Gode ​​hegn skaber gode naboer: Computer Crime III-loven

Den tredje lov om computerkriminalitet (Wet Computercriminaliteit III) giver de hollandske efterforskningsmyndigheder vidtrækkende beføjelser til at få adgang til telefoner, computere og andre enheder i forbindelse med strafferetlige efterforskninger, herunder en hemmelig "politihacking"-beføjelse i forbindelse med alvorlige lovovertrædelser. Det hollandske senat vedtog loven den 26. juni 2018, og dens bestemmelser trådte i kraft i etaper i løbet af 2018 og 2019, så de nedenfor beskrevne beføjelser nu er en del af den daglige strafferetlige efterforskningspraksis i Holland.

For virksomheder og enkeltpersoner ligger den praktiske betydning mindre i de nye lovovertrædelser, som loven skabte, end i de efterforskningsbeføjelser, den giver: data på et virksomhedssystem kan tilgås i en efterforskning rettet mod en anden person i organisationen, og en enhed kan trænge ind uden at brugeren nogensinde bemærker det.

Hvorfor minder dette folk om Snowden-sagen?

Vidtrækkende digitale efterforskningsbeføjelser er ikke unikke for Holland. Det mest kendte eksempel er USA, hvor whistleblower Edward Snowden afslørede NSA's omfattende PRISM-aflytningsprogram, som i årevis stort set fungerede uden forudgående, sag-for-sag juridisk godkendelse. Historien er bredt kendt gennem Anatoly Kucherenas bog om Snowdens sag og den film, den inspirerede. Sammenligningen er ikke præcis: den hollandske lovgiver indbyggede yderligere sikkerhedsforanstaltninger, som diskuteres nedenfor, specifikt for at undgå en tilsvarende ukontrolleret brug af disse beføjelser. Hvorvidt disse sikkerhedsforanstaltninger går vidtgående nok, er fortsat det centrale debatpunkt omkring loven.

Hvilke beføjelser giver loven efterforskningsledere?

I begrundelsen til lovforslaget angav man fem formål, som de nye beføjelser kan anvendes til:

• Identifikation af enheden eller dens brugerBetjente kan i hemmelighed få adgang til en computer, router eller telefon for at få adgang til oplysninger såsom en IP-adresse eller et IMEI-nummer.
• Optagelse af gemte dataBetjente kan registrere data, der er nødvendige for at fastslå sandheden i en alvorlig forbrydelse, for eksempel loginoplysninger til lukkede onlinefællesskaber eller lagrede billeder, der er relevante for efterforskningen.
• Gøre data utilgængeligeData, der bruges til at begå en forbrydelse, kan gøres utilgængelige for at afslutte den eller forhindre yderligere forbrydelser, for eksempel for at deaktivere et botnet, der aktivt bruges til at angribe andre systemer.
• Aflytning af fortrolig kommunikationKommunikation kan aflyttes og optages, med eller uden samarbejde fra den tjenesteudbyder, der formidler den.
• Systematisk observationBetjente kan spore en mistænkts placering og bevægelser over tid, herunder ved at installere software på selve enheden via fjernadgang.

Samlet set giver disse beføjelser betjente mere end blot at ransage en enhed én gang: de tillader løbende, stort set usynlig overvågning af en mistænkts digitale liv, så længe autorisationen varer.

Hvilke lovovertrædelser kan udløse disse beføjelser?

Beføjelserne er ikke begrænset til cyberkriminalitet, og det er et af de mest misforståede aspekter af loven. Beføjelsen til at identificere en enhed eller bruger, og beføjelsen til at aflytte kommunikation og udføre systematisk observation, kan anvendes til enhver lovovertrædelse, for hvilken varetægtsfængsling er tilladt, hvilket generelt betyder en lovovertrædelse, der kan medføre en minimumsstraf på fire år. Registrering af lagrede data og udilgængelighed af data kræver en strengere minimumsstraf på otte år, medmindre en specifik forbrydelse er udpeget ved kommunal kendelse, fordi det er af klar offentlig betydning at bringe den til ophør, såsom visse former for storstilet bedrageri eller distribution af materiale med seksuelt misbrug af børn. En enhed må kun trænge ind i det skjulte, mens den mistænkte faktisk bruger den på det tidspunkt.

Hvilke sikkerhedsforanstaltninger gælder, før disse beføjelser kan anvendes?

Kun en offentlig anklager kan anmode om brug af disse beføjelser, og enhver anmodning kræver forudgående tilladelse fra en undersøgelsesdommer (rechter-commissaris), før den udføres. Især for hackingbeføjelsen vurderer anklagemyndighedens Centrale Toetsingscommissie også den tilsigtede anvendelse på forhånd. Ud over de ovenfor beskrevne strafgrænser skal enhver anvendelse af disse beføjelser stadig opfylde de generelle krav om proportionalitet og subsidiaritet, der gælder i hele den hollandske strafferetspleje: indtrængen skal være begrundet i sagens alvor, og der må ikke være en mindre invasiv måde at opnå det samme efterforskningsresultat på.

Hvad ændrede sig ellers under loven?

To yderligere ændringer tiltrak mindre opmærksomhed end selve hackingbeføjelsen, men påvirker i praksis en bredere gruppe mennesker. For det første kan efterforskere nu bruge en lokkeprofil, der præsenterer sig som mindreårig, til at spore såkaldte groomere, der søger seksuel kontakt med børn online. For det andet er det blevet lettere at retsforfølge folk, der bevidst modtager stjålne data, samt onlinesælgere, der tager betaling for varer eller tjenester, men aldrig leverer dem.

Hvad er de væsentligste indvendinger mod loven?

Lovens anvendelsesområde er bredt, og straffegrænsen på fire år garanterer ikke i sig selv, at kun de mest alvorlige lovovertrædelser er involveret: adskillige lovovertrædelser , som de fleste mennesker ikke ville betragte som særligt alvorlige, medfører allerede denne straf eller højere. En mistænkt, der i sidste ende viser sig at være uskyldig, vil stadig have fået sine egne data nøje undersøgt, og ofte også data fra familie, venner, arbejdsgivere og andre, de var i kontakt med, da en telefon eller computer i sagens natur bruges til at nå mange andre mennesker. Kritikere har også sat spørgsmålstegn ved, om alle involverede i godkendelse og overvågning af anmodninger har den specialiserede tekniske viden, der er nødvendig for at vurdere en hackinganmodning korrekt, i betragtning af hvor hurtigt den underliggende teknologi udvikler sig. Samtidig reagerer beføjelserne på et reelt og genkendeligt problem: onlinesvindel og svindel er almindelige, og ingen forældre ønsker, at deres barn kommer i kontakt med en upassende person online. Hvorvidt loven rammer den rette balance mellem efterforskningsbeføjelser og privatliv er fortsat et spørgsmål om løbende debat blandt advokater, politikere og civilsamfundsorganisationer.

Hvad betyder det for din virksomhed?

Hvis din organisation lagrer kommunikation, logfiler eller andre data på sine egne systemer, kan disse data i princippet tilgås under disse beføjelser, selvom undersøgelsen er rettet mod en medarbejder, en kunde eller en tredjepart snarere end virksomheden selv. Dette adskiller sig fra en almindelig anmodning om information, hvor en anmodning normalt kan gennemgås og om nødvendigt anfægtes, før noget videregives: beføjelserne i henhold til denne lov er designet til at blive brugt i det skjulte, så det første tegn på en undersøgelse kan først vise sig, når den allerede er afsluttet, eller slet ikke.

Det er derfor værd at vide, før enhver anmodning eller ordre når din organisation, hvem i virksomheden der er bemyndiget til at modtage den, hvilke optegnelser der føres over eventuel bistand til efterforskningsmedarbejdere, og hvordan man bagefter verificerer, at de ovenfor beskrevne juridiske krav faktisk er opfyldt. Arbejdsgivere bør også være opmærksomme på, at en hackingbeføjelse, der udøves mod en medarbejders enhed, i praksis kan afsløre kommunikation og data fra kolleger, der udvekslede beskeder med den pågældende person og ikke selv havde noget at gøre med efterforskningen.

Sammenfattende

• Computer Crime III-loven giver hollandske efterforskere beføjelser til hemmelig hacking, dataregistrering, datablokering, aflytning og systematisk observation.
• Senatet vedtog loven i juni 2018, og den trådte i kraft i etaper i løbet af 2018 og 2019 – det er gældende lov, ikke et verserende forslag.
• De fleste beføjelser kræver en minimumsstraf på fire eller otte år plus forudgående tilladelse fra en undersøgelsesdommer.
• Data, der tilhører en virksomhed eller en uinvolveret tredjepart, kan tilgås i en efterforskning rettet mod en anden.
• Den primære kritik er beføjelsernes bredde og risikoen for, at uskyldige parters data bliver undersøgt undervejs.

Ofte stillede spørgsmål

Må politiet hacke enhver enhed, de ønsker? Nej. Enheden skal tilhøre eller bruges af en mistænkt i en efterforskning af en lovovertrædelse, der opfylder den relevante strafgrænse, og en anklager og en undersøgelsesdommer skal godkende anmodningen på forhånd.

Kan min virksomhed blive påvirket, selvom den ikke er under efterforskning? Ja. Hvis der findes data på jeres systemer, der er relevante for en efterforskning af en anden person, såsom en medarbejder eller kunde, kan disse data potentielt tilgås.

Er dette det samme som NSA's PRISM-program? Nej. Den hollandske lov kræver forudgående retslig godkendelse fra sag til sag og strafgrænser, hvilket ikke var en del af PRISM, da det fungerede i årevis i USA, selvom kritikere hævder, at de hollandske sikkerhedsforanstaltninger bør gå endnu videre.

Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.

Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores kriminel advokat .