Straff för dataintrång

Det är mitt i natten i en tvåa i Lund. En 23-årig datavetenskapsstudent har tre skärmar framför sig. Kaffekopparna staplar sig. Han har hittat en öppen port i ett företags server – och i stället för att rapportera den klickar han sig in. Nyfiken. Bara för att kolla. Tio minuter senare har han laddat ner en kunddatabas med 40 000 personnummer.

Datintrång – vardagligt kallat hackning – regleras i 4 kap. 9 c § brottsbalken. Brottet innebär att olovligen bereda sig tillgång till en uppgift som är avsedd för automatiserad behandling, eller att olovligen ändra, radera, blockera eller i register föra in en sådan uppgift. I klartext: tar du dig in i ett datorsystem utan tillstånd begår du dataintrång, oavsett om du stjäl information eller bara tittar.

Straffskalan sträcker sig från böter till fängelse i högst två år vid normalgraden. Grovt dataintrång, som infördes 2014, har en straffskala på fängelse i lägst sex månader och högst sex år. Brottet bedöms som grovt om det rör ett stort antal uppgifter, om det skett systematiskt eller i stor skala, eller om det orsakat allvarlig skada. I praktiken döms de flesta för dataintrång av normalgraden till villkorlig dom eller böter.

Vad räknas som dataintrång

Lagen är teknikneutral. Det spelar ingen roll om intrånget sker via en webbläsare, ett skript, en mobiltelefon eller en USB-sticka. Det avgörande är att man bereder sig tillgång utan tillåtelse. Typiska fall inkluderar: att hacka sig in i företagsnätverk, att komma åt andras e-postkonton, att använda andras inloggningsuppgifter utan tillstånd, att plantera skadlig kod (malware) eller att använda brute force-attacker mot lösenord.

En viktig gräns: säkerhetstester med tillstånd – så kallad penetrationstestning – är inte dataintrång. Men tillståndet måste vara tydligt och dokumenterat. Många etiska hackare har hamnat i gråzonen när de testat system utan uttryckligt skriftligt samtycke.

"Gränsen mellan nyfikenhet och brott är ett knapptryck. Att du inte orsakade skada spelar ingen roll – intrånget i sig är brottet."

Straffmätning i praktiken

Vid straffmätningen väger rätten in intrångets omfattning, om data kopierats eller spridits vidare, vilken typ av uppgifter som berörts (personuppgifter, företagshemligheter, hälsodata) och vilken skada som uppstått. Har intrånget lett till ekonomisk vinning eller skett i utpressningssyfte höjs straffvärdet markant.

Sverige har också en internationell dimension av dataintrång. Europeiska utredningsorder och samarbete via Europol gör att gränsöverskridande hackning kan lagföras även om gärningspersonen befinner sig utomlands. Cybercentrum vid Polismyndigheten hanterar de mest komplexa ärendena, men resursbrist gör att många enklare dataintrång aldrig utreds.

Preskription och skadestånd

Dataintrång av normalgraden preskriberas efter fem år. Grovt dataintrång preskriberas efter tio år. Skadestånd kan bli betydande – särskilt om personuppgifter har läckt ut. GDPR-relaterade sanktionsavgifter kan komma att läggas ovanpå det straffrättsliga ansvaret, även om det är en annan process.

För den som är misstänkt gäller: begär en offentlig försvarare och var medveten om att digital bevisning ofta är svår att bestrida. Polisens IT-forensiker kan ofta rekonstruera exakt vad som hänt, även om loggar raderats. VPN och Tor ger inte fullständig anonymitet – metadata och beteendemönster kan avslöja identiteten.