prop · H503232 · 2018-04-19 00:00:00 — Om överträdelsen haft sin grund i oaktsamhet talar det för lägre sank- tionsavgift, såvida inte oaktsamheten är grov. Ju ringare oaktsamheten är, desto starkare skäl kan det finnas att avstå från att ta ut avgift. Om den personuppgiftsansvarige eller personuppgiftsbiträdet gjort sitt bästa för att agera korrekt men felbedömt rättsläget är utrymmet att avstå från att ta ut en sanktionsavgift också större. Det kan dock inte uteslutas att en sanktionsavgift i vissa fall bör tas ut även om omständigheterna är mild- rande. Det kan vara fallet t.ex. om överträdelsen fått eller riskerat att få allvarliga konsekvenser för de registrerade. 2017/18:232 Enligt punkt 2 ska det beaktas vilken skada, fara eller kränkning som överträdelsen inneburit. Det är främst vad överträdelsen fått för följder för de registrerade som avses. Det behöver inte konstateras att skada uppstått utan det räcker att det funnits risk för skada. Som regel blir det fråga om att göra en helhetsbedömning av de potentiella skadeverk- ningarna. En faktisk skada behöver inte heller vara allvarligare än risken för skada, särskilt om risken varit mycket hög och skadan – om den hade inträffat – skulle ha fått stora konsekvenser. Även överträdelsens karaktär, svårhetsgrad och varaktighet ska enligt punkt 3 beaktas. Vid bedömningen av överträdelsens karaktär och svår- hetsgrad bör hänsyn tas till en rad omständigheter. Vilket slag av behand- ling det varit fråga om och vilken typ av uppgifter som behandlats är naturligtvis viktigt (t.ex. om det varit känsliga personuppgifter eller annars integritetskänsliga uppgifter). Även hur många personuppgifter som behandlats är relevant liksom behandlingens omfattning i övrigt (t.ex. om det varit fråga om enstaka uppgifter eller ett register av stor om- fattning). Vidare bör hänsyn tas till vilken regel som har överträtts och vikten av det skyddsintresse som den bär upp. Hur behandlingen utförts kan också spela roll, eftersom det t.ex. kan påverka spridningen av upp- gifterna. Även hur behandlingen pågått har betydelse, t.ex. om den personuppgiftsansvarige underlåtit att i rätt tid ta bort särskilt inte- gritetskänsliga uppgifter. Generellt sett innebär längre tids behandling oftast att risken för att uppgifter kunnat spridas ökat. För vilka syften uppgifterna har behandlats kan också ha betydelse (t.ex. om verksam- hetsintressen eller andra motiv legat bakom behandlingen). Ju mer cen- tral bestämmelsen som överträtts är för registrerades integritetsskydd, ju fler personuppgifter som behandlats och ju längre de behandlats, desto mindre är utrymmet för att avstå att ta ut avgift eller att sätta sanktions- avgiften lägre. Om känsliga personuppgifter behandlats på ett otillåtet sätt finns det i allmänhet skäl att se strängare på överträdelsen. Om över- trädelsen kan anses vara ringa bör det finnas utrymme för att inte ta ut avgift eller bestämma avgiften till ett förhållandevis lågt belopp. I punkt 4 och 5 räknas andra omständigheter upp som särskilt ska beak- tas. Det kan påverka i mildrande riktning om den personuppgiftsansva- rige eller personuppgiftsbiträdet har gjort sitt bästa för att förebygga eller begränsa eventuella skadliga verkningar av överträdelsen. Om den personuppgiftsansvarige däremot inte vidtagit några sådana åtgärder alls eller gjort det först efter påtryckningar talar det i motsatt riktning. Om den personuppgiftsansvarige eller personuppgiftsbiträdet har ålagts att betala sanktionsavgift för samma typ eller liknande överträ- delser bör det ses som försvårande. Att de uppräknade omständigheterna ska beaktas särskilt utesluter inte att det kan finnas andra omständigheter som i det enskilda fallet kan till- mätas betydelse. Paragrafen, som föreskriver att sanktionsavgiften kan sättas ned helt eller delvis, behandlas i avsnitt 12.6.2. Det kan ibland finnas omständigheter som gör att det framstår som oskäligt eller stötande att ta ut en sanktionsavgift, trots att förutsätt- ningarna för att ta ut avgift är uppfyllda. Paragrafen ger möjlighet att Prop. 2017/18:232 sätta ned sanktionsavgiften, helt eller delvis, om överträdelsen är ursäkt- lig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgift. Det kan t.ex. röra sig om fall där det har gått så sedan överträ- delsen att det skulle vara oskäligt att ta ut en sanktionsavgift. Avgift kan också te sig oskälig om den samlade reaktionen med hänsyn till att den personuppgiftsansvarige eller personuppgiftsbiträdet även ålagts skade- stånd skulle bli oproportionerlig i förhållande till överträdelsen. Det är däremot inte oskäligt att ta ut en avgift när överträdelsen exem- pelvis har berott på att den personuppgiftsansvarige eller personuppgifts- biträdet inte känt till reglerna eller överträdelsen berott på dålig ekonomi, tidsbrist, glömska eller dåliga rutiner. Omständigheter utom den avgiftsskyldiges kontroll som lett till över- trädelsen kan i undantagsfall göra överträdelsen ursäktlig. I fall där någon t.ex. avsiktligen och i hemlighet har manipulerat ett datasystem eller vidtagit liknande åtgärder bör den personuppgiftsansvarige kunna undgå ansvar. Det förutsätter emellertid att den personuppgiftsansvarige har vidtagit nödvändiga säkerhetsåtgärder. Den omständigheten att ett personuppgiftsbiträde har behandlat personuppgifter i strid med regel- verket kan dock aldrig leda till att den personuppgiftsansvarige befrias från ansvar, utom i de fall där personuppgiftsbiträdet enligt 3 kap. 18 § andra stycket själv ska betraktas som personuppgiftsansvarig. Paragrafen behandlas i avsnitt 12.7.1 och 12.7.3. I första stycket föreskrivs att tillsynsmyndigheten beslutar om sank- tionsavgift. definieras i 1 kap. 6 §. Av andra stycket framgår att sanktionsavgiften tillfaller staten. Paragrafen behandlas i avsnitt 12.7.2 och har utformats i enlighet med Av första stycket framgår att möjligheten att besluta om sanktionsav- gift bortfaller om den som avgiften ska tas ut av inte har fått tillfälle att yttra sig efter överträdelsen. Så länge otillåten eller felaktig behandling pågår är det fråga om en pågående överträdelse som kan leda till en sanktionsavgift. Den i paragrafen angivna tiden förskjuts då framåt så länge personuppgifterna behandlas. Tidpunkten för överträdelsen kan emellertid få betydelse om överträdelsen avsåg överföring till tredjeland eller om behandlingen har avbrutits. Tiden bör då räknas från när överfö- ringen gjordes eller när behandlingen upphörde. Av andra stycket framgår att ett beslut om sanktionsavgift ska delges. Det innebär att myndigheten ska använda sig av de metoder för delgiv- ning som regleras i delgivningslagen (2010:1932). Paragrafen reglerar betalning och indrivning av sanktionsavgifter. Över- vägandena finns i avsnitt 12.7.3. Betalning bör normalt göras från det att beslutet fick laga kraft. Det bör dock finnas möjlighet för tillsynsmyndigheten att i det enskilda fallet bestämma en längre betalningsfrist. Det kan t.ex. bli aktu- ellt vid mycket höga belopp. Ett beslut om sanktionsavgift får lämnas till indrivning efter sista betalningsdagen. Vid indrivning tillämpas utsök- ningsbalken. Om beslutet överklagas bör domstolen inhibera verkställig- hetsförfarandet till dess att den rättsliga prövningen har avslutats, om be- talningsfristen inte har kopplats till att beslutet fått laga kraft. Paragrafen innehåller ett bemyndigande för regeringen att meddela ytter- ligare föreskrifter om sanktionsavgifter enligt denna lag. Övervägandena finns i avsnitt 12.7.3. Föreskrifter som meddelas med stöd av bemyndigandet i denna para- graf ska avse sådana sanktionsavgifter som regleras i ramlagen. Bemyn- digandet kan således inte läggas till grund för föreskrifter som utvidgar det sanktionerade området. I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Paragrafen, som har utformats efter mönster av 48 § personuppgiftslagen och genomför artikel 56, be- handlas i avsnitt 13.3.2. Paragrafen är en sådan specialbestämmelse om skadestånd som enligt 1 kap. 1 § skadeståndslagen (1972:207) tar över reglerna i den lagen. Om en ersättningsfråga inte berörs i förevarande paragraf – t.ex. frågan om hur ersättningen för en personskada eller sakskada ska beräknas (5 kap. skadeståndslagen) eller hur ansvaret ska fördelas när flera är skade- ståndsskyldiga (6 kap. 4 § skadeståndslagen) – tillämpas de allmänna reglerna i skadeståndslagen. Rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i denna lag eller föreskrifter som meddelats i anslutning till lagen. För att den personuppgiftsansvarige ska bli ersättningsskyldig be- höver den registrerade bevisa att behandling av den registrerades person- uppgifter stått i strid med reglerna om personuppgiftsbehandling och att den har skadat eller kränkt honom eller henne. Den registrerades rätt till skadestånd omfattar ersättning för skada och för kränkning av den personliga integriteten. Med skada avses person- skada, sakskada eller ren förmögenhetsskada. ideell skada som består i att den enskildes integritet kränkts genom Prop. 2017/18:232 behandlingen. Det är bara sådan skada eller kränkning som behandlingen av person- uppgifter har vållat som ersätts, vilket framgår av att behandlingen ska ha orsakat skada respektive kränkning. Orsakssambandet ska vara adekvat. Ersättningen för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Sådana faktorer som att det funnits risk för otillbörlig spridning av känsliga eller felaktiga per- sonuppgifter eller att den registrerade genom behandlingen av uppgifter- na drabbats av beslut eller åtgärder som kunnat få negativa följder hör till det som bör beaktas. Om det t.ex. skett en namnförväxling vid misstanke om rattfylleri och det lett till en felaktig indragning av körkort kan skade- stånd aktualiseras. Har den registrerade själv lämnat en oriktig eller ofullständig personuppgift, kan även detta ha betydelse vid bedöm- ningen. Gentemot den registrerade är den personuppgiftsansvarige ansvarig för all den behandling som utförs för den personuppgiftsansvariges räkning. Det gäller även när ett personuppgiftsbiträde eller någon annan utfört be- handlingen. Anspråk på skadestånd ska således riktas mot den person- uppgiftsansvarige även i de fallen. Talan om skadestånd ska, om den personuppgiftsansvarige är en myndighet, riktas mot den juridiska perso- nen, dvs. staten, eller kommunen. Med myndighet avses det- samma som i regeringsformen, dvs. samtliga statliga och kommunala organ med undantag av och de kommunala beslutande försam- lingarna. Paragrafen innehåller ingen bestämmelse motsvarande 48 § andra stycket personuppgiftslagen, som innebär att ersättningsskyldigheten kan jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Det torde dock finnas utrymme för att sätta ned ska- destånd med stöd av allmänna skadeståndsrättsliga principer beträffande jämkning. Överklagande av personuppgiftsansvariga myndigheters beslut 2 § I paragrafen anges i vilken utsträckning beslut som en myndighet har fattat i egenskap av personuppgiftsansvarig får överklagas. Med myndig- het avses i denna paragraf detsamma som i regeringsformen, dvs. samt- liga statliga och kommunala organ med undantag av och de kommunala beslutande församlingarna. Paragrafen behandlas i av- snitt 13.4 och är utformad i enlighet med Lagrådets förslag. Vilka typer av beslut som får överklagas räknas upp i första stycket. Uppräkningen är, som framgår av 4 §, uttömmande. Beslut i fråga om rättelse, komplettering eller radering av personuppgifter eller begräns- ning av behandlingen av personuppgifter får överklagas om den registre- rade har begärt åtgärden och beslutet har gått honom eller henne emot. Rätten att överklaga kan gälla även i de fall där myndigheten vidtagit en annan åtgärd än den som den registrerade begärt. 2017/18:232 Beslut som innebär att en personuppgiftsansvarig myndighet, helt eller delvis, inte har tillmötesgått en begäran om personrelaterad information får också överklagas. Detsamma gäller beslut att vägra att pröva ett automatiserat beslut på nytt och beslut att ta ut avgift för viss informa- tion. Besluten ska överklagas till allmän förvaltningsdomstol. Vilken för- valtningsdomstol som är behörig framgår av 14 § lagen (1971:289) om allmänna förvaltningsdomstolar. För prövning i kammarrätten krävs det enligt andra stycket prövningstillstånd. Av tredje stycket framgår att det inte finns någon möjlighet att över- klaga beslut av regeringen, , Högsta förvaltningsdom- stolen eller ombudsmän. Överklagande av tillsynsmyndighetens beslut 3 § I paragrafen, som har utformats efter mönster av 51 § personupp- giftslagen, föreskrivs att tillsynsmyndighetens beslut enligt lagen får överklagas till allmän förvaltningsdomstol. Bestämmelsen genomför arti- kel 53.1 och behandlas i avsnitt 13.7.1. Utgångspunkten enligt första stycket är att tillsynsmyndighetens beslut enligt lagen får överklagas. Det är framför allt fråga om beslut som till- synsmyndigheten har fattat med stöd av sina korrigerande befogenheter i 5 kap. 7 §. Det kan t.ex. vara beslut om rättelse eller radering. Det kan också vara beslut om sanktionsavgift. Även beslut enligt 5 kap. 3 § andra stycket att vägra utföra kontroll får överklagas. I stycket anges vidare att tillsynsmyndigheten är motpart i domstolen när ett beslut överklagas. Enligt andra stycket krävs prövningstillstånd vid överklagande till kammarrätten. Enligt paragrafen, som behandlas i avsnitt 13.4, får inga andra beslut än de som räknas upp i 2 och 3 §§ överklagas. Uppräkningen är uttömmande. Någon rätt att med stöd av förvaltnings- lagen överklaga andra beslut som en myndighet eller annan har fattat med stöd av lagen finns alltså inte. Det gäller beslut av personuppgiftsan- svariga och personuppgiftsbiträden. Överföring av personuppgifter till tredjeland och internationella organisationer I paragrafen, som genomför artikel 35.1 a, b och d och artikel 35.3, anges förutsättningarna för att få överföra personuppgifter till ett tredjeland eller en internationell organisation. Paragrafen behandlas i av- snitt 14.3.1–3. Enligt första stycket får en behörig myndighet överföra personuppgifter till ett tredjeland eller en internationell organisation, om personuppgif- terna behandlas i eller är avsedda att behandlas i ett tredjeland eller av en internationell organisation. Tredjeland och internationell orga- nisation definieras i 1 kap. 6 §. Med behandlas förstås sådan behandling av personuppgifter som lagen reglerar. Behandling av personuppgifter definieras i 1 kap. 6 §. Över- föring är en form av personuppgiftsbehandling. För att personuppgifter ska få överföras till ett tredjeland eller en internationell organisation måste därför de allmänna förutsättningarna för att få behandla person- uppgifter i 2 kap. alltid vara uppfyllda, exempelvis kraven på ändamål och personuppgifternas kvalitet. Med överföring avses att en behörig myndighet skickar, vidare- befordrar eller förmedlar information i elektronisk form till någon som befinner sig i ett tredjeland eller till en internationell organisation. Det är också fråga om en överföring när en behörig myndighet gör information tillgänglig för ett tredjeland eller en internationell organisation genom att informationen tillförs ett gemensamt datasystem, t.ex. en databas hos . Däremot omfattar paragrafen normalt inte överföringar på pap- per av personuppgifter som inte har behandlats automatiserat. Personuppgifter som har samlats in och behandlats automatiserat i och som skickas till ett personuppgiftsbiträde i tredjeland för vidarebearbetning omfattas av regleringen. Överföring av personuppgif- ter till ett tredjeland eller en internationell organisation för behandling där avser bl.a. den situationen att uppgifterna inte behandlas automatise- rat i , utan överförs till ett tredjeland eller en internationell orga- nisation för att automatiseras där. Som exempel kan nämnas blanketter, formulär eller undersökningar som fyllts i för hand och som skickas per post till ett personuppgiftsbiträde i ett tredjeland där personuppgifterna läggs in i en databas. Endast behöriga myndigheter har enligt paragrafen rätt att överföra personuppgifter till ett tredjeland eller en internationell organisation. Behörig myndighet definieras i 1 kap. 6 §. En behörig myndighet kan även vara en kontaktpunkt hos en behörig myndighet. är kontaktpunkt enligt bl.a. FN:s vapen- protokoll och FN:s konvention för bekämpande av nukleär terrorism. Genom sådana kontaktpunkter kan även andra än den egna myndighetens personuppgifter överföras. Kontaktpunkten ansvarar då i sin egenskap av behörig myndighet för att överföringen följer de regler som gäller för överföring av personuppgifter till tredjeland och internationella organi- sationer. En kontaktpunkt som vidarebefordrar andra myndigheters per- sonuppgifter kan behöva samråda med den myndighet från vilken uppgif- terna kommer om det är lämpligt att de överförs till ett tredjeland eller en internationell organisation och vilket skydd personuppgifterna i så fall behöver. Bestämmelserna om överföring reglerar inte på vems initiativ person- uppgifterna överförs, om det är den svenska behöriga myndighetens eller den utländska behöriga myndighetens. Överföring till ett tredjeland eller en internationell organisation får endast göras om både de i punkterna 1 och 2 angivna villkoren och något av alternativen i punkten 3 är uppfyllda. 2017/18:232 Punkt 1 innebär en begränsning av de syften för vilka personuppgifter får överföras till ett tredjeland eller en internationell organisation. Över- föringen av personuppgifter måste vara nödvändig för ett syfte som om- fattas av lagens tillämpningsområde (jfr 1 kap. 2 §). Det är således inte tillåtet att till en behörig myndighet i ett tredjeland eller en internationell organisation överföra personuppgifter i något annat syfte, t.ex. för att uppgifterna behövs i ett migrationsärende. Nödvändighetsrekvisitet innebär att det ska prövas om personuppgif- terna behövs för att en behörig myndighet ska kunna utföra en uppgift som den har ansvar för och som omfattas av denna lags tillämpningsom- råde. Överföringen kan vara nödvändig för att en svensk myndighet t.ex. ska kunna utreda ett brott som har begåtts här men där viss bevisning finns i ett tredjeland. Ett exempel är att målsäganden eller ett vittne be- finner sig i tredjeland och att förhör under förundersökningen behöver hållas där. Ett annat exempel är att personuppgifter rörande någon som är internationellt efterlyst sänds till . Överföringen kan också vara nödvändig t.ex. för att en behörig myn- dighet i ett tredjeland ska kunna lagföra ett brott. Kravet är också uppfyllt om en internationell organisation som är en behörig myndighet behöver personuppgifter för ett syfte som omfattas av tillämpningsområdet. Ett exempel kan vara att det i en svensk förundersökning kommer fram information om en person som kan misstänkas för människohandel i ett tredjeland. Ett annat exempel kan vara en narkotikahärva där en försäl- jare av narkotika i berättar om en distributör i ett tredjeland. Svensk behörig myndighet kan i båda fallen överföra personuppgifter till tredjelandet om de behövs för att upptäcka eller utreda brott där. Om en myndighet i ett tredjeland begär att få personuppgifter av en svensk be- hörig myndighet ska den svenska myndigheten pröva om den utländska myndigheten behöver uppgifterna för ett syfte som omfattas av lagens tillämpningsområde. Punkt 2 begränsar till vilka utländska adressater personuppgifter får överföras. Personuppgifter får som huvudregel bara överföras till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Av kravet på att överföringen ska göras till en behörig myndighet följer att den myndighet eller organisation som ska ta emot personuppgifterna ska ha som uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Den som personuppgiften överförs till behöver inte ha samma uppgifter som den svenska myn- digheten, men ska vara behörig genom att den har en uppgift som om- fattas av lagens tillämpningsområde. Exempelvis kan lämna personuppgifter till en åklagarmyndighet i ett tredjeland. När det gäller internationella organisationer är det framför allt som är av intresse. Även vissa utredningsorgan under FN torde kunna ha uppgifter som omfattas av lagens tillämpningsområde, liksom internationella tribunaler. Om en svensk behörig myndighet behöver överföra per- sonuppgifter till en myndighet eller en organisation som inte har en sådan uppgift, t.ex. en migrationsmyndighet i ett tredjeland, är lagen inte tillämplig. I punkt 3 ställs dessutom krav på viss skyddsnivå för personuppgifter som överförs till ett tredjeland eller till en internationell organisation. Personuppgifter får alltid överföras till ett tredjeland eller till en interna- tionell organisation för vilket eller vilken kommissionen har beslutat att det finns en adekvat skyddsnivå (se 3 §). Om det inte finns ett sådant beslut får personuppgifterna ändå överföras om uppgifterna kommer att omfattas av tillräckliga skyddsåtgärder hos den som mottar dem (se 4 §). Finns det inte något beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder får personuppgifter överföras endast när ett undantag för särskilda situationer gäller (se 5 §). Överföringsgrunderna är alternativa men ska prövas i den ordning som anges i paragrafen. I första hand ska det alltså prövas om det finns beslut om adekvat skyddsnivå och i andra hand om det finns tillräckliga skyddsåtgärder. Först därefter finns det anledning att se om någon av undantagssituationerna är för handen. Om personuppgifter ska överföras till en internationell organisation, t.ex. , är det organisationen som sådan, och inte de enskilda stater som är medlemmar i organisationen, som ska uppfylla kravet på skydds- nivå. Ska personuppgiften skickas till ett tredjeland, men överföringen görs med hjälp av , ska däremot skyddsnivån i tredjelandet be- dömas. Det finns alltid risk för att skyddet för enskildas integritet försämras när personuppgifter överförs till ett tredjeland eller en internationell organisation som inte har samma dataskyddsnivå som direktivet kräver av medlemsstaterna. Den risken ska därför enligt andra stycket alltid beaktas särskilt vid bedömningen av hur viktigt det är att personuppgif- terna överförs till tredjelandet eller den internationella organisationen. Paragrafen, som genomför artiklarna 35.1 c och 35.2, anger förutsätt- ningarna för att få överföra personuppgifter som en svensk myndighet har fått från en annan medlemsstat till ett tredjeland eller till en interna- tionell organisation. Paragrafen behandlas i avsnitt 14.3.4. Enligt första stycket krävs medgivande från den medlemsstat som en svensk myndighet har fått personuppgifterna från för att uppgifterna ska få överföras till ett tredjeland eller en internationell organisation. Med- lemsstat definieras i 1 kap. 6 §. Det behöver inte vara en behörig myndig- het i som har tagit emot personuppgifterna. Paragrafen är även tillämplig på personuppgifter som har lämnats till en annan svensk myn- dighet och som sedan används i t.ex. brottsbekämpande verksamhet. Per- sonuppgifterna kan ha lämnats till svensk myndighet t.ex. genom att de skickats elektroniskt eller gjorts tillgängliga i ett gemensamt informa- tionssystem. Medgivandet till överföring ska som huvudregel ges i förväg, innan personuppgifterna överförs till tredjelandet eller den internationella orga- nisationen.