Biorąc pod uwagę dużą liczbę użytkowników komputerów prywatnych, każda inicjatywa w dziedzinie zwalczania cyberprzestępczości może mieć wpływ na większość obywateli – będących już potencjalnie ofiarami przestępstw.

Istnieją jednak również jasne przesłanki wskazujące, że nasilają się działania przestępcze skierowane przeciwko konkretnym grupom ofiar. Dlatego skuteczna strategia zwalczania cyberprzestępczości mogłaby mieć wyraźne korzystne skutki dla tych grup. Za główne zaangażowane podmioty można uznać przedsiębiorstwa działające w społeczeństwie informacyjnym, jak również ogólnie społeczeństwo informacyjne, biorąc pod uwagę ważne pozytywne skutki gospodarcze, jakich można oczekiwać w przypadku zwiększenia bezpieczeństwa lub wzrostu poczucia bezpieczeństwa.

2.2. Czy UE ma prawo podjąć działania?

Biorąc pod uwagę zakres i wagę niebezpieczeństw, istnieje stała potrzeba zwalczania zagrożeń związanych z cyberprzestępczością, która może jeszcze wzrosnąć. Kwestie bezpieczeństwa związane z cyberprzestępczością mają wymiar globalny i nie mogą być rozwiązywane wyłącznie na poziomie krajowym. Jest to zagrożenie międzynarodowe, dlatego odpowiedź na nie musi przynajmniej częściowo mieć również charakter międzynarodowy. Nie ma wątpliwości, że najważniejsze i najskuteczniejsze pozostanie zwalczanie cyberprzestępczości na poziomie krajowym, jednak istnieje wyraźna potrzeba powiązania i ewentualnie uzupełnienia działań krajowych na poziomie europejskim.

2.3. Cele

Najważniejszy ogólny cel proponowanej strategii, w oparciu o problemy wymienione powyżej, można streścić w następujący sposób:

bardziej zdecydowane i lepiej skoordynowane zwalczanie cyberprzestępczości na poziomie krajowym, unijnym i międzynarodowym

Ten ogólny cel strategiczny można podzielić na pięć wymienionych poniżej celów, przedstawionych w roboczej kolejności ważności:

- poprawa operacyjnego transgranicznego działania organów ścigania, ogólnie w dziedzinie cyberprzestępczości i szczególnie w zakresie poważnych form cyberprzestępczości oraz lepsza wymiana informacji, danych wywiadowczych oraz najlepszych praktyk między organami ścigania w państwach członkowskich i poza nimi;

- określenie i stworzenie operacyjnych narzędzi współpracy i wspólnego określania celów w sektorze publicznym i prywatnym oraz lepsza wymiana informacji, danych wywiadowczych i najlepszych praktyk w zwalczaniu cyberprzestępczości między sektorem publicznym i prywatnym na szczeblu UE;

- stworzenie platformy politycznej i odpowiednich struktur służących rozwijaniu spójnej strategii UE w zakresie zwalczania cyberprzestępczości, przy współpracy państw członkowskich i odpowiednich organizacji międzynarodowych i unijnych oraz zwiększenie skuteczności istniejących ram prawnych i instytucjonalnych, również dzięki określeniu zobowiązań i zakresu odpowiedzialności wszystkich zaangażowanych podmiotów;

- reagowanie na rosnące zagrożenie poważnymi formami cyberprzestępczości poprzez promowanie umiejętności, wiedzy i narzędzi technicznych oraz prowadzenie działań intensyfikujących odpowiednie szkolenia i badania;

- szerzenie wiedzy na temat zagrożenia cyberprzestępczością, szczególnie wśród konsumentów i innych zagrożonych grup będących potencjalnymi ofiarami.

3. OPCJE DZIAłAń STRATEGICZNYCH

Każda strategia służąca zwalczaniu cyberprzestępczości będzie, ze względu na charakter tego zagadnienia, miała złożony charakter. Aby być faktycznie skuteczna, strategia taka musi łączyć tradycyjne działania wymiaru sprawiedliwości z innymi narzędziami, takimi jak elementy samoregulacji oraz stworzenie struktur współpracy między różnymi zaangażowanymi podmiotami. Wiele obszarów problemowych oraz celów strategicznych niniejszej inicjatywy przedstawiono powyżej. Aby osiągnąć te cele koniecznych jest wiele różnych połączonych działań. Komisja na podstawie szerokich konsultacji sformułowała cztery ogólne opcje działań, z których każda składa się z kilku konkretnych działań:

3.1. Ogólna opcja działań 1: utrzymanie status quo/zupełny brak istotnych nowych działań

Ta opcja oznaczałaby niepodejmowanie obecnie przez Komisję żadnych ogólnych horyzontalnych działań w tej dziedzinie. Oznaczałoby to, że:

- Komisja nadal stale badałaby potrzebę przyjęcia konkretnego prawodawstwa lub podjęcia działań, a w razie potrzeby podjęłaby odpowiednie działania;

- Komisja monitorowałaby istniejące unijne i międzynarodowe projekty struktur przeciwko cyberprzestępczości;

- Komisja nadal inicjowałaby nowe projekty w konkretnych obszarach zainteresowania w zakresie zwalczania cyberprzestępczości, jednak nie podejmowałaby żadnych horyzontalnych inicjatyw politycznych.

3.2. Ogólna opcja działań 2: stworzenie ogólnego prawodawstwa

Ta opcja oznaczałaby przyjęcie strategii zmierzającej do stopniowego przedstawiania wniosków tworzących ogólne ramy regulacyjne w zakresie zwalczania cyberprzestępczości. Taka strategia oznaczałaby, że:

- Komisja systematycznie proponowałaby zharmonizowane i jednolite definicje przestępstw, szczególnie w obrębie UE, ale także na poziomie międzynarodowym;

- Komisja zaproponowałaby wspólne minimalne standardy uznawania czynu za przestępstwo oraz wymierzania kar w UE;

- stworzone zostałyby formalne platformy w dziedzinie współpracy publiczno-prywatnej oraz w dziedzinie szkoleń i badań;

- stworzona zostałaby formalna sieć w wymiarze sprawiedliwości.

3.3. Ogólna opcja działań 3: stworzenie nieformalnej sieci ds. cyberprzestępczości i sieci publiczno-prywatnej

Opcja ta oznaczałaby, że Komisja, sama lub wraz z innymi instytucjami, stworzyłaby formalnie sieci i grupy ekspertów w zakresie cyberprzestępczości oraz połączyła te działania z wprowadzeniem dobrowolnego systemu certyfikatów bezpieczeństwa dla operatorów, producentów i konsumentów. Oznaczałoby to, że:

- stworzony zostałby nieformalny organ zrzeszający ekspertów organów ścigania ds. cyberprzestępczości;

- stworzona zostałaby nieformalna platforma/sieć ekspertów ds. cyberprzestępczości z instytucji prywatnych i publicznych.

3.4. Ogólna opcja działań 4: spójne podejście strategiczne

Opcja ta oznaczałaby, że wprowadzona zostanie spójna strategia zwalczania cyberprzestępczości na szczeblu unijnym. Głównym elementem byłoby stworzenie strategicznych ram unijnej polityki wobec cyberprzestępczości, które pozwoliłyby na opracowanie lepszych wskazówek co do konkretnych działań oraz optymalizację istniejących środków. Inne ważne aspekty operacyjne strategii byłby następujące:

- lepsza współpraca organów ścigania na szczeblu unijnym;

- stworzenie strategicznych struktur współpracy publiczno-prywatnej w zwalczaniu cyberprzestępczości;

- promowanie stworzenia ram globalnej międzynarodowej współpracy w odpowiednich dziedzinach;

- konkretne środki legislacyjne, jeśli będzie to konieczne.

4. OCENA OPCJI DZIAłAń I WYBÓR OPCJI DZIAłAń

4.1. Ocena

Ogólne opcje działań zostały ocenione na podstawie następujących kryteriów:

- skutki społeczne

- skutki ekonomiczne

- koszty dla administracji publicznej

- stopień zgodności z celami politycznymi

- wartość dodana i przestrzeganie zasady pomocniczości

- wykonalność

Wnioski wyciągnięte z oceny można podsumować następująco:

4.1.1. Ogólna opcja działań 1:

Uznano, że ta opcja zdecydowanie nie byłaby wystarczająca w obliczu istniejących wyzwań. Wpływ opcji „brak nowych działań” jest zasadniczo ograniczony, ale trudno ocenić, czy opcja ta wiąże się z ryzykiem spowodowania znacznego wpływu, ponieważ przyszłe formy przestępstw z definicji nie są jeszcze znane. Potencjalny długoterminowy negatywny wpływ opcji „braku nowych działań” jest bardzo duży, biorąc pod uwagę obecne i stale rosnące znaczenie tego rodzaju przestępstw.

4.1.2. Ogólna opcja działań 2:

Uznano, że ta opcja działań może być realizowana tylko bardzo ostrożnie i w perspektywie długoterminowej. Konieczne byłyby szczegółowe studia wykonalności prawnej oraz długie negocjacje polityczne. Wpływ tej opcji może być bardzo znaczący, ale w związku z małym prawdopodobieństwem osiągnięcia faktycznych postępów w perspektywie krótkoterminowej, opcja ta staje się niepewna w perspektywie krótkoterminowej. Można również zastanawiać się, czy faktyczna realizacja działań byłaby tak samo skuteczna jak realizacja celów na poziomie politycznym i teoretycznym. Gdyby przeważyła ta opcja działań, istniałoby ryzyko, że zwalczanie cyberprzestępczości na poziomie operacyjnym nie będzie wystarczająco uwzględnione w strategicznych wyborach i decyzjach politycznych. Biorąc pod uwagę znaczące powiązane skutki, istniałaby również potrzeba określenia w tym kontekście roli Komisji. Prawdopodobnie można również argumentować, że podobne wyniki można byłoby osiągnąć przy użyciu mniej inwazyjnych środków.

4.1.3. Ogólna opcja działań 3:

Ta opcja działań została oceniona jako bardzo interesująca ze strategicznego punktu widzenia, nawet jeśli jej wartość dodana i konkretne skutki są trudne do przewidzenia. Istnieje ryzyko, że nowe struktury sieciowe pozwoliłyby osiągnąć niewielkie konkretne rezultaty. Komisja ma idealne kompetencje do koordynowania działań samoregulacyjnych w tej dziedzinie, jednak w ramach tej opcji działań raczej jako koordynator i pomocnik, a nie lider strategiczny.

4.1.4. Ogólna opcja działań 4:

Uznano, że ta opcja obejmuje kilka najistotniejszych strategicznych działań. Można dostrzec tylko bardzo nikłe negatywne skutki lub istotne przeszkody. Co do niekorzystnych aspektów można stwierdzić, że bezpośredni wpływ tej opcji jest raczej niewielki. Dotyczy to jednak tylko perspektywy krótkoterminowej; jeśli wprowadzone zostaną odpowiednie środki wykonawcze, skutki mogą być bardzo znaczące. Konkretny wpływ pozostaje jednak trudny do przewidzenia w szczegółach, ponieważ środki strategiczne będą musiały zostać wdrożone operacyjnie na etapie późniejszym. Wtedy zostaną ocenione wszystkie skutki.

Należy ponownie podkreślić, że bezpośredni wpływ zaproponowanych strategii jest ograniczony. Konkretne działania podjęte później w ramach jednej z tych strategii zostaną ocenione oddzielnie w stosownym czasie. Oznacza to, że ocena przeprowadzana obecnie ma charakter wstępny.

4.2. Wybór opcji działań

Analiza wyraźnie wskazuje, że najlepszą alternatywą jest opcja 4. Opcja 4. wyraźnie najlepiej odpowiada ogólnym celom wskazanym w pkt 2.4 powyżej.

Opcja niepodejmowania żadnych działań w tej dziedzinie nie wydaje się opłacalna. Podejście pasywne prawdopodobnie zaowocowałoby dalszym istnieniem licznych dwustronnych projektów współpracy w zakresie zwalczania cyberprzestępczości, bez możliwości wykorzystania horyzontalnej wymiany najlepszych praktyk oraz efektów synergii. Ogólne prawodawstwo tworzące nowe organy UE, harmonizujące definicje przestępstw oraz precyzujące zakres odpowiedzialności i zobowiązania wszystkich zaangażowanych stron mogłoby być interesującym rozwiązaniem, jednak analiza sytuacji politycznej jasno pokazała, że wnioski dotyczące ogólnych lub horyzontalnych przepisów prawnych miałyby bardzo nikłe szanse zostać przyjęte. Ponadto tylko bardzo niewiele zaangażowanych podmiotów, z którymi przeprowadzono konsultacje, uznało, że może to być obecnie priorytetem. Opcja ogólnego prawodawstwa może jednak okazać się adekwatna w perspektywie długoterminowej. Stworzenie nowych nieformalnych struktur w wymiarze sprawiedliwości na szczeblu unijnym oraz współpraca publiczno-prywatna może również być dobrym rozwiązaniem w perspektywie długoterminowej, jednak wszystkie zaangażowane strony wydają się zgadzać, że istniejące struktury są wystarczające, nawet jeśli istnieje pilna potrzeba, aby działały bardziej skutecznie. W wyniku analizy pierwszeństwo uzyskała opcja 4., „ spójna strategia ”. Należy zauważyć, że ta opcja nie wyklucza stworzenia formalnych struktur (opcja 3) ani przyjęcia później ogólnego prawodawstwa (opcja 2). Preferowana opcja oznacza faktycznie, że kwestia realizacji pozostałych opcji również pozostaje otwarta.

Wstępna analiza i przeprowadzone dyskusje pokazują wyraźnie, że „spójna strategia” jest opcją prawdopodobnie najlepiej pozwalającą osiągnąć strategiczne cele polityczne. Taka strategia prawdopodobnie będzie mieć znaczący pozytywny wpływ na transgraniczne zwalczanie cyberprzestępczości, ponieważ zostaną określone kompetencje i rola wszystkich zainteresowanych podmiotów. Przyczyni się to również do lepszego dialogu i zrozumienia między sektorem publicznym i prywatnym, co może mieć pozytywne skutki uboczne. Z gospodarczego punktu widzenia preferowana opcja może spowodować istotne efekty synergii, obniżenie poziomu szkód wynikających z działalności przestępczej oraz obniżenie kosztów indywidualnych programów bezpieczeństwa.

Jednak jest prawdopodobne, że minie kilka lat, zanim spodziewane skutki wybranej opcji staną się widoczne. Dlatego trudno jest ocenić cały jej potencjalny wpływ, szczególnie że konkretne szczegóły polityki muszą zostać dopiero ustalone. Dlatego konieczne będzie ocenienie konkretnego wpływu danych działań na etapie późniejszym.

[1] Badanie oceniające wpływ komunikatu w sprawie cyberprzestępczości przygotowanego przez Yellow Window Management Consulting (umowa nr DG 2006/JLS D 2/03).

[2] Konwencja Rady Europy o cyberprzestępczości, 2001: http://conventions.coe.int/treaty/en/treaties/html/185.htm

[3] Decyzja ramowa w sprawie ataków na systemy informatyczne (2005/222/JHA).