R-2005/0544 R-2005/0566 Stockholm den 16 juni 2005 Till Justitiedepartementet Ju2005/2234/L5 Ju2005/2433/L5 Sveriges advokatsamfund har genom remisser den 1 april 2005 beretts tillfälle att avge yttrande över departementspromemoriorna Angrepp mot informationssystem (Ds 2005:5) och Brott och brottsutredning i IT-miljö (Ds 2005:6). Med anledning härav anför Advokatsamfundet följande. Sammanfattning Advokatsamfundet delar i huvudsak promemoriornas bedömning av vilka författningsändringar och undantag som behövs för att regelsystemen skall bli förenliga med rambeslutet och konventionen om IT-relaterad brottslighet. Det finns emellertid begränsningar och brister i analysen som i vissa avseenden kan leda till en större osäkerhet än idag om hur gällande rätt i IT-miljö skall förstås på straffrättens och straffprocessrättens område. På det straffprocessuella området ser samfundet med oro på den sammantagna effekten av promemoriornas förslag och andra aktuella lagstiftningsprojekt. Förslagen bör därför inte utan ytterligare beredning läggas till grund för lagstiftning. Straffrättsliga frågor Dataintrång Olika typer av skydd förs samman Den straffrättsliga regleringen har sedan länge varit i behov av en anpassning till utvecklingen på IT-området. Detta gäller bland annat för bestämmelsen om dataintrång, som kommit att inrymma en mängd helt olikartade förfaranden. IT:s funktionalitet har stegvis byggts ut så att traditionella fysiska indelningar i rum, förvar och skyddade zoner har fått elektroniska motsvarigheter. Samtidigt har infrastrukturer, tjänster och apparater till följd av digitaliseringen delvis smält samman (s.k. konvergens). Arbetet med att skydda informationssystem, de elektroniska platser där data förvaras och de elektroniska handlingar som data representerar har emellertid till övervägande del inriktats på fysiska
2 skalskydd och liknande åtgärder. Den snabba utvecklingen mot e-tjänster och kryptografiska rutiner för att försluta elektroniska platser, släppa in endast den som legitimerat sig och underteckna handlingar elektroniskt accentuerar ytterligare behovet av ett fungerande straffrättsligt skydd på området. I fysisk miljö är den straffrättsliga regleringen anpassad för olika situationer och förutsättningar. För hemfridsbrott straffas den som olovligen tränger in i någons bostad, dvs. utan samtycke. För olaga intrång straffas den som tränger in i kontor och liknande. Här kriminaliseras emellertid åtgärden om den vidtas obehörigen. Skillnaden i terminologi och indelningen i olika bestämmelser har sin grund i att det i det sistnämnda fallet kan saknas samtycke men åtgärden ändå anses vara behörig och därmed fri från straff. Vidare finns det, om någon förstör en sak, särskilda regler om skadegörelse som blir tillämpliga om gärningen sker till men för annans rätt. Genom motivuttalanden och rättspraxis klargörs straffansvarets gränser och det är vanligtvis enkelt att förstå vilket förfarande som avses, t.ex. vid ett inbrott. De förslag som nu läggs fram för samman dessa olika skyddsintressen och behov av kriminalisering i en enda bestämmelse om dataintrång. Därmed accentueras ytterligare den sammansmältning av funktioner och avsaknad av traditionella gränser som IT fört med sig. I promemorian om brottsutredning i IT-miljö redovisas också att ett intrång kan vara olovligt av olika skäl. Det kan vara helt olagligt, det kan ta sikte på att överskrida behörighet eller befogenhet eller stå i strid med samtycke eller avtal (Ds 2005:5 s. 213 f.). Den föreslagna lagtekniska lösningen leder till en svårtolkad bestämmelse. Många olikartade företeelser döljs under ett och samma rekvisit, olovligen. De förfaranden som är typiska i IT-miljö t.ex. portscanning för att samla information om en måldator, användning av skadlig kod, upprepade inloggningar för att överbelasta ett system, ändringar av data etc. nämns emellertid endast i något undantagsfall. De avvägningar som här krävs mellan effektivitet och integritet bör enligt samfundets mening göras öppet och inte dolt inom ramen för ett enda olovlighetsrekvisit och knytas till de förfaranden som i praktiken förekommer så att rättstillämpningen blir förutsägbar (1 kap. 1 brottsbalken, BrB). Ett exempel på de komplikationer som kan uppstå till följd av svårigheten att tolka begreppet olovligen, är om en arbetsgivare gör sig skyldig till brott genom att kontrollera anställdas e-post eller mappar där anställda sägs förvara privat material. Generella uttalanden av typen att den som för ägarens/brukarens räkning testar systemets säkerhet mot avlyssning inte kan straffas för åtgärden (Ds 2005:6 s. 372) ger endast begränsad vägledning vilka fall avses och vad gäller för den överskottsinformation som i praktiken kommer att samlas in vid t.ex. loggning? Inom ramen för det internationella arbetet inom Europarådet och Europeiska unionen har det framkommit att en huvuddel av medlemsländerna infört separata regler för att kriminalisera intrång i system respektive angrepp mot lagrade data. Frågan om en motsvarande reglering behövs i Sverige har inte genomlysts i promemoriorna. Analysen har i denna del sådana brister att förslagen till ändring i bestämmelsen om dataintrång inte utan en ytterligare beredning bör läggas till grund för lagstiftning. Behovet av klara avgränsningar framgår bl.a. av att bestämmelsens innebörd nyligen tolkats i två utredningsbetänkanden (SOU 2005:20 s. 190 f. och SOU 2005:38 s. 144 f.). Trots detta ansågs det lagtekniska
3 genomförandet vara av enkel beskaffenhet, när bestämmelsen om dataintrång år 1998 fördes över från den dåvarande datalagen till brottsbalken i samband med personuppgiftslagens införande. Någon remissbehandling av de konkreta lagförslagen genomfördes därför inte (prop. 1997/98:44 s. 113). I lagmotiven gavs inte heller några vägledande uttalanden rörande olovlighetsrekvisitet eller bestämmelsens tillämpningsområde i övrigt. Det har förekommit att verksamma på säkerhetsområdet gjort en jämförelse med personuppgiftslagen och hävdat att det beträffande reglerna om persondataskydd och straffrättsligt skydd skulle vara i det närmaste omöjligt att få klara besked om vad som gäller. En sådan utveckling kan knappast godtas. Normkonflikter med anknytning till yttrande- och informationsfriheten Advokatsamfundet ser med tillfredsställelse på att den föreslagna kriminaliseringen enligt promemorian om angrepp mot informationssystem inte avses komma i konflikt med meddelarfriheten, t.ex. när någon använder e-post för opinionsyttringar eller gör bruk av sin meddelarfrihet. Uttalandena (Ds 2005:5 s. 62 f.) avser emellertid den föreslagna kriminaliseringen av att allvarligt hindra användningen av en upptagning. När många skyddsintressen och förfaranden på detta sätt samlas under en enda bestämmelse kan dock även andra komplikationer uppkomma. Några bestämmelser skyddar viss information eller ger skydd mot viss information, t.ex. bestämmelserna om företagsspioneri och barnpornografibrott. Något förenklat kan alltså en skiljelinje dras mellan att å ena sidan anse uppgifterna eller informationen som sådan som skyddsobjekt, eller å andra sidan att anse ett visst utrymme, där uppgifterna finns, som skyddsobjekt (jfr beskrivningen i SOU 2002:18 s. 103). Detta korresponderar med undantag från bestämmelser i grundlag (se 1 kap. 9 5 tryckfrihetsförordningen och 2 kap. 12 yttrandefrihetsgrundlagen) som innebär att bestämmelserna om informationsfrihet inte kan frita den som i t.ex. publiceringssyfte bryter sig in (jfr hacking ) för att ta del av information som finns i annans bostad eller kontor. Skall reglerna om informationsfrihet generellt ta över skyddet enligt bestämmelsen om dataintrång uppkommer emellertid den komplikationen att t.ex. en journalist som åberopar att en av honom utförd hackerattack skett endast för att komma över information i publiceringssyfte skulle gå fri från ansvar. Enligt motivuttalandena till förslaget synes bestämmelsen om dataintrång alltså avse viss information, inte sättet för intrång (Ds 2005:5 s. 62). De lege ferenda torde det inte vara avsett att intrång i informationssystem (jfr ett inbrott) skall fritas från ansvar. De lege lata är rättsläget oklart. Från dessa utgångspunkter framstår uttalandet, att det är en fördel med bestämmelsen att den är koncentrerad, som märkligt (Ds 2005:5 s. 54). Försök och förberedelse Det saknas vidare vägledande uttalanden eller praxis rörande vad som utgör straffbart försök till dataintrång. Utgör redan t.ex. en s.k. portscanning där en hacker genom att skicka ett antal anrop får svar som ger besked om svagheter i en brandvägg ett straffbart försök, om svaren från målsystemet är sådana att hackern inte kommer vidare? Skulle en avancerad portscanning som tar sikte på en nyligen publicerad säkerhetsbrist
4 misslyckas så att det inte går att komma vidare för att göra intrång, torde detta bero endast på den slumpen att just detta system hade hunnit få ett skydd installerat. Möjligen kan man se en likhet med RH 1982:109 där en gärningsman som bröt sig in för att misshandla en person som visade sig inte vara hemma dömdes för försök till misshandel. Straffansvar synes härvid kunna inträda i ett tidigt skede; jfr att försök till olagligt intrång inte behöver kriminaliseras enligt rambeslutet (Ds 2005:5). Utan förtydligande motivuttalanden om vilka förfaranden som omfattas av kriminaliseringen framstår rättsläget dock som oklart. Upptagningsbegreppet och registerbegreppet I det förslag till språklig justering som läggs fram efter förebild av regleringen i 2 kap. tryckfrihetsförordningen (TF) har inte beaktats att synen i TF på begreppet upptagning delvis har ändrats, efter införandet av dataintrångsbestämmelsen i datalagen och även efter överflyttningen till brottsbalken, så att utgångspunkten från fixering delvis ersatts med en utgångspunkt från informationsinnehållet och alla de potentiella handlingar som kan skapas med stöd av fixerade data. Offentlighetsinsynen kan visserligen alltjämt ta sikte på ett informationsinnehåll som har fixerats på ett medium (prop. 2001/02:70 s. 22) men begreppet inrymmer också tänkbara potentiella informationsinnehåll som kan tas fram på visst närmare angivet sätt. Ett straffrättsligt skydd måste rimligen avse representation av information digitala data och inte potentiella handlingar (se vidare SOU 1992:110 avsnitt 2.5 under rubriken Datalagen begreppet upptagning). Det bör därför övervägas om den redaktionella anpassningen, med direkt hänvisning i motiven till TF:s begreppsbildning, kan komma att ge andra, icke avsedda resultat. Att hindra en upptagning Konsekvenserna av den föreslagna kriminaliseringen av att undertrycka eller på annat sätt allvarligt hindra användningen av en upptagning behöver klargöras. Exempelvis synes förslaget innebära att hindrande åtgärder som ses som nödvändiga av säkerhetsskäl såsom att störa ut mobiltelefoni i fängelser inte kan vidtas utan särskild författningsreglering som tillåter åtgärden, dvs. gör den lovlig. Denna typ av störning kommer nämligen att undertrycka elektromagnetiska vågor/emissioner som innehåller överföring av information via exempelvis GPRS. Skyddet i etern Det är av stor praktisk betydelse vilka förfaranden som är straffbara när någon avser att bereda sig åtkomst till uppgifter som andra överför via trådlösa nät och vilka åtgärder som företag som innehar trådlösa nät får vidta för skydd mot olovlig åtkomst. Rättsläget är oklart och kompliceras ytterligare genom de förslag som läggs fram. När det dessutom uttalas att frågan huruvida olovlighetskravet i detta avseende är uppfyllt eller inte får övervägas i varje enskilt fall med hänsyn till samtliga omständigheter i det särskilda fallet (Ds 2005:5 s. 71) torde situationen bli svår att hantera, i vart fall för dem som behöver vidta åtgärder för att skydda sig. Ingen analys ges ens av vilka faktorer som är avgörande.
5 Beträffande trådlösa nät behöver åtgärder vidtas för att kontrollera att angrepp inte sker mot nät genom annan trafik. I känsliga miljöer, till exempel så som nu är aktuellt för fängelser, kan trafik dessutom behöva störas ut. De svepande uttalanden som görs i föreliggande förslag rörande vad som utgör straffbara intrång när kommunikationen sker trådlöst kan inte läggas till grund för en fungerande hantering av frågor om samhällets informationssäkerhet. Generella uttalanden av typen att den som för ägarens/brukarens räkning testar systemets säkerhet mot avlyssning inte kan straffas för åtgärden (Ds 2005:6 s. 372) ger endast begränsad vägledning. I etern kan kontroller och skydd knappast genomföras utan att överskottsinformation förekommer. I fysisk miljö går det normalt att se när en gräns olovligen passeras. När all kommunikation sker i form av IP-paket står det emellertid vanligtvis inte klart förrän vid en efterföljande granskning om någon sådan gräns har passerats. Brotten mot urkunder Tidigare bedömningar De förslag som Datastraffrättsutredningen lade fram år 1992 nämns fortfarande när straffrättsliga frågor och IT tas upp. I utredningens betänkande har de nya förutsättningar som IT fört med sig för författningsregleringen analyserats. Som exempel på att förslagen alltjämt är av intresse kan nämnas att det nu i promemorian Brott och brottsutredning i ITmiljö i princip hävdas att de förslag till anpassning av 14 och 15 kap. BrB som Datastraffrättsutredningen lagt fram skulle utgöra gällande rätt, utan författningsändringar, under förutsättning att en avancerad elektronisk signatur eller liknande har använts (Ds 2005:6 s. 225). Här bör också nämnas att Högsta domstolen i det s.k. VPC-fallet (NJA 1987 B 8) förklarat att ett magnetband med viss betalningsinformation kunde vara att bedöma som en urkund och att Svea hovrätt i det s.k. Alcalá-målet (B 5258-01) uttalat att upptagningar för automatisk databehandling i många fall faller under begreppet urkund och att urkundsbegreppet således genom rättspraxis kommit att följa med den tekniska utveckling som skett. Gällande rätt kan tillämpas även i IT-miljö Advokatsamfundet delar bedömningen i promemorian om brottsutredning i IT-miljö att åtminstone sådana elektroniska handlingar som har försetts med en avancerad eller kvalificerad elektronisk signatur redan enligt gällande rätt utgör urkunder enligt 14 kap. 1 andra stycket BrB. Samma bedömning har gjorts i promemorian Deklarationsombud, som remissbehandlats (Fi2004/2110), utan invändningar i denna del. Vid den genomlysning som där gjorts av elektroniska underskrifter på deklarationer och av skyddet för e-legitimationer har betydelsen av ett straffrättsligt skydd redovisats närmare. Genom denna tolkning, och förslaget till ändring i 14 kap. 9 BrB, ges erforderligt skydd. Straffskyddets inträde blir vidare logiskt på så sätt att handlingar som har en elektronisk underskrift en avancerad eller kvalificerad signatur eller vad som enligt praxis kan komma att jämställas därmed ges skydd redan från den tidpunkt när handlingen förses med elektronisk underskrift. Handlingar som inte har sådan underskrift skyddas däremot först
6 från det att de används och åberopas på visst sätt. Därmed undantas ordbehandling där en person klipper och klistrar från andras handlingar redan genom objektiva rekvisit från straff för förfalskning samtidigt som en önskvärd styrning ges mot säkrare rutiner. Myndigheter och företag som inför elektroniska underskrifter eller s.k. elektroniska stämplar som bygger på rutinerna för avancerade eller kvalificerade elektroniska signaturer ges nämligen därmed ett straffrättsligt skydd mot manipulationer med autenticiteten redan från underskriften medan övriga handlingar ges motsvarande skydd först vid ett brukande så att fara i bevishänseende uppkommer. Använda begrepp Beträffande de begrepp som används i förslaget till ett nytt andra stycke i 14 kap. BrB vill Advokatsamfundet tillägga följande: Ordet autentisk brukar förekomma som en direkt översättning från engelska. I standardiseringssammanhang påstås ibland, med synnerligen komplex argumentering, att det skulle betyda något annat än begreppet äkta. För den reglering som föreslås här förordar Advokatsamfundet det enklare och inarbetade uttrycket äkta, i den avsedda betydelsen att föreställningsinnehållet omanipulerat härrör från den som framstår som utställare. Den föreslagna terminologin knyter vidare an till den språkliga justering som har föreslagits i 4 kap. 9 c BrB på så sätt att uttrycket sammanställning av uppgifter nyligen har förts in i 2 kap. 3 andra stycket TF i betydelsen potentiell handling. Skyddet i 14 kap. 9 andra stycket BrB avser istället det som i motiven till regeln i TF har betecknats färdig handling i elektronisk form och färdig elektronisk handling, dvs. sådana elektroniska handlingar där utställaren har gett dem ett bestämt, fixerat innehåll som går att återskapa gång på gång (se vidare prop. 2001/02:70 s. 20). Advokatsamfundet förordar att begreppet elektronisk handling används för att undgå missförstånd. Bestämmelsen torde bli lättare att förstå med följande lydelse: För brukande av falsk urkund döms även den som åberopar en elektronisk handling som inte är äkta och ger sken av att den är äkta, om åtgärden innebär fara i bevishänseende. Med elektronisk urkund skulle därmed förstås elektronisk handling som försetts med en elektronisk underskrift av sådant slag att handlingen anses vara en urkund i brottsbalkens mening och den straffrättsliga regleringen skulle i allt väsentligt ge det skydd mot förfalskning som behövs för e-tjänster och i övrigt för dokumenthantering i IT-miljö. Legalitetsprincipen I detta sammanhang vill Advokatsamfundet också ta upp frågan om legalitetsprincipens tillämpning i IT-miljö. Enligt motiven i promemorian om angrepp mot informationssystem synes allt tala för att ingen ändring behövs i denna del eftersom straffrättsligt skydd redan skulle föreligga. Ändringen genomförs för att det inte skall råda någon tvekan (Ds 2005:5 s. 56). Skall ett sådant synsätt tillämpas, med de oklarheter som finns i övrigt, torde synnerligen omfattande ändringar krävas, inte bara i 14 och 15 kap. BrB utan i hela brottsbalken. Här behövs ett principiellt synsätt som säkerställer att den balans som finns på andra områden mellan det betydelsefulla skyddet för en enskild misstänkt och motstående intressen av skydd inte sätts ur spel på IT-området.
7 Straffprocessuella frågor Advokatsamfundet ser med oro på de ökade risker för integritetsintrång som förslagen till anpassningar av det straffprocessuella regelverket sammantaget kan föra med sig. Advokatsamfundet delar i huvudsak promemorians bedömning av vilka författningsändringar och undantag som kan behövas på det straffprocessuella området för att regelverken skall bli förenliga med konventionen om IT-relaterad brottslighet. I något avseende synes dock längre gående åtgärder än som fordras enligt konventionen föreslås. En närmare analys hade behövts av gränsdragningar och tillvägagångssätt för att konsekvenserna av förslagen och tänkbara avgränsningar skall kunna överblickas. Frågan kompliceras dessutom av att Beredningen för rättsväsendets utveckling (BRU), under remisstiden för de nu remitterade promemoriorna, överlämnat delbetänkandet Tillgång till elektronisk kommunikation i brottsutredningar m.m. (SOU 2005:38). I det betänkandet har BRU dels noterat att Europarådets konvention om IT-relaterad brottslighet och promemorian Brott och brottsutredning i IT-miljö föreligger och att det förekommer frågor som berörs både i den nu remitterad promemorian och i BRU:s betänkande. Härvid har BRU förklarat att beredningen i sitt arbete inte ens analyserat innehållet i konventionen om IT-relaterad brottslighet (s. 113). Det har inte varit möjligt för Advokatsamfundet att bilda sig en samlad överblick av konsekvenserna av de olika förslag som finns. Generellt kan konstateras att förslagen noggrant måste övervägas dels från de utgångspunkter som brottsutredande organ har att verka utifrån, dels utifrån hur enskilda personer, företag och myndigheter skall kunna skydda sig genom egna kontroll- och skyddsåtgärder, bl.a. att undersöka angrepp för att vidta eventuella tekniska och rättsliga åtgärder, dels utifrån allmänna överväganden om skydd för enskildas integritet. Advokatsamfundet ser här från de skilda utgångspunkter som samfundet har att tillvarata dels risker för att myndigheter och andra inte kommer att kunna skydda sina informationstillgångar i vissa avseenden (t.ex. i etern) för att ett erforderliga skyddsåtgärder skulle kunna utgöra brott, dels att den som drabbas inte kan förvänta sig adekvata polisiära ingripanden (t.ex. spegelkopiering), men också att lagförslagen innebär ingrepp i enskildas integritet som är mycket långtgående. Ett exempel på det sistnämnda är förslaget om husrannsakan, som synes innebära att polis i hemlighet kan hacka sig in också hos den som inte är misstänkt för brott och på distans undersöka innehållet i dennes datorsystem. Förslaget i denna del bör därför inte utan ytterligare beredning, som bör innefatta en förnyad remissomgång, läggas till grund för lagstiftning. Härvid bör en samordning med de förslag som lagts i annat sammanhang ske. SVERIGES ADVOKATSAMFUND Anne Ramberg