Bruzelius, Lund, Coward, Støle og Schei A og B ble av tingretten funnet skyldige i å ha trengt inn i henholdsvis 235 og 202 datamaskiner, som med ett unntak for hver av dem, befant seg i utlandet. De ble begge dømt for overtredelse av straffeloven § 145 annet ledd (A for to overtredelser) og § 291 jf. § 292. A ble i tillegg funnet skyldig i én overtredelse av § 393 og B én overtredelse av § 132. Straffen ble satt til samfunnsstraff i henholdsvis 148 og 90 timer. Begge anket til lagmannsretten. Ankeprøvingen var begrenset - og gjaldt dels at A og B ikke kunne domfelles for overtredelse av straffeloven § 145 annet ledd fordi den straffbare handlingen ikke kunne anses forøvet i riket, jf. straffeloven § 12 første ledd nr. 1, og dels lovanvendelsen vedrørende domfellelsen for grovt skadeverk. Lagmannsretten frifant begge for skadeverk, men forkastet anken over straffeloven § 145 annet ledd, jf. § 12 første ledd nr. 1. Straffen ble satt til betinget fengsel i henholdsvis 60 og 30 dager. Økokrim anket til Høyesterett over blant annet frifinnelsen, mens de tiltalte anket over lovanvendelsen vedrørende § 145 annet ledd, jf. § 12 første ledd nr. 1. Høyesterett kom til at lagmannsrettens lovanvendelse var riktig når handlingen måtte anses som begått i riket. Uttalt at det utslagsgivende må være at alle nødvendige handlinger for å bryte beskyttelsen fant sted i Norge. De tiltaltes anker ble etter dette forkastet. Høyesterett kom imidlertid til at lagmannsrettens frifinnelse for overtredelse av straffeloven § 291 jf. § 292 bygget på feil lovanvendelse. Det ble vist til at det i lovforarbeider nå i snart 20 år er uttalt at straffelovens bestemmelser om skadeverk kan få anvendelse på uberettiget endring eller sletting av elektronisk lagrete data, jf. NOU 1985: 31 og at tolkingen der bygget på Rt. 1930 side 1005, hvor det ble gitt uttrykk for et funksjonelt syn på skadeverksbestemmelsen. Videre uttalt at anvendelse av bestemmelsen på de situasjoner som saken gjaldt, var uproblematisk i forhold til de krav til lovbestemt straffehjemmel som følger av Grunnloven § 96 og EMK artikkel 7. Aktors påstand om at Høyesterett skulle avsi ny dom ble ikke tatt til følge. Forsvarerne motsatte seg det, og Høyesterett hadde for få opplysninger om virkningene for fornærmede av skadeverket, noe som ville være av betydning for utmålingen av straff. Frifinnelsene ble etter dette opphevet med hovedforhandling, og lagmannsrettens straffutmåling ble stående.
(1)Dommer Bruzelius: Saken gjelder datakriminalitet og reiser spørsmål om straffelovens stedlige virkeområde, jf. straffeloven § 12 første ledd nr. 1 sammenholdt med § 145 annet ledd og § 393, samt om tolkingen av skadeverksbestemmelsen, jf. § 291 jf. § 292.
(2)Stavanger tingrett avsa 19. august 2003 dom med denne domsslutning: ”I sak 02-634 M (A): 1. A, født 00.00.1981, dømmes for to overtredelser av strl. § 145, 2. ledd, en overtredelse av strl. § 291 jf. § 292 og en overtredelse av strl. § 393, alt sammenholdt med strl. §§ 62 og 63, til en straff av samfunnstjeneste i 148 – hundreogførtiåtte – timer med en gjennomføringstid på 5 – fem – måneder, subsidiært 5 – fem – måneders fengsel. Til fradrag i eventuell soning av den subsidiære fengselsstraff går 2 – to – dager for utholdt varetekt. 2. A, født 00.00.1981, frifinnes for forholdene i tiltalens poster III a og III c – to overtredelser av strl. § 393. 3. A, født 00.00.1981, dømmes til å tåle inndragning av fire disketter, en PC uten deksel med en harddisk og to løse harddisker. Inndragningen skjer til fordel for statskassen. 4. A, født 00.00.1981, tilpliktes innen 14 – fjorten – dager fra dommens forkynnelse å betale kr. 23.378,- – kronertjuetretusentrehundreogsøttiåtte – i erstatning til Telenor ASA. 5. A, født 00.00.1981, dømmes til å betale sakens omkostninger med et beløp stort kr. 5.000,- – kronerfemtusen –. I sak 02-635 M (Skoglund): 1. B, født 00.00.1984, dømmes for en overtredelse av strl. § 145, 2. ledd, en overtredelse av strl. § 291 jf. § 292 og en overtredelse av strl. § 132, 1. ledd, alt sammenholdt med strl. § 62, til en straff av samfunnstjeneste i 90 – nitti – timer med en gjennomføringstid på 90 – nitti – dager, subsidiært 90 – nitti – dagers fengsel. 2. B, født 00.00.1984, dømmes til å tåle inndragning av en løs harddisk. Inndragningen skjer til fordel for statskassen. 3. B, født 00.00.1984, tilpliktes innen 14 – fjorten – dager fra dommens forkynnelse å betale kr. 20.000,- – kronertjuetusen – i erstatning til Azlan Norge AS. 4. B, født 00.00.1984, dømmes til å betale sakens omkostninger med et beløp stort kr. 5.000,- – kronerfemtusen –.”
(3)Tingretten fant A og B skyldige i å ha trengt inn i henholdsvis 235 og 202 datamaskiner, som med ett unntak for hver av dem befant seg i utlandet. Forholdet ble for begge vurdert som én fortsatt forbrytelse. Tingretten frifant A for to tilfeller av overtredelse av straffeloven § 393, men fant for øvrig begge de tiltalte skyldig etter tiltalen.
(4)A og B anket til Gulating lagmannsrett. Anken fra B gjaldt lovanvendelsen under skyldspørsmålet, saksbehandlingen (mangelfulle domsgrunner), det borgerlige rettskravet og saksomkostninger. Anken fra A gjaldt i tillegg bevisbedømmelsen under skyldspørsmålet, men ikke det borgerlige rettskravet. Ankene ble henvist til ankeforhandling. Kort før hovedforhandlingen trakk A anken over bevisbedømmelsen under skyldspørsmålet, slik at lagmannsrettens behandling gjaldt to begrensede anker.
(5)Lagmannsretten avsa 11. mai 2004 dom med slik domsslutning: ”A. 1. I Stavanger tingretts dom av 19. august 2003 gjøres følgende endringer: A frifinnes for overtredelse av straffelovens § 291, jf. § 292. Straffen settes til fengsel i 60 – seksti – dager. Fullbyrdelsen av straffen utsettes etter reglene i straffeloven §§ 52–54 med prøvetid på 2 – to – år. 2. Saksomkostninger ilegges ikke for tingretten eller lagmannsretten. B 1. I Stavanger tingretts dom av 19. august 2003 gjøres følgende endringer: B frifinnes for overtredelse av straffelovens § 291, jf. § 292. Straffen settes til fengsel 30 – tretti – dager. Fullbyrdelsen av straffen utsettes etter reglene i straffeloven §§ 52–54 med prøvetid på 2 – to – år. 2. B frifinnes for erstatningskrav fra Azlan Norge AS. 3. Saksomkostninger ilegges ikke for tingretten eller lagmannsretten.”
(6)Lagmannsretten kom til at det ikke forelå skadeverk og frifant begge for tiltalens post II. Retten forkastet en anførsel om at A og B ikke kunne domfelles etter tiltalens post I – straffeloven § 145 annet ledd – fordi den straffbare handlingen ikke kunne anses forøvet i riket, jf. straffeloven § 12 første ledd nr. 1.
(7)Økokrim har anket til Høyesterett over lovanvendelsen for så vidt gjelder frifinnelsen for overtredelse av straffeloven § 291, jf. § 292, straffutmålingen og saksomkostningsavgjørelsen. A og B har begge anket over lovanvendelsen for så vidt gjelder straffeloven § 145 annet ledd, jf. § 12 første ledd nr. 1. For A gjelder anførselen også straffeloven § 393, jf. § 12 første ledd nr. 1. Høyesteretts kjæremålsutvalg har tillatt ankene fremmet.
(8)Aktor har prinsipalt gjort gjeldende at A og B må domfelles for grovt skadeverk i tillegg til overtredelse av straffeloven § 145 annet ledd. Lagmannsrettens lovanvendelse er feil. Det er ikke tvilsomt at uautorisert endring og sletting av data rammes av straffeloven § 291. Lagmannsretten har uriktig anvendt et vesentlighetskriterium som ikke fremgår av lovteksten, i stedet for å vurdere om handlingene innebærer ødeleggelse eller skade.
(9)Straffen er for mild. Høyesterett kan avsi ny dom i saken basert på de tidligere instansers faktumbeskrivelser. Det bør ilegges saksomkostninger for alle instanser.
(10)Bs og As forsvarere har anført at lagmannsretten har tolket straffeloven § 12 første ledd nr. 1 feil når den er kommet til at norsk strafferett får anvendelse. Det foreligger først en straffbar handling etter § 145 annet ledd når en beskyttelse brytes, det vil si når vedkommende får adgang til den fremmede serveren. Legalitetsprinsippet veier tungt, og når § 145 annet ledd ikke er tatt med i den uttømmende oppregningen i § 12 første ledd nr. 3 bokstav a, faller forholdene i denne sak utenfor den norske straffelovs virkeområde for så vidt gjelder de servere som ikke befant seg i Norge. Tilsvarende gjelder domfellelsen av A for overtredelse av straffeloven § 393.
(11)Det er videre anført at legalitetsprinsippet jf. Grunnloven § 96 og Den europeiske menneskerettskonvensjon (EMK) artikkel 7, slik bestemmelsen er tolket av Den europeiske menneskerettsdomstol (EMD), krever at de handlinger som skal straffes, er klart beskrevet i straffebestemmelsen. Straffelovens bestemmelser om skadeverk er ikke utformet med henblikk på datakriminalitet og bør ikke – i påvente av ny lovgivning – tolkes utvidende og gis anvendelse på de handlinger som A og B har begått.
(12)Jeg er kommet til at påtalemyndighetens lovanvendelsesanke må tas til følge, og at As og Bs anker over lovanvendelsen må forkastes.
(13)Jeg behandler først forholdet til straffeloven § 12 første ledd nr. 1.
(14)Straffeloven § 145 annet ledd retter seg mot den som uberettiget skaffer seg adgang til data eller programutrustning som er lagret eller som overføres ved elektroniske eller andre tekniske midler.
(15)Det fremgår av lagmannsrettens domsgrunner at de tiltalte ikke har bestridt at datainnbruddene rammes av gjerningsbeskrivelsen i straffeloven § 145 annet ledd. Det er imidlertid gjort gjeldende at handlingene er straffrie fordi de ikke kan anses begått i riket, jf. straffeloven § 12 første ledd nr. 1. Paragraf 145 annet ledd er ikke nevnt i oppregningen i § 12 første ledd nr. 3 bokstav a. Anvendelsen av norsk strafferett krever da at den straffbare handlingen er foretatt i riket, jf. første ledd nr. 1.
(16)Det faktiske hendelsesforløp som ligger til grunn for domfellelsene, er i tingrettens dom – som lagmannsretten har bygget på – beskrevet slik: ”…har begge forklart at de først brukte forskjellige skanneprogrammer som var installert på den datamaskin hackingen foregikk fra. Skanneprogrammet var programmert til å søke gjennom grupper av IPadresser, enten identifisert ved numrene eller domenenavn (…). Skanneprogrammet sender forespørsler til datamaskinene om de inneholder bestemte versjonsnumre av en type dataprogram. Når skanningen er fullført opprettes en logg som bl.a. viser hvilke datamaskiner som har den type program det har blitt søkt etter. Grunnen til at det ble søkt etter bestemte versjoner av programmer er at de tiltalte, …, hadde funnet ut at enkelte versjoner av programmer inneholder svakheter. Svakhetene i programmer er for øvrig også offentlig kjent og publiseres på offentlig tilgjengelige internettsider (…). De svakheter i dataprogrammer som er omtalt ovenfor, kan utnyttes. Det finnes for en rekke svakheter utviklet såkalte exploitprogrammer – dataprogrammer som har som formål å utnytte svakheten, slik at man får tilgang til datamaskinen som kjører det aktuelle dataprogram. Ved å utnytte svakheten med en exploit omgås eieren av datasystemets forsøk på å beskytte tilgangen til datasystemet ved å kreve autentisering av brukeren med brukernavn og passord. Etter en vellykket kjøring av en exploit, er følgen at gjerningsmannen får tilgang som sk. rootbruker (systembrukeren med alle rettigheter til for eksempel å lese, endre eller slette filer samt installasjon av programmer og brukere) på den angrepne datamaskin. De tilltalte har i retten forklart at de har hatt og brukt forskjellige typer exploits, som har rettet seg mot ulike svakheter de har skannet etter. Fremgangsmåten for å komme seg inn i det angrepne datasystem har imidlertid i alle tilfellene vært som beskrevet ovenfor.”
(17)Lagmannsretten kom som nevnt til at handlingene måtte anses begått i riktet, jf. § 12 første ledd nr. 1. Retten viste til at ”de datamaskinene de tiltalte brukte og de fysiske handlingene, kommandoene, som iverksatte søk mot og inntrengning i de andre datamaskinene, var i riket. Uten den handlingen og utstyret i riket, faller også resten av handlingsrekken bort”. I tilknytning til en anførsel fra forsvarerne om at det straffbare etter § 145 annet ledd er ”å bryte en beskyttelse”, og at dette skjer der hvor maskinen man trenger seg inn i, er lokalisert, uttalte lagmannsretten at ”datakriminalitet er å anse som begått i Norge når de fysiske handlinger skjer her selv om handlingen rammer datamaskiner i andre land”.
(18)Jeg er enig i lagmannsrettens lovanvendelse. Som lagmannsretten mener jeg det utslagsgivende må være at alle nødvendige handlinger for å bryte beskyttelsen fant sted i Norge.
(19)Forsvarerne har vist til at Datakrimutvalget i NOU 2003: 27 Lovtiltak mot datakriminalitet, har fremmet forslag om å føye § 145 annet ledd til i oppregningen i § 12 første ledd nr. 3 bokstav a. I merknaden til forslaget viser utvalget på side 59 til at datakriminalitet ofte har et internasjonalt preg hvor handlinger kan være begått på tvers av landegrenser eller i samvirke mellom flere personer. En slik tilføyelse vil sikre at handlingen kan straffes i Norge uten hensyn til hvor den er foretatt, når gjerningsmannen er norsk. Forslaget innebærer således en utvidelse av straffebestemmelsens virkeområde ut over det som allerede følger av § 12 første ledd nr. 1. Jeg kan ikke se at dette forslaget har betydning for om de handlinger denne saken gjelder, skal anses for begått i riket etter straffeloven § 12 første ledd nr. 1.
(20)A er funnet skyldig i ett tilfelle av overtredelse av straffeloven § 393. Det fremgår av tingrettens domsgrunner at dette gjelder et tilfelle hvor han ”rootet” (trengte inn i som systembruker) en maskin plassert i Finland, opprettet brukernavn og passord til en tredjemann på maskinen, ved en rekke anledninger var inne på maskinen og ved flere anledninger overførte filer til eller fra denne.
(21)Lagmannsretten la til grunn at denne overtredelsen var begått i riket, og viste til at det også her dreiet seg om et tilfelle hvor alle de fysiske handlingene er utført i Norge. Jeg er enig i at dette bygger på en riktig lovtolking.
(22)Jeg går så over til å behandle aktors anførsel om at frifinnelsen av A og B for overtredelse av straffeloven § 291 jf. § 292 bygger på feil lovanvendelse.
(23)I tiltalens post II er grunnlaget beskrevet slik: ”På tid og sted som beskrevet i post I … forholdt han seg som der beskrevet. Han installerte bakdører og/eller bruker på alle maskinene og forvoldte derved skade på systemoppsettet på datamaskinene”.
(24)Tallet på maskiner er for A angitt til 235 og for B til 202.
(25)Lagmannsretten legger også her tingrettens beskrivelse av faktum til grunn: ”Opprettelse av bakdør eller bruker i datasystemet innebærer at de tiltalte, etter at de hadde gått ut av systemet, i ettertid kunne få adgang til dataene uten å roote maskinen ved bruk av exploitprogram som beskrevet ovenfor. Det å legge inn en bakdør eller bruker på systemet er ingen stor operasjon. For å opprette bruker har de tiltalte forklart at de skrev inn noen få linjer i passordfilen i operativsystemet på maskinene. Opprettelse av sk. bakdør er gjort på forskjellige måter, eksempelvis ved å erstatte en fil med annen som har samme navn, men som utfører noen tilleggskommandoer. Det er felles for alle metodene at de innebærer enkle endringer på systemet, og at de ikke innebærer noen endring i funksjonaliteten som andre brukerer vil merke ved ordinær bruk av systemet.”
(26)Lagmannsretten kom som nevnt til at domfellelsene for skadeverk skyldtes uriktig lovanvendelse. I premissene er dette begrunnet med at når ”endringene som er gjort i de lagrede data er så små eller uvesentlige som i denne saken, kan endringene ikke betegnes som skadeverk. Tingretten har lagt til grunn at de tiltalte ved sine handlinger ikke har endret funksjonaliteten til datamaskinene de har gjort innbrudd i”. Lagmannsretten uttalte videre at konsekvensene av handlingene ”for den tillit systemeieren har hatt til maskinene, er klart nok et straffutmålingsmoment ved overtredelsen av § 145, men ikke et kriterium for straffbarhet etter skadeverksbestemmelsen”. – Dette er etter mitt syn uttrykk for en uriktig lovanvendelse.
(27)Gjerningsbeskrivelsen i straffeloven § 291 omfatter blant annet ødeleggelse og skade på en gjenstand. Data i seg selv er ikke en ”gjenstand”, men lagringsmediet for data kan være en gjenstand. I NOU 1985: 31 Datakriminalitet, drøfter Straffelovrådet på side 10 om man ved å endre eller slette data ”ødelegger, skader, gjør ubrukelig eller forspiller” lagringsmediet. Etter å ha pekt på at ordlyden synes å forutsette fysisk innvirkning, noe som ikke er tilfelle ved endring eller sletting av lagrede data, og på at lagringsmediet fremdeles kan fylle sin funksjon, uttaler rådet: ”På den annen side er lagringsmediet for eieren ikke det samme som før endringen eller slettingen. For ham er ikke lagringsmediet i seg selv det vesentlige, men de data det inneholder. Det konkrete bånd eller den konkrete disk er således gjort ubrukbar for hans formål når den ikke lenger inneholder korrekte og fullstendige data. Rettspraksis gir støtte for et slikt funksjonelt syn. I Rt. 1930 s. 1005 som gjaldt stenging av en damluke med den følge at et elektrisitetsverk stoppet, uttalte således førstvoterende: ”'Gjenstand' i lovens forstand er in casu ikke damluken isolert sett, men selve det anlegg hvorav luken var en enkelt bestanddel. Det kan efter min mening ikke stille seg tvilsomt, at den der ved at manøvrere en luke i et damanlegg i utide og derved gjør inngrep i damanleggets tilsiktede nytteeffekt gjør sig skyldig i et forhold som beskrevet i § 291.” … Etter dette antar Straffelovrådet at et lagringsmedium er ”skadet” eller ”gjort ubrukelig” i relasjon til straffeloven § 291 når data er endret eller slettet.”
(28)I Ot.prp. nr. 35 (1986–87) Om endringer i straffeloven (datakriminalitet) sier departementet seg på side 14 enig i dette, og i Innst. O. nr. 65 (1986–87) uttaler justiskomiteen på side 3 at den ”merker seg at bestemmelsene om skadeverk også vil kunne ramme uberettiget sletting eller endring av data som er lagret ved elektroniske eller andre tekniske midler, og at det derfor ikke er behov for justering av de vanlige skadeverksbestemmelsene”.
(29)Denne tolkingen av straffelovens skadeverksbestemmelser er gjentatt i NOU 2003: 27, Lovtiltak mot datakriminalitet, se side 17. Forsvarerne har anført at det forhold at Straffelovkommisjonen i NOU 2002: 4 Ny straffelov, har foreslått nye straffebestemmelser som tar sikte på beskyttelse av informasjon og informasjonsutveksling, viser at vi i dag ikke har straffebestemmelser som får anvendelse. – Etter min vurdering kan ikke den omstendighet at det nå er foreslått en egen straffebestemmelse om skadeverk på elektronisk lagret informasjon, ses som uttrykk for at vi ikke allerede i dag har hjemmel til å straffe skadeverk på datamaskiner i visse høve. Den økte bruken av data som kommunikasjonsmiddel i samfunnet – og den økende kriminalitet i den forbindelse – medfører imidlertid at det vil være hensiktsmessig med lovregler som er spesielt utformet med tanke på datarelaterte overtredelser.
(30)Tingretten nevner at den rettskildemessige betydning av uttalelsene I NOU 1985: 31 flg. ikke er særlig stor. Det kan nok være så. Men det syn Straffelovrådet har fremholdt, står for meg som riktig, og det må ha vekt at det i lovforarbeider nå i snart 20 år er uttalt at straffelovens bestemmelser om skadeverk kan få anvendelse på uberettiget endring eller sletting av elektronisk lagrete data. Jeg legger også vekt på at det allerede i Rt. 1930 side 1005 ble gitt uttrykk for et funksjonelt syn på skadeverksbestemmelsen. Jeg kan ikke se annet enn at å bruke bestemmelsen på de situasjoner som her foreligger, er uproblematisk i forhold til de krav til lovbestemt straffehjemmel som følger av Grunnloven § 96 og EMK artikkel 7.
(31)Lagmannsretten har vektlagt at endringene er ”små eller uvesentlige”, og at de derfor ikke kan betegnes som skadeverk. Jeg er ikke enig i at størrelsen av de endringer som ble foretatt, har relevans når det gjelder å fastslå om det foreligger skadeverk. Men denne omstendighet kan selvfølgelig ha betydning for subsumsjonen av forholdet under § 291, § 292 eller § 391.
(32)Aktor har anført at skadeverket i dette tilfellet må rubriseres som grovt, og har prinsipalt nedlagt påstand om at Høyesterett avsier ny dom. Etter aktors syn tilsier det store antall maskiner som har vært gjenstand for skadeverk, at straffeloven § 292 må få anvendelse. Forsvarerne har motsatt seg ny dom i Høyesterett, og har blant annet vist til at det ikke fremgår av de tidligere instansers dommer at de tiltaltes forsett omfattet de forhold som i tilfelle gjør skadeverket grovt.
(33)Jeg er kommet til at lagmannsrettens dom med hovedforhandling må oppheves for så vidt gjelder frifinnelsen av A og B. Avgjørelsen av om et skadeverk er grovt, beror på en totalvurdering. Det er i § 292 nevnt enkelte momenter som det skal legges ”særlig vekt på”. Avgjørelsen beror primært på handlingens objektive grovhet, men skadevolders forsett må omfatte de forhold som gjør skadeverket grovt. Jeg tar ikke noe bestemt standpunkt til om vi her har grunnlag for å avgjøre om skadeverket skal anses for grovt. Det som under enhver omstendighet er klart, er at vi har få opplysninger om hvilke virkninger skadeverket har hatt for de fornærmede, noe som vil være av betydning for utmåling av straff.
(34)For så vidt gjelder de forhold A og B ble dømt for av lagmannsretten, er jeg kommet til at lagmannsrettens straffutmåling bør bli stående.
(35)Aktor har nedlagt påstand om at A og B bør pålegges å betale saksomkostninger for alle instanser. Saken har reist tolkingsspørsmål som ikke tidligere har vært behandlet, og jeg kan ikke se at det er grunn til å pålegge A og Skoglund å betale saksomkostninger for noen instans.
(36)Jeg stemmer for denne
(37)Dommer Lund: Jeg er i det vesentlige og i resultatet enig med førstvoterende.
(38)Dommer Coward: Likeså.
(39)Dommer Støle: Likeså.
(40)Justitiarius Schei: Likeså.
(41)Etter stemmegivningen avsa Høyesterett denne