HR-1998-83-A - Rt-1998-1971

Instans:	Høyesterett - dom
Dato:	1998-12-15
Publisert:	HR-1998-00083-A - Rt-1998-1971 (495-98)
Stikkord:	Strafferett, Datarett, Datakriminalitet, Lovanvendelse
Sammendrag:	Dissens: 3-2
Saksgang:	Asker og Bærum herredsrett - Borgarting lagmannsrett LB-1997-01527 M - Høyesterett HR-1998-00083 B, snr 26/1998
Parter:	Påtalemyndigheten (Aktor: Kst statsadvokat Roar Østby) mot X Systems AS og A (Forsvarer: Advokat Kai Thøgersen - til prøve)
Forfatter:	Skoghøy, Bruzelius, kst dommer Pedersen, Mindretall: Tjomsland, Dolva
Lovhenvisninger:	Straffeloven (1902) §145, §393, §49, §48a, LOV-1979-02-16-3, Straffeprosessloven (1981) §268, §323, §434

Dommer Tjomsland: Spørsmålene i saken er om det foreligger forsøk på overtredelse av straffeloven §145 annet ledd og om det er skjedd ulovlig bruk av datamaskiner, jf straffeloven §393.

A er sivilingeniør og ansatt som systemutvikler i X Systems A/S, heretter omtalt som X. Selskapet utvikler og leverer datasikkerhetsprodukter. I desember 1995 fikk X en henvendelse fra NRK som forberedte et dagsrevyinnslag om sikkerhetsproblemer ved bruk av Internett, særlig knyttet til faren for datavirus. X er en kjent leverandør av antivirusprogrammer. Selskapet var villig til å medvirke til NRK-innslaget, og A fikk oppdraget. De handlinger som denne saken gjelder og som jeg senere skal redegjøre for, iverksatte A 15 desember 1995 fra sin arbeidsplass i selskapet ved oppkobling via Internett mot datamaskiner ved Universitetet i Oslo, som en forberedelse til et fjernsynsopptak, som skulle finne sted i Xs lokaler senere samme dag. Forholdet ble 2 januar 1996 anmeldt av Universitetet i Oslo.

Statsadvokatene ved Økokrim utferdiget 2 april 1996 et forelegg på kr 100 000 mot X Systems AS for overtredelse av straffeloven §145 annet ledd jf straffeloven §49 jf straffeloven §48a første ledd jf tredje ledd og straffeloven §393 jf straffeloven §48a første jf tredje ledd. Forelegget inneholdt også en erstatningsforpliktelse på kr 2 000 overfor Universitetet i Oslo. Samme dag utferdiget Statsadvokatene ved Økokrim også et forelegg - stort kr 10 000 subsidiært fengsel i 20 dager - mot A for overtredelse av straffeloven §145 annet ledd jf §49 og straffeloven §393.

Foreleggene ble nektet vedtatt, og saken ble sendt Asker og Bærum herredsrett til pådømmelse, jf straffeprosessloven §268.

Asker og Bærum herredsrett avsa 18 april 1997 dom med slik domsslutning:

"1. A, født xx.xx.1964 dømmes for overtredelse av straffeloven §145 annet ledd jf. §49 og §393 til en bot av kr 10000,- - kronertitusen - subsidiært fengsel i 20 -tyve- dager.

2. X Systems AS v/styrets formann dømmes for overtredelse av straffeloven §145 annet ledd jf. §49 og §393 jf. §48a første ledd jf. tredje ledd til en bot av kr 100000,- - kroneretthundretusen-.

3. X Systems AS v/styrets formann dømmes til innen 14 -fjorten- dager fra dommens forkynnelse til å betale kr 5022,- - kronerfemtusenogtjueto- til Universitetet i Oslo.

4. X Systems AS v/styrets formann dømmes til innen 14 -fjorten- dager fra dommens forkynnelse til å betale sakens omkostninger for det offentlige med kr 80000,- -kroneråttitusen-."

De domfelte påanket dommen til Borgarting lagmannsrett. Anken gjaldt bevisbedømmelsen og lovanvendelsen under skyldspørsmålet. X krevde også ny behandling av erstatningskravet. Ved lagmannsrettens beslutning 29 mai ble 1997 ankene henvist til ankeforhandling.

Borgarting lagmannsrett avsa 26 mars 1998 dom med slik domsslutning:

"1. A, født xx.xx.1964, dømmes for overtredelse av straffeloven §393 til en bot stor 2 000 - totusen - kroner, eller dersom boten ikke betales, en straff av fengsel i 5 - fem - dager.

A frifinnes for foreleggets post I, forbrytelse mot straffeloven §145 annet ledd jf. §49.

2. X Systems AS dømmes for overtredelse av straffeloven §393 jfr §48a første jf tredje ledd til en bot stor 10 000 - titusen - kroner.

X Systems AS frifinnes for foreleggets post I, forbrytelse mot straffeloven §145 annet ledd jf. §49.

3. Herredsrettens dom, domsslutningens punkt 3, stadfestes."

To av de fire meddommerne var datakyndige, oppnevnt utenfor utvalgene.

Når det gjelder A personlige forhold og de nærmere opplysninger om X Systems AS, viser jeg til dommene.

Statsadvokatene ved Økokrim har påanket lagmannsrettens dom til Høyesterett for så vidt gjelder frifinnelsene for post I i foreleggene - overtredelse av straffeloven §145 annet ledd jf §49. Anken gjelder lovanvendelsen, særlig forståelsen av vilkåret "bryte en beskyttelse eller på lignende måte" og grensen mellom straffri forberedelse og straffbart forsøk. A og X har inngitt motanke for så vidt gjelder domfellelsen etter straffeloven §393. Også denne anken gjelder lovanvendelsen.

Høyesteretts kjæremålsutvalg besluttet 15 juni 1998 å henvise både anken og motanken til ankeforhandling, jf straffeprosessloven §323.

Jeg er kommet til at begge ankene må forkastes.

Jeg finner det innledningsvis hensiktsmessig å gjengi de sentrale deler av lagmannsrettens fremstilling av de handlinger som er grunnlaget for foreleggene. Det heter her:

"På dette tidspunktet var Universitetets WWW (World Wide Web)-server en maskin benevnt INFO. Maskiner knyttet til Internett har en IP (Internet Protocol)-adresse, som er en kombinasjon av sifre i et bestemt mønster. Større organisasjoner og bedrifter tildeles gjerne en sammenhengende "blokk" med slike sifferadresser. Med utgangspunkt i IP-adressen til én maskin i Universitetets nettverk, kan man dermed finne også andre maskiner i nettverket. INFO's adresse var 129.240.148.11. Ved å variere de to siste sifrene fant A IP-adressene til ERNST og HERMOD (hhv. 129.240.148.12 og 10). Hverken ERNST eller HERMOD var tenkt å tilby tjenester for almenheten.

Ved en "finger"-kommando mot HERMOD fant A enda en maskin i Universitetets nettverk, nemlig VIRAK, en personlig arbeidsstasjon for B. Finger er en tjeneste som, hvis den ikke er skrudd av eller begrenset, gir opplysning om hvem som er påkoblet en maskin på det tidspunktet kommandoen gis. Den kan også gi opplysninger om avsluttede pålogginger, hvis slik informasjon ikke allerede er slettet i maskinens logg. Bruken av finger krever i utgangspunktet ingen autentisering ved brukernavnt og passord, og er ikke begrenset med hensyn til hvorfra en forespørsel kan komme.

Brukeren OEA, som hadde VIRAK som sin personlige arbeidsstasjon, var således pålogget HERMOD fra VIRAK da fingerkommandoen ble utført. På denne måten var maskinen VIRAK synlig fra HERMOD. En finger mot VIRAK bekreftet videre at VIRAK kun hadde én bruker innlogget, nemlig OEA.

A ga deretter en "telnet"-kommando mot VIRAK. Dette er en tjeneste som gjør det mulig å logge seg inn og kjøre programmer på andre maskiner som er koblet til Internettet. Dette forutsetter imidlertid autentisering ved brukernavn og passord. A forsøkte å logge seg på som "guest". Dette kan kun lykkes hvis det er opprettet en "gjestekonto" eller den sikkerhetsansvarlige har unnlatt å slå gjestefunksjonen av ved levering og installering av maskinen.

A fikk ingen tilgang som gjest, idet VIRAK var beskyttet ved krav om brukernavn og passord. Det bemerkes at herredsretten la til grunn at A på forhånd kunne konstatere at ingen tidligere hadde loggget seg inn på VIRAK som gjest, jf. første hele avsnitt på side 14 i dommen. Det som med sikkerhet kan sies om dette er imidlertid at A, gjennom fingerkommandoen, kunne se at ingen var pålogget som gjest akkurat da kommandoen ble gitt.

A forsøkte deretter å logge seg inn på VIRAK som "anonymous". Også dette mislyktes. Det bemerkes at anonymous vanligvis ikke kan benyttes som brukeridentitet ved slik pålogging. Den kan derimot brukes ved overføring av filer, hvis denne tjenesten er åpen for brukere uten konto på maskinen; det er ikke uvanlig at filer er offentlig tilgjengelig på denne måten.

Utover dette er det ikke hevdet at A forsøkte å logge seg på noen av Universitetets datamaskiner.

Deretter kontaktet A "sendmail"-programmet på VIRAK. Sendmail er et program som tilbyr elektronisk post (epost). Sendmailkommandoen vrfy (verify) brukes for å sjekke om en bruker har en elektronisk postkasse på en gitt maskin. A ga kommandoen "vrfy OEA", som sjekket om brukeren OEA hadde sin elektroniske postkasse tilgjengelig på VIRAK. Forespørselen bekreftet at så var tilfellet. På denne måten fikk han også vite hvilken versjon av sendmailprogrammet som var tilgjengelig på VIRAK. Retten har ikke holdepunkter for at denne informasjonen ble benyttet videre.

Den aktiviteten som er beskrevet ovenfor varte fra kl. 09:57:40 til kl. 10:11:34. Etter et opphold på ca én time og tyve minutter, kjørte A et såkalt "portscan"-program mot maskinene INFO, ERNST og HERMOD, og dette pågikk fra kl. 11:32:23 til kl. 11:35:20.

Portscan kan brukes for å bringe på det rene hvilke tjenester som tilbys av datamaskiner i et nettverk. Portscanningen kan også gi annen informasjon, men etter bevisførselen legger lagmannsretten til grunn at det i dette tilfellet kun ble stilt spørsmål om hvilke av de portene som A ba undersøkt som var tilgjengelige; hvert portnummer svarer til én tjeneste. Det legges videre til grunn at den versjonen som ble brukt ikke kunne gå lenger enn til å opprette en forbindelse mellom maskinene, ved å stille spørsmål om porter og motta bekreftende eller benektende svar.

Ved portscanningen fikk A bekreftende svar for tjenestene "finger", "ftp" (file transfer protocol, overføring av filer til og fra maskiner tilknyttet Internett), "telnet", "rlogin" (remote login) og "rsh" (remote shell, tilbyr autoriserte brukere eksekvering av kommandoer uten en full innlogging) og "pop" (post office protocol, henting av elektronisk post lagret på maskinen). Det bemerkes at av disse tjenestene var samtlige, bortsett fra finger, beregnet kun for autoriserte brukere, og de var beskyttet ved brukernavn og passord eller forhåndsautorisasjon. Tjenestene er imidlertid kjent for å ha hatt sikkerhetshull, og portscanprogrammet er et verktøy for den sikkerhetsansvarlige til å avdekke svakheter. Det inngår også gjerne som et innledende ledd i bestrebelser på å skaffe seg uberettigede privilegier, "bryte seg inn i", andres datamaskiner. A har forklart at programmet i dette tilfellet ikke logget svarene og at navn og versjon på operativsystemet og/eller postsystemet ikke ble angitt; sistnevnte kunne i motsatt fall, for en som kjenner operativsystemet godt, ha indikert hvilke eventuelle svakheter som forelå og hvordan et "angrep" burde gjennomføres. Lagmannsretten har ikke noe grunnlag for å sette As forklaring tilside."

Jeg behandler først påtalemyndighetens anke over lovanvendelsen når det gjelder frifinnelsen for overtredelse av straffeloven §145 annet ledd jf §49.

Straffeloven §145 som opprinnelig bare rettet seg mot brevbrudd, ble endret ved lov 16 februar 1979 nr 3 blant annet for å ramme uberettiget innsyn i datalagret informasjon. Bestemmelsen fikk sin någjeldende ordlyd ved lovendring av 12 juni 1987 nr 54.

Straffeloven §145 annet ledd retter seg mot å oppnå uberettiget tilgang til datalagret informasjon og programutrustning ved å "bryte en beskyttelse eller på lignende måte." Alternativet "på lignende måte" var ikke med i Straffelovrådets forslag - NOU 1985:31 Datakriminalitet - og ble tilføyd under departementets arbeid med proposisjonen, jf Ot.prp.nr.35 (1986-87) side 20-21. Det ble uttalt at dette alternativet bare får anvendelse dersom gjerningsmannen har opptrådt "kvalifisert uberettiget". Alternativet - "på lignende måte" - vil kunne ramme forhold som har klare likhetstrekk med å "bryte en beskyttelse", og som reelt bør likestilles med dette. Dette vil kunne være aktuelt i tilfeller hvor det ikke fremstår som naturlig å benytte verbet "å bryte". At den datalagrede informasjon også i disse tilfeller må være gitt en eller annen form for beskyttelse for at bestemmelsen kan anvendes, synes likevel forutsatt. Jeg viser blant annet til bemerkningen på side 21 i proposisjonen om at kriteriet "uberettiget" også må ses i sammenheng med kravet om at gjerningsmannen må ha overskredet "en eller annen form for beskyttelse eller hindring". Hvilke krav som må stilles til en slik beskyttelse eller hindring, er det ikke nødvendig for meg på generelt grunnlag å gå nærmere inn på.

Påtalemyndigheten har ikke gjort gjeldende at de handlinger som A foretok overfor Universitetet, innebar en fullbyrdet overtredelse av straffeloven §145 annet ledd. Heller ikke portscanningen er av aktor bedømt som en fullbyrdet overtredelse. Foreleggene gjelder forsøk på overtredelse av straffeloven §145 annet ledd.

Ved vurderingen av anken tar jeg utgangspunkt i at lagmannsretten har funnet at ingen av de programmene A kjørte mot Universitetets datamaskiner, kunne ha gitt tilgang til beskyttet data eller programutrustning. Når det gjelder påloggingsforsøkene mot VIRAK, uttalte lagmannsretten:

"Hvis påloggingsforsøkene mot VIRAK skulle lykkes, med "guest" som brukeridentitet, ville dette således ha forutsatt at Universitetet enten hadde åpnet en gjestekonto, dvs. ønsket gjester velkommen, eller hadde unnlatt å iaktta basale beskyttelsestiltak. Om A hadde fått tilgang til data ved påloggingsforsøket, ville dette dermed ikke ha vært straffbart etter §145 annet ledd, og dermed kan heller ikke forsøket rammes. Lagmannsretten legger til at Universitetet heller ikke hadde lagt inn noen advarsler om at forsøk på innlogging uten autorisasjon var uberettiget."

Og når det gjelder portscanprogrammet, heter det i lagmannsrettens dom:

"Heller ikke portscanprogrammet kunne ha gitt ham slik tilgang til beskyttet data eller programutrustning. Lagmannsretten viser til at portscanningen kun innebar spørsmål om hvilke porter som var tilgjengelige, besvart med et ja eller et nei ("connect" eller "deny")."

På bakgrunn av denne bevisbedømmelsen - som Høyesterett er bundet av - kan jeg ikke se at lagmannsretten har bygget på en uriktig forståelse av straffeloven §145 annet ledd jf §49.

Jeg legger til grunn at dersom A hadde lyktes i å komme inn på VIRAK med "guest" som brukeridentitet, hadde dette vært en konsekvens av at den datalagrede informasjonen på maskinen ikke hadde vært beskyttet. Lagmannsretten har ikke uttrykkelig drøftet påloggingsforsøket med "anonymous" som brukeridentitet, men jeg legger til grunn at dommen må forstås slik at dette står i samme stilling. Noen uriktig lovanvendelse vedrørende påloggingsforsøkene på VIRAK foreligger ikke. Jeg nevner for øvrig at lagmannsretten har lagt til grunn at Universitetet ikke hadde lagt inn noen advarsler om at forsøk på innlogging uten autorisasjon var uberettiget.

Den bruken av portscanprogrammet som A - ifølge lagmannsretten - foretok, ga ham ikke tilgang til beskyttet data eller programutrustning. Han gjorde ikke noe forsøk på å få tilgang til ytterligere datalagret informasjon. Jeg finner det klart at bruken av portscanprogrammet ikke rammes av straffeloven §145 annet ledd jf §49.

Aktor har gjort gjeldende at A handlinger samlet sett fremstår som kvalifisert uberettiget. Jeg er kommet til at ingen av de handlinger som A foretok, innebar et forsøk på å få tilgang til beskyttet datalagret informasjon. Jeg kan heller ikke se at disse handlinger samlet vurdert kan bedømmes som et forsøk på en slik overtredelse. Selv om en handlingsrekke samlet vurdert skulle fremtre som kvalifisert uberettiget eller meget klanderverdig, rammes den ikke av straffeloven §145 annet ledd dersom den ikke retter seg mot datalagret informasjon eller programutrustning som er gitt en form for beskyttelse.

Jeg finner etter dette at påtalemyndighetens anke må bli å forkaste.

De domfeltes anke gjelder lagmannsrettens lovanvendelse ved domfellelsene for ulovlig bruk av Universitetets datamaskiner. Straffeloven §393 rammer den som rettsstridig "bruger eller forføier over Løsøregjenstand, der tilhører en anden, saaledes at den berettigede derved paaføres Tab eller Uleilighed". Bestemmelsen retter seg mot uberettiget bruk av løsøregjenstander i sin alminnelighet, og en datamaskin omfattes utvilsomt av dette begrepet.

Lagmannsretten mener at A i relasjon til denne bestemmelsen må anses å ha brukt datamaskinene ved Universitetet, og uttalte om dette:

"Som påpekt foran har A, gjennom bruk av IP-adressen for Universitetets WWWserver fått opplysning fra maskinen INFO om identiteten/adressen til de to maskinene ERNST og HERMOD. Ved bruk av "finger"-kommandoen mot HERMOD fikk han ytterligere opplysning om arbeidsstasjonen VIRAK, som da var tilkoblet og pålogget HERMOD. Såvel WWW-serveren som HERMOD har da vært i aktivitet som følge av de kommandoer A ga. Denne aktiviteten er, slik lagmannsretten ser det, å anse som "bruk" etter straffeloven §393. Det samme gjelder "vrfy OEA" i sendmailprogrammet og forsøket på pålogging med telnet. Også aktiviteten generert av "portscan"-programmet er, etter lagmannsrettens oppfatning, å anse som slik "bruk". Som nevnt foran ble dette programmet iverksatt overfor INFO, ERNST og HERMOD. Programmet innebar at disse tre maskinene ble stillet spørsmål om tjenester, som ble nærmere spesifisert i programmet, var tilgjengelige, og maskinenene ga svar på dette. Også ved "portscanning" er det da satt i gang aktivitet i de maskiner programmet er rettet mot."

Jeg finner det ikke tvilsomt at lagmannsretten her har bygget på en riktig tolkning av begrepet "bruger" i straffeloven §393. Det avgjørende må være at A har benyttet maskinene til egne formål. I lovforarbeidene er det lagt til grunn at en gjerningsmann "bruger eller forføier" over en datamaskin når han instruerer den om å finne frem opplysninger, jf NOU 1985: 31 Datakriminalitet side 17. Dette synspunkt må også gjelde den type opplysninger som A ba om. Forsvareren har anført at den aktivitet som i dette tilfellet ble utvist, ikke er tilstrekkelig til å kunne henføres som bruk i forhold til straffeloven §393. En slik innskrenkende tolkning av bestemmelsen kan jeg ikke se at det er grunnlag for. Også en bruk som er av beskjedent omfang, rammes av straffeloven §393 dersom de øvrige vilkår i bestemmelsen er oppfylt.

For at en handling skal rammes av straffeloven §393, er det et vilkår at den berettigede "paaføres Tab eller Uleilighed" ved bruken. Lagmannsretten fant at også dette kravet var oppfylt og uttalte i den forbindelse blant annet:

"As aktiviteter mot maskinene ble registrert i Universitetets loggenhet, og førte til at det ble foretatt nærmere undersøkelser, særlig med henblikk på å avdekke om handlingene kunne innbebære forsøk på inntrenging i datasystemene. Undersøkelsene medførte følgelig både tap og uleilighet for Universitetet, i form av bruk av personale til å oppklare forholdet, jfr det som lagmannsretten legger til grunn nedenfor i forbindelse med erstatningskravet."

Ved behandlingen av erstatningskravet uttalte lagmannsretten at det for Universitetet var naturlig å betrakte seg som utsatt for et "innbruddsforsøk". Lagmannsretten bemerket videre at Universitetet ikke - uten nærmere undersøkelser - kunne slå seg til ro med at alle handlinger rettet mot dets nettverk var registrert i loggingsenheten. Lagmannsretten fant det utvilsomt at A forsto at handlingene ville medføre undersøkelser fra Universitetets side dersom de ble oppdaget. Det er på dette punkt ikke bestridt at lagmannsrettens lovanvendelse er riktig .

Det vilkåret i §393 som kan volde størst tvil, er at bruken må være "rettsstridig". Det vil her være av sentral betydning om det kan anses å foreligge et samtykke fra Universitetets side. Om en bruk av en annens løsøregjenstand er rettsstridig, vil videre kunne avhenge av hvem som bruker tingen, og til hvilket formål den brukes. Den omstendighet at bruken av datamaskinene ikke bedømmes som et forsøk på overtredelse av straffeloven §145 annet ledd, innebærer selvsagt ikke at den var rettmessig i forhold til Universitetet.

Lagmannsretten mente at den bruk A gjorde av Universitetets datamaskiner, var rettsstridig, og retten uttalte i den forbindelse:

"Etter straffebudet er det et krav at bruken er rettsstridig. Det hadde ikke på forhånd vært noen kontakt mellom de tiltalte og Universitetet. En slik sammenhengende bruk av forskjellige maskiner som her har foregått, er i seg selv urovekkende for en institusjon som på den ene side tilstreber åpenhet i sin informasjon til almenheten og som samtidig i betydelig grad har lagret sensitiv informasjon i sine dataanlegg. Lagmannsretten finner at en bruk som tilsynelatende kan være en innledende forberedelse til innbrudd i de deler av datasystemet som ikke er tilgjengelige for almenheten, ikke er rettmessig. I særlig grad gjelder dette bruken av portscanprogrammet. Etter As egen forklaring om bakgrunnen for handlingene, har de tatt sikte på å avdekke svakheter i beskyttelsen av Universitetets datasystemer, og lagmannsretten finner at dette er urettmessig, så lenge Universitetet ikke har samtykket i det. At handlingene har vært foretatt for å tilrettelegge et program for NRK endrer ikke på dette."

Forsvareren har gjort gjeldende at enhver som er oppkoblet mot Internett, har akseptert at det blir rettet forespørsler til maskinen om hvilken informasjon den har å tilby, og at den aktivitet som dette medfører derfor ikke kan anses som uberettiget bruk av maskinen. Jeg finner imidlertid ikke at en slik betraktningsmåte kan tilsi at bruken av datamaskinene i dette tilfellet var berettiget.

Det var ikke for å nyttiggjøre seg tjenester som ble tilbudt allmennheten at A benyttet de tre datamaskinene - ERNST, HERMOD og VIRAK. Maskinene hadde heller ikke slike tjenester å tilby. Lagmannsretten uttalte at A utvilsomt forsto at handlingene også var rettet mot datamaskiner som ikke skulle være tilgjengelige for utenforstående.

Lagmannsretten har lagt til grunn at As forespørsler hadde som siktemål "å avdekke svakheter i beskyttelsen av Universitetets datasystemer". Jeg kan ikke se at oppkoblingen av Universitetets datamaskiner til Internett innebar at A i forbindelse med oppdraget for NRK var berettiget til å foreta en undersøkelse av sikkerheten ved Universitetets dataanlegg, når dette påførte Universitetet uleilighet og økonomiske tap slik lagmannsretten har beskrevet. Dette standpunktet innebærer etter mitt syn ikke noen urimelig begrensning i bruken av Internett. Jeg understreker at man står overfor en forholdsvis omfattende sammenhengende bruk av Universitetets datamaskiner som lagmannsretten har karakterisert som "urovekkende", jf at det er lagt til grunn som utvilsomt at A forsto at handlingene ville medføre undersøkelser fra Universitetets side dersom de ble oppdaget. Jeg er etter dette enig med lagmannsretten i at den bruk A gjorde av Universitetets datamaskiner var rettsstridig.

Jeg er kommet til at både anken og motanken må forkastes. Da jeg etter rådslagningen er kjent med at jeg er i mindretall når det gjelder motanken, former jeg ingen konklusjon.

Dommer Skoghøy: Jeg er kommet til at påtalemyndighetens anke må forkastes, og at de domfeltes motanke må tas til følge.

Jeg er enig med førstvoterende i at de forespørsler som A har rettet til Universitetets datamaskiner, ikke rammes av straffeloven §145 annet ledd jf §49. Den begrunnelse som førstvoterende har gitt for dette, kan jeg i det vesentlige tiltre. Men i motsetning til førstvoterende mener jeg at forholdet heller ikke rammes av straffeloven §393.

Hvorvidt det kan anses som bruk av en løsøregjenstand å forespørre en datamaskin som er tilkoblet Internett om hvilke opplysninger den har å tilby, tar jeg ikke stilling til. Etter min oppfatning kan dette under enhver omstendighet ikke anses som uberettiget bruk.

Som det fremgår av lagmannsrettens dom, hadde ikke bare maskinen INFO, men også maskinene ERNST og HERMOD Internettadresser. Selv om maskinene ERNST og HERMOD fra Universitetets side ikke var tiltenkt å tilby tjenester til allmennheten, var de permanent tilkoblet Internett, og de var også innrettet slik at portene svarte på forespørsler. Etter det lagmannsretten har lagt til grunn, hadde Universitetet ikke lagt ut noen advarsler om at forsøk på innlogging uten autorisasjon var uberettiget.

Etter min oppfatning må den som har koblet sin datamaskin til Internett, og har valgt å la den svare på forespørsler, anses å ha gjort maskinen til en del av det informasjonssystem som Internett representerer. Ved å koble maskinen til Internett har datamaskineieren akseptert at det blir rettet forespørsler til maskinen om hvilken informasjon den har å tilby, og den aktivitet som skjer når maskinen svarer på slike forespørsler, kan da etter mitt syn ikke anses som uberettiget bruk av maskinen.

Det A har gjort, er å undersøke hvilke porter som var tilgjengelige, og om maskinene stod åpne for brukere uten konto ("guest" eller "anonymous"). Universitetet hadde valgt å la maskinene besvare forespørsler om hvilke porter som var tilgjengelige, men hadde ikke åpnet mulighet for brukere uten konto å komme inn på maskinene. Etter at A hadde fått avklart dette, gjorde han ikke ytterligere forsøk på å komme inn på maskinene. Etter min mening må de undersøkelser som A har foretatt, ligge innenfor det som er berettiget å gjøre av henvendelser til datamaskiner som er tilkoblet Internett.

Som førstvoterende har fremholdt, hadde A ved sine undersøkelser ikke som formål å nyttiggjøre seg tjenester som de tre datamaskinene tilbød allmennheten, men å avdekke svakheter i beskyttelsen av Universitetets datasystemer. Etter min oppfatning kan imidlertid det at A hadde et slikt formål, ikke gjøre en ellers lovlig handling ulovlig.

Etter dette må de domfelte etter mitt syn også frifinnes for overtredelse av straffeloven §393.

Siden frifinnelsen bygger på at de forespørsler A rettet til Universitetets datamaskiner, ikke var uberettigede, må de domfelte også frifinnes for erstatningskravet fra Universitetet i Oslo, se straffeprosessloven §434 annet ledd.

Jeg stemmer for denne dom:

1. Påtalemyndighetens anke forkastes.

2. A, født xx.xx.1964, frifinnes for overtredelse av straffeloven §393.

3. X Systems AS frifinnes for overtredelse av straffeloven §393 jf §48a.

4. A og X Systems AS frifinnes for erstatningskravet fra Universitetet i Oslo.

Dommer Bruzelius: Jeg er i det vesentlige og i resultatet enig med annenvoterende, dommer Skoghøy.

Kst dommer Pedersen: Likeså.

Dommer Dolva: Jeg er i det vesentlige og i resultatet enig med førstvoterende, dommer Tjomsland.

Etter stemmegivningen avsa Høyesterett denne dom:

1. Påtalemyndighetens anke forkastes.

2. A, født xx.xx.1964, frifinnes for overtredelse av straffeloven §393.

3. X Systems AS frifinnes for overtredelse av straffeloven §393 jf §48a.

4. A og X Systems AS frifinnes for erstatningskravet fra Universitetet i Oslo.