sou · H5B339 · 2017-05-12 00:00:00 — Enligt 8 kap. 5 § arbetsmiljölagen finns en möjlighet för regeringen eller den myndighet regeringen bestämmer att föreskriva om sank- tionsavgifter för vissa typer av överträdelser mot lagen. Avgiften ska vara lägst 1 000 och högst . Av 18 § 4 arbetsmiljöför- ordningen (1977:1166) framgår att bemyndigats att meddela sådana föreskrifter. De avgifter som bestäms i före- skrifterna varierar mellan och . De sanktionsavgifter som har föreskrivits på arbetsmiljöområdet riktar sig mot arbetsgivare utan att statliga eller kommunala myndig- heter undantas. Bakgrunden till att sanktionsavgifter infördes som huvudsaklig sanktion i stället för de straffbestämmelser som tidigare gällde, var att överträdelser av arbetsmiljöbestämmelser ofta görs inom ramen för verksamhet där många människor medverkar och att det ansågs svårt att utreda en utpekad gärningsmans personliga skuld. Det anfördes i motiven att det t.ex. kan vara osäkert vilket reellt inflytande över händelseförloppet någon som varit formellt ansvarig haft samt att det ofta är uppenbart att bristen i arbetsmiljön är resul- tatet av att någon inom företaget har gjort sig skyldig till en vårdslös- het utan att man kan peka på vem som gjort det.23 Avgiften, som enligt 8 kap. 6 § arbetsmiljölagen tillfaller staten, ska enligt 8 kap. 7 § prövas av , som sedan kan an- söka hos den förvaltningsrätt inom vars domkrets avgiftsföreläg- gandet har utfärdats om att sanktionsavgift ska tas ut, om avgiftsföre- läggandet inte har godkänts inom utsatt tid. Ett exempel på sanktionsavgifter som särskilt riktar sig mot myn- digheter är reglerna om upphandlingsskadeavgift i lagen (2016:1145) om offentlig upphandling (). Allmän förvaltningsdomstol får efter ansökan från tillsynsmyndigheten enligt 21 kap. 1 och 2 §§ besluta att en upphandlande myndighet ska betala en upp- handlingsskadeavgift. Avgiften kan tas ut oberoende av om över- trädelsen har skett uppsåtligen eller av oaktsamhet. 1993/94:186 s. 49. En upphandlingsskadeavgift ska enligt 21 kap. 4 § uppgå till lägst och högst . Avgiften får emel- lertid inte överstiga av upphandlingens värde. Enligt 21 kap. 5 § ska vid fastställande av upphandlingsskadeavgiftens storlek särskild hänsyn tas till hur allvarlig överträdelsen är. Upp- handlingsavgiften ska enligt 21 kap. 8 § tillfalla staten. När det gäller frågan om möjligheten att ålägga statliga och kom- munala myndigheter skyldighet att erlägga avgiften till staten konsta- terades i förarbetena till den numera upphävda lagen (2007:1091) om offentlig upphandling att andra liknande avgifter såsom konkurrens- skadeavgift och marknadsstörningsavgift kan tas ut av offentligrätts- liga subjekt om de är att betrakta som näringsidkare. Vidare beto- nades vikten av att sanktionsbestämmelserna är desamma för alla slag av upphandlande myndigheter och enheter och att något undantag för statliga myndigheter därför inte borde göras. Lagrådet angav vida- re i sitt yttrande över förslaget att för att den eftersträvade preventiva effekten ska uppnås beträffande statliga myndigheter är det viktigt att det upprätthålls en strikt budgetdisciplin, så att avgiften blir kännbar också för en felande statlig myndighet. När det gäller kommunala myndigheter påpekades bland annat att möjligheter att påföra kom- muner sanktionsavgifter som tillfaller staten redan förekommer i andra författningar, såsom exempelvis socialtjänstlagen.24 Utredningens förslag: Sanktionsavgifter ska få tas ut även av stat- liga och kommunala myndigheter. För mindre allvarliga överträdelser ska avgiften uppgå till högst och för allvarligare överträdelser till högst . Vid bestämmandet av avgiftens storlek i det enskilda fallet ska dataskyddsförordningens bestämmelser till- lämpas. Utgångspunkten för våra överväganden i denna del är att det följer direkt av förordningen att sanktionsavgifter kommer att kunna 2009/10:180 s. 200. påföras aktörer i den privata sektorn. Det finns enligt vår mening starka skäl som talar för att sanktionsmöjligheterna bör vara desamma mot privata subjekt som mot myndigheter när det gäller överträdelser mot dataskyddsförordningen. Inledningsvis kan det konstateras att regleringen syftar till att skydda enskildas integritet, och att enskildas intresse av skydd för sin personliga integritet väger lika tungt om uppgifter behandlas i det allmännas verksamhet som i den privata sektorn. Såväl statliga som kommunala myndigheter hanterar mycket stora mängder person- uppgifter, ofta mycket känsliga sådana, som dessutom i allt ökande grad utbyts över myndighets- och nationsgränser utan enskildas samtycke. Trots att det allmännas verksamhet i och för sig är reglerad i högre grad genom annan lagstiftning än personuppgiftsrelaterad sådan, exempelvis i tryckfrihetsförordningen, offentlighets- och sekretess- lagen och arkivlagstiftningen, sker själva behandlingen av per- sonuppgifter på i stort sett samma villkor och enligt samma regelverk som för personuppgiftsansvariga i privat sektor. Det framgår vidare av tillsynsmyndigheternas granskningar att några av de grövre överträdelserna mot dataskyddslagstiftningens grundläg- gande principer har gjorts av myndigheter.25 Det är alltså högst tvek- samt om myndigheter i allmänhet kan förväntas att i högre grad än enskilda följa regleringen om dataskydd. Inte heller borde behovet av avskräckande sanktioner vara mindre när det gäller myndigheternas personuppgiftsbehandling. Argumenten mot att sanktionsavgifter enligt förordningen ska kunna tas ut av myndigheter är främst sanktionens bristande effekti- vitet när det är statliga myndigheter som gör sig skyldiga till över- trädelser, samt att − i motsats till den privata sektorn – tjänstefels- ansvaret utgör ett visst skydd mot att enskilda tjänstemän i offentlig verksamhet gör sig skyldiga till grövre överträdelser. Som framgår av redogörelsen i föregående avsnitt är det trots detta inte helt ovanligt med viten och sanktionsavgifter som riktar sig till statliga och kom- munala myndigheter. 25 Se exempelvis Säkerhets- och integritetsskyddsnämndens uttalande om det s.k. kringresande- registret (dnr 173-2013) och Datainspektionens beslut om det s.k. kvinnoregistret (dnr 2790- 2014). Den EU-rättsliga regleringen av personuppgiftsbehandling utgår från det förhållandet att individens rätt till skydd vid behandling av personuppgifter är en grundläggande rättighet enligt artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna. Frå- gan om vilka sanktioner som bör kunna riktas mot myndigheter bör därför i likhet med andra områden där regleringen framför allt syftar till skydd för individers grundläggande rättigheter, såsom exempelvis inom diskrimineringslagstiftningen, besvaras utifrån ett individ- perspektiv. Behovet av skydd kan enligt vår mening inte anses vara mindre vid personuppgiftsbehandling som utförs av myndigheter än av enskilda. Tjänstefelsansvar eller disciplinansvar är inte tillräckligt effektiva sanktioner mot systematiska överträdelser på myndighets- nivå för att motivera en annan bedömning. I detta sammanhang förtjä- nar det att noteras att kommissionen har föreslagit att sanktionsavgif- ter ska kunna tas ut av EU-institutionerna och andra gemenskaps- organ vid överträdelser mot den förordning som reglerar institu- tionernas och gemenskapsorganens egen behandling av person- uppgifter, parallellt med disciplinära påföljder.26 Inte heller effektivitetsargument leder till ett annat ställnings- tagande eftersom liknande avgifter har ansetts utgöra en effektiv sank- tion på flera andra områden trots att vitet eller avgiften betalas av statliga myndigheter till staten. Här får, såsom anfördes i förarbetena till regleringen om upphandlingsskadeavgifter, förutsättas att bud- getdisciplinen upprätthålls så att avgiften får den avskräckande funk- tion förordningen förutsätter. Sammanfattningsvis menar vi att övervägande skäl talar för att administrativa sanktionsavgifter ska kunna tas ut av statliga och kommunala myndigheter. I förordningens artikel 83.1–3 anges vilka omständigheter som ska beaktas vid beslut om att ta ut sanktions- avgifter och vid bestämmande av beloppets storlek. Dessa bestäm- melser bör enligt vår mening tillämpas även då sanktionsavgifter tas ut av myndigheter. Bestämmelsen i artikel 83.7 om medlemsstaternas möjligheter att bestämma i vilken utsträckning myndigheter ska kunna påföras avgifter, innebär enligt vår mening att medlemsstaterna har utrym- me att bestämma ett tak för de belopp som kan påföras myndig- 26 Artiklarna 66 och 69 i kommissionens förslag av , COM(2017) 8 final, 2017/0002 (COD). heter, på samma sätt som föreslås i betänkandet Brottsdatalag, SOU 2017:29. När det gäller frågan om sådana beloppstak bör införas för myn- digheternas del bör följande beaktas. Som vi har anfört ovan anser vi att ur ett integritetsperspektiv bör samma typ av överträdelse leda till samma typ av sanktion oavsett om överträdelsen begåtts av en myndighet eller ett privat subjekt. Vi anser dock att sanktionsavgifter som påförs myndigheter beloppsmässigt bör ligga i paritet med andra sanktionsavgifter i svensk rätt. Varken på miljöområdet eller på arbetsmiljöområdet är de avgifter som kan tas ut tillnärmelsevis så höga som de som anges i dataskyddsförordningen. Det högsta belopp som kan beslutas vid en överträdelse inom dessa områden är . Inte heller företagsbot eller upphandlingsskade- avgift kan uppgå till lika höga belopp som enligt förordningen. För företagsbot är minimibeloppet och maximibelop- pet . För upphandlingsskadeavgift enligt lagen om offentlig upphandling är lägsta beloppet och det högs- ta . Avgiften får dock aldrig överstiga en viss procentsats av upphandlingens värde. Skillnader mellan sanktionsavgifternas storlek utanför respektive innanför myndighetssfären kan också motiveras av att personupp- giftsansvariga i den privata sektorn kan vara multinationella företag där det krävs synnerligen höga sanktionsbelopp för att avgiften ska vara kännbar. För myndigheter kan även en något lägre avgift för- väntas påverka agerandet i önskad riktning. Till det kommer att ett felaktigt agerande från en myndighet sällan föranleds av en önskan att maximera vinst eller att göra en större besparing, även om det inte kan uteslutas att det finns ekonomiska motiv. Lägre men tillräckligt kännbara belopp torde därför påverka myndigheterna så länge bud- getdisciplinen upprätthålls och de inte får ekonomiska tillskott för att kunna betala sina sanktionsavgifter. Här kan också noteras att i kommissionens förslag till den förordning som reglerar institu- tionernas och gemenskapsorganens egen behandling av personupp- gifter sätts beloppsgränsen för sanktionsavgifterna betydligt lägre än enligt dataskyddsförordningen.27 27 Artikel 66.2 och 66.3 i kommissionens förslag av , COM(2017) 8 final, 2017/0002 (COD). Ett av huvudsyftena med sanktionsavgifter är att de ska vara effektiva och avskräckande. För att regleringen ska få en tillräckligt avskräckande effekt krävs, trots det som sagts ovan om myndigheters relativt sett högre känslighet även för låga sanktionsavgifter, enligt vår bedömning att maximibeloppet sätts relativt högt. Sammanfattnings- vis anser vi att maxbeloppet för sanktionsavgifter mot myndigheter bör ligga i linje med de sanktionsavgifter som finns på andra områden och med storleken på företagsbot, och därmed bestämmas till ett lägre belopp än enligt dataskyddsförordningen. Sanktionsavgift ska enligt förordningen tas ut på två olika nivåer – en lägre nivå vid överträdelser som betraktas som mindre allvarliga och en högre nivå vid allvarligare överträdelser och underlåtenhet att följa förelägganden eller beslut av tillsyns-myndigheten eller att på annat sätt bistå den. Vi anser att det även för myndigheter finns skäl att ha två olika avgiftsnivåer. Ett maximibelopp om 10 000 000 kro- nor för mindre allvarliga överträdelser, vilket motsvarar vad som gäller för företagsbot, får anses tillräckligt betydande för att utgöra en kännbar sanktion. Det finns, utifrån förordningens modell, skäl att bestämma belop- pen för allvarligare överträdelser till det dubbla. Det innebär att maximibeloppet för sådana överträdelser bör vara . Vid bestämmandet av vad som utgör en mindre allvarlig respektive en allvarlig överträdelse bör förordningens artikel 83.4 respektive 83.5 gälla. Frågan om det närmare förfarandet vid beslut om sanktions- avgifter och effektiva rättsmedel för de som påförs avgifterna behand- las i avsnitt 19.5.3 och 19.7.3. 18.6Övriga sanktioner och förbudet mot dubbelbestraffning Som nämnts ovan anges i artikel 84 att medlemsstaterna ska fast- ställa regler om andra sanktioner för överträdelser av förordningen, särskilt för överträdelser som inte är föremål för administrativa sank- tionsavgifter. Medlemsstaterna har enligt samma artikel att se till att sanktionerna är effektiva, proportionella och avskräckande. Frågan är då vad detta innebär för våra skyldigheter när det gäller genom- I skäl 152 anges att om förordningen inte harmoniserar administrativa sanktioner eller om nödvändigt i andra fall bör med- lemsstaterna genomföra ett system med effektiva, proportionella och avskräckande sanktioner, som kan vara av administrativ eller straffrättslig art. Artikel 84 får alltså tolkas så att om sanktioner saknas enligt förordningen åligger det i princip medlemsstaterna att täppa till sådana luckor, men att det finns relativt stor frihet för medlemsstaterna att avgöra på vilket sätt detta ska ske. Som framgår av genomgången ovan av förordningens reglering om sanktionsavgifter täcker den det stora flertalet rättigheter och skyldigheter enligt förordningen, med det viktiga undantaget att överträdelser mot artikel 10 inte omfattas. Det finns en uttalad politisk vilja att använda straffrätten återhåll- samt. Detta eftersom kriminalisering innebär påtagliga inskränk- ningar i medborgarnas valfrihet och ingripande tvångsåtgärder mot dem som begår brott. Straffrättsliga sanktioner ses vidare som inef- fektiva i många fall, i synnerhet när det i första hand är juridiska personer som kan antas göra sig skyldiga till överträdelser av olika slag genom beslut som fattas på viss nivå i organisationen.28 manade i sitt betänkande, SOU 1992:61, till försiktighet vid användandet av kriminalisering som metod för att styra medborgarnas beteende. Utredningen fastslog vissa kriterier för att en kriminalisering ska framstå som befogad, bland annat att alternativa sanktioner inte står till buds, inte skulle vara rationella eller skulle kräva oproportionerligt höga kostnader och att straff- sanktionen utgör ett effektivt medel för att motverka det icke önskvärda beteendet. Den restriktiva syn på kriminalisering som kom till uttryck i utredningen och den efterföljande propositionen fick i huvudsak stöd vid riksdagsbehandlingen.29 fick i uppdrag av regeringen att på nytt analysera och ta ställning till vilka kriterier som bör gälla för att kriminalisering ska anses vara befogad, se dir. 2011:31. 28SOU 2013:38 s. 536. 1994/95:23 s. 52 f., bet. 1994/95:JuU2 och rskr. 1994/95:40. utgångspunkt angavs att kriminalisering bör ske med återhållsam- het och endast användas när den metoden som framstår som den mest effektiva för att motverka det oönskade beteendet. Utred- ningen tog fram fem kriterier som den ansåg ska vara uppfyllda för att kriminalisering ska komma i fråga. Dessa kan sammanfattas enligt följande. 1.Det tänkta straffbudet måste avse ett identifierat och konkreti- serat intresse som är skyddsvärt (godtagbart skyddsintresse). 2.Det beteende som avses bli kriminaliserat måste kunna orsaka skada eller fara för skada på skyddsintresset. 3.Endast den som har visat skuld – varit klandervärd – bör träffas av straffansvar, vilket innebär att kriminaliseringen inte får äventyra tillämpningen av skuldprincipen. 4.Det får inte finnas något tillräckligt värdefullt motstående intresse. 5.Det får inte finnas någon alternativ metod som är tillräckligt effektiv för att komma till rätta med det oönskade beteendet. I första hand bör vite, sanktionsavgift eller återkallelse av tillstånd övervägas. Straff bör väljas i sista hand.30 Utredningen ansåg att för att inte riskera att komma i konflikt med det så kallade dubbelbestraffningsförbudet (se vidare nedan) bör sådana beteenden som sanktioneras med avgift inte vara straffbelagda. Visserligen kan man med åtalsbegränsningsregler, jämk- ningsregler, inskränkning av anmälningsplikt osv. försöka se till att dubbelbestraffningsförbudet inte överträds i praktiken, men en sådan uppbyggnad av regelverket gör enligt utredningen att detta blir svårt att överblicka och besvärligt att tillämpa. Utredningen ansåg vidare att det bör vara möjligt för den enskilde att kunna förutse om ett visst beteende leder till straff eller avgift, och förordade därför att när sanktionsavgift införs för beteenden som redan är straffbelagda, dessa beteenden avkriminaliseras i motsvarande mån.31 Straffrättsanvänd- ningsutredningens betänkande har remissbehandlats och bereds nu inom . 30SOU 2013:38 s. 498. 31SOU 2013:38 s. 546 f. gäller som lag i . I konventionen regle- ras mänskliga rättigheter såsom rätten till en rättvis rättegång i artikel 6. I artikel 4.1 i det sjunde tilläggsprotokollet till konventio- nen regleras rättigheten att inte bli lagförd eller straffad två gånger, ibland kallat dubbelbestraffningsförbudet. Fortsättningsvis kom- mer här att användas den något mer korrekta termen dubbelpröv- ningsförbudet. Det svenska systemet med samtidig tillämpning av en administra- tiv sanktion i form av skattetillägg och en straffrättslig sanktion i form av skattebrott har prövats i domen mot (no. 7356/10, ), där fann att en kränkning av dubbelprövningsförbudet hade skett. Dubbelprövningsförbudet finns även reglerat i , när- mare bestämt i artikel 50 i Europeiska unionens stadga om de grund- läggande rättigheterna. har i ett avgörande ansett sig behörig att pröva de svenska skattetilläggs- och skatte- brottsreglerna såvitt de gäller mervärdesskatt, men lämnade i domen över till den frågande tingsrätten att bedöma om förfarandet stred mot dubbelprövningsförbudet.32 och har ändrat sin tidigare praxis och kommit fram till att det svenska systemet med två förfaranden och dubbla sanktioner vid oriktiga uppgifter i skatteförfarandet är oför- enligt med dubbelprövningsförbudet.33 Utredningens förslag: Sanktionsavgifter enligt artikel 83 i data- skyddsförordningen ska kunna tas ut även vid överträdelser av artikel 10 i förordningen. Avgiftens storlek ska bestämmas inom ramen för den högre beloppsgräns som gäller för överträdelser mot bland annat bestämmelserna om känsliga personuppgifter. 32Dom , C-617/10, EU:C:2013:280. 33NJA 2013 s. 502, NJA 2013 s. 746 och HFD 2013 ref. 71. Jfr dom i A och B mot , (no 24130/11 och 29758/11, ). Utredningens bedömning: Något straff ska inte ådömas den som bryter mot förordningen. Någon möjlighet för tillsynsmyndigheten att förena sina före- lägganden med vite bör inte införas. Sanktionsavgift vid överträdelser mot artikel 10 Dataskyddsförordningens artikel 10 begränsar möjligheterna att behandla uppgifter som rör fällande domar i brottmål och överträ- delser eller därmed sammanhängande säkerhetsåtgärder, och innebär alltså skyldigheter för personuppgiftsansvariga och personuppgifts- biträden att se till att behandling bara sker i tillåtna fall. Intresset av att upprätthålla efterlevnaden av de begränsningar som anges i arti- kel 10, dvs. möjligheterna att behandla personuppgifter om fällande domar och överträdelser som rör brott, väger enligt vår mening lika tungt ur integritetssynpunkt som att säkerställa efterlevnaden av förbudet mot behandling av vissa typer av känsliga personuppgifter. Behandling av uppgifter om misstänkta eller lagförda brott uppfattas som mycket integritetskänsligt och stigmatiserande av den registrerade. Som nämnts ovan framstår det inte heller som osannolikt att avsikten varit att även artikel 10 skulle omfattats av regleringen om sanktionsavgifter. Av förordningens skäl 152 och artikel 84 kan utläsas att det står medlemsstaterna fritt att införa administrativa sanktioner på områden som inte harmoniseras i förordningen. Vår bedömning är att samma system för sanktionsavgifter bör gälla vid överträdelser av artikel 10 som för överträdelser av regleringen om känsliga personuppgifter i artikel 9. bör därför kunna påföra administrativa sanktionsavgifter upp till det högre maxbeloppet även vid överträ- delser mot förordningens artikel 10. Den befintliga bestämmelsen i 49 § PUL har som nämnts ovan till- lämpats sparsamt . I många fall är det svårt att peka ut en fysisk person som uppfyller de objektiva och subjektiva rekvisiten för brott och därför är det svårt att fälla någon till ansvar. Eftersom ansvaret för överträdelser enligt förordningen i huvud- sak läggs på personuppgiftsansvariga och personuppgiftsbiträden, vilka i flertalet fall är juridiska personer, bör de mycket kännbara avgifter som kan påföras enligt förordningen vara väsentligt mer effektiva i den meningen att de har en mer avhållande effekt än straffrättsliga sanktioner. Överträdelser mot förordningen kommer sannolikt i stor utsträck- ning att upptäckas och utredas av tillsynsmyndigheten. Även ur resurssynpunkt är det därför mer effektivt att låta tillsynsmyndig- heten sanktionera överträdelserna. Med det kraftfulla och relativt heltäckande system med sanktionsavgifter som införs genom förord- ningen finns det därför enligt vår bedömning en alternativ metod som är tillräckligt effektiv och avskräckande för att komma till rätta med överträdelser mot förordningen. Införandet av straff kan också aktualisera dubbelprövningsför- budet och göra det svårt för personuppgiftsansvariga att förutse vil- ken sanktion som kan komma ifråga för vilken överträdelse. Med den restriktiva syn på kriminalisering som förutsätts , bedömer vi att någon straffsanktion inte bör införas för överträdelser mot förordningen. Det bör i detta sammanhang återigen erinras om att visst integri- tetskränkande beteende som innefattar personuppgiftsbehandling kan vara straffsanktionerat enligt andra bestämmelser, såsom exem- pelvis dataintrång och förtal. Tjänstefelsansvaret kan också komma ifråga vid gärningar som begås av offentliganställda och som innebär överträdelser av dataskyddsregleringen. bereds också förslaget om införande av brottet olaga integritetsintrång i (SOU 2016:7). En avkriminalisering av brott mot regleringen om dataskydd innebär alltså inte att integritetskränkningar som begås vid personuppgiftsbehandling kommer att sakna straffrättsliga sank- tioner. Dataskyddsförordningen innehåller inte någon indikation på vilka andra sanktioner som avses i artikel 84. Straffanvändningsutred- ningen har bedömt att de repressiva metoder som står till buds för staten, vid sidan av straff och sanktionsavgifter, främst är vite och återkallelse av tillstånd.34 Förordningen föreskriver inte något sådant tillståndsförfarande som gör att återkallelse kan användas som sank- tion. Frågan om det finns skäl att behålla möjligheten för tillsyns- myndigheten att vitesförelägga i vissa situationer måste dock över- vägas i detta sammanhang. Inledningsvis kan konstateras att Datainspektionen aldrig använt sig av den möjlighet att vitesförelägga som finns enligt person- uppgiftslagen. Som nämnts ovan kan sanktionsavgifterna enligt för- ordningen användas framåtsyftande, dvs. för att säkerställa ett age- rande i enlighet med tillsynsmyndighetens pålagor, genom att det erinras om att sanktionsavgifter kan utgå enligt artikel 83.5 e och artikel 83.6 om föreläggandet eller beslutet inte följs. Vi bedömer att denna möjlighet bör fylla tillsynsmyndighetens behov av hand- lingsdirigerande sanktion, och att det därför inte finns något behov för tillsynsmyndigheten att också kunna förena sina förelägganden med vite på förordningens tillämpningsområde.