[pic] | COMISSÃO DAS COMUNIDADES EUROPEIAS |

Bruxelas, 14.7.2008

COM(2008) 448 final

RELATÓRIO DA COMISSÃO AO CONSELHO

apresentado nos termos do artigo 12.º da Decisão-Quadro do Conselho, de 24 de Fevereiro de 2005, relativa a ataques contra os sistemas de informação

1. INTRODUÇÃO

1.1. Antecedentes

O objectivo do presente relatório é avaliar se os Estados-Membros transpuseram correctamente a Decisão-Quadro 2005/222/JAI do Conselho, relativa a ataques contra os sistemas de informação[1] (a seguir designada “DQ”), para as respectivas legislações nacionais.

O objectivo principal[2] da DQ é reforçar, mediante a aproximação das disposições de direito penal dos Estados-Membros em matéria de ataques contra os sistemas de informação, a cooperação entre as autoridades judiciárias e outras autoridades competentes, nomeadamente a polícia e outros serviços especializados dos Estados-Membros responsáveis pela aplicação da lei. Atendendo a este objectivo, a DQ destina-se a completar e a desenvolver outros instrumentos da UE e internacionais (em especial a Convenção do Conselho da Europa sobre o Cibercrime[3]).

Desde que a DQ foi adoptada verificaram-se sucessivos ataques criminosos contra sistemas de informação, que ilustraram repetidamente a necessidade de uma cooperação europeia mais estreita para responder aos ataques deste tipo. O ataque contra a infra-estrutura de informação da Estónia, em Maio de 2007, que se traduziu na negação massiva de serviço, veio relembrar os efeitos perturbadores e destrutivos destes ataques.

Por conseguinte, a necessidade de uma transposição completa e rigorosa da DQ por cada um dos Estados-Membros intensificou-se desde a sua adopção. A oportunidade do presente relatório é ainda reforçada pela referência explícita à luta contra o cibercrime que consta das conclusões da recente reunião do Conselho Justiça e Assuntos Internos[4], nas quais se afirma que este órgão aguarda com expectativa que lhe seja enviado o relatório da Comissão sobre a transposição.

1.2. Notificações e respostas

O n.º 2 do artigo 12.º da DQ dispõe que os Estados-Membros devem transmitir, até 16 de Março de 2007, o texto das disposições que transpõem para o respectivo direito nacional as obrigações dela resultantes. Nessa data, só um país (a Suécia) havia transmitido o texto das disposições nacionais à Comissão e, mesmo este, incompleto. Assim, a Comissão voltou a insistir para que os Estados-Membros lhe enviassem o texto de todas as disposições nacionais de transposição da decisão-quadro e eventuais informações consideradas adequadas em matéria de aplicação desta medida.

A 1 de Junho de 2008, a Comissão recebera notificações ou respostas de 23 Estados-Membros. Não chegaram respostas de Malta , Polónia[5] , Eslováquia e Espanha . Além disso, as respostas da Irlanda , Grécia e Reino Unido , tal como reconheceram os próprios Governos, não permitem qualquer avaliação da transposição nesses países devido ao atraso na sua concretização.

Deste modo, os sete Estados-Membros referidos não cumpriram a obrigação de notificação que lhes incumbe por força do n.º 2 do artigo 12.º da DQ. Por conseguinte, o presente relatório avalia apenas as disposições comunicadas pelos restantes 20 Estados-Membros.

1.3. Método e critérios de avaliação

O presente relatório baseia-se nas informações enviadas pelos Estados-Membros. No entanto, faltam alguns dados necessários, pelo que a avaliação e as conclusões nele constantes se baseiam parcialmente em informações incompletas.

Nos termos do n.º 2, alínea b), do artigo 34.º do Tratado da União Europeia, as decisões-quadro vinculam os Estados-Membros quanto ao resultado a alcançar, deixando, no entanto, às instâncias nacionais a competência quanto à forma e aos meios. A fim de avaliar de forma objectiva se uma decisão-quadro foi integralmente transposta por um Estado-Membro, foram fixados alguns critérios gerais aplicáveis à transposição de directivas, que podem aplicar-se mutatis mutandis às decisões-quadro. Mais concretamente, as disposições de transposição de decisões-quadro devem ser eficazes atendendo aos respectivos fins, devem respeitar os requisitos de clareza e de segurança jurídica, devem garantir a aplicação integral do texto de forma suficientemente clara e precisa e devem ser transpostas no prazo prescrito.

O presente relatório trata sobretudo do nível formal de transposição das disposições da DQ em matéria penal. No entanto, a aplicação dessas disposições não cabe no âmbito do presente relatório.

2. AVALIAÇÃO

2.1. Perspectiva geral sobre a transposição

A DQ foi transposta de formas muito diversas nos 20 Estados-Membros. Na maioria deles, a redacção nacional segue de perto o texto da decisão-quadro. Outros países optaram por métodos mais indirectos e gerais de transposição. Em muitos casos, isto significa que os conceitos jurídicos e a terminologia utilizados não são facilmente comparáveis. Tanto quanto possível, o presente relatório terá em conta o direito penal geral dos Estados-Membros e indicará eventuais dificuldades específicas associadas a esta opção.

2.2. Definições (artigo 1.º)

Nenhum dos 20 Estados-Membros enviou informações claras ou completas sobre o modo de transposição para o direito nacional das definições constantes da DQ. O contexto geral, porém, mostra claramente que as definições das várias leis nacionais se coadunam com as da DQ.

2.3. Acesso ilegal aos sistemas de informação (artigo 2.º)

A Comissão considera que os 20 Estados-Membros consagraram a obrigação fundamental, que consiste em assegurar que o acesso intencional, não autorizado, à totalidade ou a parte de um sistema de informação seja punível como infracção penal.

A parte final do n.º 1 permite que os Estados-Membros criminalizem apenas os “casos que não sejam de menor gravidade” . Os seguintes Estados-Membros utilizaram, mais ou menos explicitamente, esta possibilidade pressupondo que as disposições abaixo descritas correspondem a casos que não são “de menor gravidade”.

- Na Áustria , o critério previsto na lei para determinar a responsabilidade criminal é a existência da intenção de prática de um acto de espionagem e que os dados obtidos sejam utilizados para ter lucro ou causar danos;

- A República Checa criminalizou o acesso ilegal apenas nos casos em que os dados sejam ulteriormente utilizados de forma abusiva ou danificados;

- Na Finlândia , para que haja responsabilidade criminal é necessário que os dados sejam “colocados em perigo”;

- Na Letónia , o aceso ilegal só é considerado crime se dele resultarem “danos graves”.

É necessário definir com precisão o que se entende por “casos que não sejam de menor gravidade”, a fim de avaliar a conformidade destas disposições com o disposto na DQ. Esta fixação de sentido é necessária para determinar se pelo menos a parte crucial da criminalização visada pela DQ foi formalmente consagrada pelos Estados-Membros. O artigo 2.º visa proteger a confidencialidade dos sistemas de informação. Assim, a Comissão considera que o conceito de “caso de menor gravidade” deve remeter para os casos em que o acesso ilegal tenha pouca importância ou em que a violação da confidencialidade do sistema de informação seja pouco grave. No entanto, as disposições atrás referidas da Áustria , República Checa , Finlândia e Letónia nesta matéria incluem circunstâncias que não podem ser consideradas compatíveis com a interpretação proposta, nomeadamente a existência de intenção criminosa específica, de riscos específicos ou de danos. Por conseguinte, a Comissão tem sérias reservas quanto à conformidade das disposições austríacas , checas , finlandesas e letãs com o conceito de “casos que não sejam de menor gravidade” da DQ.

Em termos mais gerais, esta divergência de interpretação e aplicação da opção de não criminalizar determinados actos compromete seriamente o objectivo de aproximação das disposições de direito penal dos Estados-Membros em matéria de ataques contra os sistemas de informação.

Assim, a Comissão considera que só 16 dos 20 Estados-Membros mostraram ter transposto correctamente o artigo 2.º da DQ.

O n.º 2 do artigo 2.º prevê que os Estados-Membros possam decidir que os comportamentos referidos no n.º 1 são puníveis apenas quando a infracção tiver sido cometida em violação de uma medida de segurança. Esta opção foi utilizada por 7 dos 20 Estados-Membros ( Áustria, Finlândia, Alemanha, Hungria, Itália, Letónia e Lituânia ).

2.4. Interferência ilegal no sistema (artigo 3.º)

A Comissão considera que os 20 Estados-Membros consagraram a obrigação principal, a saber, assegurar que o acto intencional de impedir ou interromper gravemente o funcionamento de um sistema de informação, introduzindo, transmitindo, danificando, apagando, deteriorando, alterando, suprimindo ou tornando inacessíveis os dados informáticos seja punível como infracção penal.

No entanto, a fim de confirmar esta avaliação, será necessário analisar de forma mais cuidada as práticas dos Estados-Membros que optaram por disposições de carácter mais geral para transpor este artigo da DQ. É o caso da Dinamarca , que defende que uma disposição muito geral, que inclui a destruição, a danificação ou supressão de todos os tipos de bens, abrange todos os critérios enumerados neste artigo. Embora esta opção seja, em princípio, aceitável, é questionável em que medida é que uma disposição deste tipo é aplicável aos ataques à acessibilidade, especialmente nos casos em que os danos possam ser apenas temporários[6].

A parte final do artigo 3.º permite que os Estados-Membros criminalizem apenas os “casos que não sejam de menor gravidade” . Esta opção foi utilizada por 6 Estados-Membros, que defenderam, mais ou menos explicitamente, que as seguintes disposições abrangiam aquelas circunstâncias:

- A lei austríaca criminaliza a interferência apenas em casos “graves”;

- A lei checa exige a intenção de causar danos ou perdas[7];

- A lei alemã exige que o sistema de informação que sofreu a interferência deve revestir “importância considerável para um terceiro”;

- A lei estónia faz depender a responsabilidade criminal da “produção de danos consideráveis”;

- A lei lituana criminaliza apenas os incidentes “dos quais resultem danos”;

- A lei letã criminaliza a interferência apenas quando “os sistemas de protecção forem danificados ou destruídos ou forem causadas perdas em grande escala”.

Mais uma vez, é necessário definir com precisão o que se entende por “casos que não sejam de menor gravidade”, a fim de avaliar a conformidade destas disposições com a DQ. Esta necessidade já foi referida atrás, a propósito do artigo 2.º (ponto 2.3).

O artigo 3.º visa proteger a integridade dos sistemas de informação. Como tal, a Comissão considera que o conceito de “caso de menor gravidade” deve remeter para casos em que a interferência em si tenha pouca importância ou em que os efeitos da interferência sobre a integridade do sistema de informação sejam de pequena escala. As disposições austríacas , checas , estónias e lituanas atrás referidas parecem prever exactamente estas circunstâncias e devem ser consideradas compatíveis com a exigência de que só os casos de menor gravidade podem não ser puníveis.

Todavia, a disposição alemã refere a importância para terceiros e a letã exige a produção de danos em sistemas de protecção ou perdas em grande escala. A Comissão considera que o nexo destas disposições com a integridade dos sistemas de informação é insuficiente para avaliar a sua conformidade com a opção prevista na DQ de não criminalizar os casos de menor gravidade e que não respeita o objectivo da DQ de aproximação das disposições de direito penal dos Estados-Membros em matéria de ataques contra os sistemas de informação.

Em termos mais gerais, esta divergência de interpretação e aplicação da opção de não criminalizar determinados actos compromete seriamente o objectivo de aproximação das disposições de direito penal dos Estados-Membros em matéria de ataques contra os sistemas de informação.

Deste modo, a Comissão considera que só 18 dos 20 Estados-Membros mostraram ter transposto correctamente o artigo 3.º da DQ.

2.5. Interferência ilegal nos dados (artigo 4.º)

A Comissão considera que os 20 Estados-Membros consagraram a obrigação fundamental, que consiste em assegurar que o acto intencional de apagar, danificar, deteriorar, alterar, suprimir ou tornar inacessíveis os dados informáticos de um sistema de informação seja punível como infracção penal. Muitos Estados-Membros transpuseram os artigos 3.º e 4.º mediante uma única disposição nacional. Mais uma vez, no caso da Dinamarca , a Comissão não está convencida de que uma disposição de carácter muito geral, que inclui a destruição a destruição, a danificação ou supressão de todos os tipos de bens, possa abranger os actos relacionados com dados informáticos neste artigo. Para uma breve análise desta questão, ver as observações sobre o artigo 3.º no ponto 2.4.

A parte final do artigo permite que os Estados-Membros punam apenas os “casos que não sejam de menor gravidade”. Esta opção foi utilizada por 3 Estados-Membros, que defenderam, mais ou menos explicitamente, que as seguintes disposições abrangiam aquelas circunstâncias:

- A lei checa exige a intenção de causar danos ou perdas[8];

- A lei estónia exige a produção de “danos consideráveis”;

- A lei letã (artigo 243.º do Código Penal) exige que “os sistemas de protecção sejam danificados ou destruídos ou sejam causadas perdas em grande escala”.

Como já foi referido no ponto 2.4 relativamente a disposições idênticas de transposição do artigo 3.º da DQ, a Comissão considera que a lei checa é compatível com a DQ neste domínio e que se deve presumir o mesmo quanto à lei estónia. Como já foi referido, não se pode considerar que a Letónia tenha cumprido as obrigações que lhe incumbem neste domínio.

A Comissão considera que 19 dos 20 Estados-Membros mostraram ter transposto correctamente o artigo 4.º da DQ.

2.6. Instigação, auxílio, cumplicidade e tentativa (artigo 5.º)

A Comissão considera que a obrigação principal, a saber, assegurar que a instigação, o auxílio e a cumplicidade, bem como a tentativa de prática destes actos, sejam puníveis como infracção penal, foi consagrada por 18 dos 20 Estados-Membros. A Finlândia e Portugal comunicaram as disposições nacionais que se referem apenas à tentativa e não indicaram o modo como consagraram na lei nacional as obrigações relativas à instigação, ao auxílio e à cumplicidade. A Suécia não prevê que os casos de menor gravidade de instigação, auxílio, cumplicidade e tentativa sejam puníveis. Esta opção não é compatível com os requisitos da DQ.

Os Estados-Membros têm a faculdade de decidir não aplicar a obrigação de assegurar que qualquer tentativa de prática da infracção de acesso ilegal a sistemas de informação seja punível. A Alemanha e a Eslováquia comunicaram que fizeram uso desta possibilidade.

Por conseguinte, a Comissão considera que o artigo 5.º foi transposto de forma correcta por 17 dos 20 Estados-Membros.

2.7. Sanções e circunstâncias agravantes (artigos 6.º e 7.º)

A Comissão considera que os 20 Estados-Membros asseguram que as infracções previstas nos artigos 2.º a 5.º da DQ sejam puníveis mediante sanções penais efectivas, proporcionadas e dissuasivas[9]. As sanções previstas para a interferência ilegal nos sistemas e a interferência ilegal nos dados observam igualmente os requisitos específicos do n.º 2 do artigo 6.º da DQ.

A situação relativa à obrigação de ter em conta as “circunstâncias agravantes” de uma infracção cometida no âmbito de uma organização criminosa (artigo 7.º) é mais variada.

- As disposições notificadas pela Áustria não cumprem claramente as obrigações decorrentes da DQ;

- A lei dinamarquesa não faz referência directa a organizações criminosas;

- A Finlândia não faz referência a organizações criminosas na lei relevante;

- Portugal deve introduzir algumas alterações à lei, a fim de cumprir integralmente a DQ.

Outros Estados-Membros ( Bulgária , Itália , Letónia e Suécia ) não fazem referência ao elemento “organizações criminosas” nas disposições notificadas à Comissão. Ainda assim, os textos enviados mostram que a obrigação de aplicar sanções mais severas às infracções que envolvam organizações criminosas está já plenamente consagrada – embora indirectamente – pelas disposições nacionais da Bulgária , Itália e Letónia . Nestes Estados-Membros as disposições em vigor para todos os casos de infracções deste tipo prevêem a pena mínima mais severa indicada no artigo 7.º da DQ. O Governo sueco defende que as infracções cometidas no âmbito de organizações criminosas são totalmente abrangidas pela circunstância agravante “crime grave”, prevista na lei sueca, e forneceu explicações circunstanciadas a este respeito.

Assim, a Comissão considera que o artigo 6.º foi correctamente transposto pelos 20 Estados-Membros e que 16 deles cumprem as obrigações previstas no artigo 7.º da DQ.

2.8. Responsabilidade das pessoas colectivas (artigos 8.º e 9.º)

A Comissão considera que 16 dos 20 Estados-Membros tomaram claramente as medidas necessárias para assegurar que as pessoas colectivas possam ser consideradas responsáveis pelas infracções referidas nos artigos 2.º, 3.º, 4.º e 5.º, nas circunstâncias previstas no n.º 1 do artigo 8.º

A República Checa[10] , a Letónia e o Luxemburgo[11] não cumpriram a obrigação de notificar estas disposições à Comissão.

A Estónia defende que as suas disposições em matéria de responsabilidade civil abrangem todos os casos previstos no n.º 1 do artigo 8.º, mas não expôs o conteúdo destas disposições à Comissão. Não há qualquer obrigação respeitante à natureza da responsabilidade em questão e as disposições nacionais em matéria de responsabilidade administrativa ou civil – se forem integralmente compatíveis com o artigo 8.º – podem, em teoria, ser suficientes. No entanto, a Estónia não explicou como é que a sua lei da responsabilidade civil cobre integralmente as obrigações decorrentes da DQ.

O n.º 2 do artigo 8.º dispõe que os Estados-Membros devem assegurar que uma pessoa colectiva possa ser considerada responsável sempre que a falta de vigilância ou de controlo por parte de uma pessoa referida no n.º 1 tenha tornado possível a prática, por uma pessoa que lhe esteja subordinada, de uma infracção em benefício dessa pessoa colectiva. A Comissão considera que 10 dos 20 Estados-Membros cumpriram esta exigência. Além da República Checa , Estónia , Letónia e Luxemburgo , relativamente aos quais as conclusões a propósito do n.º 1 do artigo 8.º se aplicam também ao n.º 2 do mesmo artigo, a Dinamarca , Finlândia , França e Portugal não apresentaram disposições relevantes em matéria de responsabilidade das pessoas colectivas. A França defendeu que esta responsabilidade decorre das disposições gerais de responsabilidade civil, mas não enviou qualquer explicação sobre o conteúdo preciso desta responsabilidade.

Nos termos do artigo 9.º, os Estados-Membros devem tomar as medidas necessárias para assegurar que uma pessoa colectiva considerada responsável nos termos dos n.os 1 e 2 do artigo 8.º seja passível de sanções efectivas, proporcionadas e dissuasivas. Os 14 Estados-Membros que apresentaram medidas de transposição correcta do n.º 1 do artigo 8.º e os 10 Estados-Membros que cumpriram a obrigação que lhes incumbia por força do n.º 2 do artigo 8.º cumpriram igualmente estas obrigações.

Assim, a Comissão considera que só 12 dos 20 Estados-Membros mostraram ter transposto correctamente os artigos 8.º e 9.º da DQ.

2.9. Competência (artigo 10.º)

A Comissão considera que 17 dos 20 Estados-Membros cumpriram a obrigação de definir a sua competência relativamente às infracções referidas nos artigos 2.º, 3.º, 4.º e 5.º da DQ (com base nos critérios específicos indicados no artigo 10.º). Embora os vários métodos de legislar sobre as questões da competência nos Estados-Membros dificultem as comparações, a Comissão considera que o artigo foi transposto correctamente. A Letónia e Portugal não cumpriram a obrigação de informar a Comissão das disposições nacionais de transposição do artigo 10.º

A opção prevista no n.º 5, que permite que os Estados-Membros decidam não aplicar, ou aplicar apenas em casos e condições específicos, as regras de competência estabelecidas nas alíneas b) e c) do n.º 1 foi utilizada e notificada pela França [alínea b) do n.º 1] e pela Áustria , Finlândia , Alemanha , Hungria e Lituânia [alínea c) do n.º 1]. A Itália parece também ter recorrido às alíneas b) e c) do n.º 1 e a Estónia e a Roménia à alínea c), apesar de não o terem reconhecido formalmente. A Áustria informou a Comissão de que ainda está a ponderar a possibilidade de continuar a recorrer a esta opção.

Por conseguinte, a Comissão considera que o artigo 10.º foi transposto de forma correcta por 17 dos 20 Estados-Membros.

2.10. Intercâmbio de informações (artigo 11.º)

Os Estados-Membros devem recorrer à rede existente de pontos de contacto operacionais, disponíveis 24 horas por dia e sete dias por semana. A Comissão não recebeu informações que permitam avaliar se é isto que se passa na Bélgica , República Checa , Alemanha , Itália , Países Baixos , Portugal e Eslovénia , no que se refere à matéria regulada na DQ.

Quanto à obrigação de notificar ao Secretariado-Geral do Conselho e à Comissão o ponto de contacto designado (n.º 2 do artigo 11.º), a Comissão não recebeu qualquer notificação clara da Áustria , Bulgária , Itália e Portugal .

Assim, a Comissão considera que só 11 dos 20 Estados-Membros mostraram ter cumprido plenamente as obrigações previstas no artigo 11.º da DQ.

3. CONCLUSÕES

3.1. Nível de transposição

O presente relatório fornece uma primeira perspectiva sobre a transposição da DQ pelos Estados-Membros, confirmando a enorme diversidade de vias seguidas para a transposição para a lei penal nacional e as dificuldades daí decorrentes para proceder a uma avaliação completa das legislações nacionais sem atender ao modo como são aplicadas na prática.

A Comissão salienta que a DQ ainda está a ser transposta em alguns Estados-Membros. Verificaram-se progressos consideráveis em praticamente todos os 20 Estados-Membros avaliados no presente relatório, nos quais o nível de transposição foi considerado razoável.

É óbvio que a maior preocupação da Comissão são os 7 Estados-Membros que ainda não notificaram quaisquer medidas de transposição. A Comissão convida os Estados-Membros que ainda não o fizeram a transpor a DQ para as respectivas leis nacionais, a fim de pôr cobro a esta situação quanto antes. A Comissão convida também os Estados-Membros a analisar atentamente as respectivas legislações, no intuito de reforçar os seus esforços para impedir os ataques contra os sistemas de informação.

3.2. Evolução futura

Os recentes ataques ocorridos na Europa desde a adopção da DQ vieram chamar a atenção para várias ameaças emergentes, em especial a ocorrência de ataques massivos simultâneos contra sistemas de informação e o aumento da utilização das chamadas botnets para fins criminosos[12]. Estes ataques não constituíam o centro das atenções quando a DQ foi adoptada. Em resposta a estes acontecimentos, a Comissão irá definir medidas destinadas a encontrar respostas melhores para a ameaça constituída pelas botnets . A definição destas medidas pode incluir a criminalização específica de determinadas actividades que facilitem a utilização criminosa das botnets e também a previsão de sanções mais graves para infracções que se traduzam em ataques massivos e particularmente perigosos contra sistemas de informação.

A Comissão está igualmente a pensar tomar medidas para promover a utilização eficiente e tempestiva dos pontos de contacto 24/7 referidos no artigo 11.º A necessidade de acções comuns rápidas – incluindo, com frequência, operadores privados – a nível internacional para impedir ataques massivos contra sistemas de informação foi realçada por acontecimentos graves em 2007. A fim de promover uma melhor coordenação e a coerência num sistema de resposta deste tipo, os Estados-Membros devem continuar a ponderar a possibilidade de utilizar os mesmos pontos de contacto utilizados pelas redes do Conselho da Europa/G 8[13]. A Comissão irá ponderar, especificamente, a fixação de orientações da UE sobre o recurso a diversas redes internacionais no domínio da criminalidade que utiliza as altas tecnologias.

[1] JO L 69 de 16.3.2005, p. 67.

[2] Considerando 1.

[3] http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm.

[4] 8 e 9 de Novembro de 2007, ver http://register.consilium.europa.eu/pdf/pt/07/st14/st14617.pt07.pdf .

[5] Apesar de a notificação da Polónia, apresentada em 1 de Julho de 2008, não poder ser tomada em consideração devido aos estritos prazos de publicação, será considerada posteriormente para efeito das acções subsequentes à publicação do relatório.

[6] Tal como sublinhado na notificação de outros Estados-Membros à Comissão.

[7] O Governo checo declarou que este requisito será suprimido com a adopção de nova legislação penal.

[8] O Governo checo declarou que este requisito será suprimido com a adopção de nova legislação penal.

[9] Note-se que a Áustria parece interrogar-se se as suas próprias sanções para a interferência ilegal nos sistemas serão suficientemente dissuasivas.

[10] O Governo checo referiu que existem algumas disposições de responsabilidade civil a este respeito, mas não enviou o texto destas disposições nem descreveu o seu conteúdo.

[11] Em 2007, foi apresentada ao Parlamento luxemburguês uma proposta que consagrava esta obrigação, mas a Comissão desconhece se foi adoptada ou não.

[12] O termo botnet refere-se a um conjunto de máquinas “sequestradas” que executam programas sob um comando comum.

[13] Artigo 35.º da Convenção.