8 Jurisdiksjon - Straffelovens stedlige virkeområde
8.1 Innledning
Datakriminalitet reiser spørsmål knyttet til jurisdiksjon. Det er særlig datakriminalitetens internasjonale og grenseløse karakter som får betydning både i forhold til spørsmålet om hvor en handling skal anses begått og hvorvidt vedkommende skal kunne strafforfølges i Norge.
8.2 Folkerettslige forpliktelser
Datakrimkonvensjonen artikkel 22 regulerer jurisdiksjon og lyder:
«1. Hver part skal vedta de lover og andre tiltak som eventuelt er nødvendige for å etablere jurisdiksjon med hensyn til enhver straffbar handling fastslått i samsvar med artikkel 2 til 11 i denne konvensjon, når den straffbare handlingen er begått:
på denne partens territorium, eller
om bord på et skip som fører denne partens flagg, eller
om bord på et luftfartøy som er registrert etter denne partens rett, eller
av en borger av denne part dersom handlingen kan straffes på det sted handlingen ble begått, eller dersom den straffbare handlingen er begått utenfor enhver stats territoriale jurisdiksjon.
2. Hver stat kan forbeholde seg retten til ikke å anvende eller til bare å anvende i bestemte tilfeller eller på bestemte vilkår reglene om jurisdiksjon fastsatt i nr. 1 b) til d) i denne artikkel eller deler av disse.
3. Hver part skal vedta de lover og andre tiltak som eventuelt er nødvendige for å fastslå jurisdiksjon med hensyn til de straffbare handlingene omhandlet i artikkel 24 nr. 1 i denne konvensjon, når den antatte gjerningsmann befinner seg på partens territorium og parten ikke utleverer vedkommende til en annen part utelukkende av hensyn til vedkommendes nasjonalitet, etter en anmodning om utlevering.
4. Denne konvensjon utelukker ikke strafferettslig jurisdiksjon som utøves i samsvar med nasjonal rett.
5. Når mer enn en part gjør krav på jurisdiksjon med hensyn til en påstått straffbar handling fastslått i samsvar med denne konvensjon, skal de berørte parter, når det er hensiktsmessig, rådføre seg med hverandre for å bestemme hvilken jurisdiksjon som er best egnet til å gjennomføre rettsforfølgningen.»
Artikkel 22 oppstiller krav til det stedlige virkeområdet til straffebud som er nevnt i konvensjonen artikkel 2 til 11.
Artikkel 22 nr. 1 bokstav a forplikter statene til å gjennomføre territorialprinsippet. Dette innebærer at statene skal kunne strafforfølge handlinger som er begått på statens eget territorium. En handling anses å være begått innenfor statens territorium når gjerningspersonen og objektet for den straffbare handlingen (for eksempel datasystemet) befinner seg der. Det samme gjelder når hele eller deler av det datasystemet som berøres av den straffbare handlingen er plassert i territoriet selv om gjerningspersonen selv ikke befinner seg der, jf. den forklarende rapporten punkt 233.
Etter artikkel 22 nr. 1 bokstav b skal statene også kunne strafforfølge handlinger som begås på skip som seiler under statens flagg. Det samme gjelder etter artikkel 22 nr. 1 bokstav c for handlinger som begås på luftfartøy som er registrert i henhold til statens lover. Etter artikkel 22 nr. 1 bokstav d skal statene også kunne strafforfølge handlinger som begås i utlandet av egne statsborgere forutsatt at handlingen også var straffbar i landet hvor den ble begått, eller dersom handlingen ikke ble begått innenfor territoriet til en stat.
Statene er i artikkel 22 nr. 2 gitt adgang til å reservere seg mot å gjennomføre artikkel 22 nr. 1 bokstav b til d.
Artikkel 22 nr. 3 forplikter statene til å gjennomføre prinsippet «extradite or prosecute» (utlevering eller straffeforfølgning). Prinsippet innebærer at dersom en stat nekter å utlevere egen borger etter å ha mottatt en begjæring om det i henhold til artikkel 24 nr. 1, plikter staten selv å strafforfølge vedkommende dersom handlingen er straffbar etter nasjonal rett.
Bestemmelsene i artikkel 22 er ikke til hinder for at statene etablerer en mer vidtrekkende jurisdiksjon enn det som følger av konvensjonen, jf. artikkel 22 nr. 4.
Etter artikkel 22 nr. 5 skal statene, såfremt det er hensiktsmessig, konsultere hverandre når en straffbar handling får virkning i flere stater. Dersom en handling etter omstendighetene dekkes av flere staters jurisdiksjon, skal statene så langt det er hensiktsmessig konsultere hverandre om hvor handlingen skal strafforfølges.
8.3 Kort om gjeldende rett – straffeloven § 12
Det følger av straffeloven § 12 første ledd nr. 1 at norsk straffelov får anvendelse på handlinger som er foretatt i riket (territorialprinsippet). Når det gjelder forståelsen av begrepet «i riket» vises det til Ruud/Ulfstein «Innføring i folkerett» kapittel 7. Det vises også til redegjørelsen for gjeldende rett i Ot.prp. nr. 90 (2003-2004) side 176-178. Straffeloven er gitt anvendelse på norske skip og luftfartøy som befinner seg utenfor territorialgrensen, jf. § 12, første ledd nr. 1 bokstav d og e.
Av straffeloven § 12 første ledd nr. 3 følger det at norske statsborgere i visse tilfeller kan strafforfølges i Norge for handlinger de har begått i utlandet (nasjonalitetsprinsippet). Hva som regnes som «utlandet» innbefatter alle områder som etter § 12 første ledd nr. 1 og 2 ikke regnes som «riket». Etter bestemmelsen kan blant annet norske borgere strafforfølges for handlinger foretatt i utlandet når vilkårene i straffeloven § 12 første ledd nr. 3 er til stede. Ved lov av 8. april 2005 ble det gjort en endring i § 12 første ledd nr. 3 for å bringe bestemmelsen i samsvar med konvensjonen. Opplistingen i § 12 første ledd nr. 3 fikk med lovendringen tilføyd en henvisning til § 145 annet ledd og § 145 b.
Etter straffeloven § 12 første ledd nr. 4 er det også adgang til å strafforfølge utlending for forbrytelse begått i utlandet, jf. vilkårene avgitt i nr. 4 bokstav a-d. Bestemmelsen gir mulighet for å straffe datakriminalitet begått av utlending i utlandet, dersom handlingen er straffbar både etter norsk lov og etter dets lands lov hvor handlingen ble begått, jf. bestemmelsens punkt b.
Straffeloven § 12 annet ledd bestemmer at hvor en handlings straffbarhet avhenger eller påvirkes av en inntrådt eller tilstiktet virkning, betraktes handlingen som foretatt også der hvor virkningen er inntrådt eller tilsiktet fremkalt. Det antas at bestemmelsen kan ha betydning for datakriminalitet som skjer på internett m.v. som typisk karakteriseres ved at gjerningspersonen benytter en datamaskin i ett land til å skape en effekt på et datasystem i et annet land. Regelen kan være aktuell der gjerningspersonen er i utlandet mens virkningen har inntrådt i Norge. Spørsmålet er nærmere drøftet i kapittel 8.4.4.
8.4 Utvalgets vurderinger
I NOU 2003: 27 «Lovtiltak mot datakriminalitet» (Delutredning I) ble gjeldende rett vurdert mot utvalgets daværende mandat. Datakrimutvalgets arbeid resulterte blant annet i endringen i § 12 første ledd nr. 3 som nevnt ovenfor i kapittel 8.3. Datakrimutvalget har denne gang hatt et videre mandat vedrørende regulering av datakriminalitet og må vurdere om gjeldende rett og de vedtatte endringer i ny straffelovs alminnelige del vil gi en tilstrekkelig jurisdiksjon for de endringene i straffelovgivningen som utvalget nå foreslår under det nye mandatet.
8.4.1 Handlinger som er begått i Norge og på norske jurisdiksjonsområder
I NOU 2003: 27 ble det konkludert med at straffeloven § 12 første ledd nr. 1 dekker konvensjonens forpliktelser for så vidt gjelder handlinger begått på norsk territorium samt handlinger som er begått på om bord på norsk skip eller luftfartøy, jf. artikkel 22 nr. 1 bokstav a til c. I den nye straffeloven er dette etter utvalgets vurdering ivaretatt på en dekkende måte i § 4 som i det alt vesentlige representerer en videreføring av gjeldende straffeloven § 12 første ledd nr. 1 og 2, dog med noen endringer, blant annet hva gjelder norsk strafferettslig jurisdiksjon i maritime soner som er regulert i ny straffelov § 4 annet ledd bokstav b, se Ot.prp. nr. 90 (2003-2004) side 399-401.
Datakriminalitetens ofte internasjonale preg kan innebære at handlinger begås på tvers av landegrenser og i samvirke mellom personer i ulike land til samme tid. Det kan også være vanskelig å fastslå i hvilket land den straffbare handlingen er begått. Det er viktig å sikre at nordmenn kan strafforfølges i Norge da norske borgere etter utleveringsloven (lov av 13. juni 1975 nr. 39) § 2 ikke kan utleveres til land utenfor Norden. I henhold til artikkel 22 nr. 3 er statene forpliktet til å gjennomføre prinsippet «extradite or prosecute». Prinsippet innebærer som tidligere nevnt at dersom en stat nekter å utlevere egen borger etter å ha mottatt begjæring om det etter artikkel 22 nr. 3, plikter staten selv å strafforfølge vedkommende dersom handlingen er straffbar etter norsk rett.
Det internasjonale preget ved datakriminalitet er særlig synlig ved for eksempel generelle dataangrep. Disse kjennetegnes ved at de ikke er målrettet, men er rettet mot dataressurser der de er tilgjengelige og er således uten noen naturlig geografisk avgrensning. Spørsmålet om straffelovens stedlige virkeområde kom på spissen i Rt. 2004 side 1619 (bakdørkjennelsen). Her avgjorde Høyesterett at norsk rett får anvendelse i en sak hvor handlingen var rettet mot datamaskiner som befant seg i utlandet, men hvor alle nødvendige handlinger for å overtre straffebudet var foretatt i Norge.
Saken gjaldt to personer som hadde begått datainnbrudd og skadeverk på i alt 437 servere verden over. I forhold til straffeloven § 145 annet ledd og ett tilfelle av overtredelse av § 393 ble det anført at handlingene var straffrie fordi de ikke kunne anses begått i riket, jf. straffeloven § 12 første ledd nr. 1. Verken § 145 annet ledd eller straffeloven § 393 var på det tidspunkt inntatt i opplistingen i straffeloven § 12 første ledd nr. 3 bokstav a. Høyesterett kom i likhet med de foregående instanser til at handlingen var begått i riket og kunne straffes. Det vesentlige var at:
«de datamaskiner de tiltalte brukte og de fysiske handlingene, kommandoene, som iverksatte søk mot og inntregning i de andre datamaskinene, var i riket. Uten den handlingen og utstyret i riket, faller også resten av handlingsrekken bort.» (Rt. 2004 side 1619 avsnitt 17)
Når det gjelder datakriminalitet og hva som skal til for at en handling kan anses inntruffet i Norge, vises det også til RG 2001 side 219 som gjelder publisering av nettsider med ulovlig innhold. I denne saken gjaldt det nettsider med pornografisk innhold. Denne problemstillingen er behandlet særskilt nedenfor i kapittel 8.5.
8.4.2 Handling som er foretatt utenfor noen stats høyhetsrett
I Datakrimutvalgets delutredning I ble det stilt spørsmål om gjeldende rett ga hjemmel for å strafforfølge norske borgere for handlinger begått i områder som ikke er underlagt noen stats territorialhøyhet, jf. artikkel 22 nr. 1 bokstav d. Usikkerheten knyttet til anvendelsen av rekkevidden for straffeloven § 12 annet ledd som kan anvendes dersom virkningen av en handling er inntrådt eller tilsiktet inntrådt i Norge, samt hensynet til å sikre en lojal etterlevelse av konvensjonsteksten, ble benyttet som argument for at Norge burde vurdere en lovendring her med mindre man valgte å benytte reservasjonsadgangen i artikkel 22 nr. 2.
I den nye straffelovens alminnelig del er dette nå i forhold til konvensjonens krav, i tilstrekkelig grad ivaretatt i § 5 første ledd nr. 7. Etter denne bestemmelsen gjelder straffelovgivningen for handlinger foretatt av en norsk statsborger, en person med bosted i Norge eller på vegne av et foretak registrert i Norge når den er «foretatt utenfor området for noen stats høyhetsrett og kan straffes med fengsel». Bestemmelsen er ny i forhold til gjeldende lov, men elementet av nykriminalisering blir i forarbeidene til ny straffelovs alminnelige del i Ot.prp. nr. 90 (2003-2004) side 403 ansett å være begrenset. Dette skyldes at en rekke overtredelser av gjeldende straffelov anses å være straffbare i Norge etter § 12 første ledd bokstav a også når de er forøvet utenfor områder hvor noen land har overhøyhet. Bestemmelsen er også i samsvar med forslag fra Nordisk strafferettskomité.
8.4.3 Handling begått i utlandet av en utlending
I NOU 2003: 27 side 52 ble det ikke foreslått å utvide norsk jurisdiksjon til også å omfatte handlinger begått i utlandet av en utlending. Dette er heller ikke noe krav som konvensjonen i alminnelighet oppstiller. I konvensjonens artikkel 22 nr. 3 er det imidlertid forutsatt at slike bestemmelser må innføres dersom gjerningspersonen befinner seg på statens territorium og myndighetene beslutter å ikke utlevere vedkommende utelukkende av hensyn til vedkommendes nasjonalitet etter en anmodning om utlevering etter artikkel 24 nr. 1. Det er vanskelig å tenke seg en situasjon hvor den norske stat nekter å etterkomme en slik utleveringsanmodning fra et medlemsland. Heller ikke i denne omgang har utvalget har funnet det nødvendig å foreslå en endring av rettstilstanden på dette punktet.
Den motsatte situasjonen enn den som forelå i bakdørkjennelsen i Rt. 2004 side 1619, foreligger hvor datasystem i Norge angripes fra utlandet. Dersom gjeldende rett i det aktuelle land hvor angrepet kommer fra gir grunnlag for samme resultat som den i «bakdørkjennelsen», vil handlingen anses som å ha funnet sted i det aktuelle land, og straffeforfølgning vil kunne skje der med mindre det finner sted en utlevering til Norge.
I følge den forklarende rapporten punkt 233 vil imidlertid handlingen også anses å ha funnet sted her dersom hele eller deler av det datasystemet som berøres av den straffbare handlingen er plassert i territoriet selv om gjerningspersonen selv ikke befinner seg der, jf. den forklarende rapporten punkt 233.
Det antas også at § 12 andre ledd som gjelder handling som anses foretatt på flere steder i noen tilfeller vil utvide norsk jurisdiksjon utover de tilfeller som er beskrevet ovenfor. § 12 andre ledd er videreført i den nye straffeloven § 7. Bestemmelsen er gitt en særskilt behandling nedenfor under kapittel 8.4.4.
8.4.4 Handling som anses foretatt på flere steder
Hensynet til andre lands suverenitet tilsier at det bør utvises varsomhet med å strafforfølge i Norge for handlinger som er begått på andre lands territorium. Folkerettslig vil det være aktuelt å anvende det såkalte «objektive territorialprinsipp» på overtredelser etter datakrimkapitlet. Se for øvrig Ian Brownlie «Principles of Public International Law», som omtaler prinsippet i punkt 3 om jurisdiksjon innen strafferetten under navnet «objective territorial principle». Prinsippet har vært anvendt på strafferettslige overtredelser som er initiert i ett territorium, men som får virkning på ett annen territorium. Denne type jurisdiksjon er i teorien ofte eksemplifisert ved et skudd som blir avfyrt fra et territorium, over landegrensen, for så å skade noen på et annet territorium. Det er allment akseptert at landet der skaden skjedde, kan straffe gjerningspersonen.
Av ny straffelov § 7 følger det at når straffbarheten av en handling avhenger eller påvirkes av en inntrådt eller en tilsiktet virkning, anses handlingen foretatt også der virkningen er inntrådt eller tilsiktet fremkalt. Bestemmelsen er en videreføring av den gjeldende bestemmelsen i straffeloven § 12 annet ledd.
I NOU 2003: 27 på side 52 anføres det at rekkevidden av straffeloven § 12 annet ledd er usikkert, og det vises i den forbindelse til den ovenfor nevnte avgjørelse i RG 2001 side 219 som gjaldt pornografisk materiale på internett. I denne avgjørelsen ble § 12 annet ledd tolket vidt ved at publisering på internett ble ansett tilstrekkelig til at innholdet hadde virkning i Norge etter § 12 annet ledd. Dette selv om hjemmesiden ikke fremstod som spesielt rettet mot et norsk publikum. Dette er imidlertid kun en underrettsavgjørelse med begrenset vekt.
I forarbeidene til den nye straffeloven alminnelige del er bestemmelsen grundig behandlet. Dersom en handling faller inn under bestemmelsen, skal handlingen anses begått begge steder. Straffelovkommisjonen overlot til et eget underutvalg å vurdere spørsmålet om straffelovens stedlige virkeområde. Underutvalget fremla sin utredning som Straffelovkommisjonens delutredning II, NOU 1984: 31. Som eksempel på tilfeller som faller inn under bestemmelsen, nevnes at en terrorist i Italia sender en brevbombe til en adressat i Norge. I 1984 var jurisdiksjonsutfordringen knyttet til internasjonal datakriminalitet av begrenset betydning. Mer overraskende er det at denne problemstillingen heller ikke behandles i senere forarbeider som for eksempel i Ot.prp. nr. 90 (2003-2004).
Det ene vilkåret i ny straffelov § 7 er at handlingen har virkninger som er avgjørende for eller påvirker straffbarheten. Det andre hovedvilkåret er at virkningen enten har inntrådt på territoriet, eller at det var innenfor lovbryterens forsett at virkningen skulle inntre på norsk territorium (tilsiktet).
På side 405 i Ot.prp. nr. 90 (2003-2004) fremkommer det at virkninger som er avgjørende eller som påvirker straffbarheten lettest kan tenkes ved fare- eller skadedelikter hvor utførelsen av selve den straffbare handling og resultatet av den ikke faller sammen verken i tid eller sted. Det anføres videre at det særlig for straffebud som gjør straffbarheten eller subsumsjonen avhengig av at en skade, et tap eller en fare har inntrådt, kan være aktuelt at virkningen har inntrådt i Norge, selv om handlingen er utført i utlandet. I Rt. 2003 side 1770 ble grovt bedrageri utført fra Sverige, Finland og Bahamas. Det falt klart innenfor lovbryterens forsett at de som skulle bedras primært befant seg i Norge. Et betydelig tap oppstod også i Norge. Dette var tilstrekkelig til å anse at handlingen også hadde handlingssted i Norge.
Felles for de fleste av utvalgets forslag til lovbestemmelser, er at de fastsetter straffbarhet for handlinger som begås via datasystem og elektronisk kommunikasjon og at dette er handlinger som kan begås uavhengig av geografiske grenser. Det beror imidlertid på en tolkning av det enkelte foreslåtte straffebud hvorvidt en handling i samsvar med straffebudet fyller vilkårene i ny straffelov § 7 slik at norsk rett kommer til anvendelse på handlingen.
Hvorvidt en handling som regulert i det foreslåtte kapitlet om datakriminalitet faller inn under norsk jurisdiksjon kan i det enkelte tilfelle fremstå som uklart. At rekkevidden av ny straffelov § 7, nåværende § 12 andre ledd, fremstår som usikker, hevdes som ovenfor nevnt også i NOU 2003: 27 på side 52. Utkastet § 13 om driftshindring som igangsettes fra utlandet mot norske datasystem har for eksempel åpenbart en konsekvens for den som rammes i Norge. Identitetstyveri etter kapittel 15 gjennom elektronisk kommunikasjon med mottaker i Norge, kan medføre at mottaker blir villedet og derigjennom kan komme til å lide et tap. Det er imidlertid noe usikkert hvorvidt de foreslåtte straffebud kan betegnes som følge- eller skadedelikt.
Selv om det ikke er noe absolutt krav om at et straffebud må være et følge- eller skadedelikt for at den nye straffeloven § 7 kommer til anvendelse, synes rettstilstanden noe uoversiktlig og lite forutberegnelig. Utvalget mener også at det er unødvendig tungvint at rettstilstanden skal måtte utledes av usikre tolkninger og rettspraksis. Utvalget foreslår derfor et tillegg til ny straffelov § 7 for å avklare rettstilstanden på området. I henhold til den foreslåtte bestemmelsen, skal virkningen av en handling anses inntrådt etter § 7, første punktum når et datasystem eller elektronisk kommunikasjonsnett i Norge er rammet eller forsøkt rammet. Se nedenfor under kapittel 8.6.
8.5 Jurisdiksjonsspørsmålet vedrørende ulovlig materiale på internett
Utvalget ble bedt om å særlig vurdere om straffelovens stedlige virkeområde i den nye straffeloven alminnelige del innebærer hensiktsmessige avgrensninger når det gjelder ulovlig materiale på internett. Det sentrale er å avgjøre hvor langt norske myndigheter kan og bør gå for å bekjempe ulovlig materiale på nettet.
En av de internasjonalt mest kjente sakene som gjelder jurisdiksjonsspørsmålet ved publisering av ulovlig materiale på internett, er den såkalte Yahoo-saken. Det amerikanske selskapet Yahoo avholdt på sine sider auksjoner for salg av Nazi-utstyr, hvilket var ulovlig i Frankrike, mens det var lovlig i USA. Selskapet var som nevnt amerikansk og serveren selskapet benyttet lå heller ikke i Frankrike. Yahoo ble imidlertid saksøkt i Frankrike hvor selskapet ble dømt til å hindre franske nettbrukere adgang til disse auksjonene. Retten mente at siden ble rammet av fransk lov når den var tilgjengelig for franske nettbrukere i Frankrike. Siden var dessuten spesielt tilrettelagt for franske brukere ved at den blant annet var utformet på fransk. Yahoo ble ikke hørt med sine påstander om at de ikke kunne filtrere ut nettbrukere i Frankrike. Den oppmerksomhet og det press Yahoo ble gjenstand for i forbindelse med saken, har ført til at Yahoo senere har innført et generelt forbud mot å tillate auksjoner for lignende effekter på sine sider. Saken er utføring omtalt i Schwaback «Internet and the Law» side 157-160.
En annen sak som har blitt viet mye oppmerksomhet internasjonalt, er Dow Jones & Co v Gutnick. The High Court of Australia tok jurisdiksjon i en sak om ærekrenkelse hvor teksten lå på en server i USA. Den australske domstolen la til grunn at for materiale publisert på internett var forholdet begått på det stedet hvor ærekrenkelsen var oppstått – og det var der hvor nettsiden ble lastet ned. Saken er utførlig omtalt i Goldsmith og Wu «Who Controls the Internet?» side 147-148 og side 156-161.
De to ovennevnte avgjørelser er omdiskutert internasjonalt.
I den tidligere refererte dommen fra RG 2001 side 219 som gjaldt publisering av pornografisk materiale på internett, kom herredsretten til at handlingen falt innenfor norsk jurisdiksjon på to ulike grunnlag. Handlingen ble ansett begått i riket i henhold til straffeloven § 12 første ledd. I denne saken befant gjerningspersonene seg i Norge og filene var også lastet opp i Norge. Det eneste som skjedde via en utenlandsk server, var kjøp av lagringsplass samt selve distribusjonen. Forholdet ble samtidig funnet å falle inn under § 12 andre ledd fordi virkningen hadde inntrådt i Norge. Dette er som nevnt en underrettsavgjørelse og retten tilrår i dommen at de rettslige konsekvenser ved bruk av servere i utlandet undergis en nærmere utredning og avklaring.
Når det gjelder handlinger som utføres av personer som befinner seg i Norge mot datasystem i utlandet, fikk man en avklaring med den ovennevnte bakdørkjennelsen i Rt. 2004 side 1619, hvor Høyesterett avgjorde at norsk rett får anvendelse hvor handlingen var rettet mot datamaskiner som befant seg i utlandet, men hvor alle nødvendige handlinger for å overtre straffebudet var foretatt i Norge.
Spørsmålet er hvor langt norsk jurisdiksjon gjelder for – eller bør gjelde for – nettsider med materiale som er straffbart etter norsk lov som er publisert av utlendinger i utlandet.
I avgjørelsen i RG 2001 side 219 kom retten til at nettsiden fikk virkning i Norge ved å være publisert på internett og således være tilgjengelig fra Norge. Dette er en vid tolkning av lovens krav om at virkningen av handlingen skal ha inntrådt her. Som underrettsavgjørelse har dommen begrenset vekt. Alternativet hadde vært at retten tolket inn et krav om at det må noe mer til for at siden skulle anses for å ha virkning i Norge, for eksempel at siden var på norsk. Det er grunn til å bemerke at sidene var laget av nordmenn i Norge. Det var da unødvendig av retten å ta standpunkt til dette spørsmålet siden den også kom til at handlingen var å anse som «begått i riket», jf. straffeloven § 12 første ledd nr. 1.
Hensynet til andre lands suverenitet tilsier som nevnt at det bør utvises varsomhet med å strafforfølge i Norge for handlinger som er begått på andre lands territorium. Etter utvalgets mening, er man heller ikke tjent med regler som gjør enhver nettside publisert i utlandet straffbar i ethvert land hvis lovgivning den er i strid med. Ved etablering av en nettside vil det være umulig å ha full kunnskap om hvorvidt innholdet vil være straffbart etter noe lands lovgivning. Det vil bli svært vanskelig å publisere noe dersom man må ta hensyn til alle ulike lands jurisdiksjon. Konsekvensen vil da også være at det blir det land med den strengeste lovgivningen som vil sette den rettslige standarden til enhver tid.
I normaltilfellene hvor en nettside er laget av utlendinger i utlandet og publisert på en utenlandsk server, vil dette falle utenfor norsk jurisdiksjon. Unntak fra dette utgangspunktet kan tenkes dersom det for eksempel er tale om nettsider som er spesielt tilrettelagt for bruk i Norge og hvor de negative konsekvensene i hovedsak eller utelukkende manifesterer seg her. Et eksempel er nettsteder med spilltjenester som markedsføres direkte mot det norske markedet for eksempel ved at nettstedet har norsk tekst. Dette vil da kunne anses som kriminalitet som er begått i utlandet, men som får virkning i Norge og må derfor kunne straffes her hvor virkningen inntrer. Hvorvidt en nettside med ulovlig innhold vil kunne rammes av norsk rett, vil bero på en tolkning av om vilkårene i ny straffelov § 7 er oppfylt i det konkrete tilfellet.
De generelle reglene om jurisdiksjon som er omtalt ovenfor kan i enkelte tilfeller tenkes å komme i konflikt med konkrete bestemmelser i traktater som Norge er bundet av. I slike tilfeller følger det av § 2 i ny straffelov at folkerettslige forpliktelser går foran jurisdiksjonsbestemmelsene. I tillegg inneholder EØS-loven generelle regler om forrang for lov og forskrift som er gitt for å gjennomføre forpliktelser etter EØS-avtalen.
EUs någjeldende tv-direktiv (direktiv 89/552/EØF, endret ved direktiv 97/36/EF) har som hovedregel at det er sendelandets rett som følges når det gjelder innholdet i sendingene. Det gjelder en rekke unntak fra denne hovedregelen. Dette direktivet er omfattet av EØS-avtalen, og således folkerettslig bindende for Norge. Direktivet er også gjennomført i norsk rett. Det er foreslått ytterligere reguleringer i forslag til endring i direktiv 89/552/EØF som er fremlagt som forslag 2005/0260 (COD).
Konvergens mellom ulik teknologi og medier, gjør direktivet også relevant for andre innholdstjenester enn tv-tjenester, blant annet for internettjenester. EU-Kommisjonen ønsker ikke at reguleringen skal forskjellsbehandle ulike teknologiske plattformer som leverer lignende innhold. Endringsforslaget innebærer derfor bl.a. en utvidelse av virkeområdet til alle typer audiovisuelle medietjenester uansett hvilken plattform de leveres fra. Det skal være en gradert regulering basert på en sondring mellom lineære (for eksempel tradisjonell kringkasting) og ikke-lineære tjenester (for eksempel on-demand-tjenester). Utvalget legger til grunn at forslaget til endringer i direktiv 89/552/EØF vil være EØS-relevant og vil bli vurdert for innlemming i EØS-avtalen i samsvar med vanlig prosedyre.
8.6 Utvalgets forslag
På bakgrunn av redegjørelsen ovenfor, foreslår utvalget en endring i ny straffelov § 7 som presiserer rettstilstanden for hvor en handling under kapitlet om datakriminalitet skal anses å ha funnet sted. Utvalget foreslår tilføyelse av ny setning i § 7, som dermed vil lyde:
§ 7 Handling som anses foretatt på flere steder
Når straffbarheten av en handling avhenger eller påvirkes av en inntrådt eller tilsiktet virkning, anses handlingen foretatt også der virkningen er inntrådt eller tilsiktet fremkalt.
Er et datasystem eller elektronisk kommunikasjonsnett i Norge rammet eller forsøkt rammet av en handling som er straffbar etter kapitlet om «Vern av data, databasert informasjon og datasystemer», anses virkningen inntrådt i Norge.
Når det gjelder § 7 første punktum vises det til de øvrige forarbeidene til denne bestemmelsen, blant annet i spesialmotivene til § 7 i Ot.prp. nr. 90 side 405-406.
Formålet med det nye foreslåtte andre punktum, er å fjerne usikkerhet med hensyn til rekkevidden av norsk jurisdiksjon når det gjelder brudd på straffebestemmelser i datakrimkapitlet fra utlandet når datasystem eller elektronisk kommunikasjonsnett i Norge er rammet eller forsøkt rammet. I slike tilfeller er det ikke nødvendig å gå veien om en tolkning av om en virkning er «inntrådt» eller «tilsiktet fremkalt» i Norge. Dersom datasystemer i Norge er rammet eller forsøkt rammet, vil virkningen etter annet ledd automatisk bli ansett for å ha inntrådt i Norge. For begrepene «datasystem» og «elektronisk kommunikasjonsnett» vises det til utkastet § 1 bokstav a og e og kapittel 5.2 og 9.1.
Ny straffelov § 7 første punktum omfatter i utgangspunktet kun fullbyrdede handlinger. Utvalget har imidlertid valgt å la forsøk være straffbart etter annet punktum. Dette skyldes blant annet arten og alvorligheten av de handlinger som rammes av datakrimkapitlet. Det kan påbegynnes handlinger med omfattende skadepotensiale som av en eller annen grunn, tilfeldig eller som på grunn av sikkerhetstiltak, blir avverget før fullbyrdelsen. Slike forsøkshandlinger på dette området er etter utvalgets oppfatning så straffverdig at også slike bør være straffbare.
8.7 Sammenhengen mellom jurisdiksjonsregler og faktisk adgang til strafforfølgning
Selv om en handling i utgangspunktet omfattes av norsk jurisdiksjon, innebærer ikke dette nødvendigvis en faktisk adgang til straffeforfølgning. Dette avhenger av grunnleggende bestemmelser i straffeprosesslovgivningen om rettens mulighet til å få forkynt varsler, fremtvinge tilstedeværelse, foreta avhør, samt øvrige rettergangsskritt.
Datakrimkonvensjonen har sine begrensninger. Foreløpig har kun et begrenset antall land gjennomført den, og hensynet til den enkelte stats suverenitet legger begrensninger på for eksempel mulighetene for etterforskningsskritt på tvers av landegrensene.
Goldsmith og Wu: «Who controls the Internet? Illusions of a borderless world» side 163-165 beskriver en illustrerende sak hvor en person i Chelyabinsk i Russland brøt seg inn på servere tilhørende amerikanske selskap. Etter å ha brutt seg inn på serverne, kontaktet han selskapene på vegne av en gruppe han kalte: » The Expert Group of Protection Against Hackers» med krav om betydelige beløp mot å få kunnskap om hvordan sikkerhetshullene kunne tettes. Dersom et selskap ikke gikk med på dette, ville de risikere at filer ble slettet eller at kunders kredittkortinformasjon ble tilgjengeliggjort på nettet.
Da FBI skulle etterforske saken, ga de seg ut for å være et amerikansk sikkerhetsselskap og inviterte hackeren til USA for jobbintervju. Da han landet i USA ble han bedt om å bevise sine ferdigheter i å bryte seg inn i datanettverk. Det han ikke visste var at FBI benyttet seg av et dataprogram som tok opp hans brukernavn og passord til hans datamaskiner i Russland. Hackeren ble arrestert og ved bruk av hans passord og brukernavn, ble bevis for de straffbare forhold lastet ned fra hans russiske datamaskiner. Bevismaterialet ble senere benyttet for å dømme ham i straffesaken mot ham.
I tillegg til at det ved datakriminalitet i mange tilfeller kan være vanskelig å finne ut hvem som er gjerningspersonene, viser denne saken at det kan være vanskelig å få tak i vedkommende også når han er kjent. I ovennevnte sak ble FBI sitt angrep på hackerens datamaskiner i Russland oppfattet som et brudd på Russisk suverenitet.
Det enkelte lands utleveringslover kan sette skranker for muligheten til å strafforfølge utlendinger i Norge selv om den straffbare handlingen faller inn under norsk jurisdiksjon. Etter utleveringsloven § 2 kan for eksempel ikke norske statsborgere utleveres. Lov om utlevering av lovbrytere til Danmark, Finland, Island og Sverige (lov av 3. mars 1961 nr.1) gir en begrenset adgang til å utlevere norske statsborgere til disse landene.
Innenfor området for Schengenavtalen (konvensjon om gjennomføring av Schengenavtalen av 14. juni 1985), omfatter samarbeidet blant annet politisamarbeid og plikt til å yte gjensidig hjelp under etterforskning (kapittel 1 og 2). Avtalen har også regler om utlevering (kapittel 4).
Videre er det begrensninger i adgangen til å strafforfølge et forhold som er pådømt i utlandet. Dette følger av § 8 i den nye straffeloven alminnelige del. Her henvises det til de norske utleveringslovene samt til Schengenavtalen. Det vises her til forarbeidene til § 8 i blant annet Ot.prp. nr. 90 (2003-2004) kapittel 13.5.
8.8 Internasjonalt lovarbeid – veien videre
Utvalget understreker behovet for norsk deltakelse i videre internasjonalt lovsamarbeid når det gjelder datakriminalitet og strafforfølgning. Felles regelverk som sikrer både en kriminalisering av datakriminalitet og muligheten for å faktisk gjennomføre strafforfølgning er helt avgjørende dersom man skal klare å bekjempe trusselen som datakriminalitet representerer overfor det moderne samfunn.
På nettavisen digi.no kunne man den 5. oktober 2006 lese om en sak hvor tre russere ble dømt i Russland for datainnbrudd og for å ha presset britiske nettsteder for penger. Angrepene var rettet mot britiske nettkasinoer og bookmakere. De tre brukte et egenutviklet program for å samle opplysninger om nettstedene. Deretter advarte de nettstedene om at de ville stenge dem dersom de ikke betalte. Da et av de britiske selskapene nektet å betale, stengte de tre utpresserne selskapets nettsted under Breeder’s cup-løpene med det til følge at selskapet ble påført et daglig tap på 200 000 dollar. Til sammen skal de tre ha presset over 4 millioner dollar fra britiske selskaper. De var aktive i seks måneder og angrep 54 selskaper fordelt på 30 land. I september 2004 ble de alle arrestert, da etter et samarbeid mellom russisk politi, det britiske politiets Serious Organized Crime Agency (SOCA), det amerikanske føderale politiet FBI samt Interpol. Håndteringen av denne saken viser de involverte lands erkjennelse av at denne type grenseløse økonomiske kriminalitet krever et omfattende internasjonalt politisamarbeid. Saken viser også hvordan slikt samarbeid kan lykkes.
Det viktigste synes altså å være å arbeide aktivt for mer internasjonal lovgivning som også setter standarder for internasjonalt samarbeid om strafforfølgning.