Kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunta

EUROOPAN PARLAMENTTI 2009-2014 Kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunta 2010/0273(COD) 5.6.2013 TARKISTUS 129 Mietintöluonnos Monika Hohlmeier (PE476.089v01-00) ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi tietojärjestelmiin kohdistuvista hyökkäyksistä ja neuvoston puitepäätöksen 2005/222/YOS kumoamisesta Ehdotus direktiiviksi (COM(2010)0517) C7-0293/2010 2010/0273(COD)) AM\938311.doc PE513.117v01-00 Moninaisuudessaan yhtenäinen

AM_Com_LegConsolidated PE513.117v01-00 2/35 AM\938311.doc

Tarkistus 129 Monika Hohlmeier Ehdotus direktiiviksi EUROOPAN PARLAMENTIN TARKISTUKSET * komission ehdotukseen --------------------------------------------------------- Ehdotus: EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI tietojärjestelmiin kohdistuvista hyökkäyksistä ja neuvoston puitepäätöksen 2005/222/YOS korvaamisesta EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 83 artiklan 1 kohdan, ottavat huomioon Euroopan komission ehdotuksen 1, sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon 2, ottavat huomioon alueiden komitean lausunnon, noudattavat tavallista lainsäätämisjärjestystä, * Tarkistukset: uusi tai muutettu teksti merkitään lihavoidulla kursiivilla, poistot symbolilla. 1 2 EUVL C [ ], [ ], s. [ ]. EUVL C [ ], [ ], s. [ ]. AM\938311.doc 3/35 PE513.117v01-00

sekä katsovat seuraavaa: (1) Tämän direktiivin tavoitteena on lähentää tietojärjestelmiin kohdistuvia hyökkäyksiä koskevaa jäsenvaltioiden rikoslainsäädäntöä vahvistamalla vähimmäissäännöt rikosten määrittelylle ja seuraamuksille tällä alalla ja parantaa yhteistyötä toimivaltaisten viranomaisten välillä, jäsenvaltioiden poliisi- ja muut erikoistuneet lainvalvontaviranomaiset mukaan luettuina, ja unionin toimivaltaisten erityisvirastojen kuten Eurojust, Europol ja sen Euroopan verkkorikostorjuntakeskus sekä Euroopan verkko- ja tietoturvavirasto (ENISA), välillä. (1a) Tietojärjestelmät ovat tärkeä osa poliittista, sosiaalista ja taloudellista vuorovaikutusta unionissa. Yhteiskunta on yhä enemmän riippuvainen tällaisista järjestelmistä. Sisämarkkinoiden sekä kilpailukykyisen ja innovoivan talouden kehittämisen kannalta on erittäin tärkeää, että nämä järjestelmät toimivat sujuvasti ja turvallisesti unionissa. Tietojärjestelmien asianmukaisen suojelun varmistamisen olisi oltava osa tehokkaita kattavia puitteita ehkäisytoimille, jotka liittyvät tietoverkkorikollisuuden vastaisiin rikosoikeudellisiin toimiin. PE513.117v01-00 4/35 AM\938311.doc

(2) Tietojärjestelmiä vastaan tehdyt hyökkäykset, erityisesti järjestäytyneeseen rikollisuuteen liittyvät hyökkäykset, ovat kasvava uhka sekä Euroopan unionissa että maailmanlaajuisesti, ja samalla tietojärjestelmiin kohdistuvien terrorihyökkäysten tai poliittisista syistä tapahtuvien hyökkäysten mahdollisuus herättää lisääntyvää huolta, sillä tietojärjestelmät ovat osa jäsenvaltioiden ja unionin elintärkeää infrastruktuuria. Koska hyökkäykset uhkaavat turvallisemman tietoyhteiskunnan toteuttamista sekä vapauteen, turvallisuuteen ja oikeuteen perustuvan alueen kehittämistä, niihin on varauduttava Euroopan unionin tasolla ja ne edellyttävät tehokkaampaa kansainvälistä koordinointia ja yhteistyötä. (2a) Unionissa on tietty määrä elintärkeitä infrastruktuureja, joiden vahingoittumisella tai tuhoutumisella olisi huomattavia rajatylittäviä vaikutuksia. Koska elintärkeiden infrastruktuurien suojaamisvalmiuksia on lisättävä unionissa, olisi syystä toimenpiteitä verkkohyökkäysten torjumiseksi täydennettävä ankarilla rikosoikeudellisilla seuraamuksilla, jotka kuvastavat tällaisten hyökkäysten vakavuutta. Elintärkeää infrastruktuuria voidaan pitää sellaisena jäsenvaltiossa sijaitsevana omaisuutena, järjestelmänä tai sen osana, jolla on olennainen merkitys esimerkiksi yhteiskunnan elintärkeiden toimintojen ja ihmisten terveyden, turvallisuuden, suojan ja taloudellisen tai sosiaalisen hyvinvoinnin ylläpitämisessä, esimerkkinä mainittakoon voimalat, liikenneverkot tai julkiset verkot, ja jonka vahingoittumisella tai tuhoutumisella olisi huomattava vaikutus jäsenvaltiossa, kun kyseisiä elintärkeitä toimintoja ei kyetä ylläpitämään. AM\938311.doc 5/35 PE513.117v01-00

(3) On todisteita sellaisesta suuntauksesta, jossa pyritään tekemään entistä vaarallisempia ja toistuvia laajamittaisia hyökkäyksiä valtioiden tai julkisen tai yksityisen sektorin tiettyjen toimintojen kannalta usein elintärkeitä tietojärjestelmiä vastaan. Tähän suuntaukseen liittyvät entistä pidemmälle kehitetyt menetelmät, kuten "bottiverkkojen" luominen ja käyttö. Bottiverkoille on ominaista vaiheittainen rikos, jonka jokainen vaihe yksin voi aiheuttaa yleistä etua koskevan vakavan vaaran. Tältä osin direktiivillä pyritään muun muassa ottamaan käyttöön rikosoikeudellisia seuraamuksia, joka koskevat sitä vaihetta, jossa luodaan bottiverkko eli perustetaan etähallinta merkittävälle määrälle tietokoneita tartuttamalla ne haittaohjelmilla tekemällä kohdennettuja verkkohyökkäyksiä. Bottiverkon muodostavat tartunnan saaneet tietokoneet olisi mahdollista aktivoida myöhemmässä vaiheessa tietokoneiden käyttäjien tietämättä tarkoituksena käynnistää tässä direktiivissä tarkoitettu laajamittainen verkkohyökkäys, joka yleensä kykenisi aiheuttamaan vakavaa vahinkoa. Jäsenvaltiot voivat määritellä, mikä on niiden kansallisen lainsäädännön ja käytännön mukaisesti vakava vahinko, johon voi kuulua yleiseltä merkitykseltään huomattava järjestelmäpalvelujen häiriö tai huomattavia taloudellisia menetyksiä tai henkilötietojen tai arkaluonteisten tietojen häviämistä. PE513.117v01-00 6/35 AM\938311.doc

(3a) Laajamittaiset hyökkäykset voivat aiheuttaa merkittäviä taloudellisia vahinkoja katkaisemalla tietojärjestelmät ja viestinnän ja aiheuttamalla kaupallisesti tärkeiden luottamuksellisten tietojen tai muiden tietojen menetyksen tai muuttumisen. Erityisesti olisi kiinnitettävä huomiota siihen, että kyseisistä uhkista ja haavoittuvuuksista tiedotetaan innovatiivisille pk-yrityksille, koska ne ovat entistä riippuvaisempia tietojärjestelmien moitteettomasta toiminnasta ja saatavuudesta ja niillä on usein rajoitetut valmiudet tietoturvallisuutta varten. (4) Alan yhteiset määritelmät ovat tärkeitä sen varmistamiseksi, että jäsenvaltioilla on yhdenmukainen linja tämän direktiivin soveltamisessa. (5) Rikostunnusmerkistöihin nähden on aiheellista omaksua yhteinen linja antamalla yhteinen rikosmääritelmä laittomista tunkeutumisista tietojärjestelmään, laittomasta järjestelmän häirinnästä, laittomasta datan vahingoittamisesta ja viestintäsalaisuuden loukkaamisesta (tietojen laittomasta sieppauksesta). (5a) Viestintäsalaisuuden loukkaamiseen (tietojen laiton sieppaus) kuuluvat viestin sisällön kuunteleminen, seuranta tai valvonta ja tietosisällön hankkiminen joko suoraan tunkeutumalla tietojärjestelmään ja käyttämällä sitä tai epäsuorasti teknisin keinoin käyttämällä elektronista salakuuntelua tai salakuuntelulaitteita, mutta se ei välttämättä rajoitu näihin. AM\938311.doc 7/35 PE513.117v01-00

(6) Jäsenvaltioiden olisi säädettävä tietojärjestelmiin kohdistuvista hyökkäyksistä määrättävistä seuraamuksista. Säädettyjen seuraamusten olisi oltava tehokkaita, oikeasuhteisia ja varoittavia, ja niihin olisi kuuluttava vankeusrangaistus ja/tai taloudellisia seuraamuksia. (6a) (6b) Direktiivissä säädetään rikosoikeudellisista seuraamuksista ainakin niiden tapausten osalta, jotka eivät ole vähäisiä. Jäsenvaltiot voivat määritellä vähäisen tapauksen kansallisen lainsäädäntönsä ja oikeuskäytäntönsä mukaisesti. Tapausta voidaan pitää vähäisenä esimerkiksi, kun teon aiheuttama yleiseen tai yksityiseen etuun, esimerkiksi tietokonejärjestelmän tai datan eheyteen taikka henkilön koskemattomuuteen, oikeuksiin tai muihin etuihin, kohdistuva vahinko ja/tai uhka on merkityksetön tai luonteeltaan sellainen, että rikosoikeudellisen seuraamuksen määrääminen lakisääteisissä rajoissa tai rikosoikeudelliseen vastuuseen asettaminen ei ole tarpeen. Verkkohyökkäysten ja muiden tietojärjestelmien haavoittuvuuksiin liittyvien uhkien ja riskien tunnistaminen ja niistä raportoiminen on keskeistä hyökkäysten tehokkaan estämisen ja niihin vastaamisen sekä tietojärjestelmien turvallisuuden parantamisen kannalta. Kannustimien tarjoaminen voisi lisätä turvallisuuspuutteista raportoimista. Jäsenvaltioiden olisi pyrittävä tarjoamaan mahdollisuuksia, jotta turvallisuuspuutteita voitaisiin oikeudellisesti todeta ja niistä voitaisiin raportoida. PE513.117v01-00 8/35 AM\938311.doc

(7) On tarkoituksenmukaista säätää ankarammista seuraamuksista silloin, kun tietojärjestelmään kohdistuvan hyökkäyksen toteuttaa rikollisjärjestö, sellaisena kuin tämä on määritelty järjestäytyneen rikollisuuden torjunnasta 24 päivänä lokakuuta 2008 tehdyssä neuvoston puitepäätöksessä 2008/841/YOS 1, tai kun hyökkäys on laajamittainen ja siten vaikuttaa merkittävään määrään tietojärjestelmiä tai aiheuttaa vakavaa vahinkoa, mukaan lukien silloin, kun hyökkäyksen tarkoituksena on luoda bottiverkko tai se toteutetaan bottiverkon kautta tuottaen näin vakavaa vahinkoa. On myös tarkoituksenmukaista säätää ankarammista seuraamuksista silloin, kun hyökkäys kohdistuu elintärkeään infrastruktuuriin. (7a) Toinen tärkeä seikka pyrittäessä yhdennettyyn lähestymistapaan verkkorikollisuuden torjunnassa on tehokkaiden toimenpiteiden luominen henkilöllisyysvarkauden tai muiden henkilöllisyyteen liittyvien rikosten estämiseksi. Mahdollista tarvetta EU:n toimiin tällaisen rikollisen käyttäytymisen torjumiseksi voitaisiin myös harkita arvioitaessa kattavan horisontaalisen EU:n välineen tarvetta. (8) Neuvoston 27 ja 28 päivänä marraskuuta 2008 antamien päätelmien mukaan jäsenvaltioiden ja komission kanssa olisi luotava uusi strategia ottaen huomioon tietoverkkorikollisuutta koskevan Euroopan neuvoston vuonna 2001 tekemän yleissopimuksen sisältö. Kyseinen yleissopimus on oikeudellinen viitekehys torjuttaessa tietoverkkorikollisuutta, tietojärjestelmiin kohdistuvat hyökkäykset mukaan luettuina. Tämä direktiivi pohjautuu mainittuun yleissopimukseen. Näin ollen olisi pidettävä ensisijaisen tärkeänä sitä, että kaikki jäsenvaltiot saattaisivat yleissopimuksen ratifiointimenettelyt päätökseen mahdollisimman pian. 1 EUVL L 300, 11.11.2008, s. 42. AM\938311.doc 9/35 PE513.117v01-00

(9) Ottaen huomioon hyökkäysten erilaiset toteuttamistavat ja laitteistojen ja ohjelmistojen nopea kehitys tässä direktiivissä tarkoitetaan 'välineillä' sellaisia välineitä, joita voidaan käyttää tässä direktiivissä tarkoitettujen rikosten tekemiseen. Välineillä tarkoitetaan esimerkiksi haittaohjelmia, mukaan lukien välineet, joilla voidaan luoda bottiverkkoja, joita käytetään tietoverkkohyökkäysten tekemiseen. Vaikka väline olisi sopiva, jopa erityisen sopiva mainittujen rikosten tekemiseen, se on voitu valmistaa laillisia tarkoituksia varten. Yleistä tarkoitusta koskevan vaatimuksen lisäksi on täytyttävä myös tarkoituksellisuusvaatimus siitä, että näitä välineitä käytetään direktiivissä tarkoitettujen rikosten tekemiseksi, koska on vältettävä sellaisten tapausten kriminalisointia, joissa välineet valmistetaan ja saatetaan markkinoille laillisiin tarkoituksiin kuten tietotekniikkatuotteiden luotettavuuden tai tietojärjestelmien turvallisuuden testaamiseen. PE513.117v01-00 10/35 AM\938311.doc

(10a) (10b) Tämän direktiivin tarkoituksena ei ole asettaa rikosoikeudellista vastuuta silloin, kun tässä direktiivissä lueteltuja rikoksia koskevat puolueettomat perusteet täyttyvät, mutta teot on tehty ilman rikollista tarkoitusta, esimerkiksi kun henkilö ei ole tiennyt, että järjestelmään pääsyyn ei ollut lupaa tai kun on kyse tietojärjestelmien luvallisesta testauksesta tai suojauksesta kuten tapauksissa, joissa yritys tai myyjä valtuuttaa henkilön testaamaan turvallisuusjärjestelmänsä. Sopimusvelvoitteet tai sopimukset tietojärjestelmiin pääsyn rajoittamiseksi käyttäjäpolitiikalla tai palveluehdoilla sekä työnantajan järjestelmiin pääsyä ja niiden käyttöä henkilökohtaisiin tarkoituksiin koskevat työriidat eivät saisi aiheuttaa rikosoikeudellista vastuuta tämän direktiivin puitteissa, jos järjestelmiin pääsyä pidettäisiin luvattomana ja se muodostaisi ainoan perusteen rikosoikeudenkäynnille. Tämä direktiivi ei vaikuta kansallisella ja EU:n lainsäädännöllä oikeudellisesti taattuun tietojensaantioikeuteen, mutta sitä ei myöskään saa käyttää poikkeuksena, jolla perustellaan laiton ja mielivaltainen tietojensaanti.eri olosuhteet voivat helpottaa verkkohyökkäysten tekemistä. Tekijällä voi esimerkiksi työnsä puolesta olla käyttöoikeudet tietojärjestelmien turvajärjestelmiin.tällaiset olosuhteet olisi otettava asianmukaisesti huomioon kansallisen lainsäädännön puitteissa rikosoikeudenkäyntien aikana. AM\938311.doc 11/35 PE513.117v01-00

(10c) (10d) (10e) Jäsenvaltioiden olisi säädettävä kansallisessa lainsäädännössään raskauttavista asianhaaroista oikeusjärjestelmänsä raskauttavia asianhaaroja koskevien sovellettavien sääntöjen mukaisesti. Niiden olisi varmistettava, että tuomarit voivat harkita näitä raskauttavia asianhaaroja määrätessään rangaistuksia rikoksentekijöille. Tuomari voi harkita näitä asianhaaroja yhdessä asiaan liittyvien muiden tosiseikkojen kanssa. Tässä direktiivissä ei säädetä edellytyksistä, joiden olisi täytyttävä lainkäyttövallan käyttämiseksi jonkin 3 8 artiklassa tarkoitetun teon osalta esimerkiksi uhrin rikoksen tekopaikassa tekemän ilmoituksen perusteella tai sen valtion tekemän ilmiannon perusteella, jossa rikos tehtiin, tai sen perusteella, että tekijään ei ole kohdistettu syytetoimia rikoksen tekopaikassa. Valtioiden ja julkisten elinten on tämän direktiivin puitteissa taattava täysin ihmisoikeuksien ja perusvapauksien kunnioittaminen voimassa olevien kansainvälisten velvoitteiden mukaisesti. PE513.117v01-00 12/35 AM\938311.doc

(11) Tässä direktiivissä vahvistetaan G8:n tai Euroopan neuvoston ympärivuorokautisen kaikkina viikonpäivinä toimivan yhteyspisteverkoston kaltaisten verkostojen merkitystä. Tällaisten yhteyspisteiden olisi voitava antaa tehokasta apua helpottaen näin esimerkiksi saatavilla olevien tietojen vaihtoa tai teknisten neuvojen tai oikeudellisten tietojen antamista tutkimuksissa tai menettelyissä, jotka koskevat tietojärjestelmiin ja dataan liittyviä rikoksia ja joissa pyynnön esittänyt jäsenvaltio on osallisena. Verkostojen sujuvan toimimisen varmistamiseksi kullakin yhteyspisteellä olisi oltava valmiudet kommunikoida nopeasti toisen jäsenvaltion yhteyspisteen kanssa, ja niiden olisi saatava tukea muun muassa koulutetulta ja valmiudet omaavalta henkilöstöltä. Ottaen huomioon, miten nopeasti laajamittaisia verkkohyökkäyksiä voidaan toteuttaa, jäsenvaltioiden olisi voitava vastata ripeästi yhteyspisteverkoston esittämiin kiireellisiin pyyntöihin. Sellaisissa tapauksissa voi olla asianmukaista, että tietopyynnön lisäksi ollaan yhteydessä puhelimitse sen varmistamiseksi, että pyynnön vastaanottanut jäsenvaltio käsittelee pyynnön nopeasti ja antaa palautetta kahdeksan tunnin kuluessa. AM\938311.doc 13/35 PE513.117v01-00

(11a) Viranomaisten, yksityissektorin ja kansalaisyhteiskunnan välinen yhteistyö on tietojärjestelmiin kohdistuvien hyökkäysten ehkäisemisessä ja torjunnassa hyvin tärkeää. Yhteistyötä on edistettävä ja parannettava palvelujentarjoajien, tuottajien, lainvalvontaelinten ja oikeusviranomaisten välillä, ja samalla on kunnioitettava täysin oikeusvaltion periaatetta. Yhteistyöhön voi sisältyä esimerkiksi tuki palvelujentarjoajille mahdollisten todisteiden säilyttämisessä, rikoksentekijöiden tunnistamista auttavien tietojen tarjoamisessa ja viimeisenä keinona sellaisten laittomien tietojärjestelmien tai toimintojen sulkemisessa osittain tai kokonaan kansallisen oikeuden, mukaan lukien kansallisen lainsäädännön ja käytännön, mukaisesti, jotka on kaapattu tai joita on käytetty laittomiin tarkoituksiin. Jäsenvaltioiden olisi myös harkittava yhteistyö- ja kumppanuusverkostojen perustamista palvelujentarjoajien ja tuottajien kanssa tietojen vaihtamiseksi tämän direktiivin soveltamisalaan kuuluvien rikosten osalta. PE513.117v01-00 14/35 AM\938311.doc

(12a) (12b) Tässä direktiivissä tarkoitetuista rikoksista on kerättävä vertailukelpoista tietoa. Tiedot olisi saatettava toimivaltaisten erityisvirastojen kuten Europolin ja Euroopan verkko- ja tietoturvaviraston saataville niiden tehtävien ja tiedonsaantitarpeiden mukaisesti, jotta verkkorikollisuutta sekä verkko- ja tietoturvallisuutta koskevasta ongelmasta saataisiin parempi käsitys unionin tasolla, millä edistettäisiin tehokkaampien vastatoimenpiteiden laatimista. Jäsenvaltioiden olisi toimitettava tietoja rikoksentekijöiden toimintavavasta Europolille ja sen Euroopan verkkorikostorjuntakeskukselle tietoverkkorikollisuutta koskevan uhka-arvioinnin ja strategisten analyysien tekemiseksi neuvoston päätöksen 2009/371/YOS mukaisesti. Tietojen toimittamisella voidaan helpottaa nykyisten ja tulevien uhkien ymmärtämistä ja edistää näin asianmukaisempaa ja kohdistetumpaa päätöksentekoa tietojärjestelmiin kohdistuvien hyökkäysten torjumiseksi ja ennakoimiseksi. Komission tämän direktiivin mukaisesti annettava kertomus direktiivin soveltamisesta ja tehtävä tarpeelliset lainsäädäntöehdotukset, joilla mahdollisesti laajennetaan tämän direktiivin soveltamisalaa ottamalla huomioon kehityksen tietoverkkorikollisuuden alalla. Tällainen kehitys voisi sisältää kaiken teknologisen kehityksen, jonka ansiosta voidaan esimerkiksi tehokkaammin valvoa tietojärjestelmiin kohdistuvia hyökkäyksiä tai jolla helpotetaan tällaisten hyökkäysten estämistä tai niiden vaikutusten minimoimista. Komission olisi tätä silmällä pitäen otettava huomioon saatavilla olevat asiaan kuuluvien toimijoiden, erityisesti Europolin ja ENISAn, laatimat analyysit ja raportit. AM\938311.doc 15/35 PE513.117v01-00

(12c) Jotta tietoverkkorikollisuutta voidaan torjua tehokkaasti, on vahvistettava tietojärjestelmien kestävyyttä toteuttamalla asianmukaisia toimia niiden suojaamiseksi tehokkaammin verkkohyökkäyksiltä. Jäsenvaltioiden olisi toteutettava tarpeelliset toimenpiteet suojatakseen elintärkeät infrastruktuurit verkkohyökkäyksiltä, ja sen osana niiden olisi harkittava tietojärjestelmiensä ja niihin liittyvien tietojen suojaamista. Yksi olennainen osa kattavaa lähestymistapaa tietoverkkorikollisuuden torjumiseksi tehokkaasti on se, että oikeushenkilöt varmistavat tietojärjestelmien suojaamisen ja turvallisuuden esimerkiksi julkisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamisen yhteydessä noudattamalla yksityisyyttä, sähköistä viestintää ja tietosuojaa koskevaa EU:n lainsäädäntöä. Perustellusti tunnistettavissa olevia uhkia ja haavoittuvaisuuksia vastaan olisi tarjottava asianmukainen suojan taso erityisalojen uusimpien keinojen ja erityisten tietojenkäsittelytilanteiden mukaisesti. Tämän suojan kustannusten ja rasitteen olisi oltava oikeasuhteinen verkkohyökkäyksen kohteiksi joutuneille aiheutuneeseen todennäköiseen vahinkoon nähden. Jäsenvaltioita kannustetaan säätämään kansallisessa lainsäännössään asiaan kuuluvista vastuuvelvollisuutta koskevista toimista tapauksissa, joissa oikeushenkilö ei selvästi ole tarjonnut riittävää suojaa verkkohyökkäyksiä vastaan. PE513.117v01-00 16/35 AM\938311.doc

(13) Merkittävät puutteet ja eroavuudet jäsenvaltioiden lainsäädännöissä ja rikosoikeudellisissa menettelyissä tietojärjestelmiin kohdistuvien hyökkäysten osalta saattavat vaikeuttaa järjestäytyneen rikollisuuden ja terrorismin torjuntaa sekä hankaloittaa tehokasta poliisi- ja oikeudellista yhteistyötä tällä alalla. Koska nykyaikaiset tietojärjestelmät eivät tunne maantieteellisiä rajoja, niihin kohdistuvilla hyökkäyksillä on rajat ylittävä ulottuvuus, mikä korostaa pikaista tarvetta lähentää edelleen jäsenvaltioiden rikoslainsäädäntöä tällä alalla. Lisäksi rikosoikeudenkäyntejä koskevien toimivaltaristiriitojen ehkäisemisestä ja ratkaisemisesta annetun neuvoston puitepäätöksen 2009/948/YOS asianmukaisen täytäntöönpanon ja soveltamisen pitäisi helpottaa tietojärjestelmiin kohdistuvia hyökkäyksiä koskevien syytetoimien koordinointia. Jäsenvaltioiden olisi yhteistyössä Euroopan unionin kanssa myös pyrittävä parantamaan tietojärjestelmiin sekä tietokoneverkkoihin ja dataan liittyvää kansainvälistä yhteistyötä. Kaikissa tietojenvaihtoa koskevissa kansainvälisissä sopimuksissa olisi otettava huomioon tietojen siirron ja säilyttämisen turvallisuus. AM\938311.doc 17/35 PE513.117v01-00

(13a) Toimivaltaisten lainvalvonta- ja oikeusviranomaisten parempi yhteistyö unionissa on olennaisen tärkeää tietoverkkorikollisuuden tehokkaassa torjunnassa. Tässä yhteydessä olisi kannustettava tehostamaan toimia viranomaisten asianmukaisen koulutuksen osalta, jotta lisättäisiin ymmärrystä tietoverkkorikollisuudesta ja sen vaikutuksista ja edistettäisiin yhteistyötä ja parhaiden käytäntöjen vaihtoa esimerkiksi toimivaltaisten EU:n virastojen välityksellä. Koulutuksella olisi pyrittävää muun muassa lisäämään tietoisuutta erilaisista kansallisista oikeusjärjestelmistä, mahdollisista oikeudellisista tai teknisistä haasteista, joita rikostutkinnassa kohdataan, tai toimivallan jaosta kansallisten viranomaisten välillä. (14) Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita, eli sitä, että tietojärjestelmiin kohdistuvista hyökkäyksistä määrätään kaikissa jäsenvaltioissa tehokkaat, oikeasuhteiset ja varoittavat rikosoikeudelliset seuraamukset ja että oikeudellista yhteistyötä tehostetaan ja siihen kannustetaan poistamalla mahdolliset hankaluudet, vaan ne voidaan saavuttaa paremmin unionin tasolla, koska sääntöjen on oltava yhteiset ja yhteensopivat, joten unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Tässä direktiivissä ei ylitetä sitä, mikä on tarpeen kyseisten tavoitteiden saavuttamiseksi. PE513.117v01-00 18/35 AM\938311.doc

(15a) Henkilötietojen suojaaminen on perusoikeus SEUT 16 artiklan 1 kohdan sekä perusoikeuskirjan 8 artiklan mukaisesti. Sen vuoksi henkilötietojen käsittelyssä tämän direktiivin täytäntöönpanon yhteydessä olisi noudatettava täysimääräisesti perussopimusten perusteella annettua tietosuojaa koskevaa EU:n lainsäädäntöä. (16) Tässä direktiivissä kunnioitetaan perusvapauksia ja -oikeuksia ja noudatetaan erityisesti Euroopan unionin perusoikeuskirjassa ja Euroopan ihmisoikeussopimuksessa tunnustettuja periaatteita, mukaan lukien henkilötietojen suoja, yksityiselämän kunnioitus, sananvapaus ja tiedonvälityksen vapaus, oikeus oikeudenmukaiseen oikeudenkäyntiin, syyttömyysolettama ja puolustautumisoikeus sekä laillisuusperiaate ja rikoksista määrättävien rangaistusten oikeasuhteisuuden periaate. Erityisesti tässä direktiivissä pyritään varmistamaan näiden oikeuksien ja periaatteiden noudattaminen täysimääräisesti, ja se on pantava täytäntöön vastaavasti. (17) Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyn pöytäkirjan 3 artiklan mukaisesti nämä jäsenvaltiot ovat ilmoittaneet haluavansa osallistua tämän direktiivin hyväksymiseen ja soveltamiseen. AM\938311.doc 19/35 PE513.117v01-00

(18) Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Tanskan asemasta tehdyn pöytäkirjan 1 ja 2 artiklan mukaisesti Tanska ei osallistu tämän direktiivin hyväksymiseen, se ei sido Tanskaa eikä sitä sovelleta Tanskaan. (19) Tämän direktiivin tarkoituksena on muuttaa puitepäätöksen 2005/222/YOS säännöksiä ja laajentaa niiden soveltamisalaa. Koska muutokset ovat sisällöltään ja määrältään merkittäviä, puitepäätös olisi selkeyden vuoksi korvattava kokonaisuudessaan tämän direktiivin hyväksymiseen osallistuvien jäsenvaltioiden osalta. OVAT HYVÄKSYNEET TÄMÄN DIREKTIIVIN: PE513.117v01-00 20/35 AM\938311.doc

1 artikla Kohde Tässä direktiivissä vahvistetaan vähimmäissäännöt rikosten ja seuraamusten määrittelemiseksi tietojärjestelmiin kohdistuvien hyökkäysten alalla. Sen tarkoituksena on myös helpottaa näiden rikosten ennaltaehkäisyä ja parantaa oikeus- ja muiden toimivaltaisten viranomaisten välistä yhteistyötä. 2 artikla Määritelmät Tässä direktiivissä käytetään seuraavia määritelmiä: a) 'tietojärjestelmällä' tarkoitetaan laitetta tai toisiinsa kytkettyjä tai liitettyjä laitteita, joista yksi tai useampi on ohjelmoitu automaattista tietojenkäsittelyä varten, sekä dataa, jota niissä varastoidaan, käsitellään, haetaan tai välitetään niiden toimintaa, käyttöä, suojausta tai huoltoa varten; AM\938311.doc 21/35 PE513.117v01-00

b) 'datalla' tarkoitetaan sellaisessa muodossa olevien tosiseikkojen, tietojen tai käsitteiden esitystä, että se soveltuu käsiteltäväksi tietojärjestelmässä, mukaan lukien ohjelmat, joiden avulla tietojärjestelmä pystyy suorittamaan jonkin toiminnon; c) 'oikeushenkilöllä' tarkoitetaan yksikköä, jolla on sovellettavan lain mukaan oikeushenkilön asema, lukuun ottamatta valtioita tai muita julkisia elimiä niiden käyttäessä julkista valtaa, tai julkisoikeudellisia kansainvälisiä järjestöjä; d) ilmaisulla 'oikeudettomasti' tarkoitetaan järjestelmään tunkeutumista, sen häirintää, laitonta sieppaamista tai muuta tässä direktiivissä tarkoitettua toimintaa, johon ei ole järjestelmän tai sen osan omistajan tai muun oikeudenhaltijan lupaa tai joka ei ole sallittua kansallisen lainsäädännön nojalla. 3 artikla Laiton tunkeutuminen tietojärjestelmään Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että oikeudeton tunkeutuminen tietojärjestelmään tai sen osaan on tahallisesti tehtynä rikosoikeudellisesti rangaistava teko, kun se tehtiin murtamalla turvajärjestely ja ainakin, kun kyse ei ole vähäisestä tapauksesta. PE513.117v01-00 22/35 AM\938311.doc

4 artikla Laiton järjestelmän häirintä Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että tietojärjestelmän toiminnan vakava estäminen tai keskeyttäminen dataa syöttämällä, siirtämällä, vahingoittamalla, tuhoamalla, turmelemalla, muuttamalla tai poistamalla taikka saattamalla data käyttökelvottomaksi on rikosoikeudellisesti rangaistava teko, kun se on tehty tahallisesti ja oikeudettomasti ja ainakin, kun kyse ei ole vähäisestä tapauksesta. 5 artikla Laiton datan vahingoittaminen Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että tietojärjestelmässä olevan datan tuhoaminen, vahingoittaminen, turmeleminen, muuttaminen, poistaminen tai saattaminen käyttökelvottomaksi on rikosoikeudellisesti rangaistava teko, kun se on tehty tahallisesti ja oikeudettomasti ja ainakin, kun kyse ei ole vähäisestä tapauksesta. AM\938311.doc 23/35 PE513.117v01-00

6 artikla Viestintäsalaisuuden loukkaus (tietojen laiton sieppaus) Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että teknisin keinoin tapahtuva tietojen sieppaaminen tietojärjestelmän sisäisestä tai tietojärjestelmien välisestä luottamuksellisesta datan siirrosta, sekä tällaista dataa sisältävästä tietojärjestelmästä lähtevästä sähkömagneettisesta säteilystä on rikosoikeudellisesti rangaistava teko, kun se on tehty tahallisesti ja oikeudettomasti ja ainakin, kun kyse ei ole vähäisestä tapauksesta. 7 artikla Rikosten tekemiseen käytetyt välineet 1. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että seuraavien tuottaminen, myynti, käyttöön hankkiminen, tuonti, levittäminen tai muu saataville asettaminen on rangaistava teko, kun se on tehty tahallisesti ja oikeudettomasti ja tarkoituksena käyttää niitä 3 6 artiklassa tarkoitettujen tekojen tekemiseen ja ainakin, kun kyse ei ole vähäisestä tapauksesta: a) tietokoneohjelma, joka on suunniteltu tai muutettu ensisijaisesti 3 6 artiklassa tarkoitettujen tekojen tekemistä varten; PE513.117v01-00 24/35 AM\938311.doc

b) tietojärjestelmän salasana, pääsykoodi tai muu vastaava tieto, joka mahdollistaa pääsyn tietojärjestelmään tai sen osaan. 8 artikla Yllyttäminen, avunanto ja yritys 1. Jäsenvaltioiden on varmistettava, että yllytys tai avunanto 3 7 artiklassa tarkoitettuihin tekoihin on rikosoikeudellisesti rangaistava teko. 2. Jäsenvaltioiden on varmistettava, että 4 ja 5 artiklassa tarkoitettujen tekojen yritys on rikosoikeudellisesti rangaistava teko. 9 artikla Seuraamukset 1. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että 3-8 artiklassa tarkoitetuista teoista voidaan määrätä tehokkaat, oikeasuhteiset ja varoittavat rikosoikeudelliset seuraamukset. 2. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että 3-7 artiklassa tarkoitetuista teoista määrättävä rikosoikeudellinen enimmäisseuraamus on vähintään kaksi vuotta vankeutta ainakin niiden tapausten osalta, jotka eivät ole vähäisiä. AM\938311.doc 25/35 PE513.117v01-00

3. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että 4 ja 5 artiklassa tarkoitetuista rikoksista määrättävä rikosoikeudellinen enimmäisseuraamus on vähintään kolme vuotta vankeutta, kun ne on tehty tahallisesti ja kun 7 artiklan 1 kohdassa tarkoitetun välineen, joka on suunniteltu tai muutettu ensisijaisesti tätä tarkoitusta varten, käyttö on vaikuttanut merkittävään määrään tietojärjestelmiä. 4. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että 4 ja 5 artiklassa tarkoitetuista teoista määrättävä rikosoikeudellinen enimmäisseuraamus on vähintään viisi vuotta vankeutta, kun a) teot on tehty puitepäätöksessä 2008/841/YOS annetun määritelmän mukaisen rikollisjärjestön puitteissa riippumatta siitä, mikä on siinä säädetty seuraamus, tai b) ne aiheuttavat huomattavaa vahinkoa, tai c) ne kohdistuvat elintärkeään tietoinfrastruktuuriin. PE513.117v01-00 26/35 AM\938311.doc

5. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että tapausta, jossa 4 ja 5 artiklassa tarkoitetut teot on tehty käyttämällä väärin toisen henkilön henkilötietoja tarkoituksena voittaa kolmannen osapuolen luottamus ja aiheuttaa näin vahinkoa henkilöllisyyden oikealle omistajalle, voidaan pitää kansallisen lainsäädännön määräysten mukaisesti raskauttavana asianhaarana, jollei jokin muu kansallisen lainsäädännön mukaisesti rangaistava teko jo ole tällainen raskauttava asianhaara. 11 artikla Oikeushenkilöiden vastuu 1. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että oikeushenkilö voidaan saattaa vastuuseen 3 8 artiklassa tarkoitetuista teoista, jotka on sen hyväksi tehnyt joko yksin tai oikeushenkilön elimen osana toimiva henkilö, jonka johtava asema oikeushenkilössä perustuu johonkin seuraavista: a) valtaan edustaa oikeushenkilöä; AM\938311.doc 27/35 PE513.117v01-00

b) valtuuksiin tehdä päätöksiä oikeushenkilön puolesta; c) valtuuksiin harjoittaa valvontaa oikeushenkilön sisällä. 2. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että oikeushenkilöt voidaan saattaa vastuuseen, jos 1 kohdassa tarkoitetun henkilön harjoittaman ohjauksen tai valvonnan puutteellisuus on mahdollistanut sen, että oikeushenkilön valvonnan alaisena toimiva henkilö on tehnyt kyseisen oikeushenkilön hyväksi 3 8 artiklassa tarkoitettuja tekoja. 3. Edellä 1 ja 2 kohdassa tarkoitettu oikeushenkilöiden vastuu ei estä rikosoikeudenkäyntiä sellaisia luonnollisia henkilöitä vastaan, jotka ovat tekijöinä, yllyttäjinä tai avunantajina 3-8 artiklassa tarkoitetuissa teoissa. 12 artikla Oikeushenkilöille määrättävät seuraamukset 1. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että 11 artiklan 1 kohdan mukaisesti vastuulliseksi todettua oikeushenkilöä voidaan rangaista tehokkain, oikeasuhteisin ja varoittavin seuraamuksin, joihin kuuluvat rikosoikeudelliset tai muut sakot ja joihin voi kuulua myös muita seuraamuksia, kuten: a) oikeuden menettäminen julkisista varoista myönnettyjen etuuksien tai tuen saamiseen; PE513.117v01-00 28/35 AM\938311.doc

b) tilapäinen tai pysyvä kielto harjoittaa liiketoimintaa; c) oikeudelliseen valvontaan asettaminen; d) oikeudellinen määräys lopettaa toiminta; e) rikoksen tekemiseen käytettyjen laitosten sulkeminen väliaikaisesti tai pysyvästi. 2. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet, jotta 11 artiklan 2 kohdan mukaisesti vastuulliseksi todettua oikeushenkilöä voidaan rangaista tehokkain, oikeasuhteisin ja varoittavin seuraamuksin tai toimenpitein. 13 artikla Lainkäyttövalta 1. Jäsenvaltioiden on ulotettava lainkäyttövaltansa 3 8 artiklassa tarkoitettuihin tekoihin, jos a) teko on tehty kokonaan tai osittain kyseisen jäsenvaltion alueella, tai AM\938311.doc 29/35 PE513.117v01-00

aa) teon on tehnyt sen kansalainen, ainakin, jos teko katsotaan rikokseksi paikassa, jossa se tehtiin. 2. Ulottaessaan lainkäyttövaltansa 1 kohdan a alakohdan mukaisesti jäsenvaltioiden on varmistettava, että niiden lainkäyttövaltaan kuuluvat tapaukset, joissa a) rikoksentekijä tekee teon ollessaan fyysisesti kyseisen jäsenvaltion alueella, riippumatta siitä, kohdistuuko teko sen alueella sijaitsevaan tietojärjestelmään, tai b) teko kohdistuu kyseisen jäsenvaltion alueella sijaitsevaan tietojärjestelmään, riippumatta siitä, tekeekö rikoksentekijä teon ollessaan fyysisesti sen alueella. PE513.117v01-00 30/35 AM\938311.doc

3. Jäsenvaltion on ilmoitettava komissiolle, jos se päättää ulottaa lainkäyttövaltansa myös alueensa ulkopuolella tehtyyn 3 8 artiklassa tarkoitettuun tekoon, esimerkiksi kun a) rikoksentekijän vakinainen asuinpaikkansa on kyseisen jäsenvaltion alueella, tai b) teko on tehty kyseisen jäsenvaltion alueelle sijoittautuneen oikeushenkilön puolesta tai hyväksi. 14 artikla Tietojenvaihto 1. Jäsenvaltioiden on varmistettava, että niillä on toimiva kansallinen yhteyspiste, ja hyödynnettävä nykyistä kaikkina viikonpäivinä ja ympärivuorokautisesti toimivien yhteyspisteiden verkostoa 3 8 artiklassa tarkoitettuja tekoja koskevaa tietojenvaihtoa varten. Jäsenvaltioiden on myös huolehdittava siitä, että niillä on käytettävissä menettelyt, niin että ne voivat kiireellisten pyyntöjen osalta ilmoittaa enintään 8 tunnin kuluessa ainakin sen, aikovatko ne vastata avunpyyntöön sekä missä muodossa ja milloin vastaus arviolta toimitetaan. AM\938311.doc 31/35 PE513.117v01-00

2. Jäsenvaltioiden on ilmoitettava komissiolle 3 8 artiklassa tarkoitettuja tekoja koskevaa tietojenvaihtoa varten nimeämänsä yhteyspisteen yhteystiedot. Komissio toimittaa tiedot muille jäsenvaltioille sekä toimivaltaisille EU:n erityisvirastoille ja - elimille. 3. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että käytettävissä ovat asianmukaiset kanavat, jotta 3 6 artiklassa tarkoitetuista teoista voitaisiin ilmoittaa toimivaltaisille kansallisille viranomaisille ilman aiheetonta viivytystä. 15 artikla Seuranta ja tilastot 1. Jäsenvaltioiden on varmistettava, että niillä on järjestelmä, jonka avulla voidaan kirjata, tuottaa ja antaa tilastotietoja 3 7 artiklassa tarkoitetuista teoista. 2. Edellä 1 kohdassa tarkoitettujen tilastotietojen on katettava vähintään olemassa olevat tiedot 3 7 artiklassa tarkoitettujen, jäsenvaltioiden rekisteröimien tekojen lukumäärästä sekä 3 7 artiklassa tarkoitetuista teoista syytteeseen asetettujen ja tuomittujen henkilöiden lukumäärästä. PE513.117v01-00 32/35 AM\938311.doc

3. Jäsenvaltioiden on toimitettava tämän artiklan mukaisesti kerätyt tiedot komissiolle. Komission on varmistettava, että tilastollisista kertomuksista julkaistaan konsolidoitu selvitys, joka toimitetaan toimivaltaisille EU:n erityisvirastoille ja - elimille. 16 artikla Puitepäätöksen 2005/222/YOS korvaaminen Korvataan puitepäätös 2005/222/YOS tämän direktiivin hyväksymiseen osallistuvien jäsenvaltioiden osalta, rajoittamatta kuitenkaan jäsenvaltioiden velvoitteita, jotka liittyvät puitepäätöksen kansallisen lainsäädännön osaksi saattamiselle asetettuun määräaikaan. Tämän direktiivin hyväksymiseen osallistuvien jäsenvaltioiden osalta viittauksia puitepäätökseen 2005/222/YOS pidetään viittauksina tähän direktiiviin. 17 artikla Saattaminen osaksi kansallista lainsäädäntöä 1. Jäsenvaltioiden on saatettava tämän direktiivin noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset voimaan viimeistään [kahden vuoden kuluttua sen hyväksymisestä]. AM\938311.doc 33/35 PE513.117v01-00

3. Jäsenvaltioiden on toimitettava komissiolle kirjallisina ne säännökset, joilla jäsenvaltioiden tästä direktiivistä aiheutuvat velvoitteet saatetaan osaksi kansallista lainsäädäntöä. 4. Näissä jäsenvaltioiden antamissa säädöksissä on viitattava tähän direktiiviin tai niihin on liitettävä tällainen viittaus, kun ne virallisesti julkaistaan. Jäsenvaltioiden on säädettävä siitä, miten viittaukset tehdään. 18 artikla Raportointi Komissio toimittaa [NELJÄN VUODEN KULUTTUA TÄMÄN DIREKTIIVIN HYVÄKSYMISESTÄ] Euroopan parlamentille ja neuvostolle kertomuksen, jossa arvioidaan, missä määrin jäsenvaltiot ovat toteuttaneet tämän direktiivin noudattamiseksi tarvittavat toimenpiteet, ja johon liitetään tarvittaessa lainsäädäntöehdotuksia. Komissio ottaa huomioon myös tietoverkkorikollisuuden alan teknisen ja oikeudellisen kehityksen erityisesti tämän direktiivin soveltamisalalla. PE513.117v01-00 34/35 AM\938311.doc

19 artikla Voimaantulo Tämä direktiivi tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä. 20 artikla Osoitus Tämä direktiivi on osoitettu jäsenvaltioille perussopimusten mukaisesti. Or. en AM\938311.doc 35/35 PE513.117v01-00