Det kongelige justis- og politidepartement Postboks 8005 Dep 0030 OSLO Deres referanse Vår referanse Dato 200700972 2007/00562-2 008 06.06.2007 Høring - NOU 2007: 2 Lovtiltak mot datakriminalitet 1. Innledning Det vises til høringsbrev vedrørende ovennevnte. Politidirektoratet har etter avtale med lovrådgiver Annette Kræmer fått utsatt høringsfrist til 6. juni 2007. Saken er forelagt samtlige politimestere og sjefene for Kripos, Økokrim og Politihøgskolen. Politidirektoratet har mottatt svar fra politimestrene i Asker og Bærum, Troms og Oslo og sjefen for Kripos. Uttalelsene, som vedlegges, er dels innarbeidet i direktoratets svar. Forslagene i NOU 2007:2 foranlediger følgende kommentarer fra Politidirektoratet: 2. Generelt Utvalget har gjort et grundig og godt arbeid, og forslaget til nytt kapittel om datakriminalitet fremstår som velfundert og gjennomarbeidet. Det synes hensiktsmessig å ta bestemmelser i kjerneområdet for datakriminalitet inn i et eget kapittel i straffeloven. Vi er også enige i at datakrimkapitlet ikke bør omfatte straffebud hvor bruk av data bare er en av flere mulige måter å begå overtredelsen på. Vi deler utvalgets syn om at dagens regler om datakriminalitet er utilstrekkelige og at det foreligger et reelt behov for nykriminalisering. Behovet for nykriminalisering gjelder særlig tyveri av data og databasert informasjon og etterfølgende befatning med utbytte av en slik handling. Videre er det utvilsomt behov for å kriminalisere ulovlig anbringelse av utstyr med det formål å skaffe seg pinkode eller å foreta utlovlig avlytting, tapping eller lignende. Politidirektoratet anser at de foreslåtte bestemmelser i all hovedsak dekker behovet for kriminalisering på området. Politimestrene i Asker og Bærum, Oslo og Troms samt sjefen for Kripos uttaler seg i samme retning. Det er et poeng i seg selv at norsk straffelovgivning er på linje med straffelovgivningen i andre land det er naturlig å sammenligne seg med. Vi må i alle fall ikke havne i en situasjon der Norge oppfattes som en safe haven for personer som begår datakriminalitet. Politidirektoratet Post: Postboks 8051 Dep., 0031 Oslo Besøk: Hammersborggata 12 Tlf: 23 36 41 00 Faks: 23 36 42 96 E-post: politidirektoratet@politiet.no Org. nr.: 982 531 950 mva Bankgiro: 7694.05.02388
2 Direktoratet finner for øvrig ingen grunn til å stille spørsmål ved utvalgets forståelse av Norges folkerettslige forpliktelser. For å kunne avdekke, etterforske og iretteføre datakriminalitet må de nødvendige straffebestemmelsene på plass. Det er imidlertid like viktig at politi og påtalemyndighet settes i stand til rent faktisk å avdekke, etterforske og iretteføre slik kriminalitet. Til det er man avhengig av god fagkompetanse og tilstrekkelige ressurser. Vi er enig med politimesteren i Asker og Bærum når han understreker at vedtakelse av straffebestemmelsene må følges opp med kompetanseoppbygging og ressurstilførsel til politiet. Den teknologiske utviklingen går raskt og nødvendiggjør jevnlig oppdateringer av teknisk betonte straffebud. Straffebudene bør i størst mulig grad utformes slik at de tar høyde for teknologisk utvikling. Samtidig kan de av hensyn til rettssikkerhet og legalitetsprinsipp ikke utformes så generelt og abstrakt at håndhevelse vanskeliggjøres eller at publikum ikke forstår bestemmelsens innhold. Utvalgets forslag til lovbestemmelser virker i all hovedsak å hensynta begge disse sidene. Vi vil i det følgende kommentere enkelte av de foreslåtte bestemmelsene, og har valgt samme inndeling/rekkefølge som i NOU en. 3. Definisjoner/begrepsbruk (pkt 5.2) De begrepene som brukes i loven synes i all hovedsak hensiktsmessige og dekkende. Som det fremgår på side 59 i utredningen, omfatter straffebudene alle IKT-systemer - uansett om teknologien gjelder tele-, IT- eller medie/kringkasting - og innholdet kan bestå av tekst, lyd, bilde eller dataprogram. Det kunne være en fordel dersom det fremgår noe klarere av selve lovteksten at begrepet data brukes i denne vide betydningen, for eksempel ved å utvide forklaringen i 1 bokstav c. Det kan også vurderes å bruke andre begreper, som eksempelvis i lov om elektronisk kommunikasjon (ekomloven). 4. Handlinger som skaper stor fare for gjennomføring av andre former for datakriminalitet (pkt 5.4) Utvalget foreslår et eget straffebud mot elektronisk kartlegging av andres datasystemer for å registrere sårbarhet og å forberede inntrengning i systemet (f eks portscanning), se 2. Direktoratet er enig med utvalget i at uberettiget elektronisk kartlegging bør være straffbart, at rettstilstanden pr. i dag er uklar og at det derfor er behov for en uttrykkelig avklaring som foreslått i 2. Utvalgets innvendinger mot kriminalisering er reelle: det kan være vanskelig og ressurskrevende å forfølge et slikt forhold og det er ikke åpenbart at det er behov for å kriminalisere kartlegging alene. Vi antar imidlertid, i likhet med utvalget, at et straffebud vil kunne ha preventiv virkning både for kartleggingsvirksomheten som sådan og for den datakriminaliteten som utløses av opplysningene fra kartleggingen. Også sjef for Kripos støtter utvalgets vurderinger.
3 Det er utvilsomt behov for en straffebestemmelse rettet mot det å plassere utstyr eller programvare på eller i tilknytning til datasystem/elektronisk kommunikasjonsnett for å skaffe seg informasjon man ikke er berettiget til, se utkast til 3. Eksempler på slik utplassering er videokamera ved eller falsk front på minibank/bensinpumpe og installering av programvare som leser innholdet på et datasystem. Etter dagens rettstilstand er selve utplasseringen i stor grad straffri. 5. Strafferettslig vern for data og databasert informasjon (pkt 5.5) I 9 foreslås en bestemmelse om etterfølgende befatning med data og databasert informasjon som er utbytte av straffbar handling. Bestemmelsen kommer til anvendelse når utbyttet består i data og databasert informasjon og stammer fra en handling som er straffbar etter bestemmelsene i datakrimkapitlet (i praksis 2, 5 og 6). Den omfatter etterfølgende befatning i form av å benytte, avhende eller tilgjengeliggjøre utbyttet - både fra den som har fremskaffet utbyttet (primærforbryteren) og en eventuell tredjemann. Etter Politidirektoratets mening er det hensiktsmessig med en egen bestemmelse om befatning med den noe spesielle form for utbytte som data og databasert informasjon er. Vi antar at gjerningsbeskrivelsene benytter, avhender eller tilgjengeliggjør dekker alle praktisk viktige alternativer for befatning, men i og med at man her har en spesialbestemmelse, vil det kunne være tvil om eventuelle andre former for befatning med denne type utbytte omfattes av 317. Også politimesteren i Oslo er inne på dette, og anbefaler at man sikrer at hele kjeden kan straffes. 6. Handlinger som rammer datasystemenes funksjonalitet, kapasitet og sikkerhet (pkt 5.6) Bestemmelsen i 8 første ledd om uberettiget bruk av datasystem m.v., presiserer at bruk av andres tilgangspunkt til internett i usikret trådløst elektronisk kommunikasjonsnett ikke anses uberettiget. Presiseringen omfatter ordinær nabosurfing, og vi er enige i at dette ikke bør ikke være straffbart. Sjef for Kripos tar opp spørsmålet om eventuell straffbarhet dersom surfingen fører til uleilighet for den som eier nett-tilgangen, for eksempel ved at en stor del av båndbreddes tas opp eller ved at eieren identifiseres med tredjemanns ulovlige eller kritikkverdige handlinger på nettet. Han foreslår at det presiseres at tredjemanns tilgang bare anses berettiget i forhold til 8. Utvalget presiserer at 8 er en videreføring av straffeloven 261 og 393 når bruken gjelder datasystemer og at 8 er en spesialbestemmelse i forhold til disse alminnelige bestemmelsene (side 84). Det fremstår da som noe uklart om 261 og 393 kan anvendes på nabosurfing som ikke er uberettiget etter 8, men som innebærer tap eller uleilighet for eieren. Dette vil være en fordel dersom dette avklares i loven eller forarbeidene. Dagens rettstilstand er ikke tilfredsstillende når det gjelder muligheten til å reagere mot masseutsendelse av elektroniske meldinger. Blant annet er det slik at markedsføringsloven 2b formentlig kun rammer utsendelse av spam fra Norge til norske forbrukere, og ikke spam fra Norge til utlandet. Bestemmelsen gjelder også bare utsendelse til fysiske personer og ikke juridiske personer. Vi viser for øvrig til uttalelsen fra sjefen for Kripos, hvor ytterligere svakheter ved dagens rettstilstand påpekes.
4 Vi er derfor enige med utvalget i at det er behov for en straffebestemmelse som foreslått i 14. Blant annet på bakgrunn av erfaring fra en konkret sak, ber imidlertid sjeen for Kripos om at skyldkravet i 14 endres til grov uaktsomhet. Det vil blant annet kunne være vanskelig å bevise forsett i forhold til at innehaveren av e-postadressen ikke har samtykket i å motta reklame eller han ikke var i et eksisterende kundeforhold. Forbrukerombudets adgang til sanksjoner etter markedføringsloven 2b (eventuelt en hel eller delvis videreføring av denne) innebærer for øvrig at forholdet til EMKs forbud mot dobbeltstraff må vurderes nærmere. I 15 foreslås en bestemmelse om bruk av uriktig identitet (stjålet eller fiktiv) ved elektronisk kommunikasjon. Denne type aktivitet er krenkende for den hvis identitet misbrukes, men er også alvorlig for den mottakeren som utsettes for misbruket, og det er åpenbart behov for en slik bestemmelse. Samtidig er det slik at mye av den kommunikasjon med uriktig (og da først og fremst fiktiv) identitet som foregår, ikke skal omfattes. I noen situasjoner, som for eksempel når barn chatter på internett, oppfordres brukeren tvert imot til å operere med uriktig identitet. Utvalget presiserer at slik bruk av uriktig identitet selvsagt ikke er straffbar, men det bør vurderes om det er mulig å formulere en lovtekst som viser dette for eksempel ved at det fremgår av lovteksten at bestemmelsen kun gjelder tilfeller der identiteten benyttes i en situasjon der det er grunn til å tro at opplysningene er reelle. Det bør vurderes om begrepet identitetstyveri er dekkende særlig fordi det også skal omfatte bruk av fiktiv identitet. Uansett bør overskriften endres slik den står nå ser det ut som om bestemmelsen omfatter to ulike forhold - identitetstyveri og bruk av uriktig identitet - mens realiteten er at førstnevnte er navnet på det sistnevnte. 7. Ulovlig befatning med skadelig dataprogram og utstyr (pkt 5.7) Paragraf 11 omfatter uberettiget befatning med skadelig dataprogram og utstyr. Bestemmelsen innebærer nykriminalisering, og utvalgets mindretall har ikke funnet å kunne gi tilslutning til forslaget selv om dette nødvendiggjør at Norge må reservere seg mot innholdet i Datakrimkonvensjonens artikkel 6. Mindretallet mener dagens rettstilstand bør opprettholdes ved at straffeloven 262 første ledd og åndsverkloven 53a annet ledd og 53c videreføres I følge flertallet er det først og fremst det å spre verktøy som gir ulovlig tilgang til datasystemer som er straffverdig. For å effektivisere spredningsforbudet, er det imidlertid nødvendig å også ramme det å fremstille, modifisere, besitte og anskaffe denne type verktøy. Sjefen for Kripos understreker at man som utgangspunkt bør være noe tilbakeholden med å innføre særskilte forbud mot innehav av nærmere bestemt programvare, og at en rekke godartede verktøy vil kunne rammes av forslagets ordlyd. Han støtter likevel flertallets forslag fordi det ivaretar reelle sikkerhetsbehov og bidrar til at forpliktelsene i Datakrimkonvensjonen oppfylles. Rettsstridsreservasjonen innebærer dessuten at forslaget ikke går lenger enn nødvendig. Uten et slikt lovforbud vil en risikere at Norge og norske nettsteder kan bli et internasjonalt friområde for spredning av hackerverktøy som andre land har satt restriksjoner på spredning av.
5 Bestemmelsen kriminaliserer i prinsippet forberedelseshandlinger, noe man i norsk rett generelt er tilbakeholden med. Vi er likevel enig med utvalgets flertall i at det å spre den aktuelle typen programvare bør kriminaliseres. Vi er mer i tvil om det er nødvendig at bestemmelsen omfatter alle de former for befatning det er lagt opp til. Det er for eksempel ikke åpenbart at en person som anskaffer skadelig programvare uten å vite at dreier seg om et slikt, men som senere får vite dette, skal kunne straffes for besittelse hvis han ikke umiddelbart kvitter seg med programvaren. (Forsettskravet antas å være oppfylt i forhold til besittelse, men ikke i forhold til anskaffelse). Det er mulig besittelsen ikke er uberettiget, men det er uklart. Politimesteren i Oslo mener bestemmelsen kan bli vanskelig å praktisere, og spør om bestemmelsen bør avgrenses til de dataprogrammer som har som hovedformål å skade, og som normalt ikke anvendes i legal virksomhet. 8. Databedrageri og kontomisbruk (pkt 5.8) Paragraf 16 gjelder kontomisbruk, og er ment å erstatte/supplere gjeldende bestemmelser om databedrageri i straffeloven 270 første ledd nr. 2. Den mest praktiske formen for databedrageri er uberettiget bruk av andres kredittkort eller debetkort i situasjoner hvor slike kort eller kortinformasjon benyttes i maskinelle prosesser og kortet ikke kontrolleres av mennesker. (NOU en side 107 108), men 16 skal omfatte alle former for misbruk av konto, uavhengig av om det er knyttet kort el.l til kontoforholdet. Vi er enig med politimesteren i Oslo i at definisjonen av begrepet konto i 16 annet ledd er noe vanskelig tilgjengelig. Innholdet forklares nærmere i NOU en pkt 5.8.5, men det bør vurderes om det er mulig å gi en noe mer selvforklarende tekst i selve bestemmelsen. Någjeldende straffelov 270 første ledd nr. 2 foreslås videreført for å fange opp forhold som ikke omfattes av forslaget til 16. Vi stiller spørsmål ved om det er hensiktsmessig å videreføre 270 første ledd nr. 2 uendret all den tid de fleste tilfellene av databedrageri nå vil omfattes av 16. 9. Inndragning/stengning av nettsted (pkt 5.12) Når det gjelder inndragning fremgår det av ny straffelov 76 annet ledd at den som må tåle inndragning har krav på å få informasjonsbæreren tilbakelevert etter at det ulovlige innholdet er fjernet. Datakrimutvalget påpeker at det ikke er tilstrekkelig å slette innholdet når inndragningen gjelder data. Slettet informasjon kan lett gjenopprettes av kyndige personer, og en effektiv sletting krever spesialverktøy. Utvalget foreslår derfor at det i 76 annet ledd gis hjemmel for at påtalemyndigheten kan bestemme at vedkommende isteden kan få kopi av de data som fantes på informasjonsbæreren og som ikke omfattes av inndragningen (mot å dekke kostnadene). Politidirektoratet er enig med utvalget i at informasjonsbæreren ikke må leveres tilbake uten at det ulovlige innholdet er fjernet på en slik måte at det ikke kan rekonstrueres. Med den begrunnelsen utvalget har for tilføyelsen, er det imidlertid ikke åpenbart at ikke den personen gjenstanden er inndratt hos ikke selv
6 skal kunne velge mellom å betale for bruk av et effektivt slettingsverktøy og å betale for en kopi av det øvrige innholdet på informasjonsbæreren. Dersom tilføyelsen er nødvendig for å unngå å måtte tilbakelevere en harddisk det vil være støtende å utlevere, bør den vedtas, se neste avsnitt. Ut fra det som står om 76 annet ledd i Ot.prp nr 90 (2003-2004) er det vanskelig å se om den tilsynelatende kategoriske bestemmelsen om tilbakelevering er ment å gjelde inndratte harddisker generelt. I så fall vil man måtte komme til å tilbakelevere harddisker i tilfeller der dette vil kunne virke svært støtende, for eksempel en harddisk som er brukt til spredning av store mengder barneporno. Dette vil kunne unngås ved den tilføyelsen datakrimutvalget har foreslått, og hvis en slik tilføyelse er nødvendig for å unngå å måtte tilbakelevere i disse situasjonene, bør den vedtas. Vi antar at uansett at tilbakelevering bare er aktuelt der det utelukkende er det ulovlige lagrede innholdet som begrunner inndragning og ikke der inndragning skjer fordi maskinen har vært brukt som verktøy for datakriminalitet av den kategori som er omhandlet i utkastet til datakrimkapittel. Utvalget forutsetter at et nettsted kan stenges etter ny straffelov 69 (evt jf. 76), men påpeker uklarheter og svakheter når det ulovlige foregår på/via en konto hos en tjenesteyter. Utvalget foreslår derfor en ny 76a som klargjør at inndragning kan skje i form av stengning av konto på datasystem. Det å kunne stenge nettsteder er et meget viktig virkemiddel i kampen mot datakriminalitet, og Politidirektoratet støtter, i likhet med sjefen for Kripos utvalgets forslag til ny 76a i ny straffelov. Sjefen for Kripos påpeker imidlertid et par uklarheter i den foreslåtte bestemmelsen. For det første bør det presiseres om tjenesteyter bare er ment å gjelde nettilbyder, eller om det også skal omfatte hostingsfirma, registrar og lignende Sjefen for Kripos påpeker også at det kan være noe uklart om straffeprosessloven 203 kommer til anvendelse slik at det kan foretas et straffeprosessuelt beslag i den aktuelle kontoen - og at den kan stenges - i påvente av endelig, rettskraftig avgjørelse av et senere krav om stengning etter 76a. Hvis nettstedet først kan stenge setter at saken er rettskraftig, vil betydelig skade kunne skje i mellomtiden. Vi antar, i likhet med sjefen for Kripos, at 203 er anvendelig, men er ikke kjent med at spørsmålet har vært prøvet for domstolen. Det er derfor ønskelig at muligheten til beslag/stengning presiseres i forbindelse med nærværende lovarbeid. Også visse jurisdiksjonsspørsmål bør avklares, se uttalelsen fra sjefen for Kripos pkt 8 siste avsnitt. 10. Filtrering av utenlandske nettsteder (pkt 5.13) Utvalget har delt seg i synet på om det skal lovfestes en mulighet til filtrering av utenlandske nettsteder som tilgjengeliggjør informasjon som er ulovlig etter norske regler. Mindretallet på to medlemmer ønsker en hjemmel for å kunne pålegge tjenesteyter å blokkere tilgangen til bestemte nettsider, mens flertallet ikke finner å kunne foreslå en slik filtreringsbestemmelse.
7 Som sjefen for Kripos påpeker, har utvalgets flertall først og fremst drøftet og konkludert på bakgrunn av - overordnede og prinsipielle betraktninger. Politidirektoratet anser i likhet med ham at spørsmålet bør utredes nærmere. Det er etter vår mening et legitimt behov for å kunne filtrere utenlandske nettsteder, og med et strengt regelverk og domstolskontroll kan vi vanskelig se at argumentet om ytringsfrihet bør være avgjørende for om vi skal ha en slik bestemmelse eller ikke. Bestemmelser om filtrering vil vanskeliggjøre spredning av nettstedets innhold, og hvis mange land innfører og etterlever slike bestemmelser, vil markedet for innholdet (for eksempel barneporno) kunne svekkes noe. Vi ser selvsagt at slik filtrering kan omgås og heller ikke vil komme det ulovlige innholdet til livs, men dette er etter vår mening ikke noen god grunn til ikke å søke å vanskeliggjøre spredningen. Det er etter vår mening heller ikke noe argument av betydning at kostnadsspørsmålet vil kunne by på utfordringer. Vi tviler for øvrig på om utvalgets flertall har rett i at de tilbyderne som i dag deltar i den frivillige filtreringsordningen mot barneporno vil komme til å kreve domstolskontroll dersom det vedtas en lovbestemmelse. Poenget med filtrering er for øvrig ikke bare å hindre eller vanskeliggjøre at norske brukere aktivt oppsøker utenlandske nettsteder med potensielt ulovlig innhold der brukeren er ute etter nettopp det aktuelle nettstedet/innholdet (barneporno osv). Det gir også en mulighet til å forhindre at norske brukere uvitende går inn på for eksempel trojaner-nettsider nettsteder som ser uskyldige ut, men som installerer destruktiv programvare på de maskinene som kobles til. Se uttalelsen fra Kripos for et aktuelt eksempel. De innvendingene utvalgets flertall kommer med er selvsagt høyst relevante, men Politidirektoratet er av den oppfatning at spørsmålet om en filtreringsmulighet ikke bør avgjøres på bakgrunn av den utredningen som fremgår i NOU en pkt 5.13. Vi savner blant annet en nærmere utredning av de tekniske mulighetene som finnes, situasjonen i andre land og en forholdet til Infosoc-direktivet artikkel 8. 11. Straffenivå (pkt 6) Det foreslåtte straffenivået synes velfundert selv om lovgivningsteknikken, som påpekt av politimesteren i Oslo,er ny og uvant. Politimesteren i Oslo fremhever ytterligere momenter som bør være relevante i vurderingen av om et datalovbrudd skal anses grovt eller ikke, jf 18. Direktoratet er enig i at disse momentene er relevante i vurderingen, og anser det klart at de vil kunne tas i betraktning allerede slik forslaget er utformet. Det bør likevel vurderes å nevne et eller flere av momentene eksplisitt i bestemmelsen. I alle fall bør de nevnes i forarbeidene. 12. Virkeområdet (pkt 8) Det foreligger betydelige utfordringer i dag hva gjelder straffeforfølgning over landegrensene av forbrytelser foretatt ved hjelp av internett. Endringene som foreslås i ny straffelov 7 er et steg i riktig retning.
8 13. Dataavlesning som politimetode I følge mandatet skulle utvalget utrede og foreslå straffeprosessuelle regler om dataavlesing. Politidirektoratet tar til etterretning at utvalget etter avtale med Justisdepartementet har latt dette utstå til et senere utredningsarbeid. Vi vil imidlertid understreke betydningen av at dette utredningsarbeidet kommer i gang så snart som mulig. Det synes å være gode grunner for å innføre dataavlesning som politimetode blant annet fordi bruken av kryptert elektronisk kommunikasjon øker i samfunnet generelt og visse kriminelle miljøer spesielt. Dataavlesning innebærer, som metode, at politiet får tak i innholdet før meldingen krypteres. 14. Økonomiske og administrative konsekvenser Som påpekt innledningsvis, er hensiktsmessige straffebestemmelser bare en av faktorene som må til for at bekjempelse av datakriminalitet skal være effektivt. Politi og påtalemyndighet må i tillegg ha ressurser både kompetansemessig og økonomisk som gjør at straffebestemmelsene kan håndheves. På datakriminalitetens område står vi overfor betydelige utfordringer i så måte. Også datakrimutvalget påpeker i sitt punkt om økonomiske og administrative konsekvenser at dersom utvalgets forslag blir vedtatt, bør det følges opp med kompetanseoppbygging og ressurstilførsel til blant annet politiet. Med hilsen Ingelin Killengreen Saksbehandler: Guri Lenth Tlf: 23364147