SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY 2013/40/EU
ze dne 12. srpna 2013
o útocích na informační systémy a nahrazení rámcového rozhodnutí Rady 2005/222/SVV
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 83 odst. 1 této smlouvy,
s ohledem na návrh Evropské komise,
po postoupení návrhu legislativního aktu vnitrostátním parlamentům,
s ohledem na stanovisko Evropského hospodářského a sociálního výboru (1),
v souladu s řádným legislativním postupem (2),
vzhledem k těmto důvodům:
(1)
Cílem této směrnice je sblížit ustanovení trestního práva členských států v oblasti útoků na informační systémy prostřednictvím stanovení minimálních pravidel týkajících se definice trestných činů a příslušných sankcí a zlepšit spolupráci mezi příslušnými orgány, včetně policie a dalších specializovaných donucovacích orgánů členských států, jakož i mezi příslušnými specializovanými agenturami a institucemi Unie, jako je Eurojust, Europol a jeho Evropské centrum pro boj proti kyberkriminalitě a Evropská agentura pro bezpečností sítí a informací (ENISA).
(2)
Informační systémy jsou klíčovým prvkem politické, sociální a hospodářské interakce v Unii. Společnost je na takových systémech značně závislá a tato závislost se neustále zvyšuje. Hladké fungování a bezpečnost těchto systémů v Unii jsou nezbytné pro rozvoj vnitřního trhu a konkurenceschopného a inovativního hospodářství. Zajištění odpovídajících úrovní ochrany informačních systémů by mělo být součástí účinného komplexního rámce preventivních opatření doprovázejících kroky v oblasti trestního práva podnikané v reakci na kybernetickou kriminalitu.
(3)
Útoky na informační systémy, zejména útoky spojené s organizovanou trestnou činností, představují rostoucí hrozbu jak v Unii, tak i v celosvětovém měřítku, a zvyšuje se obava z potenciálních teroristických anebo politicky motivovaných útoků na informační systémy, které jsou součástí kritické infrastruktury členských států a Unie. Tato skutečnost ohrožuje vytváření bezpečnější informační společnosti a oblasti svobody, bezpečnosti a práva, a proto je třeba na ni reagovat na úrovni Unie a dosáhnout intenzivnější spolupráce a koordinace na mezinárodní úrovni.
(4)
V Unii existuje řada kritických infrastruktur, jejichž narušení nebo zničení by mělo závažné přeshraniční dopady. Z nutnosti zvýšit schopnost ochrany kritické infrastruktury v Unii je zřejmé, že opatření pro boj proti kybernetickým útokům by měla být doprovázena přísnými trestními sankcemi odpovídajícími závažnosti takových útoků. Kritickou infrastrukturou můžeme rozumět prostředky, systémy a jejich části nacházející se v členském státě, které jsou zásadní pro zachování nejdůležitějších společenských funkcí, zdraví, bezpečnosti, zabezpečení nebo dobrých hospodářských či sociálních podmínek obyvatel, jako jsou elektrárny, dopravní sítě nebo vládní sítě, a jejichž narušení nebo zničení by mělo pro členský stát závažný dopad v důsledku selhání těchto funkcí.
(5)
Existují důkazy o směřování k čím dál tím nebezpečnějším a opakovaným rozsáhlým útokům na informačním systémy, které mají často kritický význam pro členské státy nebo pro konkrétní funkce ve veřejném nebo soukromém sektoru. Tuto tendenci doprovází rozvoj čím dál tím vyspělejších metod, jako je vytváření a používání tzv. „botnetů“, což se vyznačuje několika stádii trestného činu, kdy by každé samotné stádium mohlo představovat vážné nebezpečí pro veřejné zájmy. Tato směrnice usiluje mimo jiné o zavedení trestních sankcí za vytváření „botnetů“, tedy skutku, kdy na základě cílených kybernetických útoků dojde v důsledku napadení škodlivým softwarem k dálkovému ovládání značného počtu počítačů. Jakmile dojde k takovému propojení, může být napadená síť počítačů, která tvoří „botnet“, aktivována bez vědomí uživatelů počítačů s cílem spustit rozsáhlé kybernetické útoky, které jsou obvykle schopné způsobit závažnou škodu, jak je uvedeno v této směrnici. Členské státy by měly mít možnost stanovit, co se rozumí závažnou škodou podle jejich vnitrostátního práva a praxe, jako jsou například narušení systémových služeb značného veřejného významu, nebo vznik velkých finančních nákladů či způsobení ztrát osobních údajů nebo citlivých informací.
(6)
Rozsáhlé kybernetické útoky mohou způsobit závažné hospodářské škody, a to jak v důsledku přerušení informačních systémů a komunikací, tak i v důsledku ztráty nebo pozměnění důvěrných informací nebo jiných údajů důležitých z obchodního hlediska. Zvláštní pozornost je třeba věnovat tomu, aby se v důsledku větší závislosti inovativních malých a středních podniků na řádném fungování a dostupnosti informačních systémů a často omezených zdrojů, jež mají k dispozici pro účely informační bezpečnosti, zvyšovalo jejich povědomí o hrozbách souvisejících s takovými útoky a jejich zranitelnosti vůči těmto útokům.
(7)
Pro zajištění konzistentního přístupu členských států k uplatňování této směrnice jsou v této oblasti důležité společné definice.
(8)
Je třeba dosáhnout společného přístupu k základním prvkům trestných činů zavedením společných trestných činů neoprávněného přístupu k informačním systémům, neoprávněného zasahování do informačních systémů, neoprávněného zasahování do údajů a neoprávněného sledování.
(9)
Sledování zahrnuje mimo jiné poslech, monitorování nebo kontrolu obsahu komunikace a získávání obsahu údajů, a to buď přímo přístupem a využitím informačních systémů, nebo nepřímo pomocí technických prostředků pro elektronický či jiný odposlech.
(10)
Členské státy by měly stanovit sankce za útoky na informační systémy. Tyto sankce by měly být účinné, přiměřené a odrazující a jejich součástí by měl být trest odnětí svobody nebo peněžitý trest.
(11)
Tato směrnice stanoví trestní sankce alespoň pro případy, které se nepovažují za méně závažné. Členské státy by měly mít možnost stanovit, co se rozumí méně závažným případem v souladu s jejich vnitrostátním právem a praxí. Za méně závažný případ lze považovat například situaci, kdy škoda vzniklá v důsledku trestného činu nebo ohrožení veřejných nebo soukromých zájmů nastalé v důsledku trestného činu, jako je například nedotknutelnost počítačového systému nebo počítačových údajů nebo nedotknutelnost osoby, jejích práv či jiných zájmů, jsou zanedbatelné nebo takové povahy, že uložení trestní sankce v rámci zákonné hranice trestních sazeb nebo uložení trestní odpovědnosti není nutné.
(12)
Zjišťování a oznamování hrozeb a rizik vyplývajících z kybernetických útoků a zranitelnost informačních systémů s nimi související představují rozhodný faktor pro účinné předcházení kybernetickým útokům a reakci na ně a pro zdokonalování bezpečnosti informačních systémů. Poskytování pobídek k oznamování bezpečnostních nedostatků by mohlo přispět k tomuto zdokonalování. Členské státy by měly vynaložit úsilí k poskytnutí příležitostí pro zákonné odhalování a oznamování bezpečnostních nedostatků.
(13)
Je vhodné zavést přísnější sankce v případě, že je útok na informační systém spáchán v rámci zločinného spolčení vymezeného v rámcovém rozhodnutí Rady 2008/841/SVV ze dne 24. října 2008 o boji proti organizované trestné činnosti (3), nebo pokud se jedná o rozsáhlý kybernetický útok, který má dopad na velký počet informačních systémů, včetně případu, kdy má útok vytvořit „botnet“, nebo pokud kybernetický útok způsobí závažnou škodu, včetně případu, kdy je útok proveden prostřednictvím „botnetu“. Je rovněž vhodné stanovit přísnější sankce, pokud je útok veden na kritickou infrastrukturu členského státu nebo Unie.
(14)
Dalším důležitým prvkem integrovaného přístupu k boji proti kybernetické kriminalitě je zavedení účinných opatření proti krádeži totožnosti a jiným trestným činům týkajícím se totožnosti. Případnou akci na úrovni Unie proti tomuto druhu trestné činnosti by bylo možné zvážit také v rámci vyhodnocení potřeby existence komplexního horizontálního nástroje Unie.
(15)
V závěrech ze zasedání Rady ve dnech 27. a 28. listopadu 2008 bylo uvedeno, že by se ve spolupráci s členskými státy a Komisí měla vypracovat nová strategie, která by přihlížela k obsahu Úmluvy Rady Evropy o kyberkriminalitě z roku 2001. Tato úmluva představuje právní referenční rámec pro boj s kybernetickou kriminalitou, včetně útoků na informační systémy. Tato směrnice z úmluvy vychází. Bezodkladné dokončení procesu ratifikace uvedené úmluvy ze strany všech členských států by proto mělo být považováno za prioritu.
(16)
S ohledem na různé způsoby, jimiž lze útoky provést, a na rychlý vývoj hardwaru a softwaru odkazuje tato směrnice na nástroje, které lze používat k páchání trestných činů stanovených v této směrnici. Tyto nástroje by mohly zahrnovat škodlivý software, včetně softwaru schopného vytvářet botnety, používaný k páchání kybernetických útoků. I pokud je takový nástroj vhodný nebo obzvláště vhodný k páchání trestných činů stanovených v této směrnici, je možné, že byl vyroben pro zákonný účel. Je potřeba zabránit kriminalizaci v případech, kdy jsou tyto prostředky vyrobeny a uvedeny na trh pro zákonný účel, jako je testování spolehlivosti výrobků informačních technologií nebo bezpečnosti informačních systémů, a proto musí být kromě požadavku obecného úmyslu splněn také požadavek přímého úmyslu použít tyto prostředky pro účely spáchání některého z trestných činů stanovených v této směrnici.
(17)
Cílem této směrnice není stanovit trestní odpovědnost v případech, kdy jsou naplněny znaky skutkové podstaty trestných činů stanovených v této směrnici, avšak tyto činy jsou spáchány bez protiprávního úmyslu, například pokud určitá osoba nevěděla, že se jedná o neoprávněný přístup, nebo v případě nařízeného testování či ochrany informačních systémů, například svěřila-li společnost či prodejce určité osobě úkol provést test odolnosti jejich bezpečnostního systému. V rámci této směrnice smluvní závazky nebo dohody o omezení přístupu k informačním systémům prostřednictvím uživatelské politiky nebo služebních podmínek, jakož i pracovněprávní spory ohledně přístupu k informačním systémům zaměstnavatele a jejich využívání k soukromým účelům by neměly vést ke vzniku trestní odpovědnosti v případech, kdy by přístup za těchto podmínek byl považován za neoprávněný, a představoval by tak jediný základ pro trestní řízení. Touto směrnicí není dotčeno právo na přístup k informacím, jak je stanoveno ve vnitrostátním právu a v právu Unie, toto právo však zároveň nesmí sloužit jako odůvodnění neoprávněného nebo svévolného přístupu k informacím.
(18)
Kybernetické útoky by mohly být usnadněny různými okolnostmi, například pokud má pachatel v rámci svého zaměstnání přístup k bezpečnostním systémům spojeným se zasaženými informačními systémy. V rámci vnitrostátního práva by tyto okolnosti měly být v průběhu trestního řízení odpovídajícím způsobem zohledněny.
(19)
Členské státy by ve svém vnitrostátním právu měly v souladu s příslušnými pravidly týkajícími se přitěžujících okolností danými jejich právním řádem stanovit přitěžující okolnosti. Měly by zajistit, aby soudci mohli k těmto přitěžujícím okolnostem přihlédnout při stanovení druhu trestu a jeho výměry pachateli. Je na uvážení soudce, aby tyto okolnosti posoudil spolu s ostatními skutečnostmi daného případu.
(20)
Tato směrnice neupravuje, pokud jde o trestné činy v ní uvedené, podmínky pro provádění trestního stíhání, jako je oznámení oběti učiněné v místě, kde byl trestný čin spáchán, oznámení ze strany státu, na jehož území byl trestný čin spáchán, nebo nestíhání pachatele v místě, kde byl trestný čin spáchán.
(21)
V rámci této směrnice musí státy a veřejnoprávní subjekty plně zajišťovat respektování lidských práv a základních svobod v souladu se stávajícími mezinárodními závazky.
(22)
Tato směrnice posiluje význam sítí, jako je síť G8 nebo síť kontaktních míst Rady Evropy s nepřetržitým provozem. Tato kontaktní místa by měla být schopna poskytovat účinnou pomoc, a usnadňovat tak například výměnu příslušných dostupných informací poskytování technické pomoci či právních informací pro účely vyšetřování nebo soudních řízení ohledně trestných činů týkajících se informačních systémů a souvisejících údajů dožadujícího členského státu. Za účelem zajištění bezproblémového fungování sítí by mělo být každé kontaktní místo schopno urychleně komunikovat s kontaktním místem jiného členského státu za podpory mimo jiné vyškoleného a technicky vybaveného personálu. Vzhledem k rychlosti, kterou lze provést rozsáhlé kybernetické útoky, by členské státy měly mít možnost rychle reagovat na naléhavé žádosti z této sítě kontaktních míst. V těchto případech se může jevit účelné, aby žádost o informace obsahovala kontaktní telefonní číslo, díky němuž může dožadovaný členský stát zajistit, že žádost bude zpracována okamžitě a že do osmi hodin bude poskytnuta odpověď.
(23)
Pro předcházení útokům na informační systémy a boj proti nim je velmi důležitá spolupráce veřejných orgánů na jedné straně a soukromého sektoru a občanské společnosti na straně druhé. Je nezbytné upevnit a zlepšit spolupráci mezi poskytovateli služeb, výrobci, donucovacími orgány a justičními orgány, a to při plném dodržování právních norem. Taková spolupráce by mohla zahrnovat podporu ze strany poskytovatelů služeb úsilí o zajištění potenciálních důkazů, při poskytování prvků přispívajících k identifikaci pachatelů a v krajním případě při úplném nebo částečném přerušení fungování informačních systémů nebo funkcí, jež byly ohroženy nebo zneužity pro protiprávní účely, provedeném v souladu s vnitrostátním právem a praxí. Členské státy by měly rovněž uvážit zřízení sítí pro spolupráci a partnerství, do nichž by byli zapojeni poskytovatelé služeb a výrobci za účelem výměny informací týkajících se trestných činů v oblasti působnosti této směrnice.
(24)
Je třeba shromažďovat srovnatelné údaje o trestných činech stanovených v této směrnici. Pro získání ucelenější představy o problému kybernetické kriminality a o bezpečnosti sítí a informací na úrovni Unie a pro nalezení účinnějších forem reakce, by relevantní údaje měly být zpřístupněny příslušným specializovaným agenturám a institucím Unie, jako je Europol a agentura ENISA, v souladu s jejich úkoly a informačními potřebami. Členské státy by měly předávat informace o způsobu, jímž pachatelé páchají trestnou činnost, Europolu a jeho Evropskému centru pro boj proti kyberkriminalitě za účelem provedení posouzení hrozeb a strategických analýz kybernetické kriminality v souladu s rozhodnutím Rady 2009/371/SVV ze dne 6. dubna 2009 o zřízení Evropského policejního úřadu (Europol) (4). Poskytování informací může napomoci lepšímu porozumění stávajících budoucích hrozeb, a přispět tak k vhodnějšímu a cílenému rozhodování o boji proti útokům zaměřeným na informační systémy a k jejich předcházení.
(25)
Komise by měla předložit zprávu o uplatňování této směrnice a připojit nezbytné legislativní návrhy, jež by mohly vést k rozšíření její oblasti působnosti, přičemž zohlední vývoj v oblasti kybernetické činnosti kriminality. Tento vývoj by mohl zahrnovat technologický vývoj, který například umožní účinnější prosazování práva v oblasti útoků na informační systémy či usnadní prevenci nebo zmírňování dopadů těchto útoků. Komise by za tímto účelem měla zohlednit dostupné analýzy a zprávy vypracované příslušnými aktéry a zejména Europolem a agenturou ENISA.
(26)
Má-li být boj proti kybernetické kriminalitě účinný, je nutné zvýšit odolnost informačních systémů přijetím vhodných opatření s cílem účinněji je chránit před kybernetickými útoky. Členské státy by měly přijmout opatření nezbytná k ochraně své kritické infrastruktury před kybernetickými útoky, přičemž by v daném rámci měly zvážit ochranu svých informačních systémů a souvisejících údajů. Základní součástí komplexního přístupu účinnému boji proti kybernetické kriminalitě je zajištění odpovídající úrovně ochrany bezpečnosti informačních systémů právnickými osobami, například v souvislosti poskytováním veřejně dostupných služeb elektronických komunikací v souladu se stávajícími právními předpisy Unie v oblasti ochrany soukromí a elektronických komunikací a ochrany údajů. Je třeba poskytnout dostatečnou úroveň ochrany před přiměřeně rozpoznatelnými hrozbami a ochranu zranitelným místům v souladu se stavem techniky v konkrétním odvětví a s ohledem na konkrétní situaci zpracování údajů. Náklady a zátěž vzniklé v souvislosti s touto ochranou by měly odpovídat pravděpodobné výši škody, která by dotčeným subjektům v důsledku kybernetického útoku vznikla. Členské státy se vybízí, aby pro případy, kdy právnická osoba jednoznačně nezajistila odpovídající úroveň ochrany proti kybernetickým útokům, stanovily příslušná opatření k zajištění odpovědnosti podle jejich vnitrostátního práva.
(27)
Výrazné nedostatky a rozdíly v právu a v trestních řízeních členských států v oblasti útoků na informační systémy mohou bránit boji s organizovanou trestnou činností a terorismem a mohou komplikovat efektivní policejní a justiční spolupráci v této oblasti. Z nadnárodní hranicemi neomezené povahy moderních informačních systémů vyplývá, že útoky na tyto systémy mají přeshraniční rozměr, což podtrhuje naléhavou potřebu dalších opatření na sbližování ustanovení trestního práva v této oblasti. Kromě toho by koordinace stíhání případů útoků na informační systémy měla být usnadněna odpovídajícím prováděním uplatňováním rámcového rozhodnutí Rady 2009/948/SVV ze dne 30. listopadu 2009 předcházení kompetenčním sporům při výkonu pravomoci v trestním řízení a jejich řešení (5). Členské státy by ve spolupráci s Unií měly také usilovat o zlepšení mezinárodní spolupráce týkající se bezpečnosti informačních systémů, počítačových sítí a počítačových údajů. V případě jakékoli mezinárodní dohody zahrnující výměnu údajů by měla být věnována řádná pozornost bezpečnosti předávání a uchovávání údajů.
(28)
Lepší spolupráce mezi příslušnými donucovacími orgány a justičními orgány v celé Unii je pro efektivitu boje proti kybernetické kriminalitě nezbytná. V této souvislosti je třeba podpořit zvýšení úsilí s cílem poskytnout příslušným orgánům odpovídající odbornou přípravu v zájmu většího povědomí o kybernetické kriminalitě a jejím dopadu a posílit spolupráci a výměnu osvědčených postupů, například prostřednictvím příslušných specializovaných agentur a institucí Unie. Tato odborná příprava by měla být mimo jiné zaměřena na zvyšování povědomí o odlišnostech jednotlivých vnitrostátních právních řádů, možných právních a technických výzvách v rámci vyšetřování v trestních věcech a o rozdělení pravomocí mezi příslušné vnitrostátní orgány.
(29)
Tato směrnice respektuje lidská práv a základní svobody a ctí zásady uznané zejména Listinou základních práv Evropské unie a Evropskou úmluvou o ochraně lidských práv a základních svobod, včetně ochrany osobních údajů, práva na soukromí, svobody projevu a informací, práva na spravedlivý proces, presumpce neviny a práva na obhajobu i zásady zákonnosti a přiměřenosti trestných činů a trestů. Cílem této směrnice je zejména zajistit plné dodržování těchto práv a zásad a v souladu s nimi musí být provedena.
(30)
Ochrana osobních údajů je jedním ze základních práv podle čl. 16 odst. 1 Smlouvy o fungování Evropské unie a článku 8 Listiny základních práv Evropské unie. Veškeré zpracovávání osobních údajů v souvislosti s prováděním této směrnice by proto mělo být plně v souladu s příslušnými právními předpisy Unie v oblasti ochrany údajů.
(31)
V souladu s článkem 3 Protokolu o postavení Spojeného království a Irska s ohledem na prostor svobody, bezpečnosti a práva, připojeného ke Smlouvě o Evropské unii a ke Smlouvě o fungování Evropské unie, oznámily tyto členské státy své přání účastnit se přijímání a používání této směrnice.
(32)
V souladu s články 1 a 2 Protokolu o postavení Dánska, připojeného ke Smlouvě o Evropské unii a ke Smlouvě o fungování Evropské unie, se Dánsko neúčastní přijímání této směrnice, a tato směrnice pro ně není závazná ani použitelná.
(33)
Jelikož cílů této směrnice, totiž zajistit, aby se na útoky na informační systémy ve všech členských státech vztahovaly účinné, přiměřené a odrazující trestní sankce, a zlepšit a podpořit spolupráci mezi justičními a jinými příslušnými orgány, nemůže být uspokojivě dosaženo na úrovni členských států, a proto jich může být z důvodu jejich rozsahu účinků, lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů.
(34)
Cílem této směrnice je pozměnit a rozšířit působnost ustanovení rámcového rozhodnutí Rady 2005/222/SVV ze dne 24. února 2005 o útocích proti informačním systémům (6). Vzhledem k tomu, že změn, které je třeba provést, je značný počet a jsou podstatné, mělo by být rámcové rozhodnutí 2005/222/SVV v zájmu přehlednosti nahrazeno v plném rozsahu ve vztahu k členským státům, které se účastní přijímání této směrnice,
PŘIJALY TUTO SMĚRNICI:
Článek 1
Předmět
Tato směrnice stanoví minimální pravidla týkající se vymezení trestných činů a sankcí ve vztahu k útokům na informační systémy. Jejím cílem je rovněž usnadnit předcházení těmto trestným činům a zlepšit spolupráci mezi justičními a jinými příslušnými orgány.
Článek 2
Definice
Pro účely této směrnice se rozumí:
a)
„informačním systémem“ jakýkoli přístroj nebo skupina vzájemně propojených nebo přidružených přístrojů, z nichž jeden nebo více provádí na základě programu automatické zpracování počítačových údajů, jakož i počítačové údaje uložené, zpracované, opětovně vyhledané nebo přenesené tímto přístrojem či skupinou přístrojů za účelem jeho či jejich provozu, použití, ochrany a údržby;
b)
„počítačovými údaji“ jakékoli zachycení skutečností, informací nebo pojmů ve formě vhodné ke zpracování informačním systémem, včetně programu vhodného k zajištění provedení některé funkce informačním systémem;
c)
„právnickou osobou“ každý subjekt, který má postavení právnické osoby podle příslušného práva, avšak nejedná se o státy, nebo veřejnoprávní subjekty při výkonu veřejné moci nebo organizace mezinárodního práva veřejného;
d)
„neoprávněným“ jednání uvedené v této směrnici včetně přístupu, zásahu nebo sledování, které není povoleno majitelem či jiným držitelem práv k systému nebo k jeho části nebo které není povoleno vnitrostátním právem.
Článek 3
Neoprávněný přístup k informačním systémům
Členské státy přijmou nezbytná opatření k zajištění toho, aby neoprávněný přístup k celému informačnímu systému nebo k některé jeho části je-li spáchán úmyslně, byl trestným činem, je-li tím porušeno bezpečnostního opatření, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 4
Neoprávněné zasahování do informačních systémů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné závažné narušení nebo přerušení fungování informačního systému vložením počítačových údajů či jejich přenosem, poškozením, vymazáním, znehodnocením, pozměněním, potlačením nebo znepřístupněním bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 5
Neoprávněné zasahování do údajů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné vymazání, poškození, znehodnocení, pozměnění nebo potlačení počítačových údajů v informačním systému, nebo jejich znepřístupnění bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 6
Neoprávněné sledování údajů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné sledování neveřejných přenosů počítačových údajů do, z nebo uvnitř informačního systému prováděné technickými prostředky, včetně elektromagnetického záření z informačního systému nesoucího takové počítačové údaje, bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 7
Nástroje použité k páchání trestných činů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslná výroba, prodej, opatření si k užití, dovoz, distribuce nebo jiné formy zpřístupnění některého z následujících nástrojů byly trestným činem, jsou-li provedeny neoprávněně a se záměrem použít tyto nástroje pro účely spáchání některého z trestných činů uvedených v článcích 3 až 6, a to alespoň tehdy, pokud se nejedná o méně závažný případ:
a)
počítačového programu, který byl vytvořen nebo přizpůsoben prvotně pro účely spáchání některého z trestných činů uvedených v článcích 3 až 6;
b)
počítačového hesla, přístupového kódu nebo obdobných údajů, které umožňují přístup k celému informačnímu systému nebo k jeho části.
Článek 8
Návod, pomoc nebo jiná forma účastenství a pokus
1. Členské státy zajistí trestnost návodu, pomoci či jiné formy účastenství na spáchání trestných činů uvedených v článcích 3 až 7.
2. Členské státy zajistí trestnost pokusu trestných činů uvedených v článcích 4 až 5.
Článek 9
Sankce
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 3 až 8 byly stanoveny účinné, přiměřené a odrazující trestní sankce.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 3 až 7 byl stanoven trest odnětí svobody s horní hranicí trestní sazby nejméně dva roky, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
3. Členské státy přijmou opatření nezbytná k zajištění toho, aby byl pro trestné činy uvedené v článcích 4 a 5 stanoven trest odnětí svobody s horní hranici trestní sazby nejméně tři roky, jsou-li spáchány úmyslně a pokud došlo k útoku s dopadem na velký počet informačních systémů za použití nástroje uvedeného v článku 7, vytvořeného nebo přizpůsobeného prvotně pro tento účel.
4. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 4 a 5 byl stanoven trest odnětí svobody s horní hranicí trestní sazby nejméně pět let, pokud:
a)
byly spáchány v rámci zločinného spolčení vymezeného v rámcovém rozhodnutí Rady 2008/841/SVV bez ohledu na trestní sazbu stanovenou v uvedeném rozhodnutí;
b)
jejich spácháním byla způsobena závažná škoda, nebo
c)
byly spáchány proti informačnímu systému kritické infrastruktury.
5. Členské státy přijmou opatření nezbytná k zajištění toho, aby v případě, že trestné činy uvedené v článcích 4 a 5 byly spáchány prostřednictvím zneužití osobních údajů jiné osoby s cílem získat důvěru třetí strany, čímž vznikla újma skutečnému nositeli totožnosti, mohla být tato skutečnost v souladu s vnitrostátním právem považována za přitěžující okolnost, není-li takováto okolnost již zahrnuta ve skutkové podstatě jiného činu, který je podle vnitrostátního práva trestný.
Článek 10
Odpovědnost právnických osob
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby mohly být činěny odpovědnými za trestné činy uvedené v článcích 3 až 8, spáchané v jejich prospěch osobou jednající samostatně nebo jako člen orgánu dané právnické osoby, která v rámci této právnické osoby působí ve vedoucím postavení na základě oprávnění:
a)
jednat jménem této právnické osoby;
b)
přijímat rozhodnutí jménem této právnické osoby;
c)
vykonávat kontrolu v rámci této právnické osoby.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby mohly být činěny odpovědnými v případech, kdy nedostatek dohledu nebo kontroly ze strany osoby uvedené v odstavci 1 umožnil spáchání trestných činů uvedených v článcích 3 až 8 ve prospěch této právnické osoby osobou jí podřízenou.
3. Odpovědnost právnických osob podle odstavců 1 a 2 nevylučuje trestní stíhání fyzických osob, které jsou pachateli, návodci, pomocníky či podílníky trestných činů uvedených v článcích 3 až 8.
Článek 11
Sankce vůči právnickým osobám
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby odpovědné podle čl. 10 odst. 1 podléhaly účinným, přiměřeným a odrazujícím sankcím, které zahrnují pokuty trestní nebo jiné povahy, a které mohou zahrnovat i jiné sankce, jako například:
a)
zbavení oprávnění pobírat veřejné výhody nebo podpory;
b)
dočasný nebo trvalý zákaz provozování obchodní činnosti;
c)
uložení soudního dohledu;
d)
zrušení této právnické osoby rozhodnutím soudu;
e)
dočasné nebo trvalé uzavření provozoven použitých ke spáchání trestného činu.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby odpovědné podle čl. 10 odst. 2 podléhaly účinným, přiměřeným a odrazujícím sankcím nebo jiným opatřením.
Článek 12
Soudní příslušnost
1. Členské státy stanoví svou soudní příslušnost ve vztahu k trestným činům uvedeným v článcích 3 až 8, které byly spáchány:
a)
zcela nebo částečně na jejich území nebo
b)
jejich státními příslušníky, alespoň v případech, kdy je daný skutek trestným činem v místě, kde byl spáchán.
2. Při stanovení své soudní příslušnosti podle odst. 1 písm. a) členský stát zajistí, aby tato příslušnost zahrnovala případy, kdy:
a)
pachatel spáchal trestný čin v době své fyzické přítomnosti na jeho území, a to bez ohledu na to, zda byl trestný čin namířen proti informačnímu systému na jeho území či nikoli, nebo
b)
trestný čin byl namířen proti informačnímu systému na jeho území, a to bez ohledu na to, zda pachatel spáchal trestný čin v době své fyzické přítomnosti na jeho území či nikoli.
3. Členský stát informuje Komisi, pokud se rozhodne rozšířit soudní příslušnost ve vztahu k trestným činům uvedeným v článcích 3 až 8, které byly spáchány mimo jeho území, mimo jiné pokud:
a)
má pachatel obvyklé bydliště na jeho území nebo
b)
je trestný čin spáchán ve prospěch právnické osoby usazené na jeho území.
Článek 13
Výměna informací
1. Za účelem výměny informací týkajících se trestných činů uvedených v článcích 3 až 8 členské státy zajistí, aby měly k dispozici funkční národní kontaktní místo, a aby využívaly stávající síť funkčních kontaktních míst s nepřetržitým provozem. Členské státy rovněž zajistí, aby byly zavedeny postupy, které příslušnému orgánu v případě naléhavých žádostí o pomoc umožní podat nejpozději osm hodin od obdržení žádosti informaci alespoň o tom, zda bude na žádost o pomoc reagovat, a dále uvést formu a předpokládaný termín této reakce.
2. Členské státy informují Komisi o kontaktních místech uvedených v odstavci 1, která určily. Komise tyto informace předá ostatním členským státům a příslušným specializovaným agenturám a institucím Unie.
3. Členské státy přijmou opatření nezbytná k zajištění toho, aby měly za účelem usnadnění neprodleného oznamování trestných činů uvedených v článcích 3 až 6 příslušné vnitrostátní orgány k dispozici vhodné informační kanály.
Článek 14
Sledování a statistika
1. Členské státy zajistí, aby byl zaveden systém pro záznam, produkci a poskytování statistických údajů o trestných činech uvedených v článcích 3 až 7.
2. Statistické údaje uvedené v odstavci 1 musí zahrnovat alespoň stávající údaje o počtu trestných činů uvedených v článcích 3 až 7 zaznamenaných členskými státy a o počtu osob stíhaných a odsouzených za spáchání trestných činů uvedených v článcích 3 až 7.
3. Údaje shromážděné podle tohoto článku předávají členské státy Komisi. Komise zajistí, že komplexní přehled těchto statistických zpráv bude zveřejněn a předložen příslušným specializovaným agenturám a institucím Unie.
Článek 15
Nahrazení rámcového rozhodnutí 2005/222/SVV
Rámcové rozhodnutí 2005/222/SVV se nahrazuje ve vztahu k členským státům, které se účastní přijímání této směrnice, aniž jsou dotčeny povinnosti členských států týkající se lhůt pro provedení rámcového rozhodnutí ve vnitrostátním právu.
Ve vztahu k členským státům, které se účastní přijímání této směrnice, se odkazy na rámcové rozhodnutí 2005/222/SVV považují za odkazy na tuto směrnici.
Článek 16
Provedení
1. Členské státy uvedou v účinnost právní a správní předpisy nezbytné pro dosažení souladu s touto směrnicí do 4. září 2015.
2. Členské státy předloží Komisi znění vnitrostátních právních předpisů, kterými ve svém vnitrostátním právu provádějí povinnosti, jež pro ně vyplývají z této směrnice.
3. Tyto předpisy přijaté členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.
Článek 17
Podávání zpráv
Do 4. září 2017 předloží Komise Evropskému parlamentu a Radě zprávu, ve které zhodnotí, do jaké míry členské státy přijaly opatření nezbytná k dosažení souladu s touto směrnicí, a případně připojí legislativní návrhy. Komise v této souvislosti rovněž zohlední technický a právní vývoj v oblasti kybernetické kriminality, a to zejména s ohledem na oblast působnosti této směrnice.
Článek 18
Vstup v platnost
Tato směrnice vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
Článek 19
Určení
Tato směrnice je určena členským státům v souladu se Smlouvami.
V Bruselu dne 12. srpna 2013.
DIRETTIVA 2013/40/UE TAL-PARLAMENT EWROPEW U TAL-KUNSILL
tat-12 ta’ Awwissu 2013
dwar attakki kontra s-sistemi tal-informazzjoni u li tissostitwixxi d-Deċiżjoni Qafas tal-Kunsill 2005/222/ĠAI
IL-PARLAMENT EWROPEW U L-KUNSILL TAL-UNJONI EWROPEA,
Wara li kkunsidraw it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, u b’mod partikolari l-Artikolu 83(1) tiegħu,
Wara li kkunsidraw il-proposta mill-Kummissjoni Ewropea,
Wara li l-abbozz tal-att leġislattiv intbagħat lill-parlamenti nazzjonali,
Wara li kkunsidraw l-opinjoni tal-Kumitat Ekonomiku u Soċjali Ewropew (1),
Filwaqt li jaġixxu skont il-proċedura leġislattiva ordinarja (2),
Billi:
(1)
L-għanijiet ta’ din id-Direttiva huma t-tqarrib tal-liġi kriminali tal-Istati Membri fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni, billi jiġu stabbiliti regoli minimi dwar id-definizzjoni ta’ reati kriminali u s-sanzjonijiet rilevanti, u t-titjib fil-kooperazzjoni bejn l-awtoritajiet kompetenti, inklużi l-pulizija u servizzi speċjalizzati oħrajn tal-infurzar tal-liġi tal-Istati Membri, kif ukoll l-aġenziji speċjalizzati kompetenti u korpi tal-Unjoni, bħall-Eurojust, l-Europol u ċ-Ċentru Ewropew kontra ċ-Ċiberkriminalità tiegħu, u l-Aġenzija Ewropea dwar is-Sigurtà tan-Networks u l-Informazzjoni (ENISA).
(2)
Is-sistemi tal-informazzjoni huma element ewlieni tal-interazzjoni politika, soċjali u ekonomika fl-Unjoni. Id-dipendenza tas-soċjetà fuq dawn is-sistemi hija kbira u qiegħda dejjem tiżdied. L-operazzjoni bla xkiel u s-sigurtà ta’ dawk is-sistemi fl-Unjoni huma kruċjali għall-iżvilupp tas-suq intern u ta’ ekonomija kompetittiva u innovattiva. L-iżgurar ta’ livell adegwat ta’ protezzjoni tas-sistemi tal-informazzjoni għandu jifforma parti minn qafas komprensiv effettiv ta’ miżuri ta’ prevenzjoni li jakkumpanjaw ir-risponsi tal-liġi kriminali għaċ-ċiberkriminalità.
(3)
L-attakki kontra s-sistemi tal-informazzjoni, u, partikolarment l-attakki marbutin mal-kriminalità organizzata, jirrappreżentaw minaċċa li qed tikber kemm fl-Unjoni kif ukoll globalment, u qed jiżdied it-tħassib dwar il-potenzjal ta’ attakki terroristiċi jew li huma mmotivati mill-politika kontra s-sistemi tal-informazzjoni li jagħmlu parti mill-infrastruttura kritika tal-Istati Membri u tal-Unjoni. Dan jikkostitwixxi theddida għall-kisba ta’ soċjetà tal-informazzjoni aktar sikura u ta’ qasam tal-libertà, is-sigurtà, u l-ġustizzja, u għalhekk jinħtieġ rispons fil-livell tal-Unjoni u kooperazzjoni u koordinazzjoni mtejbin fil-livell internazzjonali.
(4)
Hemm ċertu numru ta’ infrastrutturi kritiċi fl-Unjoni, li l-interruzzjoni jew id-distruzzjoni tagħhom ikollhom impatt transkonfinali sinifikanti. Sar evidenti, mill-ħtieġa li tiżdied il-kapaċità ta’ protezzjoni tal-infrastruttura kritika fl-Unjoni, li l-miżuri kontra l-attakki ċibernetiċi għandhom jiġu kkomplimentati minn pieni kriminali stretti li jirriflettu l-gravità ta’ tali attakki. L-infrastruttura kritika tista’ tinftiehem bħala assi, sistema jew parti minnha li tkun tinsab fi Stati Membri li tkun essenzjali pereżempju għaż-żamma ta’ funzjonijiet vitali li jappartjenu lis-soċjetà, lis-saħħa, is-sikurezza, il-benesseri ekonomiku jew soċjali ta’ poplu, bħal impjanti tal-enerġija, netwerks tat-trasport jew netwerks tal-gvern u li l-isfrattu jew il-qerda tagħhom iħallu impatt sinifikattiv fi Stat Membru bħala riżultat tan-nuqqas taż-żamma ta’ dawk il-funzjonijiet.
(5)
Hemm evidenza ta’ tendenza għal attakki fuq skala kbira li qed isiru aktar perikolużi u rikorrenti kontra s-sistemi tal-informazzjoni li spiss jistgħu jkunu kritiċi għall-Istati Membri jew għall-funzjonijiet partikolari fis-settur pubbliku jew privat. Din it-tendenza hi akkumpanjata bl-iżvilupp ta’ metodi dejjem aktar sofistikati, bħall-ħolqien u l-użu tal-hekk imsejħa “botnets”, li jinvolvi diversi stadji tal-att kriminali, fejn kull stadju waħdu jista’ jippreżenta riskju serju għall-interess pubbliku. Din id-Direttiva għandha l-għan, inter alia, li tintroduċi pieni kriminali għall-istadju meta jinħoloq il-“botnet”, jiġifieri l-att li jistabbilixxi kontroll mill-bogħod fuq għadd sostanzjali ta’ kompjuters billi jiġu infettati b’software malizzjuż permezz ta’ attakk ċibernetiku mmirat. Fi stadju aktar tard, il-kompjuters infettati li jikkostitwixxu l-“botnet” jistgħu, mingħajr ma jindunaw l-utenti tal-kompjuters, jiġu attivati biex jagħmlu attakk ċibernetiku fuq skala kbira, li normalment ikollhom il-kapaċità jikkawżaw dannu serju, kif hemm imsemmi f’din id-Direttiva. L-Istati Membri għandhom ikunu jistgħu jiddeterminaw x’jikkostitwixxi dannu serju f’konformità mal-liġi u l-prattika nazzjonali tagħhom, bħal interruzzjonijiet f’sistemi ta’ servizzi ta’ importanza pubblika sostanzjali, jew xi spiża finanzjarja kbira jew telf ta’ data personal jew informazzjoni sensittiva.
(6)
L-attakki ċibernetiċi fuq skala kbira jistgħu jikkawżaw ħsara ekonomika sostanzjali kemm permezz ta’ interruzzjoni ta’ sistemi tal-informazzjoni u tal-komunikazzjoni kif ukoll permezz ta’ telf jew alterazzjoni ta’ informazzjoni kunfidenzjali importanti għall-kummerċ jew data oħra. Għandha tingħata attenzjoni partikolari biex jiżdied l-għarfien ta’ intrapriżi żgħar u medji innovattivi dwar theddid minn attakki bħal dawn u vulnerabbilta’tagħhom għall-attakki bħal dawn,, minħabba d-dipendenza akbar tagħhom mill-funzjonament korrett u d-disponibbiltà tas-sistemi tal-informazzjoni u spiss mir-riżorsi limitati għas-sigurtà tal-informazzjoni.
(7)
Id-definizzjonijiet komuni f’dan il-qasam huma importanti sabiex jiġi żgurat approċċ konsistenti fl-Istati Membri għall-applikazzjoni ta’ din id-Direttiva.
(8)
Tinħass il-ħtieġa li jinkiseb approċċ komuni għall-elementi kostitwenti ta’ reati kriminali billi jiġu introdotti r-reati komuni ta’ aċċess illegali f’sistema tal-informazzjoni, l-interferenza illegali fis-sistema, l-interferenza illegali fid-data, u l-interċettazzjoni illegali.
(9)
L-interċettazzjoni tinkludi, iżda mhijiex neċessarjament limitata għas-smigħ, il-monitoraġġ jew is-sorveljanza tal-kontenut ta’ komunikazzjonijiet u l-akkwist tal-kontenut ta’ data jew direttament, permezz tal-aċċess għal u l-użu ta’ sistema ta’ informazzjoni, jew indirettament permezz tal-użu ta’ tagħmir elettroniku ta’ smigħ bil-moħbi jew ta’ tapping b’mezzi tekniċi.
(10)
L-Istati Membri għandhom jistabbilixxu pieni fir-rigward tal-attakki kontra s-sistemi tal-informazzjoni. Dawk il-pieni għandhom ikunu effettivi, proporzjonati u dissważivi u għandhom jinkludu sentenzi ta’ priġunerija u/jew multi.
(11)
Id-Direttiva tipprevedi pieni kriminali għall-inqas f’każijiet li mhumiex minuri. L-Istati Membri għandhom ikunu jistgħu jiddeterminaw x’jikkostitwixxi każ minuri skont id-dritt u l-prattika nazzjonali tagħhom. Każ jista’ jitqies minuri, pereżempju, meta l-ħsara kkawżata mir-reat u/jew ir-riskju li jinvolvi għall-interessi pubbliċi jew privati, bħall-integrità ta’ sistema tal-kompjuter jew ta’ data tal-kompjuter, jew l-integrità, id-drittijiet jew l-interessi l-oħrajn ta’ persuna, ikun insinifikanti jew ikun ta’ tali natura, li l-impożizzjoni ta’ piena kriminali fl-ambitu tal-limitu speċifiku legali jew l-impożizzjoni ta’ responsabbiltà kriminali mhux meħtieġa.
(12)
L-identifikazzjoni u r-rappurtar ta’ theddid u riskji ppreżentati minn attakki ċibernetiċi u l-vulnerabbiltà relatata tas-sistemi ta’ informazzjoni huma element pertinenti ta’ prevenzjoni effettiva ta’, u reazzjoni għal, attakki ċibernetiċi u tat-titjib tas-sistemi ta’ sigurtà tal-informazzjoni. Għal dak l-għan jista’ jiżdied l-għoti ta’ inċentivi għar-rappurtar ta’ distakki fis-sigurtà. L-Istati Membri għandhom jistinkaw biex jipprovdu possibbiltajiet sabiex il-lakuni fis-sigurtà jiġu skoperti u rappurtati legalment.
(13)
Huwa xieraq li jkunu previsti pieni aktar severi fejn attakk kontra sistema tal-informazzjoni jsir minn organizzazzjoni kriminali, kif iddefinita fid-Deċiżjoni Kwadru tal-Kunsill 2008/841/ĠAI tal-24 ta’ Ottubru 2008 dwar il-ġlieda kontra l-kriminalità organizzata (3) jew meta l-attakk isir fuq skala kbira, u b’hekk jaffettwa għadd sostanzjali ta’ sistemi tal-informazzjoni, inkluż meta l-attakk isir bl-intenzjoni li jinħoloq “botnet”, jew fejn attakk ċibernetiku jikkawża dannu serju inkluż fejn dan isir permezz ta’ “botnet”. Huwa wkoll xieraq li jkunu previsti pieni aktar severi meta jsir attakk kontra infrastruttura kritika tal-Istati Membri jew tal-Unjoni.
(14)
L-istabbiliment ta’ miżuri effettivi kontra s-serq tal-identità u reati oħrajn relatati mal-identità jikkostitwixxi element importanti ieħor ta’ approċċ integrat kontra ċ-ċiberkriminalità. Kwalunkwe ħtieġa għal azzjoni tal-Unjoni dwar dan it-tip ta’ mġiba kriminali tista’ titqies ukoll fil-kuntest tal-evalwar tal-ħtieġa għal strument tal-Unjoni orizzontali u komprensiv.
(15)
Il-Konklużjonijiet tal-Kunsill tas-27 sat-28 ta’ Novembru 2008 indikaw li għandha tiġi żviluppata strateġija ġdida flimkien mal-Istati Membri u l-Kummissjoni, waqt li jiġi kkunsidrat il-kontenut tal-Konvenzjoni tal-Kunsill tal-Ewropa dwar iċ-Ċiberkriminalità tal-2001. Dik il-Konvenzjoni hija l-qafas legali ta’ referenza għall-ġlieda kontra ċ-ċiberkriminalità, inklużi l-attakki kontra s-sistemi tal-informazzjoni. Din id-Direttiva hija msejsa fuq dik il-Konvenzjoni. Għalhekk l-ikkompletar tal-proċess ta’ ratifika tal-Konvenzjoni mill-Istati Membri malajr kemm jista’ jkun għandu jitqies bħala prijorità.
(16)
Minħabba l-modi differenti kif jistgħu jsiru l-attakki, u minħabba l-iżviluppi mgħaġġla fil-qasam tal-hardware u s-software, din id-Direttiva tirriferi għal ‘għodod’ li jistgħu jintużaw biex isiru r-reati stabbiliti f’din id-Direttiva. Dawn l-għodod jirriferu għal, pereżempju, software malizzjuż, li jinkludi dak li kapaċi joħloq botnets, użat biex isiru attakki ċibernetiċi. Anke fejn tali għodda tkun adatta jew partikolarment adatta biex isir wieħed mir-reati stabbiliti f’din id-Direttiva, huwa possibbli li kien ġie prodott għal skop leġittimu. Minħabba l-ħtieġa li tkun evitata l-kriminalizzazzjoni fejn dawn l-għodod jiġu prodotti u jitqiegħdu fis-suq għal finijiet leġittimi, bħall-ittestjar tal-affidabbiltà tal-prodotti tat-teknoloġija tal-informazzjoni jew is-sigurtà ta’ sistemi ta’ informazzjoni, barra mir-rekwiżit tal-intenzjoni ġenerali, għandu jkun wkoll sodisfatt rekwiżit tal-intenzjoni diretta li dawk l-għodod jintużaw biex isir wieħed jew iżjed mir-reati stabbiliti f’din id-Direttiva.
(17)
Din id-Direttiva mhijiex maħsuba biex timponi reponsabbiltà kriminali fejn ikunu sodisfatti l-kriterji oġġettivi tar-reati stabbiliti f’din id-Direttiva iżda l-atti jitwettqu mingħajr intenzjoni kriminali, pereżempju meta persuna ma tkunx taf li l-aċċess ma kienx awtorizzat jew fil-każ tal-ittestjar jew il-protezzjoni obbligatorja ta’ sistema tal-informazzjoni, pereżempju fejn persuna tiġi assenjata minn kumpannija jew bejjiegħ biex tittestja l-qawwa tas-sistema ta’ sigurtà tagħha. Fil-kuntest ta’ din id-Direttiva, l-obbligi jew il-ftehimiet kuntrattwali biex jirrestrinġu l-aċċess għal sistemi tal-informazzjoni permezz tal-politika dwar l-utenti jew it-termini tas-servizz, kif ukoll tilwim industrijali fir-rigward tal-aċċess għal u l-użu ta’ sistemi tal-informazzjoni ta’ min iħaddem għal finijiet privati, m’għandhomx jinvolvu r-responsabbiltà kriminali, fejn l-aċċess taħt dawn iċ-ċirkostanzi jitqies mhux awtorizzat u għalhekk jikkostitwixxi l-bażi unika għal proċedimenti kriminali. Din id-Direttiva hija mingħajr preġudizzju għad-dritt legalment garantit ta’ aċċess għall-informazzjoni kif stabbilit fil-liġi nazzjonali u tal-Unjoni, waqt li fl-istess ħin hija ma tistax isservi bħala ġustifikazzjoni għall-aċċess illegali jew arbitrarju għall-informazzjoni.
(18)
L-attakki ċibernetiċi jistgħu jiġu ffaċilitati permezz ta’ diversi ċirkostanzi, bħal meta l-awtur tar-reat jkollu aċċess għas-sistemi ta’ sigurtà inerenti fis-sistemi tal-informazzjoni affettwati fl-ambitu tal-impjieg tiegħu. Fil-kuntest tal-liġi nazzjonali, tali ċirkostanzi għandhom jitqiesu kif xieraq fil-kors ta’ proċedimenti kriminali.
(19)
L-Istati Membri għandhom jipprevedu ċirkostanzi aggravanti fil-liġi nazzjonali tagħhom f’konformità mar-regoli applikabbli stabbiliti mis-sistemi legali tagħhom dwar ċirkostanzi aggravanti. Huma għandhom jiżguraw li dawk iċ-ċirkostanzi aggravanti jkunu disponibbli biex l-imħallfin jikkunsidrawhom meta jkunu qed jissentenzjaw lit-trasgressuri. Jibqa’ fid-diskrezzjoni tal-imħallef li jivvaluta dawn iċ-ċirkostanzi flimkien mal-elementi fattwali l-oħrajn tal-każ partikolari.
(20)
Din id-Direttiva ma tirregolax il-kondizzjonijiet li taħthom hija eżerċitabbli l-ġurisdizzjoni fuq kwalunkwe wieħed mir-reati msemmija fiha, bħal rapport mill-vittma fil-post fejn sar ir-reat, jew denunzja mill-Istat tal-post fejn sar ir-reat, jew il-fatt li l-awtur tar-reat ma ġiex imħarrek fil-post fejn sar ir-reat.
(21)
Fil-kuntest ta’ din id-Direttiva, l-Istati u l-korpi pubbliċi jibqgħu marbutin għalkollox biex jiggarantixxu r-rispett għad-drittijiet tal-bniedem u d-drittijiet fundamentali, skont l-obbligi internazzjonali eżistenti.
(22)
Din id-Direttiva ssaħħaħ l-importanza tan-netwerks, bħan-netwerk tal-punti ta’ kuntatt tal-G8 jew tal-Kunsill tal-Ewropa disponibbli fuq bażi ta’ 24 siegħa kuljum, sebat ijiem fil-ġimgħa. Dawk il-punti ta’ kuntatt għandhom ikunu jistgħu jipprovdu assistenza effettiva, b’hekk jiffaċilitaw pereżempju l-iskambju ta’ informazzjoni rilevanti disponibbli jew l-għoti ta’ parir tekniku jew informazzjoni legali għall-fini tal-investigazzjonijiet jew tal-proċedimenti li jikkonċernaw ir-reati kriminali relatati mas-sistemi tal-informazzjoni u d-data assoċjata li jinvolvu l-Istat Membru rikjedenti. Sabiex tkun żgurata l-operazzjoni bla xkiel tan-netwerks, kull punt ta’ kuntatt għandu jkollu l-kapaċità li jkollu komunikazzjonijiet mal-punt ta’ kuntatt ta’ Stat Membru ieħor b’mod rapidu appoġġat, inter alia, minn persunal imħarreġ u attrezzat. Fid-dawl tal-veloċità li biha jistgħu jsiru l-attakki ċibernetiċi fuq skala kbira, l-Istati Membri għandhom ikunu kapaċi jirreaġixxu minnufih għat-talbiet urġenti minn din in-netwerk ta’ punti ta’ kuntatt. F’każijiet bħal dawn, jista’ jkun konvenjenti li t-talba għal informazzjoni tkun akkumpanjata minn numru tat-telefon, sabiex ikun żgurat li t-talba tiġi pproċessata malajr mill-Istat Membru rikjest u li l-feedback jingħata fi tmien sigħat.
(23)
Il-kooperazzjoni bejn l-awtoritajiet pubbliċi, fuq naħa, u s-settur privat u s-soċjetà ċivili, fuq in-naħa l-oħra, hija ta’ importanza kbira ħafna għall-prevenzjoni u l-ġlieda kontra attakki kontra s-sistemi tal-informazzjoni. Jeħtieġ li titrawwem u tittejjeb il-kooperazzjoni bejn il-fornituri tas-servizzi, il-produtturi, il-korpi tal-infurzar tal-liġi u l-awtoritajiet ġudizzjarji, filwaqt li jiġi rrispettat bis-sħiħ l-istat tad-dritt. Tali kooperazzjoni tista’ tinkludi appoġġ mill-fornituri tas-servizzi fl-għajnuna għall-preservazzjoni ta’ evidenza potenzjali, biex jiġu pprovduti elementi biex jgħinu fl-identifikazzjoni tal-atturi tar-reati u, bħala l-aħħar rimedju, l-għeluq, kompletament jew parzjalment, skont il-liġi nazzjonali, inkluża l-liġi u l-prattika nazzjonali, tas-sistemi tal-informazzjoni jew funzjonijiet li ġew kompromessi jew użati għal finijiet illegali. L-Istati Membri għandhom iqisu wkoll l-istabbiliment ta’ netwerks ta’ kooperazzjoni u ta’ sħubija ma’ fornituri ta’ servizzi u produtturi għall-iskambju ta’ informazzjoni fir-rigward tar-reati fil-kamp ta’ applikazzjoni ta’ din id-Direttiva.
(24)
Hemm il-ħtieġa li tinġabar data komparabbli dwar ir-reati msemmijin f’din id-Direttiva. Id-data rilevanti għandha ssir disponibbli għall-aġenti speċjalizzati kompetenti tal-Unjoni u korpi, bħall-Europol u l-ENISA, f’konformità mal-kompiti u l-ħtiġijiet tal-informazzjoni tagħhom, sabiex tinkiseb stampa aktar kompluta tal-problema taċ-ċiberkriminalità u tas-sigurtà tan-netwerks u tal-informazzjoni fil-livell tal-Unjoni u b’hekk tikkontribwixxi għall-formulazzjoni ta’ reazzjonijiet aktar effettivi. L-Istati Membri għandhom jibagħtu informazzjoni dwar il-modus operandi tal-awturi tar-reat lill-Europol u ċ-Ċentru Ewropew kontra ċ-Ċiberkriminalità tiegħu għall-finijiet ta’ stimi tat-theddid u analiżi strateġiċi taċ-ċiberkriminalità b’konformità ma d-Deċiżjoni tal-Kunsill 2009/371/ĠAI tas-6 ta’ April 2009 li jistabbilixxi l-Uffiċċju Ewropew tal-Pulizija (Europol) (4). L-għoti ta’ informazzjoni jista’ jiffaċilita fehim aħjar tat-theddid preżent u futur u b’hekk jikkontribwixxi għal teħid tad-deċiżjonijiet aktar adatt u mmirat biex jiġu miġġielda u evitati l-attakki kontra s-sistemi tal-informazzjoni.
(25)
Il-Kummissjoni għandha tippreżenta rapport dwar l-applikazzjoni ta’ din id-Direttiva u biex issir kwalunkwe proposta leġislattiva meħtieġa li tista’ twassal għat-twessigħ tal-kamp ta’ applikazzjoni ta’ din id-Direttiva b’kont meħud tal-iżviluppi fil-qasam taċ-ċiberkriminalità. Dawn l-iżviluppi jistgħu jinkludu kwalunkwe żvilupp teknoloġiku pereżempju dawk li jippermetti infurzar aktar effettiv fil-qasam tal-attakki kontra sistemi tal-informazzjoni jew li jiffaċilita l-prevenzjoni jew il-mitigazzjoni ta’ tali attakki. Għal dak il-għan l-Kummissjoni għandha tieħu kont tal-analiżi u r-rapporti disponibbli prodotti mill-atturi rilevanti u, b’mod partikolari, l-Europol u l-ENISA.
(26)
Sabiex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv, jeħtieġ li s-sistemi tal-informazzjoni jsiru iktar b’saħħithom, billi jittieħdu l-miżuri adatti biex jiġu protetti b’mod aktar effettiv mill-attakki Ċibernetiċi. L-Istati Membri għandhom jieħdu miżuri meħtieġa biex jipproteġu l-infrastrutturi kritiċi mill-attakki ċibernetiċi, li bħala parti minnhom għandhom iqisu l-protezzjoni tas-sistemi tal-informazzjoni tagħhom u d-data assoċjata. L-iżgurar ta’ livell adegwat ta’ protezzjoni u sigurtà tas-sistemi tal-informazzjoni minn persuni ġuridiċi, pereżempju b’rabta mal-forniment ta’ servizzi ta’ komunikazzjoni elettronika pubblikament disponibbli f’konformità mal-leġislazzjoni tal-Unjoni eżistenti dwar il-privatezza u l-komunikazzjoni elettronika u l-protezzjoni tad-data, jifforma parti essenzjali minn approċċ komprensiv biex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv. Għandhom jiġu provvduti livelli adatti ta’ protezzjoni mit-theddid u l-vulnerabbiltajiet li jistgħu jiġu identifikati b’mod raġonevoli f’konformità mal-ogħla żvilupp tekniku għas-setturi speċifiċi u s-sitwazzjonijiet speċifiċi tal-ipproċessar tad-data. L-ispejjeż u l-piżijiet ta’ tali protezzjoni għandhom ikunu proporzjonali għad-dannu li attakk ċibernetiku x’aktarx jikkawża lil dawk affettwati. L-Istati Membri huma inkoraġġuti jipprevedu miżuri rilevanti li jattribwixxu responsabbiltajiet fil-kuntest tal-liġi nazzjonali tagħhom f’każijiet fejn ikun ċar li persuna ġuridika ma tkunx pprovdiet livell adatt ta’ protezzjoni mill-attaki ċibernetiċi.
(27)
Xi lakuni u differenzi sinifikanti fil-liġijiet tal-Istati Membri u l-proċeduri kriminali fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni jistgħu jkunu ta’ tfixkil fil-ġlieda kontra l-kriminalità organizzata u t-terroriżmu, u jistgħu jikkumplikaw il-kooperazzjoni effettiva tal-pulizija u dik ġudizzjarja f’dan il-qasam. In-natura transnazzjonali u ta’ mingħajr fruntieri tas-sistemi moderni tal-informazzjoni timplika li l-attakki kontra dawn is-sistemi għandhom dimensjoni transkonfinali, u għalhekk tenfasizza l-ħtieġa urġenti għal aktar azzjoni biex issir l-approssimazzjoni tal-liġijiet kriminali f’dan il-qasam. Barra minn dan, il-koordinazzjoni tal-prosekuzzjoni ta’ każijiet ta’ attakki kontra s-sistemi tal-informazzjoni għandhom jiġu ffaċilitati bl-implimentazzjoni u l-applikazzjoni adegwati tad-Deċiżjoni Qafas tal-Kunsill 2009/948/ĠAI tat-30 ta’ Novembru 2009 dwar il-prevenzjoni u r-riżoluzzjoni ta’ kunflitt ta’ ġurisidizzjoni fi proċedimenti kriminali (5). L-Istati Membri f’kooperazzjoni mal-Unjoni Ewropea għandhom jipprovaw ukoll itejbu l-kooperazzjoni internazzjonali relatata mas-sigurtà tas-sistemi tal-informazzjoni, in-netwerks tal-kompjuter u d-data tal-kompjuter. Għandha tingħata l-konsiderazzjoni dovuta lis-sigurtà tat-trasferiment u l-ħżin tad-data fi kwalunkwe ftehim internazzjonali li jinvolvi l-iskambju tad-data.
(28)
Il-kooperazzjoni mtejba bejn il-korpi kompetenti tal-infurzar tal-liġi u l-awtoritajiet ġudizzjarji madwar l-Unjoni hija essenzjali sabiex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv. F’dan il-kuntest għandu jiġi inkoraġġut l-intensifikar tal-isforzi biex jiġi pprovdut taħriġ adegwat lill-awtoritajiet rilevanti sabiex jiżdied il-ftehim taċ-ċiberkriminalità u l-impatt tagħha, u biex jitrawmu l-kooperazzjoni u l-iskambju tal-aħjar prattika, pereżempju permezz tal-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti. Tali taħriġ għandu fost l-oħrajn ikollu l-għan li jżid l-għarfien dwar is-sistemi legali nazzjonali differenti, l-isfidi legali u tekniċi possibbli ta’ investigazzjonijiet kriminali, u d-distribuzzjoni tal-kompetenzi bejn l-awtoritajiet nazzjonali rilevanti.
(29)
Din id-Direttiva tipprevedi r-rispett tad-drittijiet tal-bniedem u l-libertajiet fundamentali u tosserva l-prinċipji rrikonoxxuti b’mod partikolari mill-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea u l-Konvenzjoni Ewropea għall-Protezzjoni tad-Drittijiet tal-Bniedem u l-Libertajiet Fundamentali, inkluża l-protezzjoni tad-data personali, id-dritt għall-privatezza, il-libertà tal-espressjoni u l-informazzjoni, id-dritt għal proċess imparzjali, il-preżunzjoni tal-innoċenza u d-dritt tad-difiża, kif ukoll il-prinċipji ta’ legalità u proporzjonalità ta’ reati kriminali u ta’ pieni. B’mod partikolari, din id-Direttiva għandha l-għan li tiggarantixxi rispett sħiħ għal dawn id-drittijiet u l-prinċipji u għandha tiġi implimentata kif meħtieġ.
(30)
Il-protezzjoni tad-data personali hija dritt fundamentali taħt l-Artikolu 16(1) tat-TFUE u l-Artikolu 8 tal-Karta dwar id-Drittijiet Fundamentali. Għalhekk, kwalunkwe proċessar ta’ data personali fil-kuntest tal-implimentazzjoni ta’ din id-Direttiva għandu jikkonforma bis-sħiħ mal-leġislazzjoni tal-Unjoni rilevanti dwar il-protezzjoni tad-data
(31)
F’konformità mal-Artikolu 3 tal-Protokoll dwar il-pożizzjoni tar-Renju Unit u l-Irlanda fir-rigward tal-Ispazju ta’ Libertà, Sigurtà u Ġustizzja, anness mat-Trattat dwar l-Unjoni Ewropea u mat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, dawk l-Istati Membri nnotifikaw ix-xewqa tagħhom li jieħdu sehem fl-adozzjoni u fl-applikazzjoni ta’ din id-Direttiva.
(32)
F’konformità mal-Artikoli 1 u 2 tal-Protokoll dwar il-pożizzjoni tad-Danimarka, anness mat-Trattat dwar l-Unjoni Ewropea u mat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, id-Danimarka mhijiex qed tieħu sehem fl-adozzjoni ta’ din id-Direttiva u mhijiex marbuta biha jew soġġetta għall-applikazzjoni tagħha.
(33)
Ladarba l-għanijiet tad-Direttiva, b’ mod partikolari fir-rigward tal-attakki kontra s-sistemi tal-informazzjoni jiġu imposti fl-Istati Membri kollha pieni kriminali effettivi, proporzjonati u dissważivi u li tittejjeb u tiġi promossal-kooperazzjoni bejn awtoritajiet ġudizzjarji u awtoritajiet oħra kompetenti, ma jistgħux jinkisbu b’mod suffiċjenti mill-Istati Membri, u għalhekk, minħabba l-iskala jew l-effetti tagħhom, jistgħu jinkisbu aħjar fil-livell tal-Unjoni, l-Unjoni tista’ tadotta miżuri f’konformità mal-prinċipju tas-sussidjarjetà kif stabbilit fl-Artikolu 5 tat-Trattat tal-Unjoni Ewropea. F’konformità mal-prinċipju tal-proporzjonalità kif stabbilit f’dak l-Artikolu, din id-Direttiva ma tmurx lil hinn minn dak li huwa meħtieġ sabiex jinkisbu dawk l-għanijiet.
(34)
Din id-Direttiva għandha l-għan li temenda u tespandi d-dispożizzjonijiet tad-Deċiżjoni Qafas tal-Kunsill 2005/222/ĠAI tal-24 ta’ Frar 2005 dwar attakki kontra s-sistemi tal-informazzjoni (6). Billi l-emendi li jridu jsiru huma ta’ għadd u natura sostanzjali, id-Deċiżjoni Qafas 2005/222/ĠAI għandha, fl-interessi taċ-ċarezza, tiġi sostitwita fl-intier tagħha fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva,
ADOTTAW DIN ID-DIRETTIVA:
Artikolu 1
Suġġett
Din id-Direttiva tistabbilixxi r-regoli minimi fir-rigward tad-definizzjoni ta’ reati kriminali u sanzjonijiet fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni. Għandha wkoll l-għan li tiffaċilita l-prevenzjoni ta’ reati bħal dawn u li ttejjeb il-kooperazzjoni bejn l-awtoritajiet ġudizzjarji u awtoritajiet kompetenti oħra.
Artikolu 2
Definizzjonijiet
Għall-finijiet ta’ din id-Direttiva, għandhom japplikaw id-definizzjonijiet li ġejjin:
(a)
“sistema tal-informazzjoni” tfisser tagħmir jew grupp ta’ tagħmir interkonness jew relatat, li minnhom, wieħed jew aktar, skont programm, jipproċessaw awtomatikament data tal-kompjuter, kif ukoll data tal-kompjuter maħżuna, ipproċessata, irkuprata jew trasmessa b’dak it-tagħmir jew grupp ta’ tagħmir għall-finijiet tal-operazzjoni, użu, protezzjoni u manutenzjoni tiegħu jew tagħhom;
(b)
“data tal-kompjuter” tfisser ir-rappreżentazzjoni ta’ fatti, informazzjoni jew kunċetti f’forma adatta għall-ipproċessar f’sistema tal-informazzjoni, inkluż programm adatt biex iġiegħel sistema tal-informazzjoni twettaq funzjoni;
(c)
“persuna ġuridika” tfisser entità li jkollha l-istatus ta’ persuna ġuridika taħt il-liġi applikabbli, iżda ma tinkludix Stati jew korpi pubbliċi li jaġixxu fl-eżerċizzju ta’ awtorità Statali, jew organizzazzjonijiet internazzjonali pubbliċi;
(d)
“mingħajr dritt” tfisser aġir imsemmi f’din id-Direttiva, li jinkludi aċċess, interferenza jew interċettazzjoni, li ma jkunux awtorizzati mis-sid jew minn detentur ieħor tad-dritt tas-sistema jew ta’ parti minnha, jew li ma jkunux permessi taħt il-liġi nazzjonali.
Artikolu 3
Aċċess illegali għal sistemi ta’ informazzjoni
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiġi żgurat li, meta jsir intenzjonalment, l-aċċess mingħajr dritt għat-totalità jew għal kwalunkwe parti minn sistema tal-informazzjoni ikun punibbli bħala reat kriminali fejn isir permezz tal-ksur ta’ miżura tas-sigurtà, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 4
Interferenza illegali f’sistema
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li t-tfixkil serju jew l-interruzzjoni tal-funzjonament ta’ sistema tal-informazzjoni bl-inseriment ta’ data tal-kompjuter, bit-trasmissjoni, ħsara, tħassir, deterjorament, alterazzjoni jew soppressjoni ta’ tali data, jew billi wieħed jirrendi tali data inaċċessibbli, intenzjonalment u mingħajr dritt, ikunu punibbli bħala reati kriminali, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 5
Interferenza illegali fid-data
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li t-tħassir, il-ħsara, id-deterjorazzjoni,l-alterazzjoni, is-soppressjoni ta’ data tal-kompjuter fuq sistema tal-informazzjoni,jew ir-rendiment ta’tali data inaċċessibbli, intenzjonalment u mingħajr dritt, ikunu punibbli bħala reati kriminali meta jsiru, mill-anqas fejn il-każ mhuwiex minuri.
Artikolu 6
Interċettazzjoni illegali
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li l-interċettazzjoni, b’mezzi tekniċi, ta’ trasmissjonijiet mhux pubbliċi ta’ data tal-kompjuter għal, minn jew fis-sistema tal-informazzjoni, li jinkludu emissjonijiet elettromanjetiċi minn sistema tal-informazzjoni li ġġorr tali data tal-kompjuter, intenzjonalment u mingħajr dritt, hija punibbli bħala reat kriminali, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 7
Għodod użati biex isiru reati
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li l-produzzjoni intenzjonali, bejgħ, akkwist għall-użu, importazzjoni, distribuzzjoni jew li b’xi mod ieħor wieħed jagħmel disponibbli, ta’ waħda mill-għodod li ġejjin, mingħajr dritt u bl-intenzjoni li tintuża biex isir kwalunkwe reat imsemmi fl-Artikoli 3 sa 6, huma punibbli bħala reati kriminali, għall-inqas għal każijiet li mhumiex minuri:
(a)
programm tal-kompjuter, imfassal jew adattat primarjament għall-iskop li jsir kwalunkwe reat msemmi fl-Artikoli 3 sa 6;
(b)
password tal-kompjuter, kodiċi għall-aċċess, jew data simili li biha wieħed ikun jista’ jaċċedi għal sistema tal-informazzjoni jew għal kwalunkwe parti minnha.
Artikolu 8
L-inċitament, l-għajnuna u assistenza u t-tentattiv
1. L-Istati Membri għandhom jiżguraw li l-inċitament, l-għajnuna u l-assistenza biex isir reat imsemmi fl-Artikoli 3 sa 7 jkunu punibbli bħala reat kriminali.
2. L-Istati Membri għandhom jiżguraw li t-tentattiv biex isir reat imsemmi fl-Artikoli 4 u 5 jkun punibbli bħala reat kriminali.
Artikolu 9
Pieni
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li r-reati msemmija fl-Artikoli 3 sa 8 jkunu punibbli b’pieni kriminali effettivi, proporzjonati u dissważivi.
2. L-Istati Membri għandhom jieħdu l-passi meħtieġa biex jiżguraw li r-reati msemmijin fl-Artikoli 3 sa 7 jkunu punibbli b’ terminu ta’ priġuneria massimu ta’ mill-inqas sentejn, għall-inqas għal każijiet li mhumiex minuri.
3. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li r-reati msemmija fl-Artikoli 4 u 5, meta mwettqa intenzjonalment, ikunu punibbli b’terminu ta’ priġuneria massimu ta’ mill-inqas tliet snin fejn ikunu ġew affettwati għadd sostanzjali ta’ sistemi tal-informazzjoni permezz tal-użu ta’ għodda, imsemmija fl-Artikolu 7, imfassla jew adattata primarjament għal dak l-iskop..
4. L-Istati Membri għandhom jieħdu l-passi meħtieġa biex jiżguraw li r-reati msemmijin fl-Artikoli 4 sa 5 jkunu punibbli b’ terminu ta’ priġuneria massimu ta’ mill-inqas ħames snin fejn:
(a)
isiru fil-qafas ta’ organizzazzjoni kriminali, kif definita fid-Deċiżjoni Qafas 2008/841/ĠAI, irrispettivament tal-livell ta’ pieni prevista, jew
(b)
jikkawżaw dannu serju, jew
(c)
isiru kontra sistema ta’ informazzjoni li tifforma parti minn infrastruttura kritika.
5. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li meta r-reati msemmijin fl-Artikoli 4 u 5 jsiru bl-użu skorrett tad-data personali ta’ persuna oħra, bl-għan li tinkiseb il-fiduċja ta’ parti terza, u b’hekk jiġi kkaġunat dannu għall-identità tas-sid leġittimu, dan jista’, skont id-dispożizzjonijiet rilevanti tal-liġi nazzjonali, jitqies bħala ċirkostanzi aggravanti, sakemm dawk iċ-ċirkostanzi ma jkunux diġà koperti minn reat ieħor, punibbli taħt il-liġi nazzjonali.
Artikolu 10
Responsabbiltà tal-persuni ġuridiċi
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li l-persuni ġuridiċi jistgħu jinżammu responsabbli għar-reati msemmija fl-Artikoli 3 sa 8, li jkunu saru għall-benefiċċju tagħhom minn kwalunkwe persuna, li taġixxi jew waħedha jew bħala parti mill-korp tal-persuna ġuridika, li għandha pożizzjoni ta’ tmexxija fi ħdan il-persuna ġuridika, fuq il-bażi ta’ waħda minn dawn li ġejjin:
(a)
is-setgħa ta’ rappreżentanza tal-persuna ġuridika;
(b)
awtorità li tieħu deċiżjonijiet f’isem il-persuna ġuridika;
(c)
awtorità li teżerċita kontroll fi ħdan il-persuna ġuridika.
2. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li persuni ġuridiċi jistgħu jinstabu responsabbli fejn in-nuqqas ta’ sorveljanza jew kontroll minn xi persuna msemmija fil-paragrafu 1 tkun ippermettiet, minn persuna taħt l-awtorità tagħha, xi wieħed mir-reati msemmija fl-Artikoli 3 sa 8 għall-benefiċċju ta’ dik il-persuna ġuridika.
3. Ir-responsabbiltà tal-persuni ġuridiċi taħt il-paragrafi 1 u 2 m’għandhiex teskludi l-proċedimenti kriminali kontra l-persuni fiżiċi li jagħmlu, jinċitaw, jew li jkunu kompliċi f’xi wieħed mir-reati msemmija fl-Artikoli 3 sa 8.
Artikolu 11
Sanzjonijiet kontra persuni ġuridiċi
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li persuna ġuridika miżmuma responsabbli taħt l-Artikolu 10(1) tkun punibbli b’sanzjonijiet effettivi, proporzjonati u dissważivi, li għandhom jinkludu multi kriminali jew mhux kriminali u li jistgħu jinkludu sanzjonijiet oħra, bħal:
(a)
l-esklużjoni mid-dritt għal benefiċċji pubbliċi jew għajnuna pubblika;
(b)
l-iskwalifika temporanja jew permanenti mill-prattika ta’ attivitajiet kummerċjali;
(c)
it-tqegħid taħt is-sorveljanza tal-qorti;
(d)
l-istralċ ġudizzjarju;
(e)
l-għeluq temporanju jew permanenti ta’ stabbilimenti li setgħu ntużaw biex isir ir-reat.
2. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li persuna ġuridika miżmuma responsabbli taħt l-Artikolu 10(2) tkun punibbli b’pieni effettivi, proporzjonati u dissważivi jew miżuri oħra.
Artikolu 12
Ġurisdizzjoni
1. L-Istati Membri għandhom jistabbilixxu l-ġurisdizzjoni tagħhom fir-rigward tar-reati msemmija fl-Artikoli 3 sa 8 fejn ir-reat ikun sar:
(a)
interament jew parzjalment ġewwa t-territorju tagħhom; jew
(b)
minn wieħed miċ-ċittadini tagħhom, għall-inqas f’każijiet fejn l-att huwa reat kriminali fil-post fejn ikun sar.
2. Meta jistabbilixxi l-ġurisdizzjoni f’konformità mal-punt (a) tal-paragrafu 1, Stat Membru għandu jiżgura li għandu ġurisdizzjoni fejn:
(a)
it-trasgressur jagħmel ir-reat meta jkun fiżikament preżenti fit-territorju tiegħu, kemm jekk ir-reat ikun kontra sistema tal-informazzjoni fit-territorju tiegħu kif ukoll jekk le; jew
(b)
ir-reat ikun kontra sistema tal-informazzjoni fit-territorju tiegħu, kemm jekk it-trasgressur jagħmel ir-reat meta jkun fiżikament preżenti fit-territorju tiegħu kif ukoll jekk le.
3. Stat Membru għandu jinforma lill-Kummissjoni fejn jiddeċiedi li jistabbilixxi ġurisdizzjoni ulterjuri dwar reat imsemmi fl-Artikoli 3 sa 8 li sar barra mit-territorju tiegħu, inkluż fejn:
(a)
ir-residenza abitwali tat-trasgressur tinsab fit-territorju tiegħu; jew
(b)
ir-reat ikun sar għall-benefiċċju ta’ persuna ġuridika stabbilita fit-territorju.
Artikolu 13
Skambju ta’ informazzjoni
1. Għall-finijiet tal-iskambju ta’ informazzjoni dwar ir-reati msemmija fl-Artikoli 3 sa 8, l-Istati Membri għandhom jiżguraw li jkollhom punt ta’ kuntatt nazzjonali operattiv u jagħmlu użu min-netwerk eżistenti ta’ punti ta’ kuntatt operattivi li jkunu disponibbli 24 siegħa kuljum u sebat ijiem fil-ġimgħa. L-Istati Membri għandhom jiżguraw ukoll li jkollhom proċeduri fis-seħħ sabiex meta jkun hemm talbiet urġenti għall-għajnuna, l-awtorita’ kompetenti tindika f’massimu ta’ tmien sigħat mir-riċezzjon, għall-inqas jekk hux ser ikun hemm tweġiba għat-talba, kif ukoll il-forma u ż-żmien stmat għal tali tweġiba.
2. L-Istati Membri għandhom jinfurmaw lill-Kummissjoni bil-punt ta’ kuntatt mill-paragrafu 1. Il-Kummissjoni għandha tibgħat dik l-informazzjoni lill-Istati Membri l-oħrajn u lill-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti.
3. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li jkunu disponibbli kanali adegwati ta’ rappurtar sabiex ikun iffaċilitat ir-rappurtar tar-reati msemmijin fl-Artikoli 3 sa 6 lill-awtoritajiet nazzjonali kompetenti mingħajr dewmien bla bżonn.
Artikolu 14
Monitoraġġ u statistika
1. L-Istati Membri għandhom jiżguraw li tkun stabbilita sistema għar-reġistrazzjoni, il-produzzjoni u l-għoti ta’ data statistika dwar ir-reati msemmija fl-Artikoli 3 sa 7.
2. Id-data statistika msemmija fil-paragrafu 1 għandha, bħala minimu, tkopri data eżistenti dwar l-għadd ta’ reati msemmijin fl-Artikoli 3 sa 7 rreġistrati mill-Istati Membri, u l-għadd ta’ persuni, imħarrka u li nstabu ħatja fir-rigward tar-reati msemmijin fl-Artikoli 3 sa 7.
3. L-Istati Membri għandhom jibagħtu d-data miġbura taħt dan l-Artikolu lill-Kummissjoni. Il-Kummissjoni għandha tiżgura li tiġi ppubblikata reviżjoni konsolidata tar-rapporti statistiċi u li din tiġi ppreżentata lill-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti.
Artikolu 15
Sostituzzjoni tad-Deċiżjoni Qafas 2005/222/ĠAI
Id-Deċizjoni Qafas 2005/222/ĠAI hija b’dan sostitwita fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva, mingħajr preġudizzju għall-obbligi tal-Istati Membri relatati mal-limitu ta’ żmien għat-traspożizzjoni tad-Deċizjoni Qafas fil-liġi nazzjonali.
Fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva, ir-referenzi għad-Deċiżjoni Qafas 2005/222/ĠAI għandhom jiġu interpretati bħala referenzi għal din id-Direttiva.
Artikolu 16
Traspożizzjoni
1. L-Istati Membri għandhom idaħħlu fis-seħħ il-liġijiet, ir-regolamenti u d-dispożizzjonijiet amministrattivi meħtieġa sabiex jikkonformaw ma’ din id-Direttiva sal-4 ta’ Settembru 2015.
2. L-Istati Membri għandhom jittrasmettu lill-Kummissjoni t-test tal-miżuri li jittrasponu fil-liġijiet nazzjonali tagħhom l-obbligi imposti fuqhom taħt din id-Direttiva.
3. Meta l-Istati Membri jadottaw dawk il-miżuri, dawn għandhom jinkludu referenza għal din id-Direttiva jew għandhom ikunu akkumpanjati b’tali referenza fl-okkażjoni tal-pubblikazzjoni uffiċjali tagħhom. Il-metodi kif issir tali referenza għandhom jigu stabbiliti mill-Istati Membri.
Artikolu 17
Rappurtar
Il-Kummisjoni għandha, sal-4 ta’ Settembru 2017, tippreżenta rapport lill-Parlament Ewropew u lill-Kunsill, li jivvaluta kemm l-Istati Membri ħadu l-miżuri meħtieġa sabiex jikkonformaw ma’ din id-Direttiva, akkumpanjat, jekk meħtieġ, bi proposti leġislattivi. Il-Kummissjoni għandha wkoll tqis l-iżviluppi tekniċi u legali fil-qasam taċ-ċiberkriminalità, partikolarment fir-rigward tal-kamp ta’ applikazzjoni ta’ din id-Direttiva.
Artikolu 18
Dħul fis-seħħ
Din id-Direttiva għandha tidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tagħha f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.
Artikolu 19
Indirizzati
Din id-Direttiva hija indirizzata lill-Istati Membri f’konformità mat-Trattati.
Magħmul fi Brussell, it-12 ta’ Awwissu 2013.