Valtioneuvoston kirjelmä Eduskunnalle ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi tietojär- jestelmiin kohdistuvista hyökkäyksistä ja neuvoston pui- tepäätöksen 2005/222/YOS kumoamisesta
Perustuslain 96 §:n 2 momentin mukaisesti lähetetään ehdotus Euroopan parlamentin ja neuvoston direktiiviksi tietojärjestelmiin
kohdistuvista hyökkäyksistä ja neuvoston puitepäätöksen 2005/222/YOS kumoamisesta sekä ehdotuksesta laadittu muistio.
Helsingissä 2 päivänä joulukuuta 2010
Oikeusministeri Tuija Brax
Lainsäädäntöjohtaja Asko Välimaa
OIKEUSMINISTERIÖ MUISTIO EU/2010/1522
EHDOTUS EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVIKSI TIETO- JÄRJESTELMIIN KOHDISTUVISTA HYÖKKÄYKSISTÄ JA NEUVOSTON PUITE-
PÄÄTÖKSEN 2005/222/YOS KUMOAMISESTA
1 Y l e i s t ä
Euroopan komissio on 30 päivänä syyskuu- ta 2010 tehnyt ehdotuksen Euroopan parla- mentin ja neuvoston direktiiviksi tietojärjes- telmiin kohdistuvista hyökkäyksistä ja neu- voston puitepäätöksen 2005/222/YOS ku- moamisesta (KOM(2010) 517 lopullinen).
Direktiiviehdotuksen tavoitteena on lähentää tietojärjestelmiin kohdistuvia hyökkäyksiä koskevia jäsenvaltioiden rikosoikeudellisia säännöksiä ja parantaa oikeus- ja muiden toimivaltaisten viranomaisten, jäsenvaltioi- den poliisi- ja muut lainvalvontaviranomaiset mukaan luettuina, välistä yhteistyötä.
Ehdotuksessa on kysymys nykyisen tieto- järjestelmiin kohdistuvista hyökkäyksistä tehdyn neuvoston puitepäätöksen 2005/222/YOS, jäljempänä puitepäätös, ku- moamisesta ja uuden direktiivin säätämisestä sen tilalle. Ehdotettu direktiivi sisältää nykyi- sen puitepäätöksen vastaavat säännökset pääosin sellaisenaan. Direktiiviin lisättäisiin myös eräitä kriminalisointivelvoitteita, joita vastaavat ovat Euroopan neuvoston tieto- verkkorikollisuutta koskevassa yleissopi- muksessa (SopS 60/2007), jäljempänä yleis- sopimus. Lisäksi ehdotuksessa on uusia säännöksiä, joiden tarkoituksena muun mu- assa puuttua uusiin uhkakuviin kuten laaja- mittaisiin tietoverkkohyökkäyksiin niin sa- nottuja bot-verkkoja käyttämällä ja tieto- verkkorikoksen yhteydessä tapahtuvaan hen- kilöllisyyden väärinkäyttöön.
Tietoverkkorikollisuuden torjunnan paran- tamiseksi toteutettavien lisätoimien merkitys- tä korostettiin vuonna 2004 hyväksytyssä Haagin ohjelmassa vapauden, turvallisuuden ja oikeuden lujittamiseksi Euroopan unionis- sa sekä vuonna 2009 hyväksytyssä Tukhol- man ohjelmassa ja siihen liittyvässä komissi- on toimintasuunnitelmassa (KOM (2010)
171 lopullinen). Tarve puuttua tietoverkkori- koksiin Euroopan tasolla todetaan myös Eu- roopan digitaalistrategiassa, joka on osa Eu- rooppa 2020 –strategiaa.
Puitepäätöksen täytäntöönpanon ja yleisso- pimuksen voimaantulon Suomessa edellyt- tämät lainmuutokset ovat tulleet voimaan 11 päivänä toukokuuta 2007 (HE 153/2006 vp.). Yleissopimus on tullut kan- sainvälisesti voimaan 1 päivänä heinäkuuta 2004 ja sen on saattanut kansallisesti voi- maan 30 valtiota, joista 17 on EU:n jäsenval- tioita.
2 P ä ä a s i a l l i n e n s i s ä l t ö
Ehdotetun direktiivin kumottavaa puitepää- töstä vastaavat säännökset koskevat tietojär- jestelmän, datan, oikeushenkilön ja oikeudet- tomuuden määritelmiä (direktiiviehdotuksen 2 artikla), laitonta tunkeutumista tietojärjes- telmään (3 artikla), laitonta järjestelmän häi- rintää (4 artikla), laitonta datan vahingoitta- mista (5 artikla), rikokseen yllyttämistä, avunantoa ja rikoksen yritystä (8 artikla), oi- keushenkilön vastuuta (11 ja 12 artikla) ja ri- kosoikeudellista lainkäyttövaltaa (13 artikla).
Ehdotuksen säännökset, joita vastaavat sisäl- tyvät yleissopimukseen, mutta puuttuvat pui- tepäätöksestä, koskevat viestintäsalaisuuden loukkaamista (direktiiviehdotuksen 6 artikla) ja rikoksen tekemisessä käytettyjä välineitä (7 artikla). Direktiiviehdotuksessa ei kuiten- kaan ole kaikkia puitepäätöksen ja yleisso- pimuksen sisältämiä mahdollisuuksia rajoit- taa kansallisesti joidenkin edellä mainittujen säännösten soveltamisalaa tai tehdä niihin varaumia.
Ehdotuksessa on myös säännöksiä jäsen- valtioiden viranomaisten välisestä tietojen- vaihdosta (14 artikla), jotka ovat puitepää-
töksen ja yleissopimuksen vastaavia määrä- yksiä velvoittavampia.
Ehdotuksessa on myös säännöksiä, joita vastaavia ei lainkaan sisälly puitepäätökseen tai yleissopimukseen. Raskauttavia olosuhtei- ta koskeviin säännöksiin on lisätty hyökkäys- ten laajamittaisuus niin sanottuja bot- verkkoja käyttämällä (10 artiklan 2 kohta) ja tekijän henkilöllisyyden salaaminen siten, et- tä aiheutetaan vahinkoa henkilöllisyyden oi- kealle haltijalle (10 artiklan 3 kohta). Bot- verkolla tarkoitetaan haittaohjelmien (tieto- konevirusten) saastuttamien tietokoneiden muodostamaa verkkoa, jota hallinnoidaan yhdestä isäntätietokoneesta käsin muiden yleensä sitä tietämättä. Bot-verkko voidaan saada toimimaan halutulla tavalla esimerkiksi hyökkäämään tietojärjestelmiä vastaan (tie- toverkkohyökkäykset).
Lisäksi direktiivissä on uusi säännös tilas- totietojen keräämisestä (15 artikla).
Säännökset luonnollisille henkilöille rikok- sista säädettävistä rangaistuksista ovat puite- päätöstä ja yleissopimusta ankarampia.
3 V a i k u t u s S u o m e n l a i n s ä ä d ä n - t ö ö n
Rikoslain (39/1889) 38 luvussa säädetään tieto- ja viestintärikoksista. Luvussa on sään- nökset viestintäsalaisuuden loukkauksesta (3 §), törkeästä viestintäsalaisuuden loukka- uksesta (4 §), tietojärjestelmän häirinnästä (7 a §), törkeästä tietojärjestelmän häirinnästä (7 b §), tietomurrosta (8 §) ja törkeästä tie- tomurrosta (8 a §). Rikoslain 34 luvussa sää- detään vaaran aiheuttamisesta tietojenkäsitte- lylle (9 a §) ja tietoverkkorikosvälineen hal- lussapidosta (9 b §). Rikoslain 35 luvun 1 §:n 2 momentissa säädetään vahingonteosta, joka koskee tietovälineellä olevan tiedon hävittä- mistä. Tietojärjestelmään kohdistuvia tai tie- tokoneen avulla tehtyjä tekoja koskevia ran- gaistussäännöksiä on myös muualla rikos- laissa. Esimerkiksi 28 luvun 7—9 §:ssa sää- detään luvattomasta käytöstä, joka koskee myös tietojärjestelmän käyttöä, ja 36 luvun 1 §:n petosta koskevan säännöksen 2 mo- mentissa säädetään taloudellisen vahingon aiheuttamisesta toiselle tietojärjestelmän toi- mintaan puuttumalla.
Mainitut säännökset täyttävät ne edellä mainitut ehdotetun direktiivin kriminalisoin- tivelvoitteet, joita vastaavat velvoitteet sisäl- tyvät puitepäätökseen ja yleissopimukseen, siltä osin kuin velvoitteiden täytäntöönpanoa ei ole puitepäätöksen tai yleissopimuksen sallimalla tavalla rajoitettu. Myös ehdotuksen edellyttämä yllytyksen, avunannon ja yrityk- sen rangaistavuus sekä oikeushenkilön ran- gaistusvastuu täyttyy nykyisen lainsäädännön nojalla (HE 153/2006).
Direktiiviehdotuksen 3 artiklan laitonta tunkeutumista tietojärjestelmään koskeva säännös ei sisältäisi puitepäätöksen ja yleis- sopimuksen vastaavassa säännöksessä olevaa mahdollisuutta päättää kansallisesti, että me- nettelystä syytetään vain, jos teko on tehty murtamalla turvajärjestelyt. Rikoslain 38 lu- vun 8 §:ssä säädetyn tietomurron soveltami- nen edellyttää, että tietojärjestelmään tunkeu- tuminen tehdään tekijälle kuulumatonta käyt- täjätunnusta käyttämällä taikka turvajärjeste- lyn muuten murtamalla. Jos tietojärjestel- mään tunkeudutaan ja tietoja käytetään luvat- ta turvajärjestelyä murtamatta, teko täyttää yleensä rikoslain 28 luvun 7 §:ssä säädetyn luvattoman käytön tunnusmerkistön. Lain- säädäntö ei kuitenkaan ole täysin yhtenevä direktiiviehdotuksen 3 artiklan kanssa.
Direktiiviehdotuksen 8 artiklan 2 kohdan yrityksen rangaistavuutta koskeva säännös vastaa muuten puitepäätöksen sääntelyä, mutta koskee myös 3 artiklassa tarkoitettua laitonta tunkeutumista tietojärjestelmään se- kä 6 artiklassa tarkoitettua viestintäsalaisuu- den loukkausta. Koska rikoslaissa vastaavien rikosten yritys on jo rangaistavaa, ei säännös edellyttäisi lainsäädännön muuttamista.
Direktiiviehdotuksen 9 artiklan mukaan jä- senvaltioiden olisi toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että 3—
7 artiklassa tarkoitetuista teoista määrättävä rikosoikeudellinen enimmäisseuraamus on vähintään kaksi vuotta vankeutta. Ehdotettu enimmäisseuraamus on ankarampi kuin pui- tepäätöksessä, jonka mukaan enimmäisran- gaistukseksi siihen sisältyvistä vastaavista teoista riittää yksi vuosi vankeutta (puitepää- töksen 6 artiklan 2 kohta). Yleissopimukses- sa edellytetään vain, että rikoksista säädetään tehokkaita, oikeasuhteisia ja riittäviä vapaus- rangaistuksia (yleissopimuksen 13 artiklan
1 kappale). Direktiiviehdotuksessa edellytet- tyä vaatimusta enimmäisseuraamuksesta ei- vät täytä viestintäsalaisuuden loukkaus, tie- tomurto ja vahingonteko, joista on säädetty enimmäisrangaistukseksi yksi vuosi vankeut- ta, eikä tietoverkkorikosvälineen hallussapi- to, josta on säädetty enimmäisrangaistukseksi kuusi kuukautta vankeutta.
Direktiiviehdotuksen 10 artiklassa määri- tellään raskauttavat olosuhteet, joiden täytty- essä direktiivin alaan kuuluvista rikoksista säädettävän enimmäisseuraamuksen olisi ol- tava vähintään viisi vuotta vankeutta. Artik- lan 1 kohdan mukaan tällainen raskauttava olosuhde olisi ehdotuksen 3—7 artiklassa tarkoitetun rikoksen tekeminen järjestäyty- neen rikollisuuden torjunnasta tehdyssä pui- tepäätöksessä 2008/841/YOS annetun määri- telmän mukaisen rikollisjärjestön puitteissa.
Mainittu rikollisjärjestön määritelmä vastaa rikoslain 17 luvun 1 a §:n 4 momenttiin sisäl- tyvää järjestäytyneen rikollisryhmän määri- telmää.
Artiklan 2 kohdan mukaan raskauttava olo- suhde olisi ehdotuksen 3—6 artiklassa tar- koitetun rikoksen tekeminen käyttämällä vä- linettä, jonka tarkoituksena on käynnistää hyökkäyksiä, jotka vaikuttavat merkittävään määrään tietojärjestelmiä tai aiheuttavat huomattavaa vahinkoa esimerkiksi järjestel- mäpalvelujen keskeytyksinä, taloudellisina kustannuksina tai henkilötietojen menetyksi- nä. Teonkuvauksella tarkoitetaan ehdotuksen perustelujen mukaan erityisesti bot-verkon käyttöä.
Artiklan 1 ja 2 kohdan ehdotettuja velvoit- teita lähinnä vastaavat säännökset ovat törkeä viestintäsalaisuuden loukkaus, törkeä tieto- järjestelmän häirintä, törkeä tietomurto ja törkeä vahingonteko. Edellä mainituissa tun- nusmerkistöissä ei törkeää tietomurtoa ja tör- keää vahingontekoa lukuun ottamatta ole mainittu teon toteuttamista osana järjestäyty- nyttä rikollisryhmää. Lisäksi vain osassa säännöksistä on sellaisia soveltamisperustei- ta, että niitä mahdollisesti voitaisiin soveltaa 2 kohdassa tarkoitettuun laajamittaiseen te- koon.
Mainitut säännökset eivät myöskään kata kaikkia ehdotuksen 3—7 artiklassa tarkoitet- tuja rikoksia, joita 1 ja 2 kohdan raskauttavat olosuhteet koskevat. Esimerkiksi vaaran ai-
heuttamisesta tietojenkäsittelylle tai tieto- verkkorikosvälineen hallussapidosta ei ole säädetty törkeää tekomuotoa. Lisäksi teoista on säädetty enimmäisrangaistukseksi kolme tai neljä vuotta vankeutta, mikä ei vastaa eh- dotettua vähintään viiden vuoden enimmäis- vankeusrangaistusta.
Artiklan 3 kohdan mukaan raskauttava olo- suhde olisi ehdotuksen 3—6 artiklassa tar- koitetun rikoksen tekeminen salaamalla ri- koksentekijän todellinen henkilöllisyys aihe- uttaen henkilöllisyyden oikealle omistajalle vahinkoa. Ehdotuksen sisältö ei ole kovin selkeä. Siinä ei esimerkiksi määritellä, mitä tarkoitetaan henkilöllisyydellä tai sen salaa- misella. Myöskään vahingon laatua ei määri- tellä. Epäselvyydestä huolimatta ehdotuksen perusteluissa todetaan, että näiden sääntöjen olisi noudatettava laillisuusperiaatetta ja hen- kilötietojen suojaa koskevaa lainsäädäntöä (s.
7).
Suomen lainsäädännössä ei ole 3 kohdan raskauttavaa olosuhdetta vastaavaa säännös- tä.
Direktiiviehdotuksen 13 artiklan lainkäyt- tövaltaa koskeva säännös vastaa puitepäätök- sen vastaavaa sääntelyä. Puitepäätöksessä jä- tetään kuitenkin jäsenvaltioille mahdollisuus jättää ulottamatta lainkäyttövaltaansa muun muassa tapauksiin, joissa teko on tehty sel- laisen oikeushenkilön hyväksi, jonka koti- paikka on kyseisen jäsenvaltion alueella.
Koska Suomen lainsäädännön mukaan lain- käyttövaltaa ei ole tällaisissa tilanteissa, on käytetty mahdollisuutta olla soveltamatta puitepäätöksen kyseistä säännöstä (HE 153/2006, s. 54). Direktiiviehdotukseen ei si- sälly vastaavaa poikkeamismahdollisuutta.
Direktiiviehdotuksen 13 artikla edellyttäisi sen vuoksi lainsäädännön muuttamista.
Direktiiviehdotuksen 14 artiklan tietojen- vaihtoa koskevaan säännökseen on puitepää- töksen ja yleissopimuksen vastaaviin sään- nöksiin nähden lisätty velvoite, jonka mu- kaan jäsenvaltioiden olisi varmistettava, että niillä on käytössä menettely, jonka avulla niiden kaikkina viikonpäivinä ympärivuoro- kautisesti toimivat yhteyspisteet voivat vasta- ta kiireellisiin pyyntöihin enintään kahdeksan tunnin kuluessa. Vastauksesta olisi ilmettävä, vastataanko avunpyyntöön ja missä muodos- sa ja milloin se tehdään. Suomessa tällaisena
yhteyspisteenä toimii keskusrikospoliisi. Ar- tikla ei edellyttäisi lainsäädännön muuttamis- ta.
Direktiiviehdotuksen 15 artiklassa on sään- nös seurannasta ja tilastoista. Vastaavaa säännöstä ei sisälly puitepäätökseen tai yleis- sopimukseen. Jäsenvaltioilla on säännöksen mukaan oltava järjestelmä, jonka avulla voi- daan kirjata, tuottaa ja antaa tilastotietoja di- rektiiviehdotuksen 3—8 artiklassa tarkoite- tuista rikoksista. Tilastot on julkaistava ja niiden tiedot on toimitettava komissiolle.
Suomessa artiklan tarkoittamista tilastoista vastaa tilastokeskus. Säännös ei edellyttäisi lainsäädännön muuttamista.
4 A h v e n a n m a a n t o i m i v a l t a
Ahvenanmaan itsehallintolain (1144/1991) 27 §:n 22 kohdan mukaan valtakunnan lain- säädäntövaltaan kuuluvat rikosoikeutta kos- kevat asiat 18 §:n 25 kohdassa säädetyin poikkeuksin. Viimeksi mainitun kohdan mu- kaan maakunnalla on lainsäädäntövalta asi- oissa, jotka koskevat teon rangaistavaksi sää- tämistä ja rangaistuksen määrää, kun kysy- mys on maakunnan lainsäädäntövaltaan kuu- luvasta oikeudenalasta. Tietokonerikoksia koskeva lainsäädäntö ei 18 §:n muiden kohti- en perusteella kuulu maakunnan lainsäädän- tövaltaan.
5 E h d o t u k s e n v a i k u t u k s e t
Direktiivillä lähennettäisiin jäsenvaltioiden lainsäädäntöä edellyttämällä rangaistavaksi tietojärjestelmiin kohdistuvat vahingolliset teot ja määrittelemällä niistä säädettävät vä- himmäisrangaistukset. Tällainen yhtenäistä- minen voi olla omiaan edistämään myös jä- senvaltioiden yhteistyötä direktiivin alaan kuuluvien rikosten torjunnassa.
Direktiivillä myös tehostettaisiin rikosten tutkintaa tehostamalla ja nopeuttamalla kaik- kina viikonpäivinä ympärivuorokautisesti toimivien yhteyspisteiden toimintaa. Uudet velvoitteet tilastoinnista myös edistäisivät tietoverkkorikollisuuden seurantaa koko EU:ssa.
Ehdotukseen liittyvässä komission vaiku- tusarvioinnissa on arveltu, että ympärivuoro- kautisesti toimivien yhteyspisteiden toimin-
nan tehostaminen aiheuttaisi jäsenvaltioille lisäkustannuksia. Koska keskusrikospoliisis- sa olevan yhteyspisteen toiminta täyttää jo ehdotetut lisävelvoitteet, ei direktiivi aiheut- taisi Suomelle tältä osin lisäkustannuksia.
6 O i k e u s p e r u s t a
Sopimus Euroopan unionin toiminnasta 83 artiklan 1 kohta.
7 T o i s s i j a i s u u s p e r i a a t e
Tietoverkkorikollisuudella on rajat ylittävä ulottuvuus. Ehdotuksella lähennettäisiin edel- leen kansainvälisen yhteistyön menettely- sääntöjä, millä on myönteinen vaikutus täl- laisen rikollisuuden torjuntaan. Valtioneu- vosto pitää ehdotusta toissijaisuusperiaatteen mukaisena.
8 T o i s t e n j ä s e n v a l t i o i d e n k a n n a t Ehdotuksen käsittelyä ei ole vielä aloitettu työryhmässä.
9 I n s t i t u u t i o i d e n j a m u u t k a n n a t Euroopan parlamentti ei ole vielä käsitellyt direktiiviehdotusta.
1 0 E h d o t u k s e n k a n s a l l i n e n k ä s i t t e - l y j a k ä s i t t e l y E u r o o p a n
u n i o n i s s a
Direktiiviehdotus on ollut oikeus- ja sisä- asiat -jaoston (jaosto 7) kirjallisessa menette- lyssä.
Komissio on esitellyt direktiiviehdotuksen oikeus- ja sisäasiain neuvostossa 8 päivänä marraskuuta 2010 sekä neuvoston työryh- mässä 13 päivänä lokakuuta 2010. Varsinai- nen käsittely työryhmässä aloitetaan esitetyn arvion mukaan Unkarin puheenjohtajuuskau- della.
Euroopan parlamentissa vastuuvaliokunta on kansalaisvapauksien sekä oikeus- ja sisä- asioiden valiokunta (LIBE). Raportoijaa ei ole vielä nimetty.
1 1 V a l t i o n e u v o s t o n k a n t a
Valtioneuvosto suhtautuu myönteisesti Eu- roopan unionin yhteiseen toimintaan vakavi- en tietojärjestelmiin kohdistuvien rikosten torjunnassa. Rikokset tapahtuvat nopeasti muuttuvassa toimintaympäristössä ja ne ovat varsin usein valtioiden rajat ylittäviä. Sen vuoksi on tärkeää, että rikoslainsäädäntö on ajantasaista ja kattavaa kaikissa EU:n jäsen- valtioissa. Ehdotettujen kriminalisointivel- voitteiden ala vastaa pääosin nykyisen puite- päätöksen, Euroopan neuvoston yleissopi- muksen ja Suomen nykyisen lain sääntelyä.
Ehdotusta voidaan valtioneuvoston näke- myksen mukaan pitää yleisellä tasolla tar- peellisena ja kannatettavana huolimatta vas- taavasta Euroopan neuvoston yleissopimuk- sesta, koska toistaiseksi 10 EU:n jäsenvaltio- ta ei ole saattanut sopimusta kansallisesti voimaan.
Ehdotuksen uudet säännökset bot- verkkojen käytöstä ja henkilöllisyyden vää- rinkäytöstä heijastavat viimeaikaista kehitys- tä. Nämä säännökset eivät kuitenkaan laajen- taisi rangaistavuuden alaa vaan ne koskisivat tällaisista teoista säädettäviä enimmäisran- gaistuksia. Säännökset olisi Suomessa joh- donmukaista panna täytäntöön siten, että ne olisivat rikosten törkeiden tekomuotojen so- veltamisperusteita. Sen vuoksi säännökset
olisi ehdotuksen jatkovalmistelussa pyrittävä muotoilemaan niin, että ne voidaan panna kansallisesti täytäntöön rikosoikeudellisen laillisuusperiaatteen edellyttämällä tavalla.
Ehdotetut enimmäisrangaistukset ovat ny- kyistä ankarampia ja rikoslain yleiseen anka- ruustasoon verrattuna varsin korkeat. Enim- mäisrangaistusvelvoitteita ei myöskään ole eritelty niin, että otettaisiin huomioon direk- tiivin rikosten erilaiset vakavuusasteet. On- gelmallista on esimerkiksi se, että vähintään kahden vuoden enimmäisvankeusrangaistus olisi säädettävä sekä oikeudettomasta tunkeu- tumisesta tietojärjestelmään että pelkästään sellaiseen tekoon käytettävän välineen hal- lussapidosta, kun hallussapidon tarkoituksena on käyttää välinettä direktiivissä tarkoitettui- hin rikoksiin.
Teon rangaistusarvon ja rangaistusasteik- kojen olisi oltava suhteellisuusperiaatteen mukaisesti oikeassa suhteessa tavoitteeseen ja rikoksen vakavuuteen. Kiinnijäämisriskin lisääminen, esimerkiksi kansainvälistä viran- omaisyhteistyötä tehostamalla, toimii rikos- ten ennaltaehkäisyssä paremmin kuin ran- gaistusasteikkojen koventaminen. On tärke- ää, että EU:n rikosoikeudessa otetaan riittä- västi huomioon yksittäisen jäsenvaltion ran- gaistusasteikkokäytäntö eikä vaaranneta jä- senvaltion rikosoikeuden johdonmukaisuutta.
