sou · H5B329 · 2017-04-05 00:00:00 — Det ger den personuppgiftsansvarige eller personuppgiftsbiträdet möjlighet att anföra omständigheter som kan påverka både frågan om sank- tionsavgift ska tas ut och frågan om sanktionsavgiftens storlek. Möjligheten att komma till tals innan beslut fattas är en förutsätt- ning för materiellt riktiga avgöranden och är en viktig rättssäker- hetsfråga. Utredningen föreslår i avsnitt 12.8.2 att tillsynsmyndig- heten ska vara skyldig att kommunicera underlaget inför beslut som riktar sig mot personuppgiftsansvariga och personuppgiftsbi- träden. Det gäller även beslut om sanktionsavgift. Någon särskild regel om kommunikation i ärenden om sanktionsavgift behövs därför inte. Trots att beslut om sanktionsavgift sannolikt i huvudsak kom- mer att riktas mot myndigheter bör enligt utredningens mening besluten delges, eftersom utgångspunkten är att avgiften ska beta- las efter beslutet och rättssäkerhetsskäl talar för en sådan ordning. Det kan regleras i förordning. Det bör finnas en bortre gräns för när en sanktionsavgift får be- slutas. En regel som anger när avgift senast får beslutas, som blir en form av preskriptionsregel, bör därför tas in i ramlagen. Förfaran- det är avsett att leda till snabbt beivrande av överträdelser, vilket talar för att tiden bör sättas kort. kan vissa överträdelser vara både svårupptäckta och ta tid att utreda. Möjligheten att be- sluta om sanktionsavgift får därför inte vara för begränsad om sys- temet ska bli effektivt och avskräckande. Med hänsyn till överträ- delsernas karaktär anser utredningen att motsvarande den preskriptionstid som gäller för brott där det svåraste straffet är fängelse, men inte överstiger fängelse , är rimlig. Preskriptionstiden skulle därmed bli . Det motsvarar den preskriptionstid som gäller för grova brott mot 49 § person- uppgiftslagen. Utredningens förslag: Sanktionsavgiften ska tillfalla staten. I förordning ska det bl.a. regleras till vilken myndighet och när sanktionsavgiften ska betalas och vad som gäller vid indrivning. Skälen för utredningens förslag: beslut om sanktionsavgift bör gälla som en dom och vara verkställbar. En sådan ordning är rimlig med tanke på att de personuppgiftsansva- riga i de flesta fall är myndigheter. Genom den lösningen blir också sanktionsavgiftssystemet effektivare. Sanktionsavgiften bör som brukligt tillfalla staten, vilket bör framgå av ramlagen. Regeringen bör bestämma till vilken myndig- het betalningen ska göras. Betalning bör normalt göras från det att beslutet fick laga kraft. Det bör dock finnas möjlighet för tillsynsmyndig- heten att i det enskilda fallet bestämma en längre betalningsfrist. Det kan t.ex. bli aktuellt vid mycket höga belopp. Om en indivi- duellt bestämd betalningsfrist inte kopplas till när beslutet får laga kraft kan betalningsskyldighet således inträda trots att beslutet har överklagats. Ett beslut om sanktionsavgift bör få lämnas till indrivning efter sista betalningsdagen. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indriv- ning tillämpas utsökningsbalken. Om beslutet överklagas bör dom- stolen inhibera verkställighetsförfarandet till dess att den rättsliga prövningen har avslutats, om betalningsfristen inte har kopplats till att beslutet fått laga kraft. Om betalningsansvaret upphävts genom beslut som fått laga kraft och betalning gjorts bör avgiften återbetalas. Det kan bli aktuellt om fristen för betalning inte kopplats till tidpunkten för laga kraft. Ränta på beloppet bör utges från den dag sanktionsav- giften betalades till och med den dag avgiften återbetalas. Av samma skäl som det i lagen bör anges en tidpunkt för när sanktionsavgift inte längre får tas ut, bör det också finnas en bortre gräns för när ett beslut om sanktionsavgift får verkställas. När be- slutet om sanktionsavgift fått laga kraft bör beslutet verkställas . Om så inte blir fallet bör betalningsansvaret för avgif- ten bortfalla till den del den inte har betalats. Samtliga dessa frågor, utom när det gäller vem sanktionsavgiften ska tillfalla, kan regleras i förordning. Utredningens bedömning: Det behövs ingen särskild regel om överklagande av beslut om sanktionsavgift. Skälen för utredningens bedömning: Ett beslut om att ta ut sanktionsavgift bör kunna prövas av domstol. Den som har ålagts sanktionsavgift bör ha rätt att överklaga beslutet. Eftersom det är fråga om ett förvaltningsbeslut bör beslutet överklagas till allmän förvaltningsdomstol. Någon särskild överklaganderegel behövs inte, eftersom till- synsmyndighetens beslut får överklagas enligt den regel om över- klagande som utredningen föreslår i avsnitt 14.7.1. 13.8.1Konventionens krav på rättssäkerhetsgarantier Utredningens bedömning: Systemet med sanktionsavgift upp- fyller krav på rättssäkerhetsgarantier. Skälen för utredningens bedömning: Sanktionsavgift är en straff- liknande ekonomisk sanktion med ett avskräckande och bestraf- fande syfte. Det har därför i doktrinen framförts åsikter om att sanktionsavgifter normalt ska presumeras utgöra brottsanklagelser i mening. Om den föreslagna sanktionsav- giften skulle anses ha den karaktären medför det att de rättssäker- hetsgarantier som ställs upp i artikel 6 i konventionen måste vara uppfyllda (se Warling-Nerep s. 153 f. och SOU 2013:38 s. 455). Utredningen behöver därför ta ställning till om förslagen lever upp till dessa garantier. Den som avgiften ska tas ut av ska underrättas om överträdelsen och ges rätt att yttra sig innan beslut om sanktionsavgift fattas. har bevisbördan för att det är fråga om en överträdelse och att den bör föranleda sanktionsavgift. Ansvaret är visserligen strikt, men det finns möjlighet att avstå från att ta ut sanktionsavgift eller att jämka den. Den som åläggs sanktionsavgift har rätt till domstolsprövning och rätt att överklaga domstolens beslut. Den föreslagna regleringen uppfyller enligt utredningens mening därför väl konventionens krav på rättssäkerhetsgarantier. 13.8.2Konventionens förbud mot dubbelprövning Utredningens bedömning: Det behövs ingen bestämmelse i ramlagen om förbud mot dubbelprövning. Skälen för utredningens bedömning: Bestämmelser om att ingen ska kunna lagföras eller straffas två gånger för samma brott finns dels i sjunde tilläggsprotokollet till , dels i rättighetsstadgan. Enligt artikel 4.1 i sjunde tilläggsprotokollet får ingen lagföras eller straffas på nytt i en brottmålsrättegång i samma stat för ett brott för vilket han redan blivit slutligt frikänd eller dömd (förbud mot dubbelprövning). Dubbelprövningsförbudet är begränsat till samma rättssubjekt. Huvudsyftet med artikeln är att förhindra en upprepning av en brottmålsrättegång som avslutats med ett slutligt avgörande och att förhindra att samma rättssubjekt prövas för samma brott två gånger. Det är följaktligen inte förbjudet att döma ut flera straff för samma brott, utan endast att pröva samma brott på nytt, dvs. vid två olika tillfällen. Konventionen gäller som lag i och enligt 2 kap. 19 § regeringsformen får lag eller annan föreskrift inte meddelas i strid med åtaganden enligt konventionen. I artikel 50 i rättighetsstadgan föreskrivs att ingen får lagföras eller straffas på nytt för en lagöverträdelse för vilken han eller hon redan har blivit frikänd eller dömd i unionen genom en lagakraft- vunnen brottmålsdom. Enligt artikel 52.3 har artikel 50 samma innebörd som sin motsvarighet i . Sanktionsavgift får enbart tas ut av personuppgiftsansvariga och personuppgiftsbiträden, som i princip alltid är juridiska personer. Ställföreträdare och faktiska företrädare för de juridiska personerna eller deras anställda kan däremot aldrig bli föremål för sanktionsav- gift enligt lagen. Rekvisiten för de överträdelser av bestämmelser som kan föran- leda sanktionsavgift i ramlagen och rekvisiten för straffansvar enligt är olika och bestämmelserna kommer därmed i prak- tiken mycket sällan att kunna träffa samma handlande. Vidare krävs att den som avgiften ska tas ut av också är den som är straffrättsligt ansvarig (se avsnitt 13.2.1). Eftersom juridiska personer inte kan straffas enligt svensk rätt är det enbart när en fysisk person är be- hörig myndighet enligt ramlagen eller personuppgiftsbiträde som förbudet mot dubbelprövning kan aktualiseras. Enda gången som det skulle kunna komma i fråga att ta ut sanktionsavgift av en fysisk person är om han eller hon är enskild näringsidkare. Enligt utredningens bedömning rör det sig förmodligen om enstaka fall. Därmed kommer förbudet mycket sällan, om ens någonsin, att behöva tillämpas. Om det mot förmodan skulle bli fallet gäller som svensk lag. Det innebär att en domstol alltid måste ta hänsyn till förbudet. Mot den bakgrunden anser utredningen att det inte behövs någon bestämmelse om förbud mot dubbelprövning i ramlagen. 14 Rättsmedel och skadestånd 14.1Krav på effektiva rättsmedel vid felaktig personuppgiftsbehandling Direktivet innehåller flera artiklar om rättsmedel, där den gemen- samma nämnaren är att rättsmedlen ska vara effektiva. Den som på rimliga grunder påstår sig ha blivit utsatt för en kränkning av sina rättigheter ska ha möjlighet att få sitt påstående prövat och kunna få rättelse eller gottgörelse för konstaterade kränkningar. Rätts- medlet ska också vara effektivt i den meningen att det ska medge en tillfredsställande prövning. Det måste även vara praktiskt möj- ligt för berörda personer att utnyttja rättsmedlen. Även om ett visst rättsmedel sett för sig inte uppfyller kraven för att vara effek- tivt kan flera rättsmedel tillsammans göra det (, Mänskliga rättigheter i europeisk praxis, 5 uppl. 2015, s. 539). Enligt artikel 54 ska en registrerad ha rätt till ett effektivt rätts- medel, om han eller hon anser att hans eller hennes rättigheter har kränkts genom att personuppgifter har behandlats på ett sätt som inte är förenligt med de bestämmelser som genomför direktivet. Var och en som lidit skada till följd av behandling av personupp- gifter i strid med bestämmelserna ska enligt artikel 56 kunna få ersättning. En registrerad som anser att behandlingen av hans eller hennes personuppgifter står i strid med de bestämmelser som genomför direktivet ska enligt artikel 52.1 också ha rätt att lämna in klagomål till en tillsynsmyndighet. Om tillsynsmyndigheten inte handlägger klagomålet har den registrerade enligt artikel 53.2 rätt till prövning i domstol av om myndigheten onödigt dragit ut på handläggningen av ärendet (dröjsmålstalan). Den som berörs av ett rättsligt beslut, meddelat av tillsynsmyndigheten, ska enligt artikel 53.1 kunna överklaga det till domstol. Flertalet av rättsmedlen i direktivet gäller i förhållande till per- sonuppgiftsansvariga och i vissa fall personuppgiftsbiträden. Så är fallet med bestämmelserna om rättsmedel i artikel 52.1 (rätten att ge in klagomål till tillsynsmyndigheten), artikel 54 (rätten att föra talan) och artikel 56 (rätten till skadestånd). Artiklarna 53.1 och 53.2 (rätten att överklaga tillsynsmyndighetens beslut och att be- gära prövning av om myndigheten onödigt dragit ut på handlägg- ningen av ett klagomål) gäller däremot i förhållande till tillsyns- myndigheten. De flesta av rättsmedlen är främst eller uteslutande tänkta att användas av registrerade. Det gäller framför allt de rättsmedel som riktar sig mot personuppgiftsansvariga och personuppgiftsbiträden. Rätten till skadestånd gäller dock för var och en som lidit skada till följd av en olaglig behandling av personuppgifter eller någon annan åtgärd som står i strid med de bestämmelser som genomför direk- tivet även om det främst är registrerade som kan drabbas av sådan skada. Talan mot tillsynsmyndighetens beslut är i första hand tänkt att kunna användas av personuppgiftsansvariga och personuppgifts- biträden, eftersom det i huvudsak är de som träffas av bindande beslut. Även andra, exempelvis registrerade, ska dock kunna ut- nyttja rättsmedlet om besluten avser dem, eftersom ett rättsmedel ska vara tillgängligt för varje fysisk och juridisk person som ett rättsligt bindande beslut av tillsynsmyndigheten avser. Registrerade ska också ges rätt att begära domstolsprövning av om tillsynsmyn- digheten inte handlagt ett klagomål . Rätten att använda ett rättsmedel får enligt direktivet inte på- verka rätten att använda ett annat av rättsmedlen. Det innebär att en registrerad t.ex. kan välja att både ge in ett klagomål till till- synsmyndigheten och begära skadestånd av den personuppgiftsan- svarige avseende samma personuppgiftsbehandling. Förutom de rättsmedel som anges i direktivet finns i svensk rätt dessutom möjlighet att enligt 52 § personuppgiftslagen överklaga vissa beslut som en myndighet fattat i egenskap av personuppgifts- ansvarig. Utredningens bedömning: Rätten att vid allmän domstol föra talan mot en personuppgiftsansvarig eller ett personuppgiftsbi- träde om den registrerades rättigheter har kränkts genom per- sonuppgiftsbehandling kräver inga lagstiftningsåtgärder. Skälen för utredningens bedömning: Enligt artikel 54 ska en regi- strerad ha rätt till ett effektivt rättsmedel, om han eller hon anser att hans eller hennes rättigheter har kränkts genom att personupp- gifter har behandlats på ett sätt som inte är förenligt med de be- stämmelser som genomför direktivet. Av rubriken till artikeln – rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde – framgår att det är mot deras agerande som det ska finnas ett rättsmedel. Av skäl 85 framgår att det är ett rättsmedel enligt artikel 47 i rättighetsstadgan som avses. Det inne- bär att den registrerade ska ha rätt att föra talan vid domstol. Enligt artikel 22 i det nu gällande direktivet har var och en rätt att föra talan inför domstol vid kränkningar till följd av behandling av personuppgifter. I skäl 55 förtydligas att det som avses är en möjlighet till rättslig prövning när en personuppgiftsansvarig inte respekterar en registrerads rättigheter. Artikel 22 ledde inte till någon lagstiftning när personuppgiftslagen infördes. Frågan be- handlas inte heller i förarbetena, förutom i relation till 28 § person- uppgiftslagen, som reglerar rätten för en registrerad att begära att en personuppgift rättas. Av förarbetena framgår att om oenighet uppstår mellan den personuppgiftsansvarige och den registrerade om huruvida korrigering ska göras, kan den registrerade vända sig till tillsynsmyndigheten. Regeringen påminner också om möjlig- heten för den registrerade att själv väcka talan vid allmän domstol (prop. 1997/98:44 s. 132 f.). Det får således, som Informationshan- teringsutredningen konstaterar, antas att regeringen ansåg att var och ens rätt att väcka talan vid allmän domstol i den ordning som gäller för tvistemål var tillräcklig för att uppfylla direktivets krav i denna del (SOU 2015:39 s. 656). Artikel 54 i det nya direktivet har enligt utredningens bedöm- ning i sak samma innebörd. Artikeln innebär en rätt att föra talan vid domstol för den som anser att hans eller hennes rättigheter har kränkts vid behandlingen av personuppgifter. Utredningen gör samma bedömning som regeringen gjorde be- träffande artikel 22 i det nu gällande dataskyddsdirektivet. Det krävs därmed inte någon lagstiftningsåtgärd för att genomföra arti- kel 54. Den möjlighet enskilda har att väcka talan vid allmän dom- stol i den ordning som gäller för tvistemål får anses vara tillräcklig. Förutom att föra talan om skadestånd (rätten till skadestånd regleras särskilt i artikel 56), torde den registrerade också kunna föra en fullgörelse- eller fastställelsetalan (se SOU 2004:6 s. 208). Talan kan föras mot en personuppgiftsansvarig. Det finns skäl att i detta sammanhang påpeka att ett personuppgiftsbiträde som i strid med den personuppgiftsansvariges instruktioner själv fastställt ändamålen med eller medlen för behandling ska betraktas som per- sonuppgiftsansvarig för den behandlingen (se avsnitt 10.6.3). Direktivet förutsätter att talan även ska kunna föras mot per- sonuppgiftsbiträden. Eftersom personuppgiftsbiträden inte, utom i det fall som nämnts, självständigt behandlar personuppgifter kommer troligen talan mycket sällan att väckas mot personupp- giftsbiträden. Enligt 3 kap. 2 § skadeståndslagen (1972:207) ska staten eller en kommun ersätta personskada, sakskada eller ren förmögenhets- skada som vållas genom fel eller försummelse vid myndighetsutöv- ning i verksamhet för vars fullgörande staten eller kommunen sva- rar. Ersättningsskyldigheten omfattar även ideell skada på grund av att någon genom fel eller försummelse vid myndighetsutövning kränkts på det sätt som anges i 2 kap. 3 § samma lag. I 2 kap. 3 § skadeståndslagen föreskrivs att den som allvarligt kränker någon annan genom brott som innefattar ett angrepp mot dennes person, frihet, frid eller ära ska ersätta den skada som kränkningen innebär. Ideellt skadestånd för att den personliga in- tegriteten har kränkts, dvs. ersättning för en skada som varken är personskada eller ekonomisk skada, förutsätter alltså att kränk- ningen har orsakats genom brott. Det krävs också att kränkningen är allvarlig. SOU 2017:29 Rättsmedel och skadestånd Ersättning för kränkning med stöd av 3 kap. 2 § jämförd med 2 kap. 3 § skadeståndslagen förutsätter att kränkningen har orsa- kats vid myndighetsutövning. Om det inte är fråga om myndig- hetsutövning kan skadestånd ändå utgå enligt 3 kap. 1 § skade- ståndslagen för skada som vållats av arbetstagare. Det förutsätter att kränkningen har orsakats av att den anställde har begått brott i tjänsteutövningen. Genom Högsta domstolens praxis har det lagts fast en rätt till ideellt skadestånd vid kränkningar av även i andra fall än de som regleras i skadeståndslagen. Det har bl.a. varit fråga om kränkningar av rätten till privat- och familjeliv enligt arti- kel 8 i konventionen. Utredningen om det allmännas ansvar enligt föreslog en ny regel i skadeståndslagen som skulle ge fysiska och juridiska personer rätt till skadestånd av staten eller en kommun vid överträdelser av konventionen (Skadestånd och , SOU 2010:87). Förslaget har inte lett till lagstiftning. Den som anser att han eller hon har orsakats skada av det all- männa kan väcka talan mot staten eller en kommun vid allmän domstol. Saken prövas då som tvistemål. Om en skada orsakats av staten kan JK besluta om skadestånd till enskilda inom ramen för statens frivilliga skadereglering. Sådana anspråk från enskilda handläggs enligt förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten. Det kan vara anspråk som grundas på 3 kap. 1 eller 2 § skadeståndslagen eller skadeståndsregler i andra författningar, t.ex. 48 § personuppgifts- lagen (se avsnitt 14.3.2). Möjligheten till frivillig skadereglering syftar till att avlasta domstolarna. Regleringen är främst avsedd för fall där det egentligen inte finns någon tvist, utan det står klart att ett skadeståndsgrundande fel har begåtts och att den enskilde har rätt till viss ersättning. JK:s skadereglering är kostnadsfri för en- skilda. Ombudskostnader kan i viss utsträckning ersättas. Den som inte är nöjd med JK:s beslut kan väcka talan på vanligt sätt vid allmän domstol. På det kommunala området finns det ingen motsvarande frivillig skadereglering. En kommun är emellertid oförhindrad att frivilligt reglera en skada som någon orsakats i kommunens verksamhet, exempelvis i samband med otillåten behandling av personuppgifter. Om ett landsting eller en kommun inte själv vill reglera en påstådd skada, får den enskilde vända sig till allmän domstol. Som tidigare nämnts kan socialnämnder och landsting ha uppgifter som omfat- tas av ramlagens tillämpningsområde (se avsnitt 8.4.5). Utredningens förslag: Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med ram- lagen eller föreskrifter som meddelats i anslutning till den har orsakat. Utredningens bedömning: Jämkning av skadeståndsskyldig- heten bör inte vara möjlig. Skälen för utredningens förslag och bedömning Innehållet i direktivet och nuvarande reglering Enligt artikel 56 ska var och en som lidit materiell eller immateriell skada till följd av olaglig behandling av personuppgifter eller av någon annan åtgärd som står i strid med de bestämmelser som genomför direktivet ha rätt till ersättning från den personuppgifts- ansvarige eller varje annan myndighet som är behörig enligt med- lemsstaternas nationella rätt. Enligt 48 § första stycket personuppgiftslagen ska den person- uppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med lagen har orsakat. Alla åtgärder som är oförenliga med personuppgiftslagen kan leda till skadeståndsskyldighet. Ersätt- ningsskyldighet inträder så snart en bestämmelse överträtts, vilket gör att skadeståndsansvaret är strikt. I registerförfattningarna för myndigheterna i rättskedjan hänvi- sas till 48 § personuppgiftslagen. Myndigheternas skadeståndsan- svar omfattar därmed både överträdelser som begås mot reglerna i registerförfattningen och mot de regler i personuppgiftslagen som gäller för myndigheten. Regleringen i det nya direktivet motsvarar artikel 19 i data- skyddsrambeslutet. Varken i artikel 56 i direktivet eller i artikel 19 i dataskyddsrambeslutet finns det någon exculperingsregel. Med det avses en bestämmelse som gör att den personuppgiftsansvarige under vissa förhållanden kan undgå skadeståndsansvar trots att be- handlingen av personuppgifter varit felaktig. En sådan regel finns däremot i 48 § andra stycket personuppgiftslagen. JK:s skadereglering i personuppgiftsärenden JK handlägger inom ramen för statens frivilliga skadereglering ska- deståndsanspråk enligt 48 § personuppgiftslagen. – 2013 kom det in 196 sådana ärenden. avgjorde JK 225 ärenden varav ersättning utgick i 131 fall, dvs. i ca 60 pro- cent av ärendena. Det kan jämföras med att det i ärenden om ska- deståndsanspråk mot staten som grundas på skadeståndslagen nor- malt utgår ersättning i 12–av fallen. Exempel på skador på grund av överträdelse av personuppgiftslagen som enligt JK:s beslut medfört ersättningsskyldighet är bristande gallringsrutiner, felaktiga personuppgifter i olika register och felaktiga uppgifter på domstolars uppropslistor. I betänkandet Myndighetsdatalag redo- visas en genomgång av JK:s praxis (SOU 2015:39 s. 643 f.). Vem ska vara skadeståndsskyldig? Direktivet förutsätter att enskilda ska kunna begära skadestånd vid behandling av personuppgifter i strid med de bestämmelser som genomför direktivet. Det behövs därför en bestämmelse i ramlagen om skadeståndsansvar. Enligt 48 § personuppgiftslagen är det enbart den personupp- giftsansvarige som är skadeståndsskyldig. Gentemot den registre- rade är den personuppgiftsansvarige ansvarig för all behandling, dvs. även när ett personuppgiftsbiträde eller annan hjälp anlitas. Om fel har begåtts av t.ex. ett personuppgiftsbiträde anses det allt- så bero på den personuppgiftsansvarige. Enligt dataskyddsförordningen ska det även finnas möjlighet att rikta skadeståndstalan mot personuppgiftsbiträden (artikel 82.1), men i direktivet finns ingen motsvarande bestämmelse. framgår det av rubriken till artikel 54 att den registrerade ska ha rätt till ett effektivt rättsmedel inte bara mot den personuppgifts- ansvarige utan även mot personuppgiftsbiträden, dvs. kunna väcka talan vid allmän domstol mot dessa för att få en domstolsprövning till stånd. Utredningen anser att det skulle föra för långt att enbart av rub- riken till artikel 54 dra slutsatsen att det måste finnas möjlighet för enskilda att föra skadeståndstalan även mot personuppgiftsbiträ- den. Det finns inte heller något annat som talar för att ålägga per- sonuppgiftsbiträden skadeståndsansvar. Bara den personuppgifts- ansvarige bör således vara skadeståndsansvarig enligt ramlagen.