Stutta svarið
Það getur verið refsivert að komast í heimildarleysi inn á tölvupóst, samfélagsmiðlareikning, skýjageymslu, símaafrit, gagnagrunn eða annað tölvukerfi og fá þar aðgang að gögnum eða forritum annarra. Samkvæmt getur brotið varðað sektum eða fangelsi allt að einu ári.
Það þarf ekki endilega að brjóta upp tæknilega vörn. Rétt lykilorð, virkur innskráningarlykill eða aðgangur sem vinnuveitandi hefur útvegað svarar ekki einn og sér spurningunni um heimild. Meginatriðið er hvort viðkomandi mátti nota aðganginn í þessum tilgangi, að þessum gögnum og á þessum tíma. Það skiptir því meira máli hvað notandinn mátti gera en hvort kerfið hleypti honum tæknilega inn.
Á hinn bóginn er ekki hver rangur smellur, hvert brot á notendaskilmálum eða óljóst ágreiningsefni um sameiginlegan reikning sjálfkrafa hegningarlagabrot. Ákæruvaldið þarf meðal annars að sanna heimildarleysi og ásetning. Aðrar reglur geta bæst við ef gögn eru afrituð, birt, skemmd eða notuð til svika.
Hvað þarf almennt að vera sannað?
Orðalag 229. gr. er stutt en hvert atriði þess skiptir máli:
„Hver sem í heimildarleysi verður sér úti um aðgang að gögnum eða forritum annarra sem geymd eru á tölvutæku formi skal sæta sektum eða fangelsi allt að 1 ári.“
—
Ákvæðið segir ekki að gögn þurfi að vera afrituð, breytt eða birt áður en brot getur verið fullframið. Aðgangurinn sjálfur er kjarninn. Hvað telst aðgangur og hvenær brotið telst fullframið ræðst þó af atvikum og sönnun í hverju máli.
Rétt lykilorð er ekki það sama og lögmæt heimild
Maður getur fengið rétt lykilorð með samþykki, fundið það í vafra, þekkt það frá fyrra sambandi eða fengið það vegna starfs. Það segir aðeins hvernig hann komst inn, ekki hvort honum var heimilt að gera það.
Algeng álitaefni eru þessi:
- fyrrverandi maki notar lykilorð sem honum var áður treyst fyrir eftir að sambandinu og heimildinni lauk;
- starfsmaður notar lögmæt innskráningarskilríki til að skoða mál sem tengist ekki starfi hans;
- verktaki heldur áfram að nota aðgang eftir verklok;
- sá sem fær tímabundna heimild til að sækja eitt skjal skoðar önnur gögn; eða
- reikningseigandi deilir lykilorði í ákveðnum tilgangi en hinn aðilinn fer út fyrir það samþykki.
Í hafði landamæravörður tæknilegan aðgang að lögreglukerfi en fletti þar upp einstaklingum án starfstengds tilefnis. Sakfellt var fyrir brot í opinberu starfi samkvæmt 139. gr., ekki fyrir brot gegn núgildandi 229. gr. Dómurinn er því ekki fordæmi um öll skilyrði 229. gr., en sýnir hvers vegna tæknileg geta til innskráningar og efnisleg heimild til uppflettingar eru tvö ólík atriði.
Hvað með sameiginleg tæki, hjón og fyrrverandi sambönd?
Það að tveir noti sama síma eða tölvu veitir ekki sjálfkrafa gagnkvæman aðgang að öllum einkareikningum. Sama gildir þótt vafri hafi vistað lykilorð eða reikningur sé enn opinn. Meta þarf hvað reikningseigandi samþykkti, í hvaða tilgangi og hvort samþykkið var enn í gildi.
Heimild getur verið skýr, til dæmis skriflegt umboð til að sjá um ákveðinn fyrirtækjareikning. Hún getur einnig ráðist af aðstæðum, en óljós samskipti eru ekki örugg forsenda fyrir því að lesa einkaskilaboð. Fyrra samþykki er ekki ótímabundið og heimild til að senda skilaboð fyrir annan felur ekki endilega í sér heimild til að lesa allan feril hans eða sækja afrit gagna.
Eigandi reiknings getur afturkallað heimild. Ef hinn aðilinn veit af afturkölluninni en heldur samt áfram að skrá sig inn verður heimildarleysið skýrara. Ágreiningur um eignarhald tækis eða greiðslu áskriftar leysir ekki sjálfkrafa úr því hver má skoða gögnin.
Slys, tilraun og brot á notendaskilmálum
Hegningarlög gera almennt kröfu um ásetning nema sérstök heimild sé til að refsa fyrir gáleysi. Slík gáleysisheimild kemur ekki fram í 229. gr., sbr. .
Ef rangur reikningur opnast fyrir mistök og notandinn lokar honum þegar í stað skortir því almennt þann ásetning sem þarf. Haldi hann hins vegar áfram að leita, lesa eða safna gögnum eftir að honum er ljóst að reikningurinn er annars manns getur matið breyst.
Misheppnuð innskráning útilokar ekki alltaf refsiábyrgð. Samkvæmt getur tilraun verið refsiverð þegar maður hefur tekið ákvörðun um brot og sýnt þann ásetning ótvírætt í verki sem miðar að framkvæmd þess. Almenn forvitni eða hugsun um að prófa lykilorð er ekki það sama og slík framkvæmdartilraun.
Brot á notendaskilmálum vefþjónustu er heldur ekki eitt og sér sjálfkrafa brot gegn 229. gr. Skilmálarnir geta verið sönnun um mörk heimildar, en áfram þarf að sýna fram á öll skilyrði refsiákvæðisins. Smávægileg frávik frá skilmálum verða því ekki refsiverð aðeins vegna þess að þjónustuveitandi kallar þau „óheimil“.
Þegar aðganginum fylgir lestur, afritun eða birting
Óheimill aðgangur og meðferð upplýsinganna eftir innskráningu eru aðskilin álitaefni. Háttsemin getur fallið undir fleiri en eitt ákvæði:
Samkvæmt getur meðal annars verið refsivert að hnýsast í, afla, afrita, sýna, birta eða dreifa í heimildarleysi efni um einkamálefni annars, enda sé háttsemin til þess fallin að valda brotaþola tjóni. Því er rangt að ætla að engin refsiábyrgð komi til greina af því að aðgangurinn skildi ekki eftir sýnilega breytingu á gögnunum.
Undantekning vegna almanna- eða einkahagsmuna
Önnur málsgrein 229. gr. tekur fram að ákvæðið eigi ekki við þegar háttsemin er réttlætanleg með vísan til almanna- eða einkahagsmuna. Þetta er matskennd undantekning, ekki almenn heimild til að fara inn á reikning af því að málefnið virðist mikilvægt eða forvitnilegt.
Í var til rannsóknar hvort blaðamaður hefði ásamt öðrum afritað síma sem þriðji maður hafði tekið. Blaðamaðurinn vísaði meðal annars til almannahagsmuna og verndar heimildarmanna. Landsréttur leysti ekki úr sekt eða því hvort undanþágan ætti við; niðurstaðan var að dómstólar gætu ekki stöðvað rannsóknina af þessum efnislegu ástæðum á því stigi.
„Ákvæði 1. mgr. á ekki við þegar háttsemin er réttlætanleg með vísan til almanna- eða einkahagsmuna.“
—
Við matið geta skipt máli eðli upplýsinganna, tilgangur aðgangsins, hvort vægari leið var fær, umfang gagnanna og réttindi þess sem þau varða. Sá sem hyggst styðjast við undantekninguna ætti að fá lögfræðilega ráðgjöf áður en hann aflar sér aðgangs; eigið mat hans tryggir ekki refsileysi.
Hvað á að gera ef grunur vaknar um óheimilan aðgang?
- Varðveita þarf ummerki. Taka þarf skjáskot af öryggistilkynningum, skrá tíma og tæki og vista tölvubréf frá þjónustunni áður en upplýsingarnar hverfa.
- Tryggja þarf reikninginn úr öruggu tæki. Breyta þarf lykilorði, skrá öll önnur virk tæki út, endurnýja endurheimtarkóða og kveikja á fjölþáttaauðkenningu.
- Tilkynna þarf þjónustuveitanda eða kerfisstjóra. Biðja þarf um að aðgangsskrár og önnur tímabundin gögn verði varðveitt. Ekki reyna að brjótast inn í reikning hins aðilans á móti.
- Kanna þarf umfangið. Athuga þarf hvort einkagögn hafi verið lesin, afrituð, birt, breytt eða notuð í viðskiptum. Það getur kallað á fleiri viðbrögð en lykilorðsbreytingu.
- Leita þarf aðstoðar. Ef grunur er um refsivert brot má bera málið undir lögreglu. Fyrirtæki ætti jafnframt að virkja öryggis- og persónuverndarferla sína og varðveita frumgögn á óbreyttu formi.
Ekki eyða tækjum, skilaboðum eða aðgangsskrám áður en afrit hefur verið tryggt. Tæknigögn geta ráðið úrslitum um hver skráði sig inn, hvenær, hvaðan og hvað var gert eftir innskráningu.
Niðurstaða
Óheimill aðgangur verður ekki aðeins að refsiverðu tölvubroti þegar flókin innbrotsforrit eru notuð. Núgildandi 229. gr. beinist að því að verða sér í heimildarleysi úti um aðgang að tölvutækum gögnum eða forritum annarra. Rétt lykilorð, sameiginlegt tæki eða tæknileg starfsheimild útilokar því ekki brotið ef efnisleg heimild vantar.
Samt þarf að sanna ásetning og önnur skilyrði ákvæðisins. Mistök eða hvert samningsbrot eru ekki sjálfkrafa refsiverð. Ef gögn eru jafnframt skoðuð, afrituð, birt, eyðilögð eða notuð til ávinnings geta fleiri refsiákvæði átt við. Varðveisla aðgangsskráa og skýr afmörkun samþykkis eru því oft lykilatriði í mati á því hvað raunverulega gerðist.
Heimildir
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.