sou · H5B329 · 2017-04-05 00:00:00 — Om en till- synsmyndighet i en annan medlemsstat begär bistånd i en fråga som rör en enskild utgår utredningen därför från att de eventuella avgifter som medlemsstaterna kommer överens om inte kommer att drabba någon enskild. Utredningens bedömning: Övriga bestämmelser om tillsyn kräver inga lagstiftningsåtgärder. Skälen för utredningens bedömning: Enligt artikel 49 ska tillsyns- myndigheten upprätta en årlig rapport om sin verksamhet. Den ska lämnas in till det nationella parlamentet, regeringen eller andra myndigheter som utsetts enligt nationell rätt och offentliggöras. Rapporten kan t.ex. omfatta en förteckning över anmälda överträ- delser och vilka sanktioner som har beslutats. Enligt artikel 28.5 i det nu gällande direktivet ska tillsynsmyndigheten regelbundet upprätta en rapport om sin verksamhet, som ska offentliggöras. Enligt 3 § myndighetsförordningen (2007:515) ska varje myn- dighet redovisa sin verksamhet till regeringen. Myndigheterna ska också enligt förordningen (2000:605) om årsredovisning och bud- getunderlag avge en årsredovisning till regeringen. Förutom redogörelser för myndighetens ekonomiska förhållanden ska års- redovisningen enligt 2 kap. 4 § innehålla information om andra för- hållanden av väsentlig betydelse för regeringens uppföljning och prövning av verksamheten. Någon lagstiftningsåtgärd behöver där- för inte vidtas för att säkerställa den årliga rapporteringen enligt artikel 49. I artikel 51 föreskrivs att den styrelse som ska inrättas enligt dataskyddsförordningen ska fullgöra motsvarande arbetsuppgifter på direktivets område. Enligt artikel 46.1 l ankommer det på till- synsmyndigheten att bidra till styrelsens arbete. I artikel 29 i det nu gällande direktivet regleras vad som gäller för den arbetsgrupp i vilken Datainspektionen ingår som repre- sentant för . Arbetsgruppen kommer att avvecklas i och med att det direktivet upphör att gälla. över den personliga integriteten föreslår att Datainspektionen ska representera i styrelsen och att det ska framgå av Datain- spektionens instruktion (se SOU 2016:65 s. 142). Någon ytter- ligare åtgärd för att genomföra artikel 46.1 l behövs inte. Enligt artikel 46.1 j ska tillsynsmyndigheten följa sådan ut- veckling som påverkar skyddet av personuppgifter, bl.a. inom in- formations- och kommunikationsteknik. I 1 § Datainspektionens instruktion föreskrivs att myndigheten ska följa och beskriva ut- vecklingen på it-området när det gäller frågor som rör integritet och ny teknik. Någon lagstiftningsåtgärd krävs därför inte för att ska leva upp till kraven i artikel 46.1 j. 13.1Utgångspunkter för valet av sanktionssystem 13.1.1Olika typer av sanktioner Det finns ingen rättslig definition av begreppet sanktion. En sank- tion är i princip alltid handlingsdirigerande eller har ett bestraf- fande syfte. Med en vid definition skulle sanktion kunna sägas vara alla former av påföljder som kan följa på ett rättsstridigt handlande. En sanktion kan vara repressiv eller icke repressiv. Med att en sanktion är repressiv avses att det är staten som kan ta initiativ till sanktionen. En icke repressiv sanktion är t.ex. möjligheten att be- gära skadestånd i en civilprocess (se avsnitt 14.3). Det finns flera olika sorters repressiva sanktioner. Den mest in- gripande formen är straff. En annan typ av repressiv sanktion är administrativa avgifter, t.ex. sanktionsavgifter. Sanktionsavgift kan i vissa fall vara ett komplement till andra åtgärder och användas för att i enskilda fall nyansera ingripandet. Sanktionsavgift ersätter i andra fall kriminalisering. Även t.ex. åtgärdsförelägganden (i förening med vite), skyldig- het att vidta rättelse och möjlighet för en tillsynsmyndighet att meddela förbud räknas till repressiva administrativa sanktioner. 13.1.2Innehållet i direktivet och nuvarande reglering I direktivet överlåts det till medlemsstaterna att välja sanktioner. Enligt artikel 57 ska medlemstaterna föreskriva sanktioner för överträdelser av bestämmelser som antas enligt direktivet och vidta de åtgärder som krävs för att säkerställa att de genomförs. tionerna ska vara effektiva, proportionerliga och avskräckande. Enligt skäl 89 ska både fysiska och juridiska personer, oavsett om de är privaträttsliga eller offentligrättsliga subjekt, kunna träffas av sanktioner om de överträder bestämmelserna om personuppgifts- behandling. I personuppgiftslagen finns dels regler om straffansvar i 49 §, dels regler som ger tillsynsmyndigheten rätt att vid vite förbjuda be- handling på annat sätt än genom lagring i 44 och 45 §§. Vidare får tillsynsmyndigheten enligt 47 § hos domstol ansöka om att per- sonuppgifter som behandlats på ett olagligt sätt ska utplånas. Dessa bestämmelser genomför artikel 24 i det nu gällande direktivet. Artikeln ålägger medlemsstaterna att säkerställa att direktivet genomförs och att särskilt besluta om sanktioner som ska användas vid överträdelser av de bestämmelser som genomför direktivet. Möjligheten att begära skadestånd brukar, förutom att ses som ett rättsmedel, också ses som en del av sanktionssystemet. I förarbetena till personuppgiftslagen framhöll regeringen att de huvudsakliga sanktionerna mot personuppgiftsansvariga som inte följer lagen är skadestånd och vite. Dessa sanktioner ansågs effek- tiva och i stort sett tillräckliga. Regeringen konstaterade att trenden gick mot avkriminalisering, men föreslog en straffbestämmelse som kriminaliserade vissa åtgärder (prop. 1997/98:44 s. 108.). Då krimi- naliserades även oaktsamhet av normalgraden, men straffansvaret har senare begränsats till grov oaktsamhet (prop. 2005/06:173 s. 47 f.). Den som uppsåtligen eller av grov oaktsamhet lämnar osann uppgift i vissa fall, behandlar känsliga personuppgifter eller uppgifter om lagöverträdelser i strid med bestämmelserna i lagen, brister i anmälningsskyldighet eller överför personuppgifter i strid med reglerna om överföring till tredjeland döms till böter eller fängelse . Om brottet är grovt är straffet fäng- else i högst . fall är undantagna från straffansvar. Om någon inte har följt ett vitesföreläggande döms inte till ansvar för samma gärning. Straffansvar kan utkrävas av den som utfört hand- lingen eller är ansvarig för underlåtenheten. Han eller hon behöver inte vara personuppgiftsansvarig. Straffbestämmelsen gäller för och Kriminalvården. Eftersom 49 § personuppgiftslagen enbart straffbelägger brott mot den lagen och föreskrifter som har meddelats med stöd av den omfattar straffansvaret inte brott mot bestämmelser i myndighe- ternas registerförfattningar. Straffbestämmelsen gäller över huvud taget inte för polisen, , , åklagarväsen- det och domstolarna. Skälet till det är enligt förarbetena till dessa myndigheters registerförfattningar att det i föreskrivs straffrättsligt ansvar för otillåten hantering av personuppgifter. Ansvar kan, beroende på omständigheterna, utkrävas för tjänstefel enligt 20 kap. 1 § , brott mot tystnadsplikt enligt 20 kap. 3 § eller dataintrång enligt 4 kap. 9 c § brotts- balken (se t.ex. prop. 2014/15:63 s. 56 f.). Även bestämmelserna om disciplinansvar i lagen (1994:260) om offentlig anställning kan aktualiseras, om någon bryter mot be- stämmelserna om personuppgiftsbehandling. En arbetstagare kan meddelas disciplinpåföljd för tjänsteförseelse. Disciplinpåföljderna är varning eller löneavdrag. Disciplinansvar förutsätter att den misstänkta gärningen inte ska anmälas till åtal eller, om den redan prövats straffrättsligt, att den inte har ansetts vara något brott av annat skäl än bristande bevisning. Arbetsdomstolen har bl.a. prövat frågan om disciplinansvar för en handläggare som gjort obehöriga slagningar i datasystem (se AD 2005 nr 82). Ett av direktivets övergripande syften är att motverka otillåten be- handling av personuppgifter i syfte att förhindra att enskildas in- tegritet kränks. Utgångspunkten för utredningens överväganden om sanktioner är att de ska vara effektiva och bidra till god efter- levnad av bestämmelserna om personuppgiftsbehandling inom ram- lagens tillämpningsområde. I avsnitt 12.7.6 behandlas tillsynsmyn- dighetens korrigerande befogenheter i form av förelägganden och beslut om förbud mot fortsatt behandling. Skadestånd behandlas i avsnitt 14.3. Det som återstår att behandla här är frågor om straff- rättsliga, disciplinära och andra offentligrättsliga sanktioner. Var och en av sanktionerna ska vara effektiv, proportionerlig och avskräckande. För att uppfylla kraven i direktivet ska sanktio- nerna också bilda en helhet som sammantaget utgör ett effektivt sanktionssystem. Dataskyddsdirektivet och dataskyddsförordningen har stora lik- heter i fråga om enskildas rättigheter och personuppgiftsansvarigas och personuppgiftsbiträdens skyldigheter. De myndigheter och andra aktörer som ska tillämpa ramlagen ska också i varierande ut- sträckning tillämpa förordningen. Det är mot den bakgrunden svårt att motivera att helt olika sanktionssystem ska gälla beroende på om ramlagen eller förordningen är tillämplig för överträdelser som är likartade och som därför kan antas vara värda samma sanktion. Vid övervägandena om hur sanktionssystemet bör utformas finns det därför skäl att beakta vad som gäller enligt förordningen. 13.2Vilket sanktionssystem bör väljas? 13.2.1Ingen straffbestämmelse i ramlagen Utredningens bedömning: Överträdelser av regler om person- uppgiftsbehandling bör inte vara straffsanktionerade, utöver vad som gäller enligt . Skälen för utredningens bedömning I direktivet sägs inget om vilka sanktioner som ska införas, utan bara att sanktioner ska säkerställa efterlevnaden och vara effektiva, proportionerliga och avskräckande. Den sanktion som åtminstone teoretiskt anses som mest avskräckande är straff. Utredningen väl- jer därför att behandla den först. har frågor om lämpligheten av att kriminalisera överträdelser hamnat i fokus. lade Åklagarut- redningen fram fem kriterier som bör vara uppfyllda för att krimi- nalisering ska vara befogad (Ett reformerat åklagarväsende, SOU 1992:61, del A, s. 110 f.). Både regeringen och ställ- de sig bakom kriterierna för kriminalisering (Ett effektivare brott- målsförfarande, prop. 1994/95:23 och bet. 1994/95:JuU2). Krite- rierna man enades om är följande. •Beteendet kan föranleda påtaglig skada eller fara. •Alternativa sanktioner står inte till buds, skulle inte vara ratio- nella eller skulle kräva oproportionerligt höga kostnader. •En straffsanktion krävs med hänsyn till gärningens allvar. •Straffsanktionen är ett effektivt medel för att motverka det icke önskvärda beteendet. •Rättsväsendet har resurser att klara av den eventuellt ytterligare belastning som kriminaliseringen innebär. Regeringen gav en utredning i uppdrag att på nytt analysera och ta ställning till vilka kriterier som bör gälla för att kriminali- sering ska anses vara befogad. presenterade delvis nya kriterier, som den anser bör användas både vid bedömningen av om kriminalisering är motiverad och om av- kriminalisering kan vara aktuell (Vad bör straffas?, SOU 2013:38, del 2, s. 498 f.). Kriterierna är följande. •Det tänkta straffbudet måste avse ett identifierat och konkre- tiserat intresse som är skyddsvärt. •Det beteende som avses bli kriminaliserat måste kunna orsaka skada eller fara för skada på skyddsintresset. •Endast den som har varit klandervärd bör träffas av straffansvar. •Det får inte finnas något tillräckligt värdefullt motstående in- tresse. •Det får inte finnas någon alternativ metod som är tillräckligt effektiv för att komma till rätta med det oönskade beteendet. förslag har inte lett till någon åtgärd från lagstiftarens sida. EU behandlade frågan om kriterier 2009. antog då bl.a. slutsatser som vägledning för rådets överläggningar på det straffrättsliga området. En av slutsatserna var att straffrättsliga bestämmelser ska användas i sista hand (Euro- peiska unionens råd, dokument 16542/3/09). Är dagens bestämmelser om straff- och disciplinansvar effektiva? Personuppgiftslagens straffbestämmelse är inte tillämplig inom större delen av ramlagens tillämpningsområde. Det straffbara området har också begränsats genom att den numera bara gäller för grovt oaktsamma och uppsåtliga brott. När oaktsamhet av normal- graden avkriminaliserades anfördes bl.a. att utvecklingen hade gått mot att straff inte är en nödvändig reaktion på överträdel- ser av personuppgiftslagen eller anslutande registerförfattningar (prop. 2005/06:173 s. 47 f.). Frågan är om det finns bärande skäl att nu införa en straffbe- stämmelse som gäller för ramlagens tillämpningsområde. Det finns inget känt exempel på att en person har dömts för brott mot per- sonuppgiftslagen för en överträdelse som han eller hon gjort sig skyldig till som anställd vid en myndighet (SOU 2015:39 s. 637). Av det förhållandet att 49 § personuppgiftslagen inte såvitt känt har lett till några fällande domar mot anställda vid myndigheter – vilket ibland anförs som skäl för att någon straffbestämmelse inte behövs – går det emellertid inte att dra någon slutsats om bestäm- melsen fyllt sin funktion att avhålla från brott. Det som talar för att ha en särskild straffbestämmelse är att be- stämmelserna i , som har åberopats som stöd för att en sådan inte behövs, inte motsvarar det som kriminaliseras i 49 § personuppgiftslagen eller de överträdelser som det skulle kunna vara aktuellt att kriminalisera i ramlagen. Brottsbalksbrotten tar i stället primärt sikte på andra straffvärda förfaranden än fel- aktig behandling av personuppgifter och har helt andra rekvisit. Den straffbestämmelse som det ligger närmast till hands att jämföra med är bestämmelsen om dataintrång. Om en arbetstagare behandlat personuppgifter felaktigt i eget intresse, exempelvis gjort registerslagningar som inte krävts för arbetsuppgifterna, fyller be- stämmelsen om dataintrång en viktig funktion. Det kan t.ex. vara fråga om någon som av nyfikenhet kontrollerat uppgifter om en granne eller en närstående. Det är inte ovanligt att offentligan- ställda döms för dataintrång. Dataintrång omfattar dock inte oakt- samhetsbrott och täcker inte heller vissa andra typer av förfaranden som kriminaliseras i personuppgiftslagen. Bestämmelsen om tjänstefel, där vikt bl.a. läggs vid gärnings- mannens befogenheter och uppgiftens samband med myndighets- utövning för att avgränsa det straffbara området, torde sällan kunna tillämpas på överträdelser av regler om personuppgiftsbehandling. Det kan t.ex. vara svårt att med stöd av reglerna i fälla någon till ansvar för att ett olagligt register har inrättats. Regler om disciplinansvar fyller en viktig funktion för att säker- ställa att arbetstagare inte bryter mot arbetsgivarens föreskrifter, t.ex. om hur personuppgifter får behandlas, men bör inte ses som ett medel för att genomföra direktivets sanktionsbestämmelser. Det gäller även de straffbestämmelser som finns i , eftersom de primärt har ett annat syfte. Överträdelser ska inte straffsanktioneras i ramlagen Inom ramlagens tillämpningsområde hanteras i stor utsträckning känsliga personuppgifter eller annars särskilt integritetskänsliga uppgifter, vilket talar för att det behövs en särskild straffbestäm- melse. Det som talar mot en nykriminalisering – som det i allt väsent- ligt skulle bli fråga om i detta fall – är både den restriktivitet med nya straffbestämmelser som förordas och att kriminalisering troli- gen inte skulle få avsedd effekt. Straffansvaret skulle i första hand träffa den som faktiskt felbehandlat personuppgifterna på visst sätt. Det torde i de flesta fall vara en person i underordnad ställning som kanske av oförstånd eller okunskap inte följt reglerna om person- uppgiftsbehandling. Erfarenheterna från bl.a. hantering av det s.k. kringresanderegistret visar att det kan vara mycket svårt att fälla någon ansvarig på högre nivå i myndigheten för brott även vid flagranta och omfattande överträdelser av reg- lerna om personuppgiftsbehandling. Det beror bl.a. på bevissvårig- heter vid principalansvar. Överträdelser kan dessutom vara resul- tatet av flera personers agerande och underlåtenhet. Det blir då svårt att visa var skulden ligger och vad som lett till överträdelsen. En straffbestämmelse med den straffskala som skulle vara aktuell i det här fallet riskerar också att inte prioriteras. Det kan alltså dis- kuteras hur stor avskräckande effekt en straffbestämmelse skulle ha för att förhindra felaktig personuppgiftsbehandling inom myndig- heter. Direktivet förutsätter vidare att sanktioner ska kunna träffa både fysiska och juridiska personer. De personuppgiftsansvariga som ska tillämpa ramlagen är emellertid nästan uteslutande juridi- ska personer, men straffansvar kan enligt svensk rätt inte träffa sådana. Utredningen anser vid en samlad bedömning att en kriminali- sering motsvarande 49 § personuppgiftslagen inte skulle vara en tillräckligt effektiv sanktion, eftersom den i huvudsak skulle träffa andra än personuppgiftsansvariga och personuppgiftsbiträden. En annan typ av sanktion riktad direkt mot framför allt personupp- giftsansvariga kan antas få mycket större effekt. Med hänsyn till att straffsanktion ska användas i sista hand och endast om det inte finns någon annan sanktion som är tillräckligt effektiv, anser utred- ningen att en annan sanktionsform bör väljas. Någon straffbestäm- melse bör alltså inte tas in i ramlagen. 13.2.2En ny administrativ sanktion ska införas Utredningens förslag: En ny administrativ sanktion – sank- tionsavgift – ska införas. Skälen för utredningens förslag Behovet av en ny typ av sanktion Genomförandet av direktivet förutsätter att det finns sanktioner mot överträdelser och att de är tillräckligt effektiva och avskräck- ande. Samma krav ställs i artikel 24 i det nu gällande dataskydds- direktivet. I förarbetena till personuppgiftslagen ansågs även be- stämmelsen om skadestånd till vissa delar genomföra den artikeln. Tanken bakom det synsättet torde vara att skadestånd ibland ses som en civilrättslig sanktion som kompletterar offentligrättsliga sanktioner som t.ex. straffbestämmelser och sanktionsavgifter. Ut- redningen behandlar skadestånd i avsnitt 14.3. Även om skadestånd vid systematiska eller allvarliga överträdelser kan uppgå till mycket höga belopp är möjligheten att begära skadestånd enligt utredning- ens mening inte tillräcklig för att uppfylla kravet på effektiva sank- tioner. Som utredningen konstaterat är kriminalisering inte heller en lämplig sanktion. Det krävs därför någon annan typ av sanktion för att uppfylla de krav som ställs i direktivet. Dataskyddsförordningen har ett nytt sanktionssystem I dataskyddsförordningen föreskrivs en ny form av sanktion, admi- nistrativa sanktionsavgifter, för överträdelser av reglerna om per- sonuppgiftsbehandling. Syftet med sanktionsavgifterna är att stärka verkställigheten av förordningens bestämmelser (skäl 148). Det ligger därför nära till hands att överväga samma sanktionssystem som i förordningen. Systemet med sanktionsavgifter regleras i artikel 83 och motive- ras i skäl 148–150 i förordningen. Den nationella tillsynsmyndig- heten ska enligt artikel 83.1 besluta om sådana avgifter. I arti- kel 83.2 räknas upp vilka omständigheter som allmänt ska beaktas när sanktionsavgifter beslutas och avgiftens storlek bestäms. I arti- kel 83.3 regleras hur avgiften ska beräknas vid flera överträdelser. I princip ska sanktionsavgift beslutas för överträdelse av samt- liga bestämmelser i förordningen som föreskriver rättigheter för registrerade eller skyldigheter för personuppgiftsansvariga eller personuppgiftsbiträden. Sanktionsavgift ska enligt artiklarna 83.5 e och 83.6 även tas ut när någon inte följer tillsynsmyndighetens förelägganden eller beslut eller inte ger myndigheten tillgång till uppgifter. Enligt artikel 83.8 ska det finnas effektiva rättsmedel och rättssäkerhetsgarantier vid beslut om sanktionsavgifter. Medlems- staterna får avgöra om sanktionsavgifter ska kunna beslutas mot offentliga myndigheter och organ. Fördelar och nackdelar med sanktionsavgift Sanktionsavgifter finns inom en rad rättsområden. De har olika syfte och utformning. Tillämpningsområdet varierar också. I vissa fall är sanktionsavgift den enda sanktionen för en överträdelse, men i andra fall kan avgift tas ut vid sidan av eller i stället för straff. An- vändningen av sanktionsavgifter har ökat kraftigt. Övergången från straffbestämmelser till bestämmelser om sanktionsavgift syftade ursprungligen till att utnyttja rättsväsendets resurser bättre och att kunna beivra en del mindre allvarliga och ofta förekommande Ofta kan avgift tas ut oberoende av om reglerna överträtts uppsåtligen eller av oaktsamhet. Ett annat syfte med sanktionsavgift var att skapa en kännbar ekonomisk sanktion mot juridiska personer, som inte kan bli före- mål för straffrättsliga åtgärder. Sanktionsavgift kan riktas mot det subjekt som tjänar på överträdelsen eller har agerat mest klander- värt eller bär det största ansvaret för att överträdelsen begicks. Om sanktionsavgiften riskerar att innebära en kostnad eller förlust som är lika stor som eller större än den besparing som görs genom att regelverket inte följs, skapar avgiften incitament att undvika över- trädelser. När sanktionsavgift tas ut av en myndighet har den eko- nomiska aspekten dock inte lika stor betydelse. belyser ingående för- och nackdelarna med sanktionsavgifter (Sanktionsväxling – effekti- vare sanktioner på exportkontrollområdet, SOU 2014:83, s. 104 f.). Kommittén hämtade in information, förutom från länsstyrelserna, från 16 myndigheter med tillsyn över bl.a. områdena miljö, arbets- miljö, fiskeri, transport, bank- och finansverksamhet samt konsu- ment- och konkurrensfrågor, där det finns sanktionsavgifter. Kom- mittén ville veta hur tillsynsmyndigheterna ansåg att systemen med administrativa sanktionsavgifter fungerade. Fördelarna med sanktionsavgifter ansågs vara många. En vanlig åsikt var att sanktionsavgifter har bättre förutsättningar att bidra till regelefterlevnad än straffsanktioner, eftersom brott mot den aktuella lagstiftningen inte prioriteras. Administrativa sanktionsav- gifter ansågs också vara mer förutsägbara, vilket leder till en bättre preventiv effekt. Det uppgavs t.ex. att antalet beslutade avgifter hos vissa av myndigheterna minskat . Myndigheterna bedömde att det berodde på ökad regelefterlevnad. Sanktionsavgifter ledde enligt myndigheterna också till enklare och snabbare beivrande av överträdelser, jämfört med straffsank- tioner. Sanktionsavgifter ansågs också vara resurseffektiva, efter- som den tillsynsmyndighet som beslutar om avgifterna fattar beslu- tet baserat på sin egen utredning. Andra myndigheter behöver inte kopplas in i processen, utom vid överklagande eller om avgiften ska beslutas av domstol på ansökan av tillsynsmyndigheten. Det finns givetvis också nackdelar med sanktionsavgifter. Om sanktionsavgiftsbeloppet är lågt kan verksamhetsutövaren se av- giften som enbart en kostnad som det går att kalkylera med. fall bidrar avgiften inte till ökad regelefterlevnad. System med sanktionsavgifter kan kräva mer resurser hos tillsynsmyndigheten. Domstolsväsendet kan, i vart fall inledningsvis, få fler ärenden att hantera om sanktionsavgifter införs. Innan det finns vägledande praxis kan det t.ex. råda osäkerhet om när sanktionsavgift ska tas ut och med vilket belopp. Det behöver alltså inte bli en ekonomisk besparing för staten att införa sanktionsavgifter (SOU 2014:83 s. 106). Avsaknaden av en domstols bedömning av händelseförlopp kan inverka menligt på rättssäkerheten (Administrativa sanktioner på yrkesfiskets område, prop. 2007/08:107, s. 17). Är sanktionsavgift en lämplig reaktion mot myndigheter? Vid överväganden om vilken sanktionsform som bör väljas måste hänsyn tas till att det i huvudsak är myndigheter som kommer att tillämpa ramlagen. Det har länge funnits en samsyn om att vites- föreläggande inte bör användas myndigheter emellan, om det inte finns särskilda skäl för det.