Begreppet datorbehandlingsbara uppgifter ges av lagstiftningen för AT, BG, CY, CZ, DE, EE, EL IE, FI, HR, LT, MT, NL, PT, RO och UK (Gibraltar) medan inga slutsatser kunde dras utifrån de uppgifter som har lämnats av ES, FR, IT, LU, LV, PL, SE, SK och UK (förutom Gibraltar). I fallet med SE gör dock den särskilda uppställningen av de avsedda artiklarna definitionen överflödig. Vad gäller de övriga medlemsstaterna hänför HU definitionen av datorbehandlingsbara uppgifter endast till brott beskrivna i artiklarna 4 och 5 i direktivet, medan både BE och SI saknar inbegripande av ”ett program som lämpar sig för att få ett informationssystem att utföra en viss uppgift” i definitionen av datorbehandlingsbara uppgifter.

Definitionen i direktivet bygger på definitionen av begreppet datasystem som det beskrivs i artikel 1 a i Budapestkonventionen med tillägg av datorbehandlingsbara uppgifter i sig som en del av informationssystemet. CY, EL, IE, FI, HR, MT, PT och UK (Gibraltar) har infört rättsregler med definition av ett informationssystem medan inga slutsatser kunde dras utifrån de uppgifter som har lämnats av DE, ES, FR, LU, LV, PL, SE och SK. De återstående medlemsstaterna, dvs. AT, BE, BG, CZ, EE, HU, IT, LT, NL, RO, SI och UK (förutom Gibraltar) nämner inte specifikt datorbehandlingsbara uppgifter i de juridiska definitionerna. Detta innebär en hänvisning till artikel 1 a i Budapestkonventionen med en identisk räckvidd för definitionen av ett datasystem.

Beskrivningen och analysen i denna rapport bygger på de uppgifter som medlemsstaterna hade lämnat in senast den 31 maj 2017. Anmälningar som har inkommit efter detta datum har inte beaktats. Alla anmälda åtgärder angående nationella lagstiftningar beaktades såväl som domstolsbeslut och – i förekommande fall – gemensam rättslig teori. Dessutom kontaktade kommissionen medlemsstaterna direkt när det var nödvändigt och lämpligt för att få ytterligare information eller förtydliganden. All insamlad information beaktades vid analysen.

Vid den tidpunkt då tidsfristen för införlivande löpte ut hade 22 medlemsstater anmält till kommissionen att de hade införlivat direktivet till fullo. I november 2015 inledde kommissionen överträdelseförfaranden för underlåtenhet att anmäla nationella införlivandeåtgärder mot de återstående fem medlemsstaterna: BE, BG, EL, IE och SI . Den 31 maj 2017 pågick fortfarande överträdelseförfarandena mot BE, BG och IE för underlåtenhet att anmäla nationella införlivandeåtgärder.

c) Juridisk person

Förutom för LU som lämnade uppgifter utifrån vilka inga slutsatser kunde dras angående införlivandet av artikel 2 c skapade inte införlivandet av definitionen av ”juridisk person” några problem. Detta beror på att den i allmänhet redan finns i de flesta medlemsstaters civilrättsliga eller handelsrättsliga bestämmelser. Endast CY har en särskild bestämmelse i de antagna åtgärderna för att införliva direktivet.

d) Orättmätigt

Vad angår definitionen av begreppet ”orättmätigt” i artikel 2 d anmälde endast CY, IE, RO och UK (Gibraltar) införlivande, vilket gjorde att 23 medlemsstater inte anmälde några införlivandeåtgärder för denna definition. Det måste emellertid konstateras att det i alla medlemsstater finns en generell princip om att man inte har straffrättsligt ansvar för ett handlande om detta handlande utförs rättmätigt.

2.2 Särskilda brottsliga gärningar (artiklarna 3–7 i direktivet)

a) Olagligt intrång i informationssystem

Hänvisning till olagligt intrång i informationssystem, artikel 3 i direktivet, täcks av nationell rätt i AT, CY, CZ, EL, ES, IE, FI, FR, LT, LU, NL, PL, PT, SE och SK.

För alla övriga medlemsstater, dvs. BE, BG, DE, EE, HR, HU, IT, LV, MT, RO, SI och UK, skiljer inte de respektive nationella beskrivningarna av den brottsliga gärningen mellan att få åtkomst till ett informationssystem i sin helhet eller enbart en del, trots att detta uttryckligen anges i direktivet. Dessutom täcker inte DE:s införlivande ren åtkomst till datorhårdvara, och ytterligare krav beskrivs av AT och LU angående ett särskilt uppsåt (uppsåt att erhålla kunskap, vålla nackdel eller bedrägligt uppsåt) och av LV angående att orsaka omfattande skada. Vad gäller BE, BG, FR, HR, LU, MT, PT, RO, SI och UK är räckvidden av de nationella bestämmelserna bredare än direktivet, eftersom dessa bestämmelser inte kräver kringgående av någon säkerhetsåtgärd för att skapa straffrättsligt ansvar. De återstående medlemsstaterna hänvisar antingen bokstavligen till att brottet begås genom att överträda säkerhetsåtgärder (CY, EL och SK) eller använder liknande terminologi för att beskriva aspekten (AT, CZ, DE, EE, ES, FI, HU, IT, LT, LV, NL, PL och SE).

b) Olaglig systemstörning

Artikel 4 i direktivet avser olaglig systemstörning. I direktivet listas åtta möjliga gärningar (att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter) och två möjliga resultat av respektive gärning (att allvarligt hindra eller avbryta driften av ett informationssystem). BE, CY, CZ, EL, IE, FR, HR, LU, MT, PT, SE och UK (förutom Gibraltar) har infört motsvarande rättsliga åtgärder. BG hänvisar endast till att mata in virus, medan resterande medlemsstater (AT, DE, EE, ES, HU, IT, LV, NL, PL, RO, SI, SK och UK) inte särskilt nämner en eller upp till fyra av de möjliga gärningarna. I detta sammanhang kan konstateras att de flesta problemen uppstod i samband med begreppen ”försämra” (saknades i åtta fall) och ”göra åtkomst omöjlig” (saknades i nio fall).

c) Olaglig datastörning

Artikel 5 i direktivet handlar om olaglig datastörning, och följande sex möjliga gärningar anges: radera, skada, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter. CY, EL, IE och MT har införlivat bestämmelsen ordagrant. BE, CZ, LT, PT och SE använde mer generella begrepp för att helt täcka de möjliga gärningarna. Alla andra medlemsstaters införlivandeåtgärder täcker inte alla möjligheterna utan avser snarare endast fem alternativ (FI och SK) eller färre (AT, BG, DE, EE, FR, HR, HU, IT, LU, NL, PL, RO, SI och UK). De flesta problemen uppstod i samband med ”skada” (saknades åtta gånger), ”försämra” (tretton gånger), ”hindra flödet av data” (elva gånger) och ”göra dataåtkomst omöjlig” (tretton gånger). Utöver formuleringen i direktivet kräver FI ”uppsåt att orsaka skada eller ekonomisk förlust” för straffrättsligt ansvar, medan LT och LV kräver att ”gärningen åsamkar stor eller omfattande skada”.

d) Olaglig avlyssning

Artikel 6 avser olaglig avlyssning och inriktar sig på icke-offentlig överföring av datorbehandlingsbara uppgifter och elektromagnetisk strålning från ett informationssystem som innehåller sådana uppgifter. CY, CZ, DE, ES, IE, FI, HR, LV, MT, RO, SE, SK och UK (Gibraltar) har infört lagstiftning som helt täcker artikel 6. Den allmänna räckvidden av direktivet avseende avlyssning av datorbehandlingsbara uppgifter begränsas till meddelanden (AT och BG), observation av en person (EE) eller korrespondens (FR och HU). Dessutom täcker inte följande medlemsstaters införlivandeåtgärder avlyssning av elektromagnetisk strålning: BE, BG, EE, FR, HU, IT, LT, LU, NL, PL, PT, SI och UK (förutom Gibraltar). Några medlemsstater kräver dessutom särskilt uppsåt (som att få kunskap eller ekonomisk vinning, eller orsaka nackdel – se AT, EL, HU) eller specifika ytterligare gärningar (som inspelning eller att bli medveten om det avlyssnade innehållet – se BG och HU).

e) Verktyg som används för att begå brott

Artikel 7 kriminaliserar ett antal gärningar angående verktyg som datorprogram eller åtkomstkoder för att begå de brott som nämns i artiklarna 3–6: att tillverka sådana verktyg, sälja, anskaffa för att använda, importera, distribuera eller på annat sätt tillgängliggöra dem. AT, BE, CY, DE, EL, IE och SK har infört motsvarande nationell lagstiftning. Några medlemsstater täcker inte alla de avsedda brotten (EE, IT, MT, PL och SI). Några hänvisar inte till gärningsmannen enligt artikel 7 som en person skild från gärningsmannen till de brott som nämns i artiklarna 3–6 (CZ och SI). Några kräver särskilt uppsåt (att orsaka skada eller att handla bedrägligt – FI, IT och LU), ett särskilt resultat som kränkning av sekretess (BG) eller åtminstone en nivå av förberedelse till de avsedda brotten (SE). Slutligen återfinns diskrepanser mellan artikel 7 och de nationella åtgärderna i bristande införlivande av alla de uppräknade gärningarna. Så är fallet för BG, CZ, EE, ES, FR, HR, HU, IT, LT, LU, LV, PL, PT, RO, SI och UK. Bland dessa nämner LU:s lagstiftning specifikt fem eller sex av de i direktivet uppräknade möjliga gärningarna, medan andra medlemsstater endast hänvisar till fyra eller färre.

Endast ES har införlivat alternativet att anskaffa för att använda.

2.3 Allmänna regler för berörda brott (artiklarna 8–12 i direktivet)