Computer-Crime Laws: Budapest, the CFAA, the UK and the Law at Homeیاساکانی تاوانی سایبەری: بوداپێست، CFAA، بەریتانیا و یاسا لە وڵاتی خۆمان

A computer-crime law does four jobs. It says which acts with computers are crimes, it sets the penalties, it gives the police powers to collect digital evidence, and it lets countries help each other. In the earlier lessons you met ethical hacking and data-protection laws such as the GDPR. This lesson is about the criminal side: when does touching someone else's computer become a crime?

یاسایەکی تاوانی سایبەری (Cybercrime) چوار کار دەکات. دیاری دەکات کام کار بە کۆمپیوتەر تاوانە، سزاکان دادەنێت، دەسەڵات بە پۆلیس دەدات بۆ کۆکردنەوەی بەڵگەی دیجیتاڵی و ڕێگە دەدات وڵاتان یارمەتیی یەکتر بدەن. لە وانەکانی پێشوودا هاککردنی ئەخلاقی (Ethical hacking) و یاساکانی پاراستنی دراوە (Data protection) وەک GDPRـت ناسی. ئەم وانەیە دەربارەی لایەنی تاوانکارییە: کەی دەستدان لە کۆمپیوتەری کەسێکی تر دەبێتە تاوان؟

Old laws were written for a physical world. Theft meant taking an object away, and breaking in meant forcing a door. With computers, a thief can copy your data and leave the original in place, and an intruder can enter a system from another continent without breaking anything you can see. So countries wrote special laws.

یاسا کۆنەکان بۆ جیهانێکی ماددی نووسرابوون. دزی واتای بردنی شتێک بوو و چوونە ژوورەوەی بەزۆر واتای شکاندنی دەرگایەک. بەڵام بە کۆمپیوتەر، دزێک دەتوانێت دراوەکانت (Data) کۆپی بکات و ئەسڵەکە لە شوێنی خۆی بهێڵێتەوە، هەروەها کەسێک دەتوانێت لە کیشوەرێکی ترەوە بچێتە ناو سیستەمێکەوە بێ ئەوەی هیچ شتێک بشکێنێت کە بە چاو ببینرێت. بۆیە وڵاتان یاسای تایبەتیان نووسی.

Every law in this lesson is built around one question: did you have permission to enter this computer, or this part of it? Lawyers say authorisation. Permission comes from whoever is in charge of the system — usually its owner or the organisation that runs it. Doing something on a computer without authorisation, or beyond the access you were given, is the heart of the crime.

هەموو یاساکانی ئەم وانەیە لەسەر یەک پرسیار بنیات نراون: ئایا ڕێگەپێدانت هەبوو بچیتە ناو ئەم کۆمپیوتەرە، یان ئەم بەشەی؟ ڕێگەپێدان لەو کەسەوە دێت کە سیستەمەکەی بە دەستە — زۆرجار خاوەنەکەی یان ئەو ڕێکخراوەی بەڕێوەی دەبات. ئەنجامدانی کارێک لەسەر کۆمپیوتەر بێ ڕێگەپێدان، یان زیاتر لەو دەستڕاگەیشتنەی پێت دراوە، کرۆکی تاوانەکەیە.

A cyberattack can start in one country, pass through a server in a second and hit a victim in a third. The police in each country can only work inside their own borders. The Convention on Cybercrime of the Council of Europe, usually called the Budapest Convention, was written to solve this. It opened for signature in Budapest on 23 November 2001 and came into force on 1 July 2004. It was the first international treaty on computer crime.

هێرشێکی سایبەری (Cyberattack) دەتوانێت لە وڵاتێکەوە دەست پێبکات، بە ڕاژەکارێکدا (Server) لە وڵاتێکی دووەمدا تێپەڕێت و لە وڵاتێکی سێیەمدا قوربانییەک بپێکێت. پۆلیسی هەر وڵاتێک تەنها لەناو سنووری خۆیدا دەتوانێت کار بکات. پەیماننامەی ئەنجومەنی ئەوروپا دەربارەی تاوانی سایبەری، کە زۆرجار پێی دەوترێت پەیماننامەی بوداپێست، بۆ چارەسەری ئەم کێشەیە نووسرا. لە ٢٣ی تشرینی دووەمی ٢٠٠١ لە بوداپێست بۆ واژووکردن کرایەوە و لە ١ی تەممووزی ٢٠٠٤ـەوە کاری پێکرا. یەکەم پەیماننامەی نێودەوڵەتی بوو بۆ تاوانی کۆمپیوتەری.

The treaty has three parts:

پەیماننامەکە سێ بەشی هەیە:

The first part of the treaty is a shared list. Each party writes these acts into its own criminal law, so an act that is a crime in one country is a crime in the others too — and the police can ask each other for help.

بەشی یەکەمی پەیماننامەکە لیستێکی هاوبەشە. هەر وڵاتێکی بەشدار ئەم کارانە لە یاسای تاوانکاریی خۆیدا دەنووسێت، بۆ ئەوەی کارێک کە لە وڵاتێکدا تاوانە لە وڵاتانی تریشدا تاوان بێت — و پۆلیس بتوانن داوای یارمەتی لە یەکتر بکەن.

The treaty was written in Europe, but any country can be invited to join. By 2026 it had 82 parties: Papua New Guinea joined in May 2026 as the 82nd, and no later accession had been announced by October 2026. Many are outside Europe, such as the United States, Japan, Brazil and Morocco. Some large countries stayed out: India declined to join, and Russia opposes the treaty. Iraq is not a party. A first extra protocol (in force since 2006) adds racist and xenophobic acts online, and a second protocol (opened in 2022) adds rules for sharing electronic evidence.

پەیماننامەکە لە ئەوروپا نووسرا، بەڵام هەر وڵاتێک دەتوانێت بانگهێشت بکرێت بۆ بەشداربوون. لە ٢٠٢٦دا ٨٢ وڵات بەشدار بوون: پاپوا گینێی نوێ لە ئایاری ٢٠٢٦ وەک وڵاتی ٨٢ـەم بەشدار بوو و تا تشرینی یەکەمی ٢٠٢٦ هیچ بەشداربوونێکی نوێتر ڕانەگەیەنرابوو. زۆریان لە دەرەوەی ئەوروپان، وەک ئەمریکا، ژاپۆن، بەرازیل و مەغریب. هەندێک وڵاتی گەورە لە دەرەوە مانەوە: هیندستان بەشداری نەکرد و ڕووسیا دژی پەیماننامەکەیە. عێراق بەشدار نییە. پرۆتۆکۆلێکی زیادەی یەکەم (لە ٢٠٠٦ـەوە کاری پێدەکرێت) کاری ڕەگەزپەرستی و بیانیترسی لەسەر ئینتەرنێت زیاد دەکات، هەروەها پرۆتۆکۆلی دووەم (لە ٢٠٢٢ کرایەوە) ڕێسا بۆ هاوبەشکردنی بەڵگەی ئەلیکترۆنی زیاد دەکات.

The Computer Fraud and Abuse Act (CFAA) is the main computer-crime law of the United States. It was passed in 1986. It makes it a crime to reach a computer without authorisation, and it protects computers, networks and data from access, theft and damage. At first it guarded mainly government and bank computers. Later changes widened it to every protected computer — any computer used in trade or communication between US states or with other countries. In practice that is almost every computer connected to the Internet, even one outside the United States.

CFAA یاسای سەرەکیی تاوانی سایبەرییە لە ئەمریکا. لە ساڵی ١٩٨٦دا دەرچوو. گەیشتن بە کۆمپیوتەر بێ ڕێگەپێدان دەکاتە تاوان و کۆمپیوتەرەکان، ڕایەڵەکان (Network) و دراوە لە دەستڕاگەیشتن، دزی و زیان دەپارێزێت. لە سەرەتادا زیاتر کۆمپیوتەرەکانی حکوومەت و بانکەکانی دەپاراست. دواتر گۆڕانکارییەکان فراوانیان کرد بۆ هەموو کۆمپیوتەری پارێزراو — هەر کۆمپیوتەرێک کە لە بازرگانی یان پەیوەندیی نێوان ویلایەتەکانی ئەمریکا یان لەگەڵ وڵاتانی تر بەکار بێت. لە ڕاستیدا ئەمە نزیکەی هەموو کۆمپیوتەرێک دەگرێتەوە کە بە ئینتەرنێتەوە بەسترابێت، تەنانەت ئەگەر لە دەرەوەی ئەمریکاش بێت.

The course notes list six key provisions and one example. The law itself has seven numbered offences in section 1030(a); the six below — three on this screen and three on the next — are the ones every student should know.

تێبینییەکانی کۆرسەکە شەش بڕگەی سەرەکی و نموونەیەک ڕیز دەکەن. خودی یاساکە حەوت تاوانی ژمارەدار لە بەشی ⁦1030(a)⁩دا هەیە؛ ئەو شەشەی خوارەوە — سێیان لەم پەڕەیەدا و سێیان لە پەڕەی داهاتوودا — ئەوانەن کە هەموو خوێندکارێک دەبێت بیانزانێت.

A CFAA case can be criminal (the state prosecutes) or civil (the victim sues for money). The notes list three kinds of penalty: fines, prison and restitution — paying back the victim's losses. Prison terms depend on the offence and on whether it is a first or a repeat offence:

دۆسیەیەکی CFAA دەکرێت تاوانکاری بێت (دەوڵەت سکاڵا دەکات) یان مەدەنی (قوربانییەکە داوای پارە دەکات). تێبینییەکان سێ جۆر سزا دەژمێرن: غەرامە، زیندان و قەرەبووکردنەوە — گەڕاندنەوەی زیانەکانی قوربانییەکە. ماوەی زیندان پشت بە جۆری تاوانەکە دەبەستێت و بەوەی کە یەکەم جارە یان دووبارە کراوەتەوە:

In practice the CFAA appears in four kinds of case: hacking and unauthorised access, theft of intellectual property (designs, source code, trade secrets), cyber extortion such as ransomware, and insider threats — people inside an organisation who misuse their access. The last kind was limited by the Van Buren decision you will meet soon.

لە ڕاستیدا CFAA لە چوار جۆر دۆسیەدا دەردەکەوێت: هاککردن و دەستڕاگەیشتنی بێ‌مۆڵەت، دزینی موڵکی هزری (Intellectual property) (دیزاین، کۆدی سەرچاوە (Source code)، نهێنیی بازرگانی)، بارمتەگرتنی سایبەری (Cyber) وەک نەرمەواڵەی بارمتەگر، هەروەها هەڕەشە ناوخۆییەکان (Insider threat) — ئەو کەسانەی لەناو ڕێکخراوێکدان و دەستڕاگەیشتنەکەیان خراپ بەکار دەهێنن. جۆری کۆتایی بە بڕیاری ⁦Van Buren⁩ سنووردار کرا کە بەم زووانە دەیبینیت.

Critics say the CFAA's wording is too broad. A law that is too wide lets prosecutors treat small or accidental acts as serious crimes. The notes give two examples. First, 'exceeding authorised access' was once read to cover breaking a website's terms of service — for example using a fake name where the rules forbid it. Second, the case of a well-known programmer, which started a national debate about fairness.

ڕەخنەگران دەڵێن دەربڕینەکانی CFAA زۆر فراوانن. یاسایەکی زۆر فراوان ڕێگە بە داواکاری گشتی دەدات کاری بچووک یان بە هەڵە وەک تاوانی گەورە مامەڵە بکات. تێبینییەکان دوو نموونە دەدەن. یەکەم، «تێپەڕاندنی دەستڕاگەیشتنی ڕێگەپێدراو» جارێک وا لێکدرایەوە کە شکاندنی مەرجەکانی بەکارهێنانی تۆڕگەیەک (Website) بگرێتەوە — بۆ نموونە بەکارهێنانی ناوی ساختە لە شوێنێکدا کە ڕێساکان قەدەغەی دەکەن. دووەم، دۆسیەی بەرنامەسازێکی (Software developer) بەناوبانگ کە گفتوگۆیەکی نیشتیمانیی دەربارەی دادپەروەری دەست پێکرد.

In 2011 the programmer and activist Aaron Swartz was charged after he downloaded millions of academic articles from the JSTOR library through the network of the Massachusetts Institute of Technology (MIT). Prosecutors brought 13 felony counts, 11 of them under the CFAA, which on paper carried up to 35 years in prison. He died in January 2013, before any trial, and the case was dropped. Members of Congress then proposed 'Aaron's Law' to narrow the CFAA; it did not pass.

لە ٢٠١١دا بەرنامەساز و چالاکوان ⁦Aaron Swartz⁩ تۆمەتبار کرا دوای ئەوەی ملیۆنان وتاری ئەکادیمیی لە کتێبخانەی JSTOR لە ڕێگەی ڕایەڵەی پەیمانگای تەکنەلۆجیای ماساچوسێتس ⁦(MIT)⁩ـەوە دابەزاند. داواکاری گشتی ١٣ تۆمەتی گەورەی هێنا، ١١یان بەپێی CFAA، کە لەسەر کاغەز تا ٣٥ ساڵ زیندانی لێدەکەوتەوە. لە کانوونی دووەمی ٢٠١٣دا، پێش هەر دادگاییکردنێک، کۆچی دوایی کرد و دۆسیەکە داخرا. دواتر ئەندامانی کۆنگرێس «یاسای Aaron»ـیان پێشنیار کرد بۆ تەسککردنەوەی CFAA؛ پەسەند نەکرا.

In Van Buren v. United States (3 June 2021) the US Supreme Court finally explained 'exceeds authorised access'. A police sergeant in Georgia was allowed to search a licence-plate database for police work. In an FBI sting, he searched it for a man who paid him. He was convicted under the CFAA, but the Supreme Court overturned the conviction by 6 votes to 3.

لە دۆسیەی ⁦Van Buren v. United States⁩ (٣ی حوزەیرانی ٢٠٢١)دا دادگای باڵای ئەمریکا لە کۆتاییدا «تێپەڕاندنی دەستڕاگەیشتنی ڕێگەپێدراو»ی ڕوون کردەوە. ڕێگە بە ئەفسەرێکی پۆلیس لە ویلایەتی جۆرجیا درابوو بۆ کاری پۆلیس لە بنکەدراوەیەکی ژمارەی ئۆتۆمبێلدا بگەڕێت. لە پلانێکی FBIـدا، بۆ پیاوێک گەڕا کە پارەی پێدابوو. بەپێی CFAA تاوانبار کرا، بەڵام دادگای باڵا بە ٦ دەنگ بەرامبەر ٣ تاوانبارکردنەکەی هەڵوەشاندەوە.

The majority held that you 'exceed authorised access' only when you enter parts of a computer — files, folders or databases — that are off-limits to you.

زۆرینەی دادوەرەکان بڕیاریان دا کە تەنها کاتێک «دەستڕاگەیشتنی ڕێگەپێدراو تێدەپەڕێنیت» کە بچیتە ناو ئەو بەشانەی کۆمپیوتەرێکەوە — فایلەکان (File)، بوخچەکان یان بنکەدراوەکان — کە بۆ تۆ قەدەغەن.

The Court's test is about gates. Think of a computer as a building with many rooms (files, folders, databases). The question is only: was the gate to this room up (open to you) or down (closed to you)? Entering a room whose gate is down is a crime. Entering a room you are allowed into, even for a bad reason, is not a CFAA crime — although it may break other laws or your employer's rules.

پێوەری دادگاکە دەربارەی دەروازەکانە. کۆمپیوتەرێک وەک باڵەخانەیەک بهێنە بەرچاوت کە چەندین ژووری هەیە (فایلەکان، بوخچەکان، بنکەدراوەکان). پرسیارەکە تەنها ئەمەیە: ئایا دەروازەی ئەم ژوورە بۆ تۆ کراوە بوو یان داخراو؟ چوونە ژوورێک کە دەروازەکەی داخراوە تاوانە. چوونە ژوورێک کە ڕێگەت پێدراوە، تەنانەت بۆ مەبەستێکی خراپ، تاوانی CFAA نییە — هەرچەندە ڕەنگە یاسای تر یان ڕێساکانی خاوەنکارەکەت بشکێنێت.

On 19 May 2022 the US Justice Department changed its charging policy. Federal prosecutors should not charge good-faith security research under the CFAA. Good-faith research means accessing a computer only to test, investigate or fix a security flaw, in a way that avoids harm to people, and using what you learn mainly to make systems safer. The policy also lists acts that should not be charged as 'exceeding authorised access', such as making a dating profile look better than reality, using a false name on a social network, or checking sports scores on a work computer against company policy.

لە ١٩ی ئایاری ٢٠٢٢دا وەزارەتی دادی ئەمریکا سیاسەتی تۆمەتبارکردنی گۆڕی. داواکارانی گشتیی فیدراڵی نابێت توێژینەوەی ئاسایشی (Security) بە نیەتپاکی بەپێی CFAA تۆمەتبار بکەن. توێژینەوەی بە نیەتپاکی واتە دەستڕاگەیشتن بە کۆمپیوتەرێک تەنها بۆ تاقیکردنەوە، لێکۆڵینەوە یان چاککردنی خاڵێکی لاوازی (Vulnerability) ئاسایش، بە شێوەیەک کە زیان بە خەڵک نەگەیەنێت. هەروەها دەبێت ئەوەی فێری دەبیت بە شێوەیەکی سەرەکی بۆ سەلامەتترکردنی سیستەمەکان بەکار بهێنرێت. سیاسەتەکە هەروەها ئەو کارانە دەژمێرێت کە نابێت وەک «تێپەڕاندنی دەستڕاگەیشتنی ڕێگەپێدراو» تۆمەتبار بکرێن، وەک جوانتر پیشاندانی پرۆفایلێک لە ماڵپەڕێکی ناسینی هاوسەردا لەوەی ڕاستییەکەیەتی، بەکارهێنانی ناوی ساختە لە تۆڕێکی کۆمەڵایەتیدا (Social network)، یان سەیرکردنی ئەنجامی یارییەکانی وەرزش لەسەر کۆمپیوتەری کار بە پێچەوانەی ڕێسای کۆمپانیا.

The United Kingdom passed the Computer Misuse Act in 1990, four years after the CFAA. It is short and is built as a ladder: each section adds a more serious intention or result, and a heavier maximum penalty.

بەریتانیا لە ساڵی ١٩٩٠دا یاسای خراپ‌بەکارهێنانی کۆمپیوتەری دەرکرد، چوار ساڵ دوای CFAA. کورتە و وەک پەیژەیەک دروست کراوە: هەر بەشێک مەبەست یان ئەنجامێکی گەورەتر و زۆرترین سزای قورستر زیاد دەکات.

Two details matter. First, the Act applies when there is a significant link with the UK: the attacker, the target computer or a server on the way is there. Second, an employee who goes beyond limits that the employer has clearly set can commit a section 1 offence — so British law can reach some insider cases that the CFAA no longer covers after Van Buren.

دوو وردەکاری گرنگن. یەکەم، یاساکە کاتێک کار دەکات کە پەیوەندییەکی گرنگ بە بەریتانیاوە هەبێت: هێرشبەر (Attacker)، کۆمپیوتەری ئامانج یان ڕاژەکارێک لە ڕێگادا لەوێ بێت. دووەم، کارمەندێک کە لە سنوورێک تێدەپەڕێت کە خاوەنکارەکە بە ڕوونی دایناوە دەتوانێت تاوانی بەشی ١ ئەنجام بدات — بۆیە یاسای بەریتانی دەتوانێت هەندێک دۆسیەی ناوخۆیی بگرێتەوە کە CFAA دوای ⁦Van Buren⁩ ئیتر نایانگرێتەوە.

The three texts were written in different places and times, but they share the same core: entering without permission, damaging systems, and dealing in hacking tools or stolen passwords are crimes almost everywhere.

ئەم سێ دەقە لە شوێن و کاتی جیاوازدا نووسراون، بەڵام هەمان کرۆکیان هەیە: چوونە ژوورەوە بێ ڕێگەپێدان، زیانگەیاندن بە سیستەمەکان و مامەڵەکردن بە ئامرازی هاککردن یان تێپەڕەوشەی دزراو نزیکەی لە هەموو شوێنێک تاوانن.

What applies where most of our students live? Only what reliable sources confirm, as of October 2026:

لەو شوێنەی زۆربەی خوێندکارانمان تێیدا دەژین چی کار پێدەکرێت؟ تەنها ئەوەی سەرچاوە متمانەپێکراوەکان پشتڕاستی دەکەنەوە، تا تشرینی یەکەمی ٢٠٢٦:

Iraq's lawmakers have tried to pass a cybercrime law for fifteen years. A draft 'information crimes' law was first sent to parliament in 2011 and withdrawn in 2013. New versions were read in 2019 and in November 2020. In February 2021 parliament paused the bill until it was amended, after human-rights organisations warned that its vague wording could be used to punish free expression. The new Combating Cybercrimes Bill read on 6 July 2026 drew the same criticism from rights groups and journalists.

یاسادانەرانی عێراق پانزە ساڵە هەوڵ دەدەن یاسایەکی تاوانی سایبەری دەربکەن. پڕۆژەیاسایەکی «تاوانەکانی زانیاری» یەکەم جار لە ٢٠١١دا نێردرا بۆ پەرلەمان و لە ٢٠١٣دا کشێنرایەوە. وەشانی نوێی لە ٢٠١٩ و لە تشرینی دووەمی ٢٠٢٠دا خوێندرانەوە. لە شوباتی ٢٠٢١دا پەرلەمان پڕۆژەکەی ڕاگرت تا هەموار بکرێت، دوای ئەوەی ڕێکخراوەکانی مافی مرۆڤ ئاگاداریان کردەوە کە دەربڕینە ناڕوونەکانی دەتوانرێت بۆ سزادانی ئازادیی ڕادەربڕین بەکار بهێنرێت. پڕۆژەیاسا نوێیەکەی بەرەنگاربوونەوەی تاوانی سایبەری کە لە ٦ی تەممووزی ٢٠٢٦دا خوێندرایەوە هەمان ڕەخنەی لە ڕێکخراوەکانی مافی مرۆڤ و ڕۆژنامەنووسانەوە بەر کەوت.

In the Kurdistan Region, journalists' groups have criticised the use of the 2008 law in press cases, which they say belong under the region's 2007 journalism law. How laws fit into a country's whole defence is explained in Legal measures.

لە هەرێمی کوردستان، گرووپەکانی ڕۆژنامەنووسان ڕەخنەیان لە بەکارهێنانی یاسای ٢٠٠٨ لە دۆسیەکانی ڕۆژنامەگەریدا گرتووە، کە دەڵێن دەبێت لە ژێر یاسای ڕۆژنامەنووسیی ٢٠٠٧ی هەرێمدا بن. یاسا چۆن بەشێکە لە هەموو بەرگریی وڵاتێک لە ڕێکارە یاساییەکاندا ڕوون کراوەتەوە.

If a cybercrime happens to you — threats, blackmail, a stolen account, fraud — first follow the general steps in What to do: do not reply, save the evidence, block and report. Then make an official complaint:

ئەگەر تاوانێکی سایبەری بەسەرت هات — هەڕەشە، بارمتەگرتن، دزینی هەژمار، فێڵ — سەرەتا هەنگاوە گشتییەکانی چی بکەیت جێبەجێ بکە: وەڵام مەدەرەوە، بەڵگەکان پاشەکەوت بکە، بلۆک بکە و ڕاپۆرت بکە. پاشان سکاڵایەکی فەرمی تۆمار بکە:

The details differ from country to country, but a few rules keep you safe almost everywhere:

وردەکارییەکان لە وڵاتێکەوە بۆ وڵاتێکی تر جیاوازن، بەڵام چەند ڕێسایەک نزیکەی لە هەموو شوێنێک بە سەلامەتی دەتهێڵنەوە: