Directiva 2013/40/UE/12-aug-2013 privind atacurile împotriva sistemelor informatice şi de înlocuire a Deciziei-cadru 2005/222/JAI a Consiliului

Acte UE

Jurnalul Oficial 218L

În vigoare

Versiune de la: 14 August 2013

Dată act: 12-aug-2013

Emitent: Consiliul Uniunii Europene;Parlamentul European

(1)Obiectivele prezentei directive constau în armonizarea sistemelor de drept penal ale statelor membre în ceea ce priveşte atacurile împotriva sistemelor informatice, prin instituirea unor norme minime privind definirea infracţiunilor şi a sancţiunilor relevante, precum şi de a îmbunătăţi cooperarea dintre autorităţile competente, inclusiv poliţia şi alte servicii specializate de aplicare a legii din statele membre, precum şi agenţiile şi organismele specializate competente ale Uniunii, cum ar fi Eurojust, Europol şi Centrul european de combatere a criminalităţii informatice şi Agenţia Uniunii Europene pentru Securitatea Reţelelor şi a Informaţiilor (ENISA).

(2)Sistemele informatice reprezintă un element esenţial al interacţiunii politice, sociale şi economice din Uniune. Societatea este deja foarte dependentă de aceste sisteme, fenomenul fiind în creştere. Buna funcţionare şi securitatea acestor sisteme în Uniune sunt vitale pentru dezvoltarea pieţei interne şi a unei economii competitive şi inovatoare. Asigurarea unui nivel adecvat de protecţie a sistemelor informatice ar trebui să facă parte dintr-un cadru cuprinzător şi eficace de măsuri de prevenţie care să completeze măsurile prevăzute de drept penal ca răspuns la criminalitatea informatică.

(3)Atacurile împotriva sistemelor informatice, în special cele care au legătură cu criminalitatea organizată, constituie o ameninţare din ce în ce mai mare, atât la nivelul Uniunii, cât şi la nivel mondial, şi se manifestă o îngrijorare crescândă în faţa posibilităţii de atacuri teroriste sau motivate politic împotriva sistemelor informatice care fac parte din infrastructura critică a statelor membre şi a Uniunii. Această situaţie reprezintă o ameninţare la adresa creării unei societăţi informaţionale mai sigure şi a unui spaţiu de libertate, securitate şi justiţie, necesitând, prin urmare, o reacţie la nivelul Uniunii, precum şi o mai bună cooperare şi coordonare la nivel internaţional.

(4)Există un număr de infrastructuri critice în Uniune a căror perturbare sau distrugere ar avea un impact transfrontalier semnificativ. Nevoia de a spori capacitatea de protecţie a infrastructurilor critice în Uniune evidenţiază necesitatea de a completa măsurile de combatere a atacurilor informatice prin sancţiuni penale severe care să reflecte gravitatea unor astfel de atacuri. Prin „infrastructură critică" se poate înţelege un element, un sistem sau o componentă a acestuia aflată pe teritoriul statelor membre, care este esenţială pentru menţinerea funcţiilor societale vitale, a sănătăţii, siguranţei, securităţii, bunăstării sociale sau economice, precum centralele electrice, reţelele de transport şi reţelele guvernamentale, şi a căror perturbare sau distrugere ar avea un impact semnificativ într-un stat membru ca urmare a incapacităţii de a menţine respectivele funcţii.

(5)Există dovezi în privinţa tendinţei producerii unor atacuri la scară largă tot mai periculoase şi recurente împotriva sistemelor informatice care, adesea, pot fi esenţiale pentru state sau pentru funcţii specifice din sectorul public sau privat. În paralel cu această tendinţă, se dezvoltă metode tot mai sofisticate, cum ar fi crearea şi utilizarea aşa- numitelor botneturi, care presupune etape succesive ale unei fapte penale, fiecare etapă prezentând un risc importante pentru interesele publice. Prezenta directivă vizează, printre altele, introducerea unor sancţiuni penale pentru etapa de creare de botneturi, şi anume etapa în care se stabileşte controlul la distanţă asupra unui număr semnificativ de calculatoare prin instalarea unor programe maliţioase, prin atacuri informatice dirijate. O dată creată, reţeaua de calculatoare infectate care alcătuieşte botnetul poate fi activată fără ştiinţa utilizatorilor calculatoarelor, pentru a lansa un atac informatic la scară largă, care în mod obişnuit are capacitatea să producă prejudicii grave, astfel cum sunt menţionate în prezenta directivă. Statele membre pot să determine ceea ce reprezintă pagubă gravă, conform dreptului şi practicilor interne proprii, precum întreruperea serviciilor aferente unor sisteme de importanţă publică semnificativă, sau care generează costuri financiare majore sau pierderea de date cu caracter personal sau de informaţii sensibile.

(6)Atacurile cibernetice la scară largă pot provoca daune economice importante atât prin întreruperea funcţionării sistemelor informatice şi a comunicaţiilor, cât şi prin pierderea sau modificarea unor informaţii confidenţiale importante din punct de vedere comercial sau a altor tipuri de date. Ar trebui acordată atenţie deosebită acţiunilor de sensibilizare a întreprinderilor mici şi mijlocii inovatoare în privinţa ameninţărilor în legătură cu astfel de atacuri şi vulnerabilităţii acestora la acest tip de atacuri, având în vedere faptul că acestea sunt într-o tot mai mare măsură dependente de funcţionarea corespunzătoare şi de disponibilitatea sistemelor informatice, precum şi faptul că resursele acestora destinate securităţii informatice sunt limitate.

(11)Prezenta directivă prevede sancţiuni penale cel puţin atunci când nu reprezintă un caz minor. Statele membre pot să determine ceea ce reprezintă un caz minor conform dreptului şi practicilor interne proprii. Un caz poate fi considerat minor, de exemplu, în situaţiile în care prejudiciile cauzate de infracţiune şi/sau riscul la adresa intereselor publice sau private, de exemplu la adresa integrităţii sistemului informatic sau a datelor informatice, sau la adresa integrităţii, drepturilor şi intereselor unei persoane, este nesemnificativ sau de aşa natură încât aplicarea unei sancţiuni penale în cadrul limitelor legale sau angajarea răspunderii penale nu este necesară.

(12)Identificarea şi denunţarea ameninţărilor de atacuri informatice şi vulnerabilităţii conexe ale sistemelor informatice reprezintă un element pertinent al unei prevenţii şi reacţii eficace la atacurile informatice şi al îmbunătăţirii securităţii sistemelor informatice. Oferirea de stimulente pentru denunţarea lacunelor de securitate ar putea contribui în acest sens. Statele membre ar trebui să facă eforturi în direcţia oferirii de oportunităţi pentru detectarea şi denunţarea pe cale legală a lacunelor de securitate.

(13)Este necesar să se prevadă sancţiuni mai severe în cazul comiterii unui atac împotriva unui sistem informatic de către o organizaţie criminală, astfel cum este definită în Decizia-cadru 2008/841/JAI a Consiliului din 24 octombrie 2008 privind lupta împotriva crimei organizate (¹), sau în cazul în care atacul este desfăşurat la scară largă, afectând astfel un număr semnificativ de sisteme informatice, inclusiv în cazul în care atacul vizează crearea unui botnet, sau în cazul în care atacul provoacă prejudicii grave, inclusiv în cazul în care este desfăşurat prin intermediul unui botnet. Este necesar să se prevadă sancţiuni mai severe în cazul în care atacul este săvârşit împotriva unei infrastructuri critice a unui stat membru sau a Uniunii.

(15)În concluziile sale din 27-28 noiembrie 2008, Consiliul a invitat statele membre şi Comisia să elaboreze o nouă strategie, ţinând cont de conţinutul Convenţiei Consiliului Europei privind criminalitatea informatică din 2001. Această convenţie constituie cadrul juridic de referinţă în materie de combatere a criminalităţii informatice, inclusiv a atacurilor împotriva sistemelor informatice. Prezenta directivă se bazează pe convenţia menţionată anterior. Prin urmare, finalizarea procesului de ratificare a convenţiei de către toate statele membre cât mai curând posibil ar trebui să reprezinte o prioritate.

(16)Având în vedere modurile diferite în care pot fi efectuate atacurile şi evoluţia rapidă în materie de hardware şi software, prezenta directivă face trimitere la „instrumente" care pot fi utilizate în scopul comiterii infracţiunilor prevăzute în prezenta directivă. Instrumentele respective ar putea să reprezinte, de exemplu, programe maliţioase, inclusiv cele capabile să creeze botneturi, utilizate pentru a comite atacuri informatice. Chiar în cazul în care un astfel de instrument este adecvat sau deosebit de adecvat comiterii uneia dintre infracţiunile prevăzute în prezenta directivă, este posibil ca acesta să fi fost produs în scopuri legitime. Motivată de necesitatea de a evita incriminarea, în cazul în care astfel de instrumente sunt produse şi introduse pe piaţă în scopuri legitime, cum ar fi pentru a testa fiabilitatea unor produse de tehnologia informaţiei sau a securităţii sistemelor informatice, în afară de cerinţa privind intenţia generală, trebuie să fie îndeplinită şi cerinţa privind intenţia directă de a utiliza respectivele instrumente pentru a săvârşi una sau mai multe dintre infracţiunile prevăzute în prezenta directivă.

(17)Prezenta directivă nu impune răspundere penală în cazul în care criteriile obiective ale infracţiunilor prevăzute în prezenta directivă sunt îndeplinite, însă acţiunile sunt săvârşite fără intenţia de a săvârşi o infracţiune, cum ar fi în cazurile în care o persoană nu cunoaşte faptul că accesul nu este autorizat, sau în cazul testării sau protejării autorizate a sistemelor informatice, de exemplu, atunci când o societate sau un vânzător atribuie unei persoane sarcina de a testa fiabilitatea sistemului său de securitate. În contextul prezentei directive, obligaţiile contractuale sau acordurile de restricţionare a accesului la sisteme informatice prin intermediul unei politici privind utilizatorii sau al unor condiţii de utilizare a serviciului, precum şi litigiile de muncă privind accesul la sistemele informatice şi utilizarea acestora în scopuri personale de către un angajat, nu ar trebui să angajeze răspunderea penală, în cazurile în care accesul, în circumstanţe de acest tip, ar fi considerat neautorizat, acesta constituind unicul temei pentru demararea procedurilor penale. Prezenta directivă nu aduce atingere dreptului de acces la informaţii, astfel cum este prevăzut în legislaţia naţională şi în legislaţia Uniunii, însă în acelaşi timp nu serveşte ca o justificare pentru accesul ilegal şi arbitrar la informaţii.

(19)Statele membre ar trebui să introducă dispoziţii privind circumstanţele agravante în legislaţia lor naţională în conformitate cu normele aplicabile privind circumstanţele agravante prevăzute în sistemul lor juridic. Statele membre ar trebui să se asigure că aceste circumstanţe agravante sunt puse la dispoziţia judecătorilor pentru a putea ţine seama de acestea la condamnarea autorilor infracţiunilor. Rămâne la latitudinea judecătorului să evalueze aceste circumstanţe împreună cu alte elemente factuale ale cazului analizat.

(22)Prezenta directivă întăreşte importanţa reţelelor, cum ar fi reţeaua de puncte de contact, disponibile 24 de ore din 24 şi şapte zile din şapte, a Consiliul Europei sau a G8. Aceste puncte de contact ar trebui să fie capabile să ofere o asistenţă eficace, facilitând, printre altele, schimbul de informaţii relevante disponibile sau oferirea de consiliere tehnică sau de informaţii juridice necesare cercetărilor sau procedurilor privind infracţiuni legate de sisteme informatice şi datele conexe care îl privesc pe statul membru solicitant. În vederea asigurării unei bune funcţionări a acestor reţele, fiecare punct de contact ar trebui să aibă capacitatea de a comunica cu punctul de contact al altui stat membru în mod rapid, cu sprijinul, printre altele, al unui personal format şi dotat cu echipamentele necesare. Având în vedere viteza cu care pot fi realizate atacurile informatice la scară largă, statele membre ar trebui să fie în măsură să răspundă prompt la cererile urgente adresate de această reţea de puncte de contact. În astfel de cazuri, ar putea fi oportun ca cererea de informaţii să fie însoţită de un contact telefonic pentru a asigura o prelucrare rapidă a acesteia de către statul membru solicitat şi trimiterea unui răspuns în termen de opt ore.

(23)Cooperarea dintre autorităţile publice, pe de o parte, şi sectorul privat şi societatea civilă, pe de altă parte, prezintă o mare importanţă pentru prevenirea şi combaterea atacurilor împotriva sistemelor informatice. Se impune să fie favorizată şi îmbunătăţită cooperarea dintre prestatori de servicii, producători, organe de aplicare a legii şi autorităţi judiciare, respectând pe deplin statul de drept. Această cooperare ar putea să includă sprijinul din partea prestatorilor de servicii în efortul de a păstra eventuale probe, de a furniza elemente pentru identificarea autorilor infracţiunilor şi, în ultimă instanţă, de a închide, complet sau parţial, în conformitate cu dreptul şi practicile naţionale, sistemele informatice sau funcţiile care au fost compromise sau utilizate în scopuri ilegale. Statele membre ar trebui, de asemenea, să aibă în vedere înfiinţarea unor reţele de cooperare şi parteneriat cu prestatorii şi producătorii de servicii pentru schimbul de informaţii în legătură cu infracţiunile care fac obiectul prezentei directive.

(24)Este necesar să se culeagă date comparabile privind infracţiunile prevăzute în prezenta directivă. Datele relevante ar trebui puse la dispoziţia agenţiilor şi organismelor specializate competente ale Uniunii, cum ar fi Europol şi ENISA, în conformitate cu atribuţiile şi necesităţile informaţionale ale acestora, pentru a se obţine o imagine mai completă a criminalităţii informatice şi a securităţii informatice şi a reţelelor la nivelul Uniunii şi a se contribui, astfel, la formularea unor reacţii mai eficace. Statele membre ar trebui să transmită, de asemenea, Europolului şi Centrului european de combatere a criminalităţii informatice informaţii privind modul de operare al autorilor, în scopul efectuării unor evaluări ale ameninţărilor şi a unor analize strategice ale criminalităţii informatice în conformitate cu Decizia 2009/371/JAI a Consiliului din 6 aprilie 2009 privind înfiinţarea Oficiului European de Poliţie (Europol) (¹). Transmiterea informaţiilor poate facilita o mai bună înţelegere a ameninţărilor prezente şi viitoare, contribuind astfel la un proces decizional mai adecvat şi mai precis în ceea ce priveşte prevenirea şi combaterea atacurilor împotriva sistemelor informatice.

(25)Comisia ar trebui să prezinte un raport privind aplicarea prezentei directive şi propunerile legislative necesare, care pot conduce la extinderea domeniului său de aplicare, ţinând seama de evoluţiile din domeniul criminalităţii informatice. Aceste evoluţii ar putea include şi evoluţiile tehnologice care permit, de exemplu, o asigurare mai eficientă a respectării dispoziţiilor în domeniul atacurilor împotriva sistemelor informatice, care facilitează prevenirea atacurilor sau care minimizează impactul acestora. În acest scop, Comisia ar trebui să ţină seama de analizele şi de rapoartele disponibile produse de factorii implicaţi relevanţi, în special de Europol şi de ENISA.

(26)Pentru a combate în mod eficient criminalitatea informatică, se impune să fie sporită rezistenţa sistemelor informatice prin adoptarea unor măsuri corespunzătoare pentru a asigura o protecţie mai eficace a acestora împotriva atacurilor informatice. Statele membre ar trebui să ia măsurile necesare în vederea protejării sistemelor informatice care fac parte din infrastructura critică împotriva atacurilor informatice, în cadrul a ceea ce ar trebui să reprezinte protecţia sistemelor lor informatice şi a datelor conexe. Asigurarea unui nivel adecvat de protecţie şi de securitate a sistemelor informatice de către persoanele juridice, de exemplu, în legătură cu prestarea de servicii de comunicaţii electronice publice în conformitate cu legislaţia Uniunii existentă în materie de confidenţialitate şi de protecţie ale datelor şi comunicaţiilor electronice, constituie o parte esenţială a unei abordări cuprinzătoare pentru combaterea eficace a criminalităţii informatice. Ar trebui să se garanteze un nivel de protecţie adecvat împotriva ameninţărilor şi vulnerabilităţilor care pot fi identificate în mod rezonabil, în conformitate cu progresele tehnologice, pentru sectoarele specifice şi situaţiile specifice de prelucrare a datelor. Costurile şi obligaţiile asumate pentru această protecţie ar trebui să fie proporţionale cu eventualele prejudicii provocate celor afectaţi de un atac informatic. Statele membre sunt încurajate să prevadă în legislaţia lor naţională măsurile de stabilire a responsabilităţilor în cazurile în care o persoană juridică nu a asigurat, în mod vădit, un nivel adecvat de protecţie împotriva atacurilor informatice.

(27)Lacunele şi diferenţele considerabile existente în legislaţiile statelor membre şi în procedurile penale în domeniul atacurilor împotriva sistemelor informatice pot crea obstacole în calea luptei împotriva criminalităţii organizate şi terorismului şi pot îngreuna desfăşurarea unei cooperări judiciare şi poliţieneşti eficace în acest domeniu. Dat fiind caracterul transnaţional, care nu ţine seama de frontiere, al sistemelor informatice moderne, atacurile împotriva acestor sisteme sunt de natură transfrontalieră, subliniind nevoia urgentă de a se face în continuare demersuri pentru armonizarea legislaţiilor penale în acest domeniu. De asemenea, coordonarea urmăririi penale în cazurile de atacuri împotriva sistemelor informatice ar trebui să fie facilitată de o punere în aplicare şi de o aplicare propriu-zisă corespunzătoare a Deciziei-cadru 2009/948/JAI a Consiliului din 30 noiembrie 2009 privind prevenirea şi soluţionarea conflictelor referitoare la exercitarea competenţei în cadrul procedurilor penale (¹). Statele membre în cooperare cu Uniunea ar trebui, de asemenea, să urmărească ameliorarea cooperării la nivel internaţional în domeniul securităţii sistemelor, reţelelor şi datelor informatice. Ar trebui să se acorde atenţia cuvenită securităţii transferului şi stocării datelor în orice acord internaţional care implică schimbul de date.

(28)Îmbunătăţirea cooperării dintre organele competente de aplicare a legii şi autorităţile judiciare din Uniune este esenţială pentru combaterea eficientă a criminalităţii informatice. În acest context, intensificarea eforturilor în ceea ce priveşte formarea adecvată a autorităţilor competente pentru a se cunoaşte mai bine criminalitatea informatică şi efectele acesteia şi pentru a promova cooperarea şi schimbul de bune practici, de exemplu, prin intermediul agenţiilor şi organismelor specializate competente ale Uniunii, ar trebui încurajată. Astfel de formări ar trebui să îşi propună, printre altele, să sensibilizeze participanţii cu privire la diferenţele dintre sistemele juridice naţionale, posibilele provocări de ordin juridic şi tehnic întâlnite în anchetele penale şi distribuţia de competenţe între autorităţile naţionale competente.

(29)Prezenta directivă respectă drepturile omului şi libertăţile fundamentale şi principiile recunoscute în special de Carta drepturilor fundamentale a Uniunii Europene şi de Convenţia europeană pentru apărarea drepturilor omului şi a libertăţilor fundamentale, inclusiv protecţia datelor cu caracter personal, dreptul la confidenţialitate, libertatea de exprimare şi de informare, dreptul la un proces echitabil, prezumţia de nevinovăţie şi drepturile la apărare, precum şi principiile legalităţii şi proporţionalităţii infracţiunilor şi sancţiunilor penale. În special, prezenta directivă urmăreşte să asigure respectarea deplină a acestor drepturi şi principii şi trebuie pusă în aplicare în mod corespunzător.

(33)Deoarece obiectivele prezentei directive, şi anume aplicarea unor sancţiuni penale eficace, proporţionale şi disuasive în cazul atacurilor împotriva sistemelor informatice în toate statele membre şi de a îmbunătăţi şi încuraja cooperarea judiciară şi între alte autorităţi competente, nu pot fi atinse la un nivel satisfăcător de statele membre şi, în consecinţă, având în vedere amploarea sau efectele acţiunii, pot fi realizate mai bine la nivelul Uniunii, aceasta poate adopta măsuri, în conformitate cu principiul subsidiarităţii, astfel cum este prevăzut la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporţionalităţii, astfel cum este enunţat în articolul respectiv, prezenta directivă nu depăşeşte ceea ce este necesar pentru atingerea acestor obiective.

Art. 2: Definiţii

Art. 7: Instrumentele care servesc la săvârşirea infracţiunilor

Art. 9: Sancţiuni

(5)Statele membre iau măsurile necesare pentru a garanta că infracţiunile menţionate la articolele 4 şi 5, în cazurile în care sunt săvârşite prin abuzul de date cu caracter personal ale unei alte persoane, în scopul de a obţine încrederea unei terţe părţi, cauzând prejudicii prin aceasta deţinătorului de drept al identităţii, acestea, în conformitate cu legislaţia naţională, pot fi considerate circumstanţe agravante, cu excepţia cazurilor în care respectivele circumstanţe sunt încadrate la altă infracţiune sancţionată de legislaţia naţională.

Art. 10: Răspunderea persoanelor juridice

(1)Statele membre iau măsurile necesare pentru a garanta angajarea răspunderii persoanelor juridice pentru oricare dintre infracţiunile prevăzute la articolele 3-8, săvârşite în beneficiul lor de către orice persoană, acţionând fie în nume propriu, fie ca parte a unui organism al persoanei juridice şi având o funcţie de conducere în cadrul persoanei juridice, în temeiul:

Art. 11: Sancţiuni aplicabile persoanelor juridice

(1)Statele membre iau măsurile necesare pentru a garanta că oricărei persoane juridice a cărei răspundere este angajată în temeiul articolului 10 alineatul (1) i se aplică sancţiuni eficace, proporţionale şi disuasive, care includ amenzi penale sau administrative şi care pot să includă alte sancţiuni, ca de exemplu:

Art. 12: Competenţă

Art. 13: Schimbul de informaţii

(1)În scopul efectuării schimbului de informaţii referitoare la infracţiunile menţionate la articolele 3-8, statele membre se asigură că dispun de un punct de contact naţional operaţional şi că utilizează reţeaua existentă de puncte de contact operaţionale disponibile 24 de ore din 24 şi şapte zile pe săptămână. Statele membre se asigură, de asemenea, că dispun de procedurile necesare astfel încât, pentru cereri urgente de asistenţă, autoritatea competentă poate indica, în termen de cel mult opt ore de la primire, cel puţin dacă cererea va primi un răspuns, precum şi forma şi ora estimată ale acestui răspuns.

Art. 14: Monitorizare şi statistici

Art. 15: Înlocuirea Deciziei-cadru 2005/222/JAI

Art. 16: Transpunere