Termin „dane komputerowe” został uwzględniony w przepisach obowiązujących w BG, CZ, DE, EE, IE, EL, HR, na CY, LT, MT, w NL, AT PT, RO, FI i UK (Gibraltar), natomiast informacje przekazane przez ES, FR, IT, LV, LU PL, SK, SE i UK (poza Gibraltarem) nie miały rozstrzygającego charakteru. W przypadku SE specyficzny układ odesłań do odpowiednich artykułów sprawia jednak, że przyjęcie takiej definicji nie jest konieczne. Jeżeli chodzi o pozostałe państwa członkowskie, w HU definicja danych komputerowych odnosi się wyłącznie do przestępstw opisanych w art. 4 i 5 dyrektywy, natomiast w definicji danych komputerowych przyjętej w BE i SI nie zawarto sformułowania „program umożliwiający wykonanie funkcji przez system informatyczny”.

Definicja przedstawiona w dyrektywie opiera się na definicji pojęcia „system informatyczny” zawartej w art. 1 lit. a) konwencji budapeszteńskiej, przy czym definicję tę uzupełniono, uznając same dane komputerowe za część systemu informatycznego. Przepisy prawne, w których uwzględniono definicję systemu informatycznego, wprowadzono na CY, w IE, EL, HR, na MT, w PT, FI i UK (Gibraltar), natomiast informacje przekazane przez DE, ES, FR, LV, LU, PL, SK i SE nie miały rozstrzygającego charakteru. Jeżeli chodzi o pozostałe państwa członkowskie, tj. BE, BG, CZ, EE, IT, LT, HU, NL, AT, RO, SI i UK (z wyjątkiem Gibraltaru), w definicjach prawnych obowiązujących w tych państwach nie odniesiono się bezpośrednio do pojęcia „dane komputerowe”. Oznacza to odniesienie do art. 1 lit. a) konwencji budapeszteńskiej – zakres definicji systemu informatycznego przedstawionej w tej literze odpowiada zakresowi definicji systemu informatycznego obowiązującej w tych pozostałych państwach członkowskich.

Podstawą zawartych w niniejszym sprawozdaniu opisu i analizy są informacje przekazane przez państwa członkowskie do dnia 31 maja 2017 r. Zgłoszenia otrzymane po tym terminie nie zostały uwzględnione. Wszystkie zgłoszone środki dotyczące przepisów krajowych zostały wzięte pod uwagę, podobnie jak orzeczenia sądów oraz – w stosownych przypadkach – powszechnie uznawana teoria prawna. Ponadto w toku analizy Komisja kontaktowała się bezpośrednio z państwami członkowskimi w przypadkach, w których było to konieczne i właściwe do celów uzyskania dodatkowych informacji lub wyjaśnień. W ramach analizy wzięto pod uwagę wszystkie zgromadzone informacje.

Zgodnie z art. 16 dyrektywy państwa członkowskie są zobowiązane do wprowadzenia w życie przepisów ustawowych, wykonawczych i administracyjnych niezbędnych do wykonania dyrektywy i przekazania Komisji informacji na temat tych przepisów do dnia 4 września 2015 r.

Poza LU, który nie przedstawił żadnych rozstrzygających informacji w kwestii transpozycji przepisów art. 2 lit. c), nie odnotowano żadnych problemów związanych z transpozycją definicji pojęcia „osoba prawna”. Wynika to z faktu, że co do zasady termin ten został już zdefiniowany w większości przepisów prawa cywilnego lub handlowego obowiązujących w poszczególnych państwach członkowskich. Tylko na CY zdecydowano się przyjąć przepis szczegółowy w ramach środków podjętych w celu transponowania dyrektywy.

d) Bezprawnie

Jeżeli chodzi o definicję pojęcia „bezprawnie” przedstawioną w art. 2 lit. d), transpozycję tej definicji zgłosiły wyłącznie IE, CY, RO i UK (Gibraltar), co oznacza, że 23 państwa członkowskie nie przyjęły żadnych środków transpozycji w związku z tą definicją. Należy jednak zwrócić uwagę na fakt, że we wszystkich państwach członkowskich obowiązuje ogólna zasada, zgodnie z którą dana osoba nie może zostać pociągnięta do odpowiedzialności karnej, jeżeli podjęła daną czynność zgodnie z przysługującymi jej uprawnieniami.

2.2. Konkretne przestępstwa (art. 3–7 dyrektywy)

a) Niezgodny z prawem dostęp do systemów informatycznych

Artykuł 3 dyrektywy dotyczący niezgodnego z prawem dostępu do systemu informatycznego został transponowany do przepisów krajowych obowiązujących w CZ, IE, EL, ES, FR, na CY, na LT, w LU, NL, AT, PL, PT, SK, FI i SE.

W przypadku wszystkich pozostałych państw członkowskich, tj. BE, BG, DE, EE, HR, IT, HU, LV, MT, RO, SI i UK, w stosownych przepisach krajowych zawierających opis tego przestępstwa nie dokonano rozróżnienia między uzyskaniem dostępu do całości systemu informatycznego a uzyskaniem dostępu jedynie do części tego systemu, mimo że tego rodzaju rozróżnienie zostało wprost przewidziane w przepisach dyrektywy. Ponadto przy dokonywaniu transpozycji przepisów dyrektywy do prawa DE nie uwzględniono zwykłego dostępu do sprzętu komputerowego, natomiast w przepisach transponowanych do prawa LU i AT przewidziano dodatkowe wymogi związane z działaniem ze szczególnym zamiarem (zamiar uzyskania wiedzy, postawienia w mniej korzystnej sytuacji lub dopuszczenia się oszustwa); z kolei w przepisach transponowanych do prawa LV przewidziano dodatkowy wymóg spowodowania poważnej szkody. W przypadku BE, BG, FR, HR, LU, MT, PT, RO, SI i UK zakres przepisów krajowych wykracza poza zakres przepisów dyrektywy, ponieważ zgodnie z przepisami obowiązującymi w tych państwach dana osoba może zostać pociągnięta do odpowiedzialności karnej nawet w przypadku, gdy uzyskała dostęp do systemów informatycznych bez konieczności obejścia jakichkolwiek środków bezpieczeństwa. Pozostałe państwa członkowskie albo dosłownie stwierdziły w swoich przepisach, że przestępstwo musi zostać popełnione z naruszeniem środka bezpieczeństwa (EL, CY i SK), albo posłużyły się zbliżoną terminologią w opisie tego aspektu przestępstwa (CZ, DE, EE, ES, IT, LV, LT; HU, NL, AT, PL, FI i SE).

b) Niezgodna z prawem ingerencja w systemy

Art. 4 dyrektywy dotyczy niezgodnej z prawem ingerencji w systemy. W dyrektywie wymieniono 8 możliwych działań (wprowadzenie, przekazywanie, uszkadzanie, usuwanie, pogarszanie, zmienianie lub eliminowanie danych komputerowych lub czynienie ich niedostępnymi) i 2 możliwe skutki danego działania (poważne utrudnienie lub zakłócenie funkcjonowania systemu informatycznego). Odpowiednie środki ustawodawcze w tym zakresie przyjęto w BE, CZ, IE, EL, FR, HR, na CY, w LU, na MT, w PT, SE i UK (z wyjątkiem Gibraltaru). W przepisach przyjętych w BG wspomniano wyłącznie o wprowadzeniu wirusa, natomiast w przepisach przyjętych w pozostałych państwach członkowskich (DE, EE, ES, IT, LV, HU, NL, AT, PL, RO, SI, SK i UK) nie wspomniano konkretnie o jednym czy większej liczbie (do czterech) pozostałych możliwych działań. W tym kontekście można stwierdzić, że największą liczbę problemów odnotowano w związku z pojęciami „pogarszanie” (pojęcie to pominięto w 8 przypadkach) i „czynienie niedostępnymi” (pojęcie to pominięto w 9 przypadkach).

c) Niezgodna z prawem ingerencja w dane

Artykuł 5 dyrektywy dotyczy niezgodnej z prawem ingerencji w dane – wymieniono w nim 6 możliwych czynności: usuwanie, uszkadzanie, pogarszanie, zmienianie lub eliminowanie danych lub czynienie ich niedostępnymi. IE, EL, CY i MT dokonały dosłownej transpozycji tego przepisu; BE, CZ, LT, PT i SE posłużyły się bardziej ogólnymi sformułowaniami przy opisywaniu poszczególnych możliwych czynności. W środkach transpozycji przyjętych przez pozostałe państwa członkowskie nie uwzględniono wszystkich możliwych czynności i wspomniano wyłącznie o 5 z nich (SK, FI) lub o mniejszej ich liczbie (BG, DE, EE, FR, HR, IT, LU, HU, NL, AT, PL, RO, SI i UK). Największą liczbę problemów odnotowano w związku z pojęciami „uszkadzanie” (pojęcie to pominięto w 8 przypadkach), „pogarszanie” (w 13 przypadkach), „eliminowanie danych” (w 11 przypadkach) i „czynienie ich niedostępnymi” (w 13 przypadkach). Niezależnie od brzmienia przepisów dyrektywy w przepisach obowiązujących w FI ustanowiono wymóg „działania z zamiarem wyrządzenia szkody lub wywołania strat finansowych”, który musi zostać spełniony, aby sprawca mógł zostać pociągnięty do odpowiedzialności karnej; na LV i LT sprawcę można pociągnąć do odpowiedzialności karnej wyłącznie w przypadku, gdy „działał z zamiarem spowodowania poważnych strat lub wyrządzenia poważnych szkód”.

d) Niezgodne z prawem przechwytywanie

Art. 6 dyrektywy dotyczy niezgodnego z prawem przechwytywania niepublicznych przekazów danych komputerowych i emisji elektromagnetycznych z systemu informatycznego zawierającego takie dane komputerowe. W CZ, DE, IE, ES, HR, na CY, LV, w MT, RO, SK, FI, SE i UK (Gibraltar) wprowadzono przepisy w pełni zgodne z treścią art. 6. Ogólny zakres przepisów dyrektywy odnoszących się do przechwytywania danych komputerowych został ograniczony do wiadomości (BG i AT), danych umożliwiających śledzenie danej osoby (EE) lub korespondencji (FR i HU). Ponadto w środkach transpozycji przyjętych przez następujące państwa członkowskie nie odniesiono się do przechwytywania emisji elektromagnetycznych: BE, BG, EE, FR, IT, LT, LU, HU, NL, PL, PT, SI i UK (z wyjątkiem Gibraltaru). Ponadto w niektórych państwach członkowskich wprowadzono wymóg działania ze szczególnym zamiarem (np. z zamiarem zgromadzenia wiedzy, uzyskania korzyści gospodarczych lub postawienia w mniej korzystnej sytuacji – zob. EL, HU, AT) lub wymóg podjęcia określonego rodzaju czynności (takich jak rejestrowanie przechwytywanych materiałów lub zapoznawanie się z ich treścią – zob. BG i HU).

e) Narzędzia do popełniania przestępstw

Art. 7 kryminalizuje szereg czynności związanych z korzystaniem z narzędzi takich jak programy komputerowe lub kody dostępu w celu popełnienia przestępstw, o których mowa w art. 3–6; wspomniane czynności to: wytwarzanie takich narzędzi, ich sprzedaż, dostarczanie w celu użycia, przywóz, rozpowszechnianie lub udostępnianie w inny sposób. W BE, DE, IE, EL, na CY, w AT i w SK przyjęto odpowiednie przepisy krajowe w tym zakresie. Niektóre państwa członkowskie w swoich przepisach nie uwzględniły wszystkich wymienionych powyżej przestępstw (EE, IT, MT, PL i SI). W niektórych sprawcę przestępstwa, o którym mowa w art. 7, traktuje się w taki sam sposób jak sprawcę przestępstw wymienionych w art. 3–6 (CZ i SI). W niektórych państwach zastosowano wymóg działania z określonym zamiarem (z zamiarem spowodowania szkody lub z zamiarem dopuszczenia się oszustwa – zob. IT, LU i FI), zamiarem uzyskania określonego rezultatu, np. naruszenia tajemnicy (BG) lub co najmniej czynienia przygotowań do popełnienia wspomnianych przestępstw (SE). Rozbieżności między brzmieniem art. 7 a środkami krajowymi wynikają również z braku transpozycji wszystkich wymienionych możliwych czynności. Ma to miejsce w BG, CZ, EE, ES, FR, HR, IT, na LV, na LT, w LU, na HU, w PL, PT, RO, SI i UK. Spośród tych państw tylko w przepisach przyjętych w LU wspomniano o pięciu z sześciu możliwych czynności wymienionych w dyrektywie, natomiast w pozostałych państwach członkowskich odniesiono się wprost do zaledwie czterech takich czynności lub do mniejszej ich liczby.

Czynność polegająca na dostarczaniu w celu użycia została włączona do przepisów krajowych wyłącznie w przypadku ES.

2.3. Przepisy ogólne dotyczące omawianych przestępstw (art. 8–12 dyrektywy)

a) Podżeganie i pomocnictwo