FN-konvensjon om cyberkriminalitet

Av Stein Schjølberg, pensjonert sorenskriver, oppnevnt av FN som en Civil society delegate i Ad Hoc komiteen.

Ni fargede ruter med ulike ikoner i hver rute, digital illustrasjon. — Illustrasjon: Colourbox.com

1. Innledning

Etter mer enn 2 ½ år og syv møter i komiteen har vi nå fått et forslag om en FN-konvensjon om cyberkriminalitet. Hva betyr dette for verdenssamfunnet og kampen mot cyberkriminalitet?

Helt siden kravet om en FN-konvensjon ble fremmet av Russland i 2018 har det vært en klar polarisert uenighet blant medlemslandene om behovet for en konvensjon. Ad-hoc-komiteen hadde vært uenig om kravet helt siden drøftelsene i komiteen begynte i januar 2022. Det var heller ikke mulig å oppnå enighet under Concluding Session i februar 2024.

Etter mer enn 2 ½ år og syv møter i komiteen har vi nå fått et forslag om en FN-konvensjon om cyberkriminalitet. Hva betyr dette for verdenssamfunnet og kampen mot cyberkriminalitet?

Det ble derfor besluttet å arrangere en Reconvened concluding session^{(1)Se https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc_reconvened_concluding_session/main} som ble berammet til 29. juli-9. august 2024. Under forhandlingene ble det utarbeidet et nytt forslag av 7. august 2024 om en FN-konvensjon: Draft United Nations convention against cybercrime.^{(2)Se https://documents.un.org/doc/undoc/gen/v24/055/06/pdf/v2405506.pdf}

Som følge av de mange tilfeller av uenighet var det stor overraskelse at forslaget ble vedtatt med akklamasjon torsdag 8. august 2024. Bare et land, Iran, fremmet forslag om votering av enkelte artikler. Ad Hoc komiteen har 9. august 2024 redegjort for utviklingen av diskusjonene.^{(3)Se https://documents.un.org/doc/undoc/ltd/v24/055/00/pdf/v2405500.pdf}

Den teknologiske utvikling i cyberspace har vært så hurtig og overveldende at samfunnet har problemer med å tilpasse lovgivning, kontroll- og sikkerhetstiltak. Nye former for internasjonale lovtiltak med sikte på å forebygge og bekjempe cyberkriminalitet er nødvendig og må føre til tiltak på FN-nivå.

En FN-konvensjon om cyberkriminalitet er nødvendig for å oppnå globale standarder for sikkerhet, fred og rettsikkerhet i cyberspace. Det er nødvendig at FN etablerer globale rammeverk og retningslinjer for cyberspace og styrker cybersikkerheten, rettssikkerheten og samarbeidet mellom alle nasjoner.

Utviklingen av globale IT-selskaper slik som Google, Facebook, Apple, Amazon og Microsoft har vært så altomfattende at disse private globale selskapene nå styrer utviklingen av cyberspace uten nasjonale eller globale reguleringer og retningslinjer. Det kan anføres at disse globale selskapene er blitt ledende organisasjoner for styringen av Internet Governance i stedet for FN-institusjonene. Puss futen på dem, skrev Aftenposten allerede 6. februar 2018 og viste til at Google, Facebook, Apple og Amazon tappet Norge for enorme verdier. Et alternativ til FN finnes ikke!

Jeg ble 20. januar 2022 oppnevnt av FN som en Civil society delegate in the United Nations Ad Hoc Committee, som den eneste Civil Society representant fra de nordiske land. Jeg skrev flere innspill, contributionsfor sessions. Det femte innspill ble sendt til Concluding Session den 11. desember 2023.^{(4)Se https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc_concluding_session/main}

2. Draft United Nations convention against cybercrime

Forslaget fra Ad-hoc-komiteen som skal behandles i FNs hovedforsamling i løpet av høsten 2024, inneholder 9 kapitler og 68 Artikler. I en pressemelding 9. august 2024 ble det uttalt blant annet:^{(5)https://www.unodc.org/unodc/en/frontpage/2024/August/united-nations_-member-states-finalize-a-new-cybercrime-convention.html}

After three years of work, the committee established by the UN General Assembly to negotiate a new convention on cybercrime agreed today on a draft convention text.

The draft convention is expected to be adopted by the General Assembly later this year, thus becoming the first global legally binding instrument on cybercrime.

This achievement represents the culmination of a five-year effort by UN Member States, with the input of civil society, academic institutions and the private sector. UNODC served as the substantive secretariat for the negotiations.

Under forhandlingene var det særlig diskusjoner om personvern. Forslaget om personvern (Human Rights) i Article 6 er et viktig forslag i FN-konvensjon om cyberkriminalitet:

Article 6. Respect for human rights

States Parties shall ensure that the implementation of their obligations under this Convention is consistent with their obligations under international human rights law.
Nothing in this Convention shall be interpreted as permitting suppression of human rights or fundamental freedoms, including the rights related to the freedoms of expression, conscience, opinion, religion or belief, peaceful assembly and association, in accordance and in a manner consistent with applicable international human rights law.

De straffbare handlinger

De straffbare handlinger er beskrevet i forslaget til FN-konvensjonen i kapittel 2. Forslaget bygger mye på de handlinger som er gjort straffbare i Budapest konvensjonen, som nå er ratifisert av 76 land, med 27 land utenfor Europa (august 2024).^{(6)Se https://www.coe.int/en/web/conventions/full-list?module=signatures-by-treaty&treatynum=185} Europarådet uttaler 8. august 2024 sin støtte til forslaget om en FN- konvensjon som er basert på prinsipper i Budapest konvensjonen: ^{(7)Se https://www.coe.int/en/web/cybercrime/-/united-nations-treaty-on-cybercrime-agreed-by-the-ad-hoc-committee}

The Council of Europe – through its Cybercrime Programmes Office (C-PROC)– supported this treaty process from 2022 in order to ensure consistency with the Convention on Cybercrime (Budapest Convention) andthe inclusion of a minimum of necessary human rights and rule of law safeguards. Key provisions of the Budapest Convention have been reproduced in the draft treaty but concerns remain regarding safeguards given positions expressed by some States.

Følgende straffbare handlinger er nevnt i Budapest konvensjonen:

Article 2 - Illegal access

Article 3 – Illegal interception

Article 4 – Data interference

Article 5 – System interference

Article 6 – Misuse of devices

Article 7 – Computer-related forgery

Article 8 – Computer-related fraud

Article 9 – Offences related to child pornography

Følgende straffbare handlinger er nevnt i forslaget til en FN konvensjon:

Article 7. Illegal access

Article 8. Illegal interception

Article 9. Interference with electronic data

Article 10. Interference with an information and communications technology system

Article 11. Misuse of devices

Article 12. Information and communications technology system-related forgery

Article 13. Information and communications technology system-related theft or fraud

Article 14. Offences related to online child sexual abuse or child sexual exploitation material

I tillegg inneholder forslagene i kapittel 2 nye straffbare handlinger som er nødvendige i tilknytning til Article 14 om online child sexual abuse, og som er inntatt i Articles 15 og 16. En ny straffbar handling som er nødvendig som følge av utviklingen i kriminaliteten er inntatt i Article 17.

Article 15. Solicitation or grooming for the purpose of committing a sexual offence against a child

Article 16. Non-consensual dissemination of intimate images

Article 17. Laundering of proceeds of crime

Forslagene i kapittel 2 inneholder som i Budapest konvensjonen også regler om:

Article 18. Liability of legal persons,

Article 19. Participation and attempt,

Article 20. Statute of limitations,

Article 21. Prosecution, adjudication and sanctions

De andre kapitler

Bestemmelsene i de andre kapitler angår jurisdiksjon, saksbehandling, og samarbeid mellom medlemslandene, og bygger også mye på prinsippene i Budapest-wkonven-sjonen.Kapitlene omfatter Jurisdiction, Procedural measures and law enforcement, International cooperation, Preventive measures, Technical assistance and information exchange, Mechanism of implementation, Final provisions.

Særlig skal nevnes Artikkel 65 som bestemmer at konvensjonen skal tre i kraft 90 dager etter the date of deposit of the fortieth instrument of ratification, acceptance, approval or accession.

3. Erklæringer fra medlemsland og organisasjoner

United Kingdom har blant annet uttalt:^{(8)Se https://www.unodc.org/documents/Cybercrime/AdHocCommittee/Reconvened_concluding_session/Written_submissions/MEMBER_STATES/EOP_lines.pdf}

In the spirit of compromise, the UK joined consensus on the basis of robust human rights safeguards that balance the Convention’s broad scope of international cooperation and intrusive procedural powers.

Our negotiations over the past two and a half years have demonstrated that there is no consensus on additional criminal offences.

United States uttaler blant annet:

Our committee has adopted a Convention against Cybercrime that reflects universal values and U.S. interests, including focused criminalization provisions, robust and flexible provisions on technical assistance, and strong provisions to safeguard human rights that are unprecedented in a UN criminal justice convention.

We welcome the Committee’s adoption of the UN Convention Against Cybercrime as a rights-respecting criminal justice instrument for the 21 ^st century and beyond.

Det må antas at flere land syntes det nå var viktig å bli enige i FN- komiteen om et forslag. Det viste også den norske delegasjonen til i det siste møtet den 9. august 2024. Jeg slutter meg til denne begrunnelse.

Men mange globale organisasjoner er ikke tilfredse med innholdet i konvensjonen, og har kommentarer til forslaget om konvensjonen.

Det vises særlig til uttalelser fra Cisco:^{(9)Se https://blogs.cisco.com/gov/un-convention-against-cybercrime-2024}

While the recently adopted UN Convention against Cybercrime addresses important issues around the need for increased cyber capacity building, it raises concerns around the protection of shared rights and values, and requires more attention before ratification by member states.

Atlantic Council uttaler blant annet:

However, this landmark achievement should not be celebrated, as it poses significant risks to human rights, cybersecurity, and national security.

Privacy International uttaler:^{(10)Se https://www.unodc.org/documents/Cybercrime/AdHocCommittee/Reconvened_concluding_session/Written_submissions/OP8/PI_written_statement_on_UN_cybertreaty_7August2024.pdf}

Throughout these negotiations, Privacy International and other civil society organizations, UN human rights experts, academics, security researchers and the industry have consistently recommended that any UN cybercrime treaty is narrow in scope and contains robust safeguards to mitigate the risks of human rights abuses. It is regrettable that our recommendations have not been reflected in this final draft.

As Privacy International has consistently affirmed, if the draft treaty cannot be fixed, it should be rejected. There is no longer time for negotiations to significantly improve the text.

It is now time to reject this draft treaty.

Several Civil Society and Industry Stakeholders har følgende konklusjon:^{(11)Se https://www.unodc.org/documents/Cybercrime/AdHocCommittee/Reconvened_concluding_session/Written_submissions/OP9/Final_Draft_Cybercrime_Convention_-_Multistakeholder_Statement.pdf}

Unless substantial changes are included to the final draft Convention to address these broad-based and fundamental concerns, we urge governments not to adopt the treaty, and if it is adopted, not to ratify it.

4. Behandlingen i Hovedforsamlingen i FN

Behandlingen i Hovedforsamlingen i FN kan drøfte tilleggsforslag. Det bør under forhandlingene i Hovedforsamlingen i FN bli enighet om at konvensjonen skal inneholde en særskilt Artikkel om global myndighet for INTERPOL. En slik Artikkel bør omfatte koordinering og bistand til politiet i medlemslandene med etterforsking og forebyggelse av cyberkriminalitet. INTERPOL kan organisere og koordinere innholdet i de fleste Artikler i kapitlene V–IX.

INTERPOL er nevnt i Article 37. Extradition, Article 40. General principles and procedures relating to mutual legal assistance, Article 41. 24/7 network, og Article 47. Law enforcement cooperation.

Det bør under forhandlingene i Hovedforsamlingen i FN bli enighet om at konvensjonen skal inneholde en særskilt Artikkel om global myndighet for INTERPOL.

INTERPOL har siden 1980-årene vært den ledende internasjonale politiorganisasjonen for å utvikle samarbeid under etterforskingen av cyberkriminalitet, kompetanse og trening i etterforsking av cyberkriminalitet, og forebyggelse av cyberkriminalitet.^{(12)Se https://www.interpol.int/Crimes/Cybercrime} INTERPOL har etablert et globalt 24/7-nettverk, hvor organisasjonen samler, lagrer, deler og analyserer informasjon om cyberkriminalitet med alle sine 196 medlemsland. INTERPOL gir også medlemslandene støtte i teknikk, analyser, trening, og nettverk i etterforskingen av cyberkriminalitet, og i tillegg forskning på utviklingen av den globale cyberkriminalitet.

Lov&Data