sou · H5B329 · 2017-04-05 00:00:00 — Strikt ansvar innebär att det varken krävs uppsåt eller oaktsamhet för att sanktionsavgift ska kunna tas ut. Strikt ansvar medför emellertid inte att sanktionsavgift måste tas ut vid varje överträ- delse. En viktig fråga är därför om det ska vara obligatoriskt att ta ut sanktionsavgift när en viss bestämmelse har överträtts. Enligt utredningens mening bör inte varje överträdelse av de bestämmelser i ramlagen som kan föranleda sanktionsavgift med- föra att sådan avgift faktiskt tas ut. Reglerna om personuppgifts- behandling är mycket komplexa och det nya regelverket kommer inte att förenkla tillämpningen. Det skulle ställa alltför höga krav på de personuppgiftsansvariga och lägga en orimlig börda på till- synsmyndigheten om varje överträdelse av en viss bestämmelse skulle leda till att sanktionsavgift tas ut. Som exempel kan nämnas att det inte är rimligt att ålägga en myndighet sanktionsavgift för att någon i enstaka fall har beskrivit en persons utseende på ett sätt som inte respekterar hans eller hennes människovärde, även om det kan vara djupt kränkande. Om det däremot har satts i system att göra sådana beskrivningar eller om påpekanden om att det krävs utbildning för att undvika sådant felbeteende inte följs, bör sank- tionsavgift kunna övervägas. Det bör således ligga hos den som har till uppgift att besluta om avgiften att avgöra om en överträdelse är så allvarlig eller systematisk att sanktionsavgift bör tas ut. Bestäm- melsen bör därför utformas så att det inte är obligatoriskt att be- sluta om sanktionsavgift. Det kan diskuteras om lagstiftningen med en sådan regel lever upp till direktivets krav på effektiva sanktioner. Utredningen utgår från att de personuppgiftsansvariga – som i huvudsak är myndig- heter – normalt kommer att rätta sig efter tillsynsmyndighetens på- pekanden, förelägganden och beslut och att det bara i ett litet antal fall kommer att vara nödvändigt att ta ut sanktionsavgift. Sank- tionssystemet som helhet uppfyller således enligt utredningens mening kraven i direktivet. Att det blir en viss skillnad mot sank- tionssystemet i dataskyddsförordningen påverkar inte den bedöm- ningen. 13.6Hur sanktionsavgiften ska bestämmas Utredningens förslag: För mindre allvarliga överträdelser ska avgiften vara och högst . För allvarliga överträdelser ska avgiften bestämmas till och högst . Det ska av ram- lagen framgå vilka överträdelser som kan leda till den lägre respektive högre sanktionsavgiften. Om flera bestämmelser har överträtts genom samma person- uppgiftsbehandling, eller om en eller flera bestämmelser har överträtts genom sammankopplade personuppgiftsbehandlingar, ska sanktionsavgiften bestämmas efter överträdelsernas allvar. Sanktionsavgiften får dock aldrig överstiga maximibeloppet för den allvarligaste överträdelsen. Skälen för utredningens förslag Hur hög bör sanktionsavgiften vara? I dataskyddsförordningen regleras vilken sanktionsavgift som maximalt kan tas ut vid olika överträdelser. I förordningen är de belopp som anges mycket höga och anges dessutom i euro. Några minimibelopp anges inte, men maximibeloppen är respektive , alternativt en viss procentsats av den totala globala årsomsättningen. När det gäller sanktionsavgifter är det inte ovanligt att det i författning eller genom myndighetsföreskrifter anges fasta belopp för olika typer av överträdelser. Utredningen anser att en sådan ordning inte är ändamålsenlig i detta fall. Ett flertal faktorer som inte går att standardisera måste beaktas i det enskilda fallet för att avgöra hur stor sanktionsavgiften bör vara. På samma sätt som i förordningen bör sanktionsavgiften inte baseras på i förväg fast- ställda belopp utan bestämmas med utgångspunkt i omständighe- terna i det enskilda fallet. Överträdelser av bestämmelserna i ramlagen kan typiskt sett inte förväntas generera stora besparingar eller vinster för den per- sonuppgiftsansvarige eller personuppgiftsbiträdet. med inte förutsättningar att knyta avgiften till omsättningen av verksamheten, vinsten eller något liknande kriterium. Varken på miljöområdet eller på arbetsmiljöområdet är de av- gifter som kan tas ut tillnärmelsevis så höga som de som anges i dataskyddsförordningen. Det lägsta belopp som kan beslutas vid en överträdelse inom dessa områden är och det högsta beloppet . Inte heller företagsbot eller upphand- lingsskadeavgift kan uppgå till lika höga belopp som enligt förord- ningen. För företagsbot är minimibeloppet och maximibeloppet . För upphandlingsskadeavgift enligt lagen (2016:1145) om offentlig upphandling är lägsta belop- pet och det högsta . Avgiften får dock aldrig överstiga en viss procentsats av upphandlingens värde. De överträdelser som enligt förordningen kan bli föremål för sanktionsavgift har till största delen sin motsvarighet i direktivet. Det skulle givetvis kunna hävdas att samma typ av överträdelse bör leda till samma sanktion. Utredningen anser dock att det är vikti- gare att sanktionerna i ramlagen utgör en rimlig reaktion på över- trädelserna, särskilt mot bakgrund av att det framför allt är myn- digheter som kan komma att träffas av sanktionsavgifterna. De bör också beloppsmässigt ligga i paritet med andra sanktionsavgifter i svensk rätt. Skillnaden mellan sanktionsavgifternas storlek i för- ordningen och ramlagen kan också motiveras av att de personupp- giftsansvariga som ska tillämpa förordningen kan vara multinatio- nella företag där det krävs synnerligen höga sanktionsbelopp för att det ska vara kännbart. Inom ramlagens tillämpningsområde kan även en lägre avgift förväntas påverka agerandet i önskad riktning. Till det kommer att ett felaktigt handlande av en myndighet sällan föranleds av en önskan att maximera vinst eller att göra en större besparing, även om det inte kan uteslutas att det finns ekonomiska motiv. Lägre men tillräckligt kännbara belopp torde därför påverka myndigheterna så länge budgetprincipen upprätthålls och de inte får ekonomiska tillskott för att kunna betala sina sanktionsavgifter. Ett av huvudsyftena med sanktionsavgifter är att de ska vara av- skräckande. För att regleringen ska få en tillräckligt avskräckande effekt krävs, trots det som sagts om myndigheters relativt sett högre känslighet även för låga sanktionsavgifter, enligt utredning- ens mening att maximibeloppet sätts relativt högt. De överträdelser som kan leda till sanktionsavgift kan se olika ut och de ekonomiska förutsättningarna för dem som avgiften ska tas ut av kan variera. Spannet inom vilket avgift kan bestämmas bör därför vara relativt stort. För att markera att sanktionsavgift främst är avsedd att användas för allvarliga eller systematiska överträdelser bör miniminivån vara högre än för de avgifter som nämnts. Beträffande personuppgiftsbiträden väger argumenten ovan inte lika tungt eftersom de ofta, även inom ramlagens tillämpningsom- råde, är privaträttsliga aktörer som drivs av affärsmässiga övervä- ganden och vinstintressen. Som framgår av avsnitt 10.6.2 agerar myndigheter ibland personuppgiftsbiträden åt varandra. Syftet med det torde vara att spara på statens resurser. Mot den bakgrunden bör samma sanktionsavgifter tillämpas på personuppgiftsbiträden som på personuppgiftsansvariga. Sammanfattningsvis anser utredningen att sanktionsavgiftsbe- loppen bör vara lägre än i dataskyddsförordningen och ligga mer i linje med de sanktionsavgifter som finns på andra områden och med företagsbot. Utredningen återkommer i avsnitt 13.6.2 till hur avgiften bör bestämmas i det enskilda fallet. Sanktionsavgift ska enligt dataskyddsförordningen tas ut enligt två olika nivåer – en lägre nivå vid överträdelser som betraktas som mindre allvarliga och en högre nivå vid allvarligare överträdelser och underlåtenhet att följa förelägganden eller beslut av tillsyns- myndigheten eller att på annat sätt bistå den. Utredningen anser att det även inom ramlagens tillämpningsområde bör finnas två av- giftsnivåer. Avgift vid mindre allvarliga överträdelser När det gäller mindre allvarliga överträdelser är det enligt utred- ningens mening viktigt att beloppet är så pass högt att det har en viss avskräckande effekt. Utredningen anser att är ett rimligt minimibelopp för mindre allvarliga överträdelser. Vid överväganden om den övre beloppsgränsen för mindre all- varliga överträdelser finns det skäl att titta på vad som gäller inter- nationellt, särskilt inom EU. Som tidigare konstaterats är de sanktionsavgifter som kan tas ut med stöd av dataskyddsförord- ningen synnerligen höga. Maximibeloppet för överträdelser inom ramlagens tillämpningsområde bör därför inte sättas alltför lågt, men betydligt lägre än enligt förordningen. Ett maximibelopp om för mindre allvarliga överträdelser, vilket mot- svarar vad som gäller för företagsbot och upphandlingsskade- avgift, får anses vara tillräckligt för att utgöra en kännbar sanktion. Till mindre allvarliga överträdelser bör räknas att den person- uppgiftsansvarige eller ett personuppgiftsbiträde inte begränsat tillgången till personuppgifter internt. Även om det är en viktig bestämmelse är risken för kränkning av den enskildes integritet mindre än om uppgifterna sprids utanför verksamheten eller be- handlas otillåtet på något annat sätt. Till mindre allvarliga överträdelser bör också räknas underlåten- het av personuppgiftsansvariga att dokumentera personuppgifts- incidenter. Även underlåtenhet att göra en konsekvensbedömning eller att inleda förhandssamråd med tillsynsmyndigheten bör anses som mindre allvarligt. Högre avgift för allvarligare överträdelser Av samma skäl som anförts beträffande minimi- och maximibelop- pet för mindre allvarliga överträdelser bör beloppet för allvarligare överträdelser inte sättas alltför lågt, men betydligt lägre än i data- skyddsförordningen. Det finns, utifrån förordningens modell, skäl att bestämma beloppen till det dubbla. Det innebär att 50 000 kro- nor bör vara minimibelopp för allvarligare överträdelser och att maximibeloppet bör vara . Till allvarligare överträdelser bör räknas alla överträdelser av grundläggande krav på personuppgiftsbehandlingen. Bestämmel- serna är centrala för skyddet av registrerades integritet, oavsett om det är fråga om känsliga personuppgifter eller personuppgifter i allmänhet. En annan sak är att sanktionsavgiften normalt bör be- stämmas till ett högre belopp om överträdelsen avser känsliga per- sonuppgifter. Eftersom åtgärder för att säkerställa författningsenlig behand- ling syftar till att avskräcka från behandling i strid med de grund- läggande principerna för personuppgiftsbehandling bör överträdel- ser mot de bestämmelserna också ses som allvarliga, dock med undantag för tillgången till personuppgifter internt. Även överträdelser av bestämmelser som avser skyldighet att vidta åtgärder för att säkerställa säkerhet vid behandling bör ses som allvarliga, eftersom sådana överträdelser kan få mycket långt- gående konsekvenser för registrerade. Överträdelser av vad som gäller vid överföring till tredjeland och internationella organisationer bör också leda till den högre sank- tionsavgiften. Det är allvarligt att uppgifterna får spridning om inte skyddet för dem kan garanteras. Den högre avgiften bör också tillämpas vid underlåtenhet att följa tillsynsmyndighetens förelägganden eller beslut eller att på annat sätt bistå den. Genom det inskärps allvaret i att inte rätta sig efter tillsynsmyndighetens synpunkter. Felaktig eller otillåten personuppgiftsbehandling kan innebära att flera bestämmelser om behandling av personuppgifter överträds . Det kan t.ex. vara fråga om behandling som inte bara saknar rättslig grund utan som också strider mot andra bestämmel- ser om hur personuppgifter får behandlas. På motsvarande sätt kan en överträdelse, oavsett om den strider mot en eller flera bestäm- melser, upprepas genom personuppgiftsbehandlingar som är sam- mankopplade med varandra. Det kan få till följd att en felaktig be- handling följer med till nästa behandling. Var och en av dessa överträdelser kan, om den är tillräckligt allvarlig, leda till att sank- tionsavgift tas ut. Det är dock enligt utredningens mening inte rimligt att tillsynsmyndigheten i dessa fall lägger samman beloppen som fastställts för var och en av överträdelserna till en gemensam sanktionsavgift. Sanktionsavgiften måste framstå som en rimlig reaktion på samtliga överträdelser som är föremål för bedömning. Om den personuppgiftsansvarige eller personuppgiftsbiträdet gjort sig skyldig till flera överträdelser genom samma eller samman- kopplade personuppgiftsbehandlingar bör det totala beloppet för sanktionsavgiften i stället bestämmas efter de samlade överträdel- sernas allvar. Om det är fråga om felaktig behandling på samma sätt av många personers personuppgifter, t.ex. om ett otillåtet register omfattar många personer, får alltså en samlad bedömning göras och en gemensam sanktionsavgift bestämmas med utgångspunkt i hur klandervärd den totala felbehandlingen är. Sanktionsavgiften vid flera samtidiga överträdelser bör emeller- tid aldrig få överstiga maximibeloppet för den sanktionsavgiftsnivå som är aktuell. Det bör framgå av ramlagen. Det innebär att om någon av överträdelserna är av allvarligare slag får maximibeloppet för allvarligare överträdelser inte överskridas. Om ingen av överträ- delserna är av allvarligare slag ska maximibeloppet för mindre all- varliga överträdelser tillämpas. 13.6.2Hur avgiften ska bestämmas i det enskilda fallet Utredningens förslag: Vid bedömningen av om sanktionsavgift ska tas ut och när storleken på avgiften ska bestämmas, ska sär- skild hänsyn tas till om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdel- sen inneburit, överträdelsens karaktär, svårhetsgrad och varak- tighet. Vad den personuppgiftsansvarige eller personuppgiftsbi- trädet gjort för att begränsa skadan ska också vägas in, liksom om den personuppgiftsansvarige eller personuppgiftsbiträdet tidigare ålagts sanktionsavgift. Sanktionsavgiften får sättas ned helt eller delvis om överträ- delsen är ursäktlig eller om det annars med hänsyn till omstän- digheterna skulle vara oskäligt att ta ut avgift. Skälen för utredningens förslag Omständigheter som bör påverka sanktionsavgiften För att komma fram till en lämpligt avvägd sanktionsavgift krävs det bedömningar i flera steg. Först bör det konstateras om det finns förutsättningar för att ta ut sanktionsavgift. Därefter bör det prövas om det finns skäl att avstå från att besluta om sanktions- avgift eller om sanktionsavgiftens storlek bör påverkas till följd av försvårande eller förmildrande omständigheter. Det är som nämnts inte obligatoriskt att ta ut sanktionsav- gift. Det bör därför regleras vilka omständigheter som kan göra att sanktionsavgift inte tas ut och vad som kan påverka avgiftens stor- Det sistnämnda är särskilt viktigt, eftersom sanktionsavgiftens storlek inte anges till ett fast belopp i lagen. En uppräkning av sådana omständigheter kan dock inte göras uttömmande utan bör ange de omständigheter som är särskilt viktiga. Bestämmelsen bör lämna utrymme för att också beakta andra förmildrande eller för- svårande omständigheter. Uppräkningen i dataskyddsförordningen av vilka omständig- heter som bör beaktas kan tjäna som ledning för vad som är rele- vant. Utredningen anser att i princip samtliga omständigheter som räknas upp i artikel 83.2 i förordningen kan vara av större eller mindre betydelse för frågan om avgift ska tas ut och storleken på avgiften. Både vid bedömningen av om avgift överhuvudtaget bör tas ut och vid bestämmandet av avgiftens storlek bör för det första sär- skild hänsyn tas till om överträdelsen varit avsiktlig. En avsiktlig överträdelse visar enligt utredningens mening tydligt på nonchalans mot regleringen och utrymmet att underlåta att ta ut avgift eller att bestämma avgiften till ett lågt belopp bör vara mycket litet. Tvärt- om talar avsiktliga överträdelser starkt för att sanktionsavgift ska tas ut och att den ska sättas högt. I många fall är dock överträdelser resultatet av mer eller mindre oaktsamma förfaranden, t.ex. miss- förstånd om hur regleringen ska tillämpas eller ursäktliga bedöm- ningsfel. Även graden av oaktsamhet bör därför vägas in. För det andra bör beaktas vilken skada, fara eller kränkning som överträdelsen medfört. Ju större skadan, faran eller kränkningen är, desto mindre blir utrymmet att avstå från att ta ut avgift eller att bestämma avgiften till ett lågt belopp. För det tredje bör överträdelsens karaktär, svårhetsgrad och var- aktighet beaktas. Här spelar det roll vilken typ av personuppgifter som har behandlats, hur många uppgifter som har behandlats, för vilka syften och hur länge uppgifterna har behandlats. Om känsliga personuppgifter eller andra särskilt integritetskänsliga uppgifter har behandlats felaktigt, bör utrymmet för att avstå från att ta ut sank- tionsavgift vara mindre och beloppet generellt sett sättas högre. Ju allvarligare överträdelsen är och ju längre den pågått, ju fler regi- strerade som berörs och ju större skada de registrerade drabbats av, desto starkare skäl talar både för att sanktionsavgift ska tas ut och för att beloppet ska sättas högt. Att en överträdelse vid en samlad bedömning anses vara ringa talar för att någon sanktionsavgift inte bör tas ut eller att den i vart fall bör sättas lågt. För det fjärde bör hänsyn tas till vad den personuppgiftsansva- rige eller personuppgiftsbiträdet gjort för att begränsa skadan. Om de har vidtagit kraftfulla åtgärder för att lindra skadan bör det en- ligt utredningens mening öka möjligheten att avstå från att ta ut sanktionsavgift eller i vart fall leda till att sanktionsavgiften blir lägre än den annars skulle ha blivit. Även tekniska och organisato- riska åtgärder som vidtagits i syfte att undvika överträdelser bör beaktas. Ju fler och effektivare åtgärder som vidtagits, desto mindre klandervärt framstår de ansvarigas agerande. Hur överträdelsen kom till tillsynsmyndighetens kännedom bör också kunna beaktas. Om den personuppgiftsansvarige eller personuppgiftsbiträdet själv anmält överträdelsen eller tvärtom försökt att dölja den, bör det kunna beaktas i mildrande respektive försvårande riktning. En femte viktig faktor är om den personuppgiftsansvarige eller personuppgiftsbiträdet tidigare gjort sig skyldig till överträdelser. Enligt utredningens mening är det särskilt graverande om den per- sonuppgiftsansvarige eller personuppgiftsbiträdet trots påpekanden fortsatt att handla i strid med regleringen. Om den personuppgifts- ansvarige eller personuppgiftsbiträdet däremot samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelser och minska negativa effekter av dem talar det i mildrande riktning. Sanktionsavgiften bör kunna sättas ned helt eller delvis Utredningen föreslår att den personuppgiftsansvarige och person- uppgiftsbiträden ska ha strikt ansvar för överträdelser (se av- snitt 13.5.3). Det är därför nödvändigt att ge utrymme för att jämka eller helt sätta ned sanktionsavgiften i fall där det inte fram- står som rimligt och proportionerligt att ta ut avgift. Sanktionsavgiften bör kunna sättas ned helt eller delvis om exempelvis en personuppgiftsansvarig eller ett personuppgiftsbi- träde också blir skadeståndsskyldig. Den samlade reaktionen skulle, beroende på överträdelsen, totalt sett kunna bli alltför betungande. Det bör då vara möjligt att jämka beloppet för att undvika att den samlade reaktionen på överträdelsen blir oproportionerlig. Efter- som ansvaret för överträdelser är strikt, bör det också vara möjligt att jämka sanktionsavgiften om det framkommer omständigheter som gör att överträdelsen är ursäktlig. Om regelverket överträtts på ett sådant sätt att det varit närmast omöjligt för den personupp- giftsansvarige att upptäcka överträdelsen, t.ex. om någon anställd i hemlighet manipulerat ett datasystem, skulle det t.ex. kunna finnas grund för jämkning. Möjligheten att helt sätta ned avgiften bör tillämpas restriktivt och användas endast i undantagsfall. Det bör enbart aktualiseras om det skulle te sig oskäligt att ta ut sanktionsavgift. 13.7.1Vem ska besluta om sanktionsavgift? Utredningens förslag: ska besluta om sanktionsavgift. Skälen för utredningens förslag: Beslut om sanktionsavgift fattas normalt av en tillsynsmyndighet eller en domstol. Generellt sett anses en tillsynsmyndighet lämpad att besluta om sanktionsavgift när reglerna är relativt enkla att tillämpa, beslutsfattandet är för- hållandevis schabloniserat och sanktionsbestämmelserna bygger på strikt ansvar. En domstol brukar anses mer lämpad att besluta om sanktionsavgift om det är aktuellt att pröva framför allt subjektiva rekvisit eller andra svårbedömda rekvisit. Kraven på effektivitet och rättssäkerhet måste enligt utredning- ens uppfattning naturligtvis balanseras mot varandra vid utform- ningen av ett system med sanktionsavgifter. Det innebär inte med nödvändighet att beslut i fråga om sanktionsavgift måste fattas av domstol. Enligt artikel 83.1 i dataskyddsförordningen ska tillsynsmyndig- heten besluta om sanktionsavgift. Av artikel 83.7 i förordningen framgår att medlemsstaterna får avgöra om och i vilken utsträck- ning sanktionsavgift ska kunna tas ut av offentliga myndigheter. I artikel 83.9 i förordningen anges att en medlemsstat får föreskriva att domstol i stället för en tillsynsmyndighet får besluta om sank- tionsavgift om ett nationellt sanktionsavgiftssystem saknas. Enligt skäl 151 verkar den artikeln ta sikte på två särskilt utpekade med- lemsstater vilkas rättssystem inte tillåter den ordning förordningen föreskriver. Utredningen utgår därför från att det kommer att bli tillsyns- myndigheten som beslutar om sanktionsavgifter på förordningens område. Som anges i avsnitt 13.3 har utredningen som utgångs- punkt att sanktionssystemen i ramlagen och förordningen så långt möjligt ska stämma överens. Mot den bakgrunden bör tillsyns- myndigheten besluta om sanktionsavgift även enligt ramlagen. Om någon annan lösning skulle väljas på förordningens område när det gäller sanktionsavgift mot myndigheter bör utredningens förslag anpassas till det. En särskild fråga är vem hos tillsynsmyndigheten som bör pröva frågor om sanktionsavgift. Det finns enligt utredningens mening starka skäl – inte minst från rättssäkerhetssynpunkt – som talar mot att samma person som utrett en eventuell överträdelse får be- sluta om sanktionsavgift. Det är viktigt att verksamheten organi- seras så att förtroendet för tillsynsmyndigheten inte riskerar att rubbas. Med tanke på sanktionsbeslutens betydelse bör det enligt utredningens mening ställas höga krav på den som får besluta om sanktionsavgift. Det kan därför vara lämpligt att sådana beslut bara får fattas av ett fåtal personer. beslut om sanktionsavgift bör få överkla- gas till allmän förvaltningsdomstol (se avsnitt 14.7.1). På så sätt tillgodoses rättssäkerhetsaspekterna för den som åläggs sanktions- avgift. kommer det att kunna bildas domstolspraxis till vägledning för tillsynsmyndighetens beslut. 13.7.2Förfarandet vid beslut om sanktionsavgift Utredningens bedömning: Det behövs ingen särskild regel om att den som sanktionsavgift ska tas ut av ska få yttra sig innan tillsynsmyndigheten beslutar i fråga om sanktionsavgift. Utredningens förslag: Sanktionsavgift får inte beslutas, om den som avgiften ska tas ut av inte har fått tillfälle att yttra sig från den dag då överträdelsen ägde rum. Att beslutet ska delges den som sanktionsavgiften ska tas ut av ska regleras i förordning. Skälen för utredningens bedömning och förslag: Enligt artikel 57 ska medlemstaterna vidta de åtgärder som krävs för att säkerställa att de sanktioner som införs också genomförs. Det finns inga gene- rella förfaranderegler för handläggningen av ärenden om sanktions- avgift. Det krävs därför särskilda förfaranderegler i ramlagen. Innan tillsynsmyndigheten beslutar om sanktionsavgift bör den som sanktionsavgiften ska tas ut av ges tillfälle att yttra sig.