sou · H5B336 · 2017-05-02 00:00:00 — Beträffande de aktuella över- trädelserna bedömer utredningen att det finns ett starkt stöd för en presumtion om att överträdelser inte kan förekomma annat än som en följd av uppsåt eller oaktsamhet. 13 Se t.ex. betänkandet Vad bör straffas? SOU 2013:38 s. 544. att det inte finns anledning att frångå huvudregeln om strikt ansvar när det gäller den nya lagen. Lagrådet har med hänvisning till huvudregeln om strikt ansvar uttalat att lagtext inte behöver innehålla någon upplysning om att uppsåt eller oaktsamhet inte krävs för att sanktionsavgift ska kunna dömas ut. En särskild angivelse av detta, som skett i ett antal lagar, riskerar enligt lagrådet att i stället för att vara klargörande skapa osäkerhet om vad som gäller närt någon sådan angivelse inte finns14. Utredningen bedömer mot denna bakgrund att det inte behöver anges i lagtext att sanktionsavgift får tas ut även om en överträdelse inte har skett uppsåtligen eller av oaktsamhet. När storleken på sanktionsavgiften ska bestämmas i det enskilda fallet bör hänsyn tas till alla relevanta omständigheter. Det är inte möjligt att i lagen ange samtliga relevanta omständigheter som kan behöva beaktas i enskilda fall. Utredningen bedömer dock att lagen bör innehålla en bestämmelse som anger omständigheter som sär- skilt ska beaktas. De omständigheter som är särskilt viktiga att beakta och som alltså bör tas in i lagen är enligt utredningens mening den skada eller risk för skada som uppstått till följd av överträdelsen, om aktören har begått en överträdelse samt de kostnader som aktören undvikit till följd av regelöverträdelsen. Exempel på omständigheter som kan komma att påverka belop- pets storlek men som enligt utredningens mening inte behöver tas in i lagen är hur länge överträdelsen pågått. Om aktören tidigare gjort sig skyldig till överträdelse av lagen kan det bli aktuellt att beakta om överträdelserna är likartade samt den tid som har gått mellan de olika överträdelserna. Det kan också vara relevant att beakta be- stämmelsens betydelse för tillsynsområdet. Vissa omständigheter kan det finnas anledning att beakta i mildrande riktning. Att en aktör samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelser kan vara en sådan omständighet15. 2012/13:55 – Ny lag om kontroll av ekologisk produktion s. 139 ff. 15Jfr t.ex. 15 kap. lagen (2004:297) om bank- och finansieringsrörelse och prop. 2016/17:22 s. 220 f. Förslag: Sanktionsavgiften får efterges helt eller delvis om över- trädelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Att avgiftsskyldigheten bygger på strikt ansvar innebär mot bak- grund av de krav som följer av att det behöver finnas en möjlighet för tillsynsmyndigheten att underlåta att besluta om sanktionsavgift. Det bör därför införas en bestämmelse som ger tillsynsmyndigheten utrymme att jämka eller helt efterge avgiften i fall där det inte framstår som rimligt och proportionerligt att ta ut avgift. bör i det enskilda fallet göra en nyan- serad bedömning av om omständigheterna ger anledning till jämkning eller eftergift. Omständigheter som kan ha betydelse kan t.ex. vara överträdelsens allvarlighet och om aktören gjort rättelse. En annan situation som kan innebära att det framstår som oskäligt att besluta om sanktionsavgift är om en aktör drabbas av sanktionsavgift enligt något annat regelverk för i princip samma brist. Bestämmelser om säkerhetsåtgärder och sanktionsavgifter för den som bryter mot dessa bestämmelser finns t.ex. i den tidigare nämnda dataskyddsförord- ningen.16 Det skulle också kunna uppstå situationer där en aktör på grund av avtal med t.ex. en underleverantör blir skyldig att betala skadestånd till följd av en brist som sanktioneras genom den nya lagens bestämmelser. Även i dessa fall skulle det kunna anses oskäligt att meddela beslut om sanktionsavgift. Förslag: får inte ingripa med sanktionsav- gift om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 16 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Regeringen har i flera lagstiftningsärenden konstaterat att begreppet straff i den mening som avses i får anses om- fatta även t.ex. vite17. Om ett vite har dömts ut bör det därför inte vara möjligt att besluta om en sanktion – administrativ eller straff- rättslig – för samma sak. Den avgörande tidpunkten för när sådant hinder uppkommer bör enligt vad regeringen uttalat anses vara när det inleds en domstolsprocess angående frågan om utdömande av vite. Ett föreläggande om vite bör därför inte hindra ett senare ingripande så länge som tillsynsmyndigheten inte har ansökt om ut- dömande av vitet. I den situationen bör dock tillsynsmyndigheten vara förhindrad att ingripa mot en överträdelse som omfattas av vitesföreläggandet18. En bestämmelse om detta bör tas in i lagen. 9.6.8Förfarandet vid beslut om sanktionsavgift Förslag: Ett beslut om sanktionsavgift ska vara skriftligt och inne- hålla skälen för beslutet. Innan tillsynsmyndigheten beslutar om sanktionsavgift ska den som beslutet kommer att riktas mot ges tillfälle att yttra sig. Sanktionsavgift får inte beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig efter överträ- delsen. För att rimliga krav på rättssäkerhet ska tillgodoses ska ett beslut om sanktionsavgift inte kunna komma i fråga förrän omständigheterna kring överträdelsen har utretts och den som beslutet avser att gälla har fått möjlighet att ta del av utredningen i ärendet och yttra sig över den.19 Aktörens möjlighet i detta avseende är en förutsättning för att relevanta omständigheter ska bli kända för tillsynsmyndig- heten och därmed för materiellt riktiga beslut och för förtroende för systemet. Ett beslut om sanktionsavgift bör vara skriftligt och innehålla skälen för beslutet. 2007/08:107 s. 24 och prop. 2012/13:143 s. 69. 2016/17:22 s. 228. 19Jfr 16–17 §§ förvaltningslagen (1986:223). Det bör finnas en bortre tidsgräns för när en sanktionsavgift får beslutas. Denna tid bör vara relativt kort. Utredningen anser att sanktionsavgift inte ska få beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig från överträdelsen. 9.6.9Betalning, indrivning och preskription Förslag: Sanktionsavgiften ska betalas till tillsynsmyndigheten efter det att beslutet om sanktionsavgift fått laga kraft eller annars inom den som anges i beslutet. En sanktionsavgift får verkställas utan föregående dom eller utslag om den är obetald och förfallen till betalning. Om sanktionsavgiften inte betalas ska tillsynsmyndig- heten lämna den obetalda avgiften för indrivning. En beslutad sanktionsavgift faller bort om beslutet om avgift- en inte har verkställts från det att beslutet fick laga kraft. För att regleringen om sanktionsavgifter ska bli tillräckligt hand- lingsdirigerande och effektiv bör den avgift som tillsynsmyndigheten beslutat kunna drivas in utan att det krävs något domstolsavgörande. Av 3 kap. 1 § första stycket 6 utsökningsbalken (1981:774) följer att en förvaltningsmyndighets beslut får verkställas om det finns en särskild föreskrift om detta. Det bör alltså införas en bestämmelse i den nya lagen som anger att en sanktionsavgift får verkställas om den är obetald och förfallen till betalning. Utredningen bedömer att betalning av sanktionsavgift bör ske till tillsynsmyndigheten från det att beslutet om sanktionsavgift vann laga kraft eller annars inom den som anges i beslutet. Om avgiften inte betalas bör till- synsmyndigheten lämna den obetalda avgiften för indrivning. I allmänhet gäller för den här typen av avgifter att de preskribe- ras i den utsträckning verkställighet inte har skett . Utredningen bedömer att det saknas anledning att införa annan pre- 20 Jfr t.ex. prop. 2016/17:22 s. 256 och prop. 2012/13:72 s. 30 f. skriptionstid än den som i allmänhet används. Preskriptionstiden bör därför vara . 9.7Möjligheter till mindre ingripande åtgärder Förslag: Om tillsynsmyndigheten finner skäl att misstänka att en leverantör av samhällsviktiga tjänster inte följer lagen eller före- skrifter som har meddelats i anslutning till lagen ska myndigheten underrätta leverantören om det och ge denne möjlighet att yttra sig inom skälig tid. Om tillsynsmyndigheten konstaterar att en leverantör av sam- hällsviktiga tjänster eller en leverantör av digitala tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska myndigheten, genom påpekanden eller liknande förfa- randen försöka åstadkomma rättelse. En tillsynsmyndighets grundläggande uppgift är att självständigt granska aktörer för att kontrollera om dessa uppfyller krav som följer av lagar och andra bindande föreskrifter, och vid behov fatta beslut om åtgärder som syftar till att åstadkomma rättelse av aktören. För att den nya lagens syfte – en höjd nivå av säkerhet i nätverk och informationssystem – ska uppnås på ett så effektivt sätt som möjligt anser utredningen att tillsynsmyndigheternas även bör ge vägledning i frågor som har samband med verksamheten. Tillsynsmyndigheter- na bör arbeta både främjande och förebyggande för att effektivt uppnå lagstiftningens mål. (jfr avsnitt 8.5). Det är inte givet att kännbara sanktioner i alla lägen är det mest effektiva sättet att uppnå den nya lagens syfte. I de fall tillsynsmyn- digheten konstaterar att en leverantör av samhällsviktiga tjänster eller en leverantör av digitala tjänster gjort sig skyldig till en över- trädelse bör tillsynsmyndigheten, på lämpligt sätt, försöka förmå leverantören att vidta rättelse. I de fall tillsynmyndigheten finner skäl att misstänka att en leve- rantör av samhällsviktiga tjänster överträder bestämmelserna, bör tillsynsmyndigheten underrätta leverantören om detta och ge denne tillfälle att yttra sig inom skälig tid. Vad som är skälig tid får avgöras efter omständigheterna i det enskilda fallet. Utöver möjligheten att lämna sina synpunkter får leverantören i och med underrättelsen möjlighet att vidta åtgärder för att t.ex. leva upp till säkerhetskrav eller på andra sätt minska risker för incidenter. Att en leverantör vid- tar rättelse kan ha betydelse för vilket belopp som beslutas i sank- tionsavgift. bör kunna utfärda föreläggande samt besluta om sanktionsavgift även om leverantören inte yttrar sig till följd av en underrättelse. Inte heller upprepade inlagor från leverantören bör kunna hindra myndigheten från att gå vidare i tillsynen. Att till- synsmyndigheten ska försöka förmå en leverantör att vidta rättelse är inte heller något hinder mot utfärdande av föreläggande eller be- slut om sanktionsavgift. Detta kan innebära att ett förfarande om meddelande av beslut om sanktionsavgift inleds eller föreläggande utfärdas parallellt med tillsynsmyndighetens åtgärder i syfte att förmå leverantören att rätta sig. Det bör dock vara upp till tillsynsmyn- digheten att avgöra när det är lämpligt att vidta de åtgärder som står till buds. 9.8Vitesförelägganden och sanktionsavgifter mot statliga myndigheter och kommuner Bedömning: Även statliga myndigheter och kommuner ska kunna föreläggas vite och meddelas sanktionsavgift. Vitesförelägganden kan i vissa fall riktas även mot staten. I förarbe- tena till viteslagen uttalade departementschefen att det särskilt vad gäller det marknadsrättsliga fältet kan tänkas uppkomma situationer där staten i så utpräglad grad uppträder som privaträttsligt subjekt att det skulle te sig onaturligt om möjligheten att förelägga vite inte stod till buds. Som exempel angavs ett organ som ingår i den stat- liga organisationen och som bedriver affärsverksamhet i konkurrens med och på liknande sätt som privata företag, mot vilka viten kan riktas enligt de marknadsrättsliga reglerna.21 I rättspraxis har i ett mål angående föreläg- gande mot om bullerskyddsåtgärder uttalat att det inte fanns några rättsliga hinder mot att förelägga att vid vite 1984/85:96 s. 99 f. Domstolen ansåg att i det sammanhanget närmast fick betraktas som affärsdrivande och att det principiellt inte fanns anledning att göra skillnad mellan och andra verksamhetsutövare och av det skälet låta bli att sätta ut vite.22 Frågan om sanktionsavgifter är en lämplig reaktion mot myn- digheter har också behandlats i betänkandet Brottsdatalag (SOU 2017:29). Utredningen bedömer med hänsyn till det anförda att vitesföre- lägganden och sanktionsavgifter enligt den nya lagen under motsva- rande förhållanden ska kunna meddelas även mot statliga myndig- heter och kommuner. 9.9Omedelbar verkställighet och inhibition Förslag: får bestämma att ett beslut om föreläggande ska gälla . Bedömning: Bestämmelser om inhibition finns i förvaltnings- processlagen och behöver inte tas in i den nya lagen. Om tillsynsmyndigheten har konstaterat att det finns skäl för att ingripa genom beslut om föreläggande finns det ofta ett behov av att beslutet blir gällande genast. Det kan då vara nödvändigt att be- slutet verkställs . Samma sak gäller beträffande tillsyns- myndighetens beslut att förelägga en leverantör att lämna tillträde till lokaler och att lämna upplysningar, handlingar och liknande för att tillsynen ska kunna genomföras. I sådana fall kan det vara ange- läget att beslutet inte förhalas genom ett överklagande. Mot denna bakgrund bör tillsynsmyndigheten ha möjlighet att bestämma att dess beslut om föreläggande ska gälla . En domstol som ska pröva ett överklagande av ett förvaltnings- beslut som gäller kan förordna att det överklagade be- slutet tills vidare inte ska gälla (s.k. inhibition). Möjligheten till inhi- bition innebär att risken för att en aktör drabbas av skada på grund av ett felaktigt beslut av en tillsynsmyndighet minimeras. ser om inhibition finns i 28 § förvaltningsprocesslagen (1971:291) och behöver inte tas in i den nya lagen. Förslag: beslut enligt den nya lagen eller föreskrifter som meddelats i anslutning till lagen ska kunna över- klagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten. Kammarrättens avgörande i ett mål enligt den nya lagen får inte överklagas. En tillsynsmyndighets beslut om förelägganden och sanktionsav- gifter måste kunna överklagas. Även beslut om förelägganden som meddelas för att tillsynsmyndigheten ska kunna fullgöra tillsynen måste kunna överklagas (se avsnitt 8.5.3). Besluten ska kunna över- klagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten. Kammarrättens avgörande ska inte kunna överklagas. 10 Leverantörer av digitala tjänster Utöver operatörer som tillhandahåller samhällsviktiga tjänster reglerar direktivet säkerheten i nätverk och informationssystem hos sådana leverantörer av digitala tjänster som anges i bilaga 3 till direktivet. Dessa tjänster är internetbaserade marknadsplatser, internetbasera- de sökmotoror och molntjänster. I detta kapitel beskrivs NIS-direktivets bestämmelser om leveran- törer av digitala tjänster med utgångspunkt främst i hur bestämmel- serna skiljer sig från dem som gäller för leverantörer av samhällsviktiga tjänster. När det gäller t.ex. ingripanden och sanktioner samt hur tillsynen ska organiseras är frågorna emellertid sammankopplade på ett sådant sätt att de bör behandlas i ett sammanhang. I dessa delar hänvisas därför till de avsnitt där respektive fråga behandlas. 10.2NIS-direktivets tillämpningsområde och definitioner Definitionerna av internetbaserade marknadsplatser, internetbase- rade sökmotorer och molntjänster i NIS-direktivet är specifika för direktivet och påverkar inte andra instrument (skäl 55). I NIS-direktivet definieras en digital tjänst som en tjänst i den mening som avses i artikel 1.1 b i och rådets direktiv (EU) 2015/1535 av om ett informa- tionsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster av en typ som anges i bilaga 3 till direktivet. De kategorier av tjänster som anges i den Leverantörer av digitala tjänster bilagan är internetbaserade marknadsplatser, internetbaserade sök- motorer och molntjänster. I artikel 1.1 b i direktiv (EU) 2015/1535 definieras digital tjänst enligt följande. [A]lla informationssamhällets tjänster, det vill säga tjänster som vanligt- vis utförs mot ersättning på distans, på elektronisk väg och på indi- viduell begäran av en tjänstemottagare. I denna definition avses med i)på distans: tjänster som tillhandahålls utan att parterna är närvarande , ii)på elektronisk väg: en tjänst som sänds vid utgångspunkten och tas emot vid slutpunkten med hjälp av utrustning för elektronisk behand- ling (inbegripet digital signalkomprimering) och lagring av uppgifter, och som i sin helhet sänds, befordras och tas emot genom tråd, radio, optiska medel eller andra elektromagnetiska medel, iii)på individuell begäran av en tjänstemottagare: en tjänst som till- handahålls genom överföring av uppgifter på individuell begäran. Med leverantör av digitala tjänster avses i NIS-direktivet en juridisk person som tillhandhåller en digital tjänst (artikel 4.6). En internetbaserad marknadsplats är enligt NIS-direktivet en digital tjänst som gör det möjligt för konsumenter och/eller näringsidkare (enligt definitionen i artikel 4.1 a respektive 4.1 b Europaparlamen- tets och rådets direktiv /11/EU av om alterna- tiv tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv /22/EG (direktivet om alterna- tiv tvistlösning) att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare antingen på webbplatsen för den internetbasera- de marknadsplatsen eller på webbplatsen tillhörande en närings- idkare där datatjänster som tillhandahålls av en internetbaserad mark- nadsplats används (artikel 4.17). En internetbaserad sökmotor är enligt NIS-direktivet en digital tjänst som gör det möjligt för användaren att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk eller på grundval av en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller annan inmatning och som returnerar länkar som innehåller information om det begärda innehållet (artikel 4.18) Molntjänster definieras i NIS-direktivet som en digital tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara data- resurser (artikel 4.19). Leverantörer av digitala tjänster 10.2.2Aktörer som inte omfattas av NIS-direktivet Mikroföretag och små företag samt hård- och mjukvarutillverkare omfattas inte Bestämmelserna i ska inte tillämpas på mikroföretag eller små företag enligt definitionen i kommissionens rekommen- dation 2003/361/EG av om definitionen av mikro- företag samt små och medelstora företag (artikel 16.11). Enligt den rekommendationen är ett mikroföretag ett företag med färre än 10 anställda och en årsomsättning eller balansomslutning som unders- tiger . Små företag definieras i rekommendationen som företag med färre än 50 anställda och en årsomsättning eller balansomslutning som inte överstiger . I NIS-direktivet anges att hårdvarutillverkare och mjukvaru- utvecklare spelar en viktig roll när det gäller att möjliggöra för leve- rantörer av både samhällsviktiga tjänster och digitala tjänster att skydda sina nätverk och informationssystem. De omfattas emeller- tid av redan befintliga bestämmelser om produktansvar och träffas inte av NIS-direktivet. (skäl 50) Angående gränsdragningen mot säkerhetskänslig verksamhet, se kapitel 5. 10.2.3Vad är en internetbaserad marknadsplats, en internetbaserad sökmotor och molntjänster i praktiken? Vid bedömningen av vad som i praktiken utgör en internetbaserad marknadsplats, internetbaserad sökmotor eller en molntjänst kan led- ning hämtas från NIS-direktivets skäl samt från vedertagna stan- darder. Leverantörer av digitala tjänster En internetbaserad marknadsplats ger enligt NIS-direktivet konsu- menter och näringsidkare möjlighet att ingå internetbaserade köpe- avtal eller tjänsteavtal med näringsidkare och är slutdestinationen för ingåendet av sådana avtal (skäl 15). En näringsidkare som vill tillhandahålla sina varor och tjänster via internet kan göra detta genom en e-butik eller via en digital mark- nadsplats. Till skillnad från e-butiken är den digitala marknads- platsen en webbplats där kunden kan ta del av flera näringsidkares utbud på samma ställe. Marknadsplatsen kan på detta sätt jämföras med ett köpcentrum. Genom att använda sig av en marknadsplats kan näringsidkaren nå ut med sina varor och tjänster utan att be- höva marknadsföra sig på samma sätt som krävs för att kunderna ska hitta till den egna e-butiken. Som exempel på internetbaserade marknadsplatser kan nämnas , och . En sökmotor kan beskrivas som ett dataprogram som söker igenom och på något sätt katalogiserar sidor och filer på internet. En internetbaserad sökmotor gör det möjligt för användaren att göra sökningar på i princip alla webbplatser på grundval av en sök- ning inom vilket ämnesområde som helst. Den kan också vara in- riktad på webbplatser på ett visst språk. (skäl 16) Exempel internetbaserade sökmotorer är , och . Molntjänster är ett samlingsnamn för it-tjänster som ersätter program och lagringsutrymme i användarens egen dator och i stället erbjuder motsvarande funktioner i servrar via internet. Att ha sin informa- tion i ”molnet” innebär alltså att ha informationen i ”någon annans dator”. Leverantörer av digitala tjänster I NIS-direktivet (skäl 17) anges att molntjänster omfattar många olika verksamheter, som kan levereras enligt olika modeller. Vid tillämpningen av direktivet omfattar termen molntjänster sådana tjänster som medger åtkomst till en skalbar och elastisk pool av de- lbara dataresurser. Sådana dataresurser omfattar resurser såsom nät- verk, servrar eller annan infrastruktur, lagring, applikationer och tjänster. Termen skalbar avser dataresurser som leverantören av molntjänster fördelar på ett flexibelt sätt, oberoende av resursernas geografiska läge, för att hantera fluktuationer i efterfrågan. Termen elastisk pool används för att beskriva dataresurser som avsätts och utnyttjas beroende på efterfrågan för att tillgängliga resurser snabbt ska kunna utökas och minskas i takt med arbetsbördan. Termen delbar används för att beskriva dataresurser som tillhandahålls flera användare som delar en gemensam åtkomst till tjänsten där behand- lingen genomförs separat för varje användare, även om tjänsten till- handahålls från samma elektroniska utrustning. SIS () har definierat molnbaserade datortjänster som ”… ett koncept som möjliggör nätverksåtkomst till en skalbar och elastisk pool av delade fysiska eller virtuella resur- ser som via självbetjäning levereras och administreras på begäran”. NIST () har definierat begreppet molntjänster som ”a model for enabling ubiquitous, convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction”. NIST anger också fem väsentliga egenskaper hos molntjänster: 1.självbetjäning är möjlig när kunden behöver det, 2.åtkomst sker via nätet i olika klienter (exempelvis stationära dator- er, mobiltelefoner och surfplattor), 3.kunden delar leverantörens resurser med andra kunder, 4.prestanda anpassas till kundens behov för stunden, och 5.tjänsterna går att mäta, bl.a. i syfte att avgöra hur mycket kunden ska debiteras för tjänsten. Leverantörer av digitala tjänster NIST anger vidare tre huvudsakliga typer av molntjänster; Infra- structure as a Service, Platform as a Service och Software as a Service. Tjänstetyperna beskriver tre olika funktionsområden och tjänster- na finns i olika tekniska lager.