Digitale straffesaker gjør spørsmålet om gjerningssted vanskelig. En person kan sitte i Spania, bruke en server i Nederland, sende en melding til en norsk mottaker og få penger overført til en konto i et fjerde land.

Da er det ikke nødvendigvis meningsfullt å spørre bare hvor den siktedes datamaskin befant seg.

Straffeloven §§ 4, 5 og 7 må ofte leses sammen for å avgjøre om norsk straffelov gjelder.

§ 7 er sentral ved grenseoverskridende virkninger

Etter straffeloven § 7 anses en handling foretatt også der en inntrådt eller tilsiktet virkning har funnet sted, når straffbarheten avhenger eller påvirkes av denne virkningen.

For digitale lovbrudd kan dette være avgjørende.

Hvis et nettbedrageri er rettet mot en norsk person og den tilsiktede tapsbringende disposisjonen skal skje i Norge, kan den norske virkningen gi stedstilknytning.

Hvis noen forsøker å skaffe seg ulovlig tilgang til et datasystem i Norge, kan den tilsiktede virkningen mot det norske systemet være relevant.

Men § 7 gjelder ikke automatisk fordi Norge er «berørt».

Forarbeidene gir et viktig dataeksempel

I forarbeidene til datakriminalitetsreglene drøftet departementet nettopp handlinger som utføres fra utlandet.

Eksemplet var en person i England som fremstiller tilgangsdata med sikte på datatyveri i Norge. Selve befatningen med tilgangsdata kunne ikke nødvendigvis strafforfølges i Norge etter § 7, fordi straffbarheten for denne handlingen ikke var avhengig av at en virkning inntrådte i Norge.

Dersom grensen for forsøk på datatyveri fra et norsk datasystem var overskredet, stilte saken seg annerledes. Da kunne den tilsiktede virkningen i Norge i prinsippet gi jurisdiksjon.

Dette er et godt eksempel på hvorfor man må skille mellom forskjellige tiltalegrunnlag i samme tekniske hendelsesforløp.

Serverens plassering er ikke alltid avgjørende

I digitale saker kan man ha flere tekniske «steder»: brukerens plassering, serveren, skytjenesten, mottakerens enhet, bankkontoen og datasystemet som angripes.

Det juridiske gjerningsstedet bestemmes likevel av straffebudets vilkår og jurisdiksjonsreglene.

En tilfeldig serverplassering kan være uten betydning dersom ingen relevant strafferettslig handling eller virkning knytter seg til serverlandet.

Omvendt kan et system i Norge være så sentralt for den tilsiktede virkningen at Norge blir gjerningssted etter § 7 selv om den siktede aldri har vært her.

Nettbedrageri fra utlandet

Ved bedrageri må man blant annet se på hvordan villedelsen ble gjennomført, hvem som foretok den tapsbringende disposisjonen og hvor det relevante tapet eller tapsrisikoen oppstod.

En falsk investeringshenvendelse kan sendes fra utlandet til en person i Norge. Hvis formålet er at mottakeren her skal overføre penger, kan Norge ha en klar virkningstilknytning.

Men ikke enhver norsk bankforbindelse er nødvendigvis tilstrekkelig. Hvis to utlendinger gjennomfører et bedrageri mot hverandre i utlandet og pengene tilfeldigvis passerer en norsk betalingsformidler, må man undersøke om denne forbindelsen faktisk påvirker straffbarheten.

Digitale trusler og ytringer

Ved trusler, hatefulle ytringer eller oppfordring til straffbare handlinger kan analysen være annerledes.

Noen straffebud er utformet slik at selve fremsettelsen er kjernen. Da må man vurdere hvor handlingen etter loven anses foretatt og om en mottakelse eller annen følge i Norge er en rettslig relevant virkning.

Hvis § 7 ikke gir norsk gjerningssted, kan § 5 likevel være aktuell. § 5 første ledd nr. 11 har særskilt henvisning til oppfordring til straffbar handling etter § 183 og hatefulle ytringer etter § 185.

Dermed kan samme sak kreve analyse både av sted og av personens tilknytning til Norge.

Forsøk gjør den tilsiktede virkningen viktig

Ved digitale forsøk har det kanskje ikke oppstått noe økonomisk tap eller faktisk datainnbrudd.

§ 7 omfatter likevel også sted hvor virkningen var «tilsiktet fremkalt». Det gjør gjerningspersonens forsett geografisk relevant.

Påtalemyndigheten må kunne bevise at den aktuelle virkningen var tilsiktet i Norge. Det kan være stor forskjell mellom et målrettet angrep på et norsk system og et automatisert masseangrep mot servere i mange land.

Forsvareren bør derfor undersøke tekniske logger, adressatlister, IP-data, domener, språk, betalingsinstrukser og andre spor som kan si noe om målrettingen.

Dobbelt straffbarhet dersom § 5 brukes

Hvis handlingen ikke anses foretatt i Norge etter §§ 4 og 7, kan § 5 bli nødvendig.

Da kan krav om dobbelt straffbarhet, personkrets, strafferamme og allmenne hensyn bli avgjørende. Dette er en helt annen juridisk analyse enn om handlingen anses foretatt i Norge.

For den siktede kan derfor klassifiseringen etter § 7 få store følgevirkninger.

Digital etterforskning må ikke erstatte juridisk stedsanalyse

At politiet kan hente digitale bevis fra Norge, eller at en plattform har norske brukere, sier ikke i seg selv hvor lovbruddet er begått.

Tekniske funn må kobles til straffebudets objektive vilkår.

En god forsvarsgjennomgang bør skille mellom: – fysisk handlingssted – teknisk infrastruktur – adressat eller mål – faktisk virkning – tilsiktet virkning – stedet for økonomisk tap – eventuelle andre jurisdiksjonsgrunnlag etter § 5.

Når mange land er involvert, kan det også oppstå spørsmål om parallell etterforskning og om forholdet allerede er avgjort i utlandet etter § 8.

Det sentrale spørsmålet

I digitale straffesaker bør man unngå den upresise formuleringen «handlingen skjedde på internett». Internett er ikke et eget territorium.

Spørsmålet er hvilke handlinger som ble utført, hvilke virkninger det konkrete straffebudet gjør relevante, hvor disse inntrådte eller var tilsiktet, og hvilket lovgrunnlag som dermed gir Norge jurisdiksjon.

For den anklagede kan en grundig stedsanalyse være avgjørende for om norsk straffelov i det hele tatt kan anvendes.

Serverplassering er sjelden hele svaret

I digitale saker kan teknisk infrastruktur ligge i flere land samtidig. Det er derfor risikabelt å gjøre serverens fysiske plassering til eneste jurisdiksjonskriterium. Det rettslige spørsmålet må knyttes til den konkrete handlingen, den relevante virkningen og eventuelt andre jurisdiksjonsgrunnlag. For den siktede er en teknisk tidslinje ofte nyttig: hvor befant brukeren seg, hvor ble kommandoen sendt fra, hvilket system ble rammet, hvor oppstod eller var virkningen tilsiktet, og hvilke deler av hendelsesforløpet bygger hvert straffebud på? Først da kan §§ 4, 5 og 7 anvendes presist.

Kilder: – Straffeloven §§ 4, 5 og 7: https://lovdata.no/lov/2005-05-20-28 – Ot.prp. nr. 22 (2008–2009), omtalen av § 7 og datakriminalitet: https://www.regjeringen.no/no/dokumenter/otprp-nr-22-2008-2009-/id540219/ – Ot.prp. nr. 90 (2003–2004), punkt 13.5: https://www.regjeringen.no/no/dokumenter/otprp-nr-90-2003-2004-/id179300/

Skrevet av Christian Wulff Hansen, advokat i Advokatfirmaet Wulff AS i Mosjøen. Les mer om forsvarer i straffesaker.