[pic] | EUROPEISKA GEMENSKAPERNAS KOMMISSION |

Bryssel den 22.5.2007

SEK(2007) 641

ARBETSDOKUMENT FRÅN KOMMISSIONENS AVDELNINGAR Medföljande dokument till ett

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET, RÅDET OCH EUROPEISKA UNIONENS REGIONKOMMITTÉ Att införa en allmän politik för kampen mot IT-relaterad brottslighet SAMMANFATTNING AV KONSEKVENSANALYSEN

{KOM(2007) 267 slutlig}{SEK(2007) 642}

SAMMANFATTNING

1. INLEDNING

Användningen av Internet har exploderat under senare år och framkomsten av nya fenomen och nya tekniker har skapat en situation med allt större osäkerhet.

Kommissionen anförde i sitt lagstiftnings- och arbetsprogram 2007 att det krävs en omfattande uppdatering av kommissionens politik på området för IT-relaterad brottslighet och aviserade därför att ett meddelande om IT-relaterad brottslighet skulle utarbetas.

Under det inledande samrådsförfarandet framgick det klart att det saknas uppgifter och statistik, vilket var ett av de främsta skälen till att kommissionen beställde en extern undersökning [1] 2006, som konsekvensanalysen till största del bygger på.

Under det förberedande arbetet har kommissionen också analyserat ett antal lagstiftningsåtgärder och andra åtgärder, särskilt vad avser eventuella luckor i den nuvarande lagstiftningsramen. Särskild hänsyn har tagits till Europarådets konvention om IT-relaterad brottslighet [2] och rådets rambeslut om angrepp mot informationssystem [3], eftersom dessa texter ansågs vara de mest omfattande i fråga om materiell rätt och processrätt.

På grundval av dessa åtgärder håller kommissionen på att utarbeta ett nytt initiativ till allmän politik, nämligen ett meddelande om kampen mot IT-relaterad brottslighet på EU-nivå. Den här konsekvensbedömningen kommer i huvudsak handla om strategiska frågor.

Kommissionen vill i detta sammanhang betona att den strävar efter att utforma och tillämpa politiken för att bekämpa och lagföra IT-relaterad brottslighet på ett sätt som respekterar de grundläggande rättigheterna, särskilt yttrandefriheten, rätten till respekt för privatliv och familjeliv och skyddet av personuppgifter. Det kommer att ske i överensstämmelse med kommissionens meddelande om hur respekten för stadgan om de grundläggande rättigheterna skall upprätthållas i kommissionens lagstiftningsförslag [KOM(2005) 172]

2. PROBLEM OCH MÅL

Den snabba utvecklingen av Internet och andra informationssystem har lett till att en helt ny ekonomisk sektor har skapats och till nya snabba flöden av information, varor och tjänster över EU:s inre och yttre gränser. Detta har naturligtvis haft många positiva följder för konsumenter och medborgare. Samma utveckling har dock även öppnat många nya möjligheter för brottslingar. Man kan tydligt urskilja ett mönster av ny brottslig verksamhet mot Internet eller brottslighet där informationssystem används som ett brottsverktyg. Denna brottsliga verksamhet utvecklas ständigt och det är svårt för lagstiftningen och den operativa brottsbekämpningen att hålla jämna steg med utvecklingen. Eftersom denna nya typ av brottslighet har en inneboende gränsöverskridande karaktär måste även det gränsöverskridande brottsbekämpande samarbetet förbättras.

Följande åtta strategiska problemområden har tagits upp i den närmare undersökningen av det övergripande problemet.

- Samhällets, näringslivets och medborgarnas allt större sårbarhet för IT-relaterad brottslighet.

- Den IT-relaterade brottsligheten blir allt vanligare och alltmera sofistikerad.

- Det saknas en sammanhängande politik och lagstiftning på EU-nivå för kampen mot IT-relaterad brottslighet.

- Det finns särskilda svårigheter med samarbetet kring den operativa bekämpningen av IT-relaterad brottslighet.

- Det finns ett behov av att utveckla kompetens och tekniska verktyg: utbildning och forskning.

- Det saknas en funktionell struktur för samarbetet mellan viktiga aktörer inom den offentliga och den privata sektorn.

- Oklar ansvarsfördelning.

- Bristande medvetenhet om riskerna med IT-relaterad brottslighet.

Det bör noteras att alla berörda parter (såväl brottsbekämpande myndigheter som privata företag) som har lämnat synpunkter under samrådet i samband med denna rapport har varit slående eniga om vilka de nuvarande problemen för EU är på detta område.

2.1. Vem berörs?

IT-relaterad brottslighet berör alla sektorer av samhället och en politik för att bekämpa sådan brottslighet kommer att synas praktiskt taget överallt. Med hänsyn till det mycket stora antal medborgare som använder persondatorer kan varje initiativ för att bekämpa IT-relaterad brottslighet påverka de flesta enskilda medborgare – redan i deras egenskap av potentiella brottsoffer.

Det finns dock även klara tecken på att det finns en ökad brottslig verksamhet som är riktad mot specifika grupper av brottsoffer. En effektiv politik mot IT-relaterad brottslighet måste därför ha tydliga positiva följder för dessa grupper. Verksamheter som har samband med informationssamhället , och informationssamhället i stort, kan förväntas spela en viktig roll i detta sammanhang, med hänsyn till de betydande positiva ekonomiska effekter som kan förväntas uppstå om säkerheten skärps eller om en situation med ökad säkerhet införs.

2.2. Har EU rätt att agera?

Med hänsyn till omfattningen och storleken av säkerhetshoten finns det ett konstant, eventuellt ökande, behov av att avvärja hoten från IT-relaterad brottslighet. Säkerhetsfrågor i samband med IT-relaterad brottslighet har en global dimension och kan därför inte behandlas enbart på nationell nivå. Hotet är internationellt och det måste också åtminstone en del av bemötandet vara. Det råder inga tvivel om att kampen mot IT-relaterad brottslighet även i fortsättningen kommer att föras i första hand och effektivast på nationell nivå, men det finns ett tydligt behov av att sammankoppla och eventuellt komplettera det nationella arbetet på EU-nivå.

2.3. Mål

Det övergripande strategiska målet för den föreslagna politiken, som bygger på de ovan identifierade problemen, kan sammanfattas på följande sätt:

Att stärka och bättre samordna kampen mot IT-relaterad brottslighet på nationell, europeisk och internationell nivå.

Detta övergripande strategiska mål kan delas in i följande fem strategiska delmål. De presenteras i prioritetsordning.

- Att förbättra operativa gränsöverskridande brottsbekämpningsåtgärder avseende IT-relaterad brottslighet i allmänhet och allvarliga former av sådan brottslighet i synnerhet, och att förbättra utbytet av information, underrättelser och bästa metoder mellan brottsbekämpande myndigheter i medlemsstaterna och i länder utanför EU.

- Att identifiera och skapa operativa instrument för samarbete och gemensamt målsättande mellan den offentliga och den privata sektorn och att förbättra utbytet av information, underrättelser och bästa metoder för kampen mot IT-relaterad brottslighet mellan den offentliga och den privata sektorn på EU-nivå.

- Att etablera en politisk plattform och strukturer för utveckling av en konsekvent EU-politik för kampen mot IT-relaterad brottslighet, i samarbete med medlemsstaterna och behöriga EU-organ och internationella organisationer, och att effektivisera befintliga rättsliga och institutionella ramar, även genom att klargöra vilket ansvar alla inblandade aktörer har.

- Att bemöta det växande hotet från allvarliga former av IT-relaterad brottslighet genom att främja kompetens, kunskap och tekniska verktyg, inbegripet åtgärder för att stärka relevant utbildning och forskning.

- Att öka den allmänna medvetenheten om hotet från IT-relaterad brottslighet, särskilt bland konsumenter och andra sårbara grupper av potentiella brottsoffer.

3. VAL AV STRATEGISK POLITIK

All politik för att bekämpa IT-relaterad brottslighet kommer till sin natur att vara mångsidig. För att vara verkligt effektiv måste en sådan politik kombinera traditionell brottsbekämpande verksamhet med andra instrument, t.ex. självreglering och inrättande av strukturer för samarbete mellan olika berörda aktörer. Ett antal problemområden och strategiska mål för detta initiativ har beskrivits ovan. För att uppnå dessa mål måste flera olika och kombinerade åtgärder vidtas. Kommissionen har på grundval av det omfattande samråd som har hållits formulerat fyra alternativ till allmän politik, som vart och ett består av flera specifika åtgärder.

3.1. Alternativ 1: Status quo/ingen viktigare ny åtgärd alls

Detta alternativ skulle innebära att kommissionen i detta skede inte vidtar någon generell övergripande åtgärd. Det skulle innebära följande.

- Kommissionen skulle fortsätta att bedöma behovet av målinriktad lagstiftning eller politisk åtgärd och vidta lämpliga åtgärder när det behövs.

- Kommissionen skulle följa befintliga projekt mot IT-relaterad brottslighet inom EU eller internationellt.

- Kommissionen skulle fortsätta att inleda nya projekt på målinriktade intresseområden för att bekämpa IT-relaterad brottslighet men inte ta några horisontella initiativ.

3.2. Alternativ 2: Generell lagstiftning

Detta alternativ skulle innebära att en politik för att gradvis föreslå en generell lagstiftningsram för kampen mot IT-relaterad brottslighet antas. En sådan politik skulle innebära följande.

- Kommissionen skulle systematiskt föreslå harmoniserade eller enhetliga brottsdefinitioner, särskilt för EU men även på internationell nivå.

- Kommissionen skulle föreslå gemensamma miniminormer för kriminalisering och påföljder inom EU.

- Det skulle skapas formella plattformar på området för samarbete mellan det offentliga och det privata och inom utbildning och forskning.

- Ett formellt nätverk för brottsbekämpning skulle skapas.

3.3. Alternativ 3: Skapande av informella nätverk och nätverk mellan den offentliga och den privata sektorn

Detta alternativ skulle innebära att kommissionen, ensam eller tillsammans med andra institutioner, formellt skulle inrätta nätverk eller grupper för experter på området för IT-relaterad brottslighet och kombinera denna åtgärd med att införa ett frivilligt system för säkerhetscertifiering för operatörer, producenter och konsumenter. Detta skulle innebära följande.

- Det skulle inrättas ett informellt organ för experter inom bekämpning av IT-relaterad brottslighet.

- Det skulle inrättas informell plattform för/ett informellt nätverk av offentliga och privata experter inom IT-relaterad brottslighet.

3.4. Alternativ 4: Ett sammanhängande strategiskt tillvägagångssätt

Detta alternativ skulle innebära att en sammanhängande strategi för kampen mot IT-relaterad brottslighet införs på EU-nivå. Det främsta inslaget i denna strategi skulle vara att det inrättades en strategisk ram för EU:s politik mot IT-relaterad brottslighet, med den generella målsättningen att uppnå bättre vägledning för konkreta åtgärder och en optimal användning av befintliga medel. Andra viktiga operativa inslag i denna strategi skulle vara följande.

- Ett bättre samarbete inom brottsbekämpningen på EU-nivå.

- Införande av en strategisk struktur för samarbete mellan det offentliga och det privata mot IT-relaterad brottslighet.

- Främjande och inrättande av en ram för globalt internationellt samarbete på området.

- Målinriktade lagstiftningsåtgärder när det behövs.

4. BEDÖMNING AV DE OLIKA ALTERNATIVEN OCH VAL AV POLITIK

4.1. Bedömning

De olika alternativen till allmän politik har bedömts utifrån följande kriterier:

- Konsekvenser för samhället

- Ekonomiska konsekvenser

- Kostnader för de offentliga myndigheterna

- Grad av överensstämmelse med politiska mål

- Mervärde och respekt för subsidiaritetsprincipen

- Genomförbarhet

Slutsatserna av bedömningen var i korthet följande:

4.1.1. Alternativ 1

Detta alternativ ansågs vara klart otillräckligt för att ta itu med de befintliga utmaningarna. Följderna av alternativet ”ingen ny åtgärd” är i princip begränsade, med det är svårt att bedöma om det finns en risk för att detta alternativ får betydande konsekvenser, eftersom det inte går att veta vilka framtida brottstyper som kommer att uppstå. De potentiella negativa följderna av att ingen åtgärd vidtas är mycket stora, med hänsyn till att denna brottsform är betydande och kommer att växa ytterligare.

4.1.2. Alternativ 2

Slutsatsen blev att detta alternativ endast kunde användas med stor försiktighet och på lång sikt. Det skulle kräva detaljerade genomförbarhetsstudier och långdragna politiska förhandlingar. Effekterna av detta alternativ kan vara mycket stora, men med hänsyn till att det inte är sannolikt att några verkliga framsteg skulle göras på kort sikt, är alternativet osäkert i ett kortsiktigt perspektiv. Det kan också ifrågasättas om de politiska målsättningarna skulle uppnås lika effektivt i det faktiska genomförandet av de politiska åtgärderna som på politisk och teoretisk nivå. Om man skulle välja detta alternativ finns det risk för att den operativa sidan av kampen mot IT-relaterad brottslighet inte skulle vara tillräckligt delaktig i de strategiska politiska valen och besluten. Eftersom detta alternativ skulle få betydande konsekvenser skulle även kommissionens roll i detta hänseende behöva klargöras. Det skulle eventuellt också kunna hävdas att liknande resultat skulle kunna uppnås med mindre ingripande åtgärder.

4.1.3. Alternativ 3

Detta alternativ bedömdes vara det mest intressanta ur strategisk synvinkel, även om mervärdet och de konkreta verkningarna är svåra att förutse. Risken är att de nya nätverken skulle uppnå få konkreta resultat. Kommissionen skulle vara mycket lämpad att samordna självreglerande åtgärder på området men skulle inom ramen för detta alternativ spela rollen av en samordnare och medlare snarare än en strategisk ledare.

4.1.4. Alternativ 4

Detta alternativ ansågs erbjuda en rad högst relevanta strategiska åtgärder. Endast mycket få negativa effekter eller hinder kan urskiljas. En nackdel kan vara att de direkta verkningarna är ganska blygsamma. Det gäller dock bara på kort sikt, eftersom mycket viktiga verkningar kommer att kunna uppnås om lämpliga genomförandeåtgärder vidtas. Det är dock svårt att i detalj förutse vilka de konkreta verkningarna kommer att bli, eftersom de strategiska aspekterna kommer att behöva genomföras på det operativa planet i ett senare skede. Alla verkningar kommer att bedömas då.

Det bör återigen betonas att de direkta verkningarna av de föreslagna strategierna är begränsade och att specifika åtgärder som vidtas senare inom ramen för någon av dessa strategier kommer att bedömas separat i det skedet. Den bedömning som nu görs är därför preliminär.

4.2. Val av politik

I analysen har alternativ 4 klart framstått som det bästa alternativet. Alternativ 4 är också tydligt det alternativ som bäst svarar mot de generella mål som anges i avsnitt 2.4 ovan.

Alternativet att inte vidta åtgärder alls på detta område förefaller inte hållbart. En passiv hållning skulle troligtvis leda till att det även i fortsättningen skulle pågå ett stort antal bilaterala samarbetsprojekt i kampen mot IT-relaterad brottslighet, utan möjligheter att dra fördel av ett horisontellt utbyte av bästa metoder eller synergieffekter. Generell lagstiftning för att skapa nya EU-organ som skall harmonisera brottsdefinitioner och klargöra olika aktörers ansvar skulle kunna vara ett intressant alternativ, men en analys av den politiska situationen har tydligt visat att det finns mycket små utsikter till att förslag till generell och horisontell lagstiftning skulle antas. Vidare var det bara ett fåtal av de aktörer som uttalade sig under samrådet som ansåg att detta är den viktigaste prioriteringen just nu. Generell lagstiftning kan dock fortfarande vara relevant i ett långsiktigt perspektiv. Skapande av nya informella strukturer för brottsbekämpningen på EU-nivå eller samarbete mellan det offentliga och det privata kan också vara en god idé på lång sikt, men alla berörda aktörer verkar vara eniga om att de befintliga strukturerna är tillräckliga, även om det finns ett brådskande behov av att effektivisera dem. Analysen har således lett till slutsatsen att alternativ 4, ” en sammanhängande strategi ”, är att föredra. Det bör noteras att det alternativet inte utesluter att en formell struktur skapas (alternativ 3) eller att generell lagstiftning (alternativ 2) antas senare. Det valda alternativet innebär att man håller dörren öppen för nya åtgärder.

De förberedande analyserna och diskussionerna visar tydligt att alternativet ”en sammanhängande strategi” ger störst sannolikhet för att de strategiska målen för politiken kommer att kunna uppnås. En sådan strategi har sannolikt betydande positiva verkningar för kampen mot gränsöverskridande IT-relaterad brottslighet, eftersom alla inblandades kompetens och roller kommer att klargöras och stärkas. Den skulle också bidra till att uppnå en bättre dialog och förståelse mellan den offentliga och den privata sektorn, vilket i sin tur skulle ge många positiva sidoverkningar. Ur en ekonomisk synvinkel kan detta alternativ leda till betydande synergieffekter, till att brottslig verksamhet ger mindre skadliga verkningar och till att kostnaderna för enskilda säkerhetsprogram sänks.

Det är dock troligt att det kommer att ta några år innan de förväntade effekterna av det valda alternativet inträder. Det är därför svårt att i detta skede bedöma alla potentiella verkningar, särskilt som de konkreta detaljerna i politiken ännu inte har fastställts. Det kommer därför att bli nödvändigt att bedöma de specifika effekterna av de konkreta inslagen i politiken i ett senare skede.

[1] Study to Assess the Impact of a Communication on Cyber Crime , utarbetad av Yellow Window Management Consulting (kontrakt nr DG 2006/JLS D 2/03).

[2] Europarådets konvention om IT-relaterad brottslighet från 2001, se http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm

[3] Rådets rambeslut 2005/222/RIF av den 24 februari 2005 om angrepp mot informationssystem.