Straff för dataintrång

Han var inne i systemet i trettiosex minuter. Det räckte för att kopiera kundregistret, lösenordsfilen och en intern prislista. Han hade inte hackat sig in – han hade använt sin gamla kollegas inloggning, ett lösenord han kom ihåg sedan de jobbade ihop. Tre veckor senare knackade polisen på dörren. Åtalet löd: dataintrång.

Dataintrång regleras i 4 kap. 9 c § brottsbalken och kriminaliserar olovlig åtkomst till IT-system och information som lagras, bearbetas eller överförs i sådana system. Brottet skyddar individers och verksamheters rätt att kontrollera vem som har tillgång till deras digitala information – och är ett av de snabbast växande rättsområdena i takt med samhällets digitalisering.

En central fråga i dataintrångsmål är om åtkomsten verkligen var olovlig. Den som är behörig användare av ett system begår inte dataintrång genom att använda systemet, även om denne läser information de normalt inte skulle läsa. Men att använda en annans inloggningsuppgifter – även med deras tidigare tysta medgivande – är dataintrång om behörigheten inte längre gäller. Rätten att använda ett system försvinner när anställningen upphör eller tillståndet återkallas.

Straffskala och grovt dataintrång

Straffskalan för dataintrång av normalgraden är böter till fängelse i högst två år. Om brottet är grovt – vilket bedöms utifrån om det orsakat allvarlig skada, skett systematiskt, eller riktat sig mot samhällskritisk infrastruktur – är straffskalan fängelse i lägst sex månader och högst sex år. Domstolarna beaktar även om intrånget föregåtts av planering och om det skett i organiserad form.

"Penetrationstestning – att testa ett systems säkerhet – är lagligt om det utförs med skriftligt tillstånd från systemägaren. Utan sådant tillstånd är det dataintrång, oavsett om syftet är att hitta och rapportera säkerhetsbrister. Etiska hackare måste alltid ha tydlig dokumentation av sina mandat."

Påföljder i praktiken

Skadestånd, bevisning och preskription

Skadestånd vid dataintrång kan inkludera ersättning för faktiska förluster (läckta affärshemligheter, kostnader för säkerhetsarbete), kränkningsersättning och i allvarligare fall ersättning för utebliven vinst. Vid brott mot en privatperson kan kränkningsersättningen uppgå till 10 000–30 000 kronor; vid brott mot ett företag kan skadeståndet bli mångdubbelt högre beroende på den ekonomiska skadan.

Bevisning i dataintrångsmål är teknisk och bygger på loggfiler, IP-adresser, metadata och i vissa fall forensisk analys av enheter. Det är viktigt att drabbade verksamheter bevarar loggarna och inte ändrar systemen innan polisanmälan – data kan skrivas över och förstöras om systemet används normalt efter intrånget. Dokumentation av vilken data som åtkoms, vid vilken tidpunkt och från vilken enhet är avgörande för åklagarens möjligheter att bevisa brottet.

Den som utsatts för dataintrång bör anlita ett IT-forensikföretag för att dokumentera intrångets omfattning och bevara spår. Polisanmälan bör kombineras med en anmälan till Integritetsskyddsmyndigheten (IMY) om personuppgifter har läckt – GDPR ålägger företag att göra detta inom 72 timmar. Preskriptionstiden är fem år för normalgraden och tio år för grovt brott.

GDPR och dataintrång hänger nära samman. Om en verksamhet drabbas av dataintrång som leder till att personuppgifter exponeras uppstår en anmälningsplikt till Integritetsskyddsmyndigheten (IMY) inom 72 timmar. Parallellt kan polisanmälan göras om gärningspersonen är känd eller spårbar. Dessa processer är oberoende av varandra – en GDPR-anmälan ersätter inte en polisanmälan och vice versa.

Socialt ingenjörskap – phishing, vishing och pretexting – är tekniker för att lura sig till inloggningsuppgifter utan teknisk hackning. Om en person lämnar ut sina uppgifter under falska förespeglingar och en annan person sedan loggar in, är det den som loggade in som begår dataintrång. Den som konstruerade bluffmeddelandet kan i stället dömas för bedrägeri eller förberedelse till brott.

Internationell dimension: dataintrång sker ofta över landsgränser, vilket skapar svårigheter i utredningsarbetet. Europol och Interpol koordinerar internationella utredningar, och Sverige kan begära rättslig hjälp från andra länder. Preskriptionstiden börjar löpa från den dag brottet begicks, men vid gränsöverskridande brott kan utredningen ta år – vilket gör tidig anmälan och bevarad bevisning än viktigare.

Insiderhot – dataintrång begångna av anställda eller tidigare anställda – är statistiskt sett ett av de vanligaste och mest kostsamma formerna av dataintrång. En anställd som kopierar kundregister inför en övergång till en konkurrent, eller som tar med sig affärshemligheter vid en uppsägning, kan dömas för dataintrång om de inte hade behörighet att föra ut informationen trots att de haft tillgång till den i tjänsten. Arbetsgivare bör ha tydliga IT-säkerhetspolicyer och begränsad åtkomst baserad på arbetsuppgifter för att minimera risken.

Rättspraxis kring IoT-enheter – uppkopplade kameror, smarta lås och andra enheter – är ett framväxande område. Att obehörigt ta sig in i en annans uppkopplade enhet och läsa av dess data eller styra den kan vara dataintrång. Domstolarna har ännu inte fastlagt en fullständig praxis kring dessa frågor, men grundprincipen om olovlig åtkomst gäller oavsett enhetens form.