Termenul „date informatice” este prevăzut în legislația din AT, BG, CY, CZ, DE, EE, EL, IE, FI, HR, LT, MT, NL, PT, RO și UK (Gibraltar), în timp ce informațiile furnizate de ES, FR, IT, LU, LV, PL, SE, SK și UK (cu excepția Gibraltarului) nu au fost concludente. Cu toate acestea, în cazul SE, structura specifică a articolelor la care se face trimitere face această definiție redundantă. În ceea ce privește celelalte state membre, HU leagă definiția datelor informatice numai de infracțiunile descrise la articolele 4 și 5 din directivă, în timp ce BE și SI nu au inclus „un program care permite unui sistem informatic să execute o funcție” în definiția datelor informatice.

Definiția din directivă se bazează pe definiția termenului „sistem computerizat”, astfel cum este prevăzută la articolul (1) litera a) din Convenția de la Budapesta, adăugând datele informatice ca parte a sistemului informatic. CY, EL, IE, FI, HR, MT, PT și UK (Gibraltar) au introdus dispoziții legislative cu definiția termenului „sistem informatic”, în timp ce informațiile furnizate de DE, ES, FR, LU, LV, PL, SE și SK nu au fost concludente. Pentru celelalte state membre, și anume AT, BE, BG, CZ, EE, HU, IT, LT, NL, RO, SI și UK (cu excepția Gibraltarului), definițiile juridice respective nu menționează în mod specific „date informatice”. Acest lucru implică o trimitere la articolul 1 litera a) din Convenția de la Budapesta cu același domeniu de aplicare al definiției sistemului computerizat.

Până la data transpunerii, 22 de state membre au notificat Comisiei faptul că au finalizat integral transpunerea directivei. În noiembrie 2015, Comisia a inițiat proceduri de constatare a neîndeplinirii obligațiilor pentru necomunicarea măsurilor naționale de transpunere împotriva celor 5 state membre rămase: BE, BG, EL, IE și SI . La 31 mai 2017, procedurile de constatare a neîndeplinirii obligațiilor pentru necomunicarea măsurilor naționale de transpunere împotriva BE, BG și IE erau încă pendinte .

Cu excepția LU, care nu a furnizat informații concludente cu privire la transpunerea articolului 2 litera (c), transpunerea definiției pentru „persoană juridică” nu a ridicat probleme. Acest lucru se datorează faptului că, în general, definiția respectivă este deja prezentă în majoritatea dispozițiilor de drept civil sau drept comercial din statele membre. Doar CY a formulat o dispoziție specifică în măsurile adoptate pentru transpunerea directivei.

d) fără a avea dreptul

Cu privire la definiția noțiunii „fără a avea dreptul” de la articolul 2 litera (d), numai CY, IE, RO și UK (Gibraltar) au notificat transpunerea, celelalte 23 de state membre neadoptând nicio măsură de transpunere pentru această definiție. Cu toate acestea, trebuie remarcat faptul că, în toate statele membre, există principiul general al neangajării răspunderii penale pentru acțiunile care sunt efectuate în baza unor drepturi.

2.2 Infracțiuni specifice (articolele 3-7 din directivă)

a) Accesarea ilegală a sistemelor informatice

Referitor la accesarea ilegală a unui sistem informatic, articolul 3 din directivă este reglementat de legislația națională din AT, CY, CZ, EL, ES, IE, FI, FR, LT, LU, NL, PL, PT, SE și SK.

Pentru toate celelalte state membre, și anume BE, BG, DE, EE, HR, HU, IT, LV, MT, RO, SI și UK, descrierea națională respectivă a infracțiunii nu face diferența între accesarea întregului sistem informatic sau numai a unei părți a acestuia, chiar dacă acest lucru este prevăzut în mod explicit în directivă. De asemenea, transpunerea realizată de DE nu acoperă simplul acces la hardware, iar AT și LU au prevăzut cerințe suplimentare cu privire la o intenție specială (intenția de a dobândi cunoștințe, cauzarea de dezavantajate sau intenția frauduloasă), în timp ce LV a prevăzut cerințe suplimentare privind cauza prejudiciilor substanțiale. În cazul BE, BG, FR, HR, LU, MT, PT, RO, SI și UK, domeniul de aplicare a dispozițiilor naționale este mai larg decât cel prevăzut de directivă, întrucât aceste dispoziții nu impun eludarea vreunei măsuri de securitate pentru a stabili răspunderea penală. Celelalte state membre fie se referă literalmente la infracțiunea săvârșită prin încălcarea unei măsuri de securitate (CY, EL și SK), fie utilizează o terminologie similară pentru a descrie aspectul (AT, CZ, DE, EE, ES, FI, HU, IT, LT, LV, NL, PL și SE).

b) Afectarea ilegală a integrității sistemului

Articolul 4 din directivă se referă la afectarea ilegală a integrității sistemului. Directiva enumeră 8 acte posibile (introducerea de date informatice, transmiterea, periclitarea, ștergerea, deteriorarea, modificarea, eliminarea acestor date, a le face inaccesibile) și două posibile rezultate ale actului respectiv (perturbarea gravă sau întreruperea funcționării unui sistem informatic). BE, CY, CZ, EL, IE, FR, HR, LU, MT, PT, SE și UK (cu excepția Gibraltarului) au introdus măsuri legislative corespunzătoare. BG se referă numai la introducerea unui virus, în timp ce, pentru celelalte state membre (AT, DE, EE, ES, HU, IT, LV, NL, PL, RO, SI, SK și UK), unul până la patru dintre actele posibile nu sunt menționate în mod specific. În acest context, se poate observa că majoritatea problemelor au apărut în ceea ce privește termenii „deteriorarea” (care lipsește în 8 cazuri) și „a face inaccesibile” (care lipsește în 9 cazuri).

c) Afectarea ilegală a integrității datelor

Articolul 5 din directivă se referă la afectarea ilegală a integrității datelor și enumeră următoarele șase posibile acte: ștergerea, periclitarea, deteriorarea, modificarea, eliminarea datelor informatice sau a le face inaccesibile. CY, EL, IE și MT au transpus exact dispoziția; BE, CZ, LT, PT și SE au utilizat termeni generici pentru a cuprinde toate actele posibile. Măsurile de transpunere ale tuturor celorlalte state membre nu acoperă toate posibilitățile, ci se referă mai curând la doar cinci alternative (FI și SK) sau mai puține (AT, BG, DE, EE, FR, HR, HU, IT, LU, NL, PL, RO, SI și UK). Majoritatea problemelor au apărut în ceea ce privește „periclitarea” (care lipsește de 8 ori), „deteriorarea” (de 13 ori), „eliminarea datelor” (de 11 ori) și „a face datele inaccesibile” (de 13 ori). În plus față de formularea din directivă, FI prevede „intenția de a provoca daune sau pierderi financiare” pentru angajarea răspunderii penale, în timp ce LT și LV prevăd ca „actul să provoace daune importante sau prejudicii substanțiale”.

d) Interceptarea ilegală

Articolul 6 se referă la interceptarea ilegală și vizează transmisiile private de date informatice și de emisii electromagnetice provenite de la un sistem informatic care transmite asemenea date. CY, CZ, DE, ES, IE, FI, HR, LV, MT, RO, SE, SK și UK (Gibraltar) au adoptat o legislație care acoperă integral articolul 6. Domeniul general de aplicare a directivei cu privire la interceptarea datelor informatice este limitat la mesaje (AT și BG), observarea unei persoane (EE) sau corespondență (FR și HU). De asemenea, măsurile de transpunere adoptate de următoarele state membre nu se referă la interceptarea emisiilor electromagnetice: BE, BG, EE, FR, HU, IT, LT, LU, NL, PL, PT, SI și UK (cu excepția Gibraltarului). În plus, unele state membre impun existența unei intenții speciale (cum ar fi aceea de a dobândi cunoștințe sau un câștig economic ori de a cauza dezavantaje – a se vedea AT, EL, HU) sau acte suplimentare specifice (cum ar fi înregistrarea sau luarea la cunoștință a conținutului interceptat – a se vedea BG și HU).

e) Instrumentele care servesc la săvârșirea infracțiunilor

Articolul 7 incriminează o serie de acte care se referă la instrumente precum programe de calculator sau coduri de acces pentru săvârșirea infracțiunilor menționate la articolele 3-6: producerea de astfel de instrumente, vânzarea acestora, achiziționarea în vederea utilizării, importul, distribuirea sau punerea la dispoziție în alt mod. AT, BE, CY, DE, EL, IE și SK au adoptat acte legislative naționale corespunzătoare. Unele state membre nu acoperă toate infracțiunile menționate (EE, IT, MT, PL și SI). Unele nu se referă la autorii prevăzuți la articolul 7 ca fiind persoane diferite de autorul infracțiunilor menționate la articolele 3-6 (CZ și SI). Unele dintre acestea impun existența unei intenții specifice (de a provoca daune sau de a acționa în mod fraudulos – a se vedea FI, IT și LU), un rezultat specific precum încălcarea secretului (BG) sau cel puțin un nivel de pregătire a infracțiunilor menționate (SE). În sfârșit, între articolul 7 și măsurile naționale sunt constatate discrepanțe în ceea ce privește lipsa de transpunere a tuturor actelor posibile enumerate. Acest lucru este valabil pentru BG, CZ, EE, ES, FR, HR, HU, IT, LT, LU, LV, PL, PT, RO, SI și UK. Dintre acestea, legislația din LU menționează în mod explicit cinci dintre cele șase posibile acte enumerate în directivă, iar celelalte state membre fac referire în mod explicit la cel mult patru acte posibile.

Numai ES a transpus alternativa achiziționării în vederea utilizării.

2.3 Norme generale pentru infracțiunile în cauză (articolele 8-12 din directivă)

a) Instigarea și complicitatea