En mann hadde tatt seg inn på brukerkontoene til en rekke unge kvinner på Snapchat og lagringstjenesten Min Sky. Flere av kvinnene var kjente profiler, blant annet influensere. Mannen gikk gjennom kontoene og lastet ned over 1000 private bilder og videoer til mobiltelefonen sin. Materialet viste unge kvinner som var lettkledde eller nakne. Noen av bildene hadde en klar seksuell karakter. Bildene ble ikke delt med andre. Mannen skaffet seg brukernavnene og passordene for Snapchat-kontoene ved å søke i en base for passordlekkasjer på internett. For Min Sky utnyttet han en kortvarig sikkerhetsbrist som gjorde det mulig å få tilgang uten passord. Han tilsto forholdene og ble i Oslo tingrett dømt til fengsel i 100 dager. Dommen gjaldt tilsammen 67 innbrudd i datasystemer etter straffeloven § 204, begått mot 38 personer, og 14 forsøk på slike innbrudd mot 9 personer. Han ble også dømt etter straffeloven § 201 for å ha skaffet seg over 100 brukernavn og passord som tilhørte andre personer. Påtalemyndigheten anket, og Borgarting lagmannsrett økte straffen til fengsel i 5 måneder. Siktede mente at straffen var for streng og anket til Høyesterett. Høyesterett er kommet til at straffen settes til fengsel i 120 dager. Høyesterett peker på at slike digitale innbrudd krenker den private sfæren og kan utgjøre en belastning for den fornærmede. Den teknologiske utviklingen gjør det stadig enklere å skaffe seg uberettiget tilgang til private bilder og videoer. I enkelte miljøer kan terskelen for å gjøre dette være lav. Signaleffekten av straff er derfor viktig av preventive grunner. Dommen gir veiledning om straffutmålingen ved digitale innbrudd som gir tilgang til private bilder og videoer. Rettsområde: Strafferett, innbrudd i datasystemer
(1)Dommer Sivertsen: Sakens spørsmål og bakgrunn
(2)Saken gjelder straffutmåling for datainnbrudd i andre personers brukerkontoer for sosiale medier og lagringstjenester.
(3)A ble i september 2025 siktet av Politimesteren i Møre og Romsdal for å ha tatt seg inn på andres brukerkontoer på Snapchat og Telenors lagringstjeneste Min Sky. Kontoene tilhørte stort sett unge kvinner som var profilerte på sosiale medier som blant annet «influensere». A fikk ved dette tilgang til private bilder og videoer som kvinnene hadde lastet opp.
(4)A gikk gjennom innholdet på brukerkontoene og lagret utvalgte bilder og videoer på mobiltelefonen sin. Det var tale om til sammen 962 bilder og 189 videoer som, slik lagmannsretten har beskrevet det, i det vesentlige viste «poserende unge kvinner som dels var lettkledde eller nakne». Noen av bildene hadde en klar seksuell karakter. Bildene og videoene var stort sett «selfies» som kvinnene hadde tatt av seg selv. A delte ikke materialet med andre.
(5)A ble på denne bakgrunn siktet for til sammen 67 fullbyrdede innbrudd i datasystemer etter straffeloven § 204 begått mot 38 fornærmede, jf. siktelsen post I. Videre ble han siktet for 14 ytterligere forsøk på slike innbrudd overfor 9 fornærmede, jf. post II. Handlingene er begått i perioden januar til juni 2025, da A var 24 år gammel.
(6)Innbruddene i Snapchat-kontoene og Min Sky-kontoene ble utført på ulik måte. Min Sky-kontoene fikk A tilgang til ved å utnytte en teknisk svikt hos Telenor som i en kort periode gjorde det mulig å logge inn med bare e-postadresse, uten bruk av passord. Det er opplyst at han oppdaget den tekniske svikten ved en tilfeldighet.
(7)Snapchat-kontoene kom han seg inn på ved å benytte de fornærmedes brukernavn og passord. Han skaffet seg disse tilgangsdataene ved å søke i en base for passordlekkasjer på internett. Dette er bakgrunnen for siktelsen post III, som gjelder overtredelse av straffeloven § 201 ved at han urettmessig tilegnet seg over 100 brukernavn og passord i den hensikt å begå datainnbrudd.
(8)A ga uforbeholden tilståelse for politiet. Ved Oslo tingretts tilståelsesdom 29. oktober 2025 ble han dømt til fengsel i 100 dager for forholdene i siktelsen. Han ble også dømt til inndragning av en mobiltelefon. Videre ble to av de fornærmede tilkjent 10 000 kroner hver i oppreisning.
(9)Påtalemyndigheten anket straffutmålingen til Borgarting lagmannsrett, som 3. mars 2026 avsa dom der straffen ble satt til fengsel i 5 måneder.
(10)A har anket dommen til Høyesterett. Anken gjelder straffutmålingen.
(11)A har lagt ned påstand om at straffen nedsettes. Påtalemyndighetens påstand er at anken forkastes. Mitt syn på saken Utgangspunkter for straffutmålingen
(12)Når det skal fastsettes en felles straff for flere straffbare forhold, som i denne saken, skal straffskjerpelsesprinsippet anvendes, se straffeloven § 79 bokstav a. Det betyr at det tas utgangspunkt i det mest alvorlige forholdet og gis et tillegg i straffen for de øvrige forholdene, se HR-2017-1282-A avsnitt 75.
(13)Det mest alvorlige forholdet i denne saken er siktelsen post I om overtredelse av straffeloven § 204. Bestemmelsen lyder slik: «Med bot eller fengsel inntil 2 år straffes den som ved å bryte en beskyttelse eller ved annen uberettiget fremgangsmåte skaffer seg tilgang til datasystem eller del av det.»
(14)Det som straffes, er den handlingen som gir «tilgang» til datasystemet, det vil si selve innbruddet i systemet. Det er ikke et vilkår at gjerningspersonen har gjort seg kjent med eller brukt den informasjonen som innbruddet ga tilgang til. Etterfølgende bruk av innholdet vil kunne rammes av andre straffebestemmelser. For eksempel ville det vært et selvstendig straffbart forhold om siktede hadde delt bildene han fikk tilgang til, med andre, se straffeloven § 267 a om deling av krenkende bilder mv. Det gjorde han som nevnt ikke.
(15)Bestemmelsen omfatter ikke bare tilfeller der gjerningspersonen har brutt en «beskyttelse» for å få tilgang til informasjonen i datasystemet. Også bruk av andre «uberettigede fremgangsmåter» er straffbart etter bestemmelsen. Jeg viser til omtalen i Ot.prp. nr. 22 (2008–2009) punkt 2.11.4 på side 51. Hvilken metode som er benyttet, og hvilken innsats som krevdes for å trenge inn i systemet, er altså ikke avgjørende for skyldspørsmålet, men vil kunne ha betydning for straffutmålingen. Det kommer jeg tilbake til.
(16)Overtredelse av straffeloven § 204 straffes med bot eller fengsel i inntil 2 år. Bestemmelsen erstatter straffeloven 1902 § 145 andre ledd, der den øvre strafferammen var fengsel i 6 måneder. Som lagmannsretten har pekt på, er det ikke holdepunkter i forarbeidene for at økningen i strafferamme er begrunnet i et ønske fra lovgivers side om å skjerpe det generelle straffenivået for innbrudd i datasystemer. I proposisjonen punkt 2.11.4 på side 51 er det vist til at den oppjusterte strafferammen «bringer norsk rett mer på linje med de øvrige nordiske lands rett». Det heter videre: «En strafferamme på to år gjenspeiler også at et innbrudd i et datasystem er en handling som, i motsetning til forberedelseshandlinger, har ført til skade. Forhøyelsen av strafferammen innebærer også at bestemmelsen er ment å dekke mer alvorlige tilfeller av innbrudd i et datasystem. En egen bestemmelse om grov overtredelse anses derfor ikke nødvendig.»
(17)Formålet med å heve strafferammen var altså å gi rom for å fastsette en forholdsmessig straff også i grove tilfeller. For øvrig ga også straffeloven 1902 § 145 grunnlag for å idømme inntil 2 års fengsel ved alvorlige overtredelser. Dette fulgte av bestemmelsens tredje ledd, som fremhevet momenter av betydning for vurderingen. Ved å heve den generelle strafferammen ble en slik særbestemmelse overflødig.
(18)Ut fra omtalen i forarbeidene legger jeg til grunn at den økte strafferammen ikke var ment å påvirke straffutmålingen for de mer ordinære overtredelsene av straffeloven § 204.
(19)Handlinger som rammes av § 204, varierer mye i karakter, omfang og utførelsesmåte, og dermed også i alvorlighetsgrad. Det lar seg derfor vanskelig gjøre å si noe generelt om straffenivået. I proposisjonen punkt 16.2 på side 403 er det uttalt: «Skadepotensialet og skadens omfang vil blant annet bero på hva slags datasystem det er skaffet tilgang til, for eksempel om det er et system som inneholder sensitive personopplysninger, sikkerhetsinformasjon og lignende. Er innbruddet forberedt gjennom en forutgående elektronisk kartlegging, bør det vektlegges i skjerpende retning ved straffutmålingen.»
(20)Ved straffutmålingen står altså de faktiske eller potensielle skadevirkningene av handlingen sentralt. Disse skadevirkningene kan være av ulik art, avhengig av hvilken type datasystem det er tale om. Den konkrete straffutmålingen må knyttes til karakteren av de interessene som er rammet. I den nærmere vurderingen vil omfanget og varigheten av overtredelsen ha betydning. Det må også legges vekt på hvordan overtredelsen er begått, herunder om den har et systematisk, organisert eller profesjonelt preg. Videre kan lovbryterens motiv ha betydning.
(21)I denne saken er overtredelsen rettet mot de fornærmedes personlige sfære ved at siktede har skaffet seg tilgang til private bilder og videoer, som viste seg også å inneholde materiale av intim og sensitiv karakter.
(22)At utenforstående har fått tilgang til private bilder og videoer, kan utgjøre en belastning for den fornærmede. Det kan også skape frykt for videre spredning, særlig når det er på det rene at gjerningspersonen har lastet ned og lagret materiale av intim karakter, som i denne saken.
(23)Den teknologiske utviklingen gir i økende grad mulighet for å skaffe seg uberettiget tilgang til private bilder og videoer, blant annet ved digitale innbrudd. Samtidig kan terskelen for slike handlinger være lav i enkelte miljøer. Signaleffekten av en straffereaksjon er derfor viktig av preventive grunner. Den konkrete straffutmålingen
(24)Straffutmålingen skal som nevnt omfatte 67 innbrudd i datasystemer begått overfor 38 fornærmede, 14 forsøk på slike innbrudd overfor 9 fornærmede og uberettiget tilegnelse av over 100 brukernavn og passord.
(25)Det finnes lite rettspraksis som gir veiledning for straffutmålingen i saken.
(26)Den avgjørelsen som ligger nærmest vårt saksforhold, er HR-2024-999-A. Saken omfattet blant annet 43 innbrudd i datasystemer overfor 5 kvinner, jf. straffeloven § 204, og uberettiget befatning med tilgangsdata for over 200 brukerkontoer, fremskaffet gjennom en passordlekkasje på internett, jf. straffeloven § 201 – det vil si samme type forhold som vår sak gjelder. Det bærende for straffutmålingen var imidlertid overtredelse av straffeloven § 267 b, jf. § 267 a, ved at siktede i tillegg hadde delt 32 seksualiserte bilder av 14 kvinner med flere andre på nettet. Høyesterett mente at straffen for delingen alene var fengsel i overkant av 8 måneder.
(27)For overtredelsene av § 201 og § 204 ble det gitt et tillegg i fengselsstraffen på om lag 30 dager i samsvar med straffskjerpelsesprinsippet. Jeg understreker at dette sier lite om hva straffen ville blitt for disse forholdene isolert.
(28)Deling av seksualiserte bilder innebærer – foruten at flere får tilgang til bildene – at gjerningspersonen mister kontrollen over materialet. Det oppstår da risiko for at materialet kan bli spredt videre. Skadepotensialet for fornærmede blir tilsvarende større. Dette vil ofte gjøre integritetskrenkelsen vesentlig mer alvorlig enn om det bare er gjerningspersonen selv som har tilgang til materialet.
(29)Rt-2012-1669 gjaldt innbrudd i datasystemer som ga siktede tilgang til blant annet bilder av pornografisk karakter. Overtredelsene hadde helt andre dimensjoner enn i saken her. Saksforholdet omfattet mer enn 30 000 bilder og berørte over 66 millioner brukerkontoer i en nettbasert lagringstjeneste, samt 187 private e-postkontoer. Saken ble pådømt etter straffeloven 1902 § 145 tredje ledd, jf. første og andre ledd. Høyesterett hadde ikke innvendinger mot lagmannsrettens straffutmåling på fengsel i 1 år, hvorav 9 måneder ble gjort betinget.
(30)Begge disse sakene fra Høyesterett gjelder saksforhold som, slik jeg vurderer det, er klart mer alvorlige enn vår sak.
(31)Lagmannsretten har i sin dom tatt utgangspunkt i en straff på fengsel i 6 måneder for overtredelsene av straffeloven § 204, inkludert siktelsen post II om forsøk på innbrudd i datasystemer. Dette utgangspunktet er etter mitt syn noe for høyt.
(32)Ved den konkrete straffutmålingen legger jeg vekt på at siktedes handlinger har krenket et stort antall personers private sfære. Lagmannsretten har beskrevet materialet han lastet ned slik at det viser kvinner som dels er lettkledde eller nakne. Det lot seg gjøre å identifisere kvinnene. Det er likevel kun en begrenset del av materialet – «noen av bildene» – som er klart seksualiserte.
(33)De digitale innbruddene er begått over en periode på nærmere et halvt år, men overtredelsen kan likevel ikke sies å ha et spesielt organisert eller systematisk preg. Siktede har ikke brukt avanserte metoder for å komme seg inn på brukerkontoene. Når det gjelder innbruddene i Min Sky-kontoene, ble disse begått etter at han ved en tilfeldighet oppdaget en sikkerhetsbrist i Telenors systemer. Disse innbruddene er derfor klart mindre klanderverdige enn den mer målrettede aktiviteten rettet mot Snapchat-kontoene.
(34)Jeg er enig med lagmannsretten i at det er skjerpende at siktede valgte å lagre, og dermed tilegne seg, et stort antall bilder og videoer på mobiltelefonen sin. Dette ga ham vedvarende tilgang til materialet og mulighet til å disponere over det.
(35)Jeg mener på denne bakgrunn at en forholdsmessig straff for siktelsen post I er fengsel i 3–4 måneder.
(36)Det skal gjøres et tillegg i straffen for siktelsen post II om forsøk på innbrudd i datasystemer og for post III om uberettiget befatning med tilgangsdata, se straffeloven § 79 bokstav a.
(37)Til post III bemerker jeg at slike tilgangsdata etter det opplyste kan være nokså lett tilgjengelige på internett. Oppdagelsesrisikoen ved å hente ut informasjon fra baser for passordlekkasjer er begrenset. Dette tilsier at reaksjonen for befatning med en omfattende mengde lekkede brukernavn og passord bør ha en viss avskrekkende effekt.
(38)Etter mitt syn bør det gis et tillegg i fengselsstraffen på rundt 30 dager for disse postene.
(39)Siktede ga uforbeholden tilståelse i politiavhør. Tilståelsen har ikke hatt særlig betydning for etterforskningen, men den har lettet iretteføringen ved å gi grunnlag for tilståelsesdom i tingretten. I tråd med vanlig praksis tilsier dette et fradrag i straffen på om lag 10 prosent, se HR-2019-2204-A avsnitt 31.
(40)Det er ikke påberopt forhold som gir grunnlag for å idømme samfunnsstraff eller for å gjøre straffen helt eller delvis betinget. Konklusjon
(41)Etter dette er jeg kommet til at straffen settes til ubetinget fengsel i 120 dager.
(42)Jeg stemmer for slik D O M : I lagmannsrettens dom gjøres den endring at straffen settes til fengsel i 120 – etthundreogtjue – dager.
(43)Dommer Vang: Jeg er i det vesentlige og i resultatet enig med førstvoterende.
(44)Dommer Horn: Likeså.
(45)Dommer Steen: Likeså.
(46)Dommer Webster: Likeså.
(47)Etter stemmegivningen avsa Høyesterett denne