prop · H503232 · 2018-04-19 00:00:00 — Enligt regeringens bedömning skulle en avgift om utgöra en effektiv, proportionell och av- skräckande sanktion också mot allvarliga överträdelser, även för de största myndigheterna. Dessa resonemang gör sig även gällande för sanktionsavgifter för myndigheter på förordningens område (se prop. 2017/18:105 s 141). Till allvarligare överträdelser bör räknas alla överträdelser av grund- läggande krav på personuppgiftsbehandlingen. 2017/18:232 trala för skyddet av registrerades integritet, oavsett om det är fråga om känsliga personuppgifter eller personuppgifter i allmänhet. En annan sak är att sanktionsavgiften normalt bör bestämmas till ett högre belopp om överträdelsen avser känsliga personuppgifter. Eftersom åtgärder för att säkerställa författningsenlig behandling syftar till att avskräcka från behandling i strid med de grundläggande princi- perna för personuppgiftsbehandling bör överträdelser mot de bestämmel- serna också ses som allvarliga, dock med undantag för tillgången till personuppgifter internt. Även överträdelser av bestämmelser som avser skyldighet att vidta åt- gärder för att säkerställa säkerhet vid behandling bör ses som allvarliga, eftersom sådana överträdelser kan få mycket långtgående konsekvenser för registrerade. Överträdelser av vad som gäller vid överföring till tredjeland och inter- nationella organisationer bör också leda till den högre sanktionsavgiften. Det är allvarligt att uppgifterna får spridning om inte skyddet för dem kan garanteras. Den högre avgiften bör också tillämpas vid underlåtenhet att följa till- synsmyndighetens förelägganden eller beslut eller att på annat sätt under- låta att bistå den. Genom det inskärps allvaret i att inte rätta sig efter till- synsmyndighetens synpunkter. Det finns utifrån den modell som föreslås i dataskyddslagen skäl att be- stämma beloppen för mindre allvarliga överträdelser till hälften, dvs. 2017/18:105 s. 141). Till mindre allvarliga över- trädelser bör räknas att den personuppgiftsansvarige eller ett personupp- giftsbiträde inte begränsat tillgången till personuppgifter internt. Även om det är en viktig bestämmelse är risken för kränkning av den enskildes integritet mindre än om uppgifterna sprids utanför verksamheten eller be- handlas otillåtet på något annat sätt. Till mindre allvarliga överträdelser bör också räknas underlåtenhet av personuppgiftsansvariga att dokumentera personuppgiftsincidenter. Även underlåtenhet att göra en konsekvensbedömning eller att inleda förhands- samråd med tillsynsmyndigheten bör anses som mindre allvarlig. Felaktig eller otillåten personuppgiftsbehandling kan innebära att flera bestämmelser om behandling av personuppgifter överträds . Det kan t.ex. vara fråga om behandling som inte bara saknar rättslig grund utan som också strider mot andra bestämmelser om hur personuppgifter får behandlas. På motsvarande sätt kan en överträdelse, oavsett om den strider mot en eller flera bestämmelser, upprepas genom personuppgifts- behandlingar som är sammankopplade med varandra. Det kan få till följd att en felaktig behandling följer med till nästa behandling. Var och en av dessa överträdelser kan, om den är tillräckligt allvarlig, leda till att sank- tionsavgift tas ut. Som utredningen konstaterar är det emellertid inte rimligt att tillsynsmyndigheten i dessa fall lägger samman beloppen som fastställts för var och en av överträdelserna till en gemensam sanktions- avgift. Sanktionsavgiften måste framstå som en rimlig reaktion på samt- liga överträdelser som är föremål för bedömning. giftsansvarige eller personuppgiftsbiträdet gjort sig skyldig till flera över- trädelser genom samma eller sammankopplade personuppgiftsbehand- Prop. 2017/18:232 lingar bör det totala beloppet för sanktionsavgiften i stället bestämmas efter de samlade överträdelsernas allvar. Om det är fråga om felaktig behandling på samma sätt av många personers personuppgifter, t.ex. om ett otillåtet register omfattar många personer, får alltså en samlad be- dömning göras och en gemensam sanktionsavgift bestämmas med ut- gångspunkt i hur klandervärd den totala felbehandlingen är. Sanktionsavgiften vid flera samtidiga överträdelser bör emellertid aldrig få överstiga maximibeloppet för den sanktionsavgiftsnivå som är aktuell. Det bör framgå av ramlagen. Det innebär att om någon av över- trädelserna är av allvarligare slag får maximibeloppet för allvarligare överträdelser inte överskridas. Om ingen av överträdelserna är av allvar- ligare slag ska maximibeloppet för mindre allvarliga överträdelser till- lämpas. 12.6.2Hur avgiften ska bestämmas i det enskilda fallet Regeringens förslag: Vid bedömningen av om någon sanktionsavgift ska tas ut och när storleken på avgiften ska bestämmas, ska särskild hänsyn tas till om överträdelsen varit uppsåtlig eller berott på oakt- samhet, den skada, fara eller kränkning som överträdelsen inneburit samt till överträdelsens karaktär, svårhetsgrad och varaktighet. Vad den personuppgiftsansvarige eller personuppgiftsbiträdet gjort för att begränsa verkningarna av överträdelsen ska också vägas in, liksom om den personuppgiftsansvarige eller personuppgiftsbiträdet tidigare ålagts att betala en sanktionsavgift. Sanktionsavgiften får sättas ned helt eller delvis om överträdelsen är ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgift. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Omständigheter som bör påverka sanktionsavgiften Det är inte obligatoriskt att ta ut sanktionsavgift. Det bör därför regleras vilka omständigheter som kan göra att sanktionsavgift inte tas ut och vad som kan påverka avgiftens storlek. Det sistnämnda är särskilt viktigt, eftersom sanktionsavgiftens storlek inte anges till ett fast belopp i lagen. En uppräkning av sådana omständigheter kan dock inte göras uttöm- mande utan bör ange de omständigheter som är särskilt viktiga. Bestäm- melsen bör lämna utrymme för att också beakta andra förmildrande eller försvårande omständigheter. Uppräkningen i dataskyddsförordningen av vilka omständigheter som bör beaktas kan tjäna som ledning för vad som är relevant. Regeringen håller med utredningen om att i princip samtliga omständigheter som räknas upp i artikel 83.2 i förordningen kan vara av större eller mindre betydelse för frågan om avgift ska tas ut och storleken på avgiften. 2017/18:232 Enligt Lagrådets mening utesluter inte den omständigheten att tillämp- ningsområdet i olika avseenden skiljer sig åt att förordningens teknik för att bestämma vad som ska påverka avgiftsuttaget kan användas också i ramlagen. En sådan samordning skulle enligt Lagrådet göra sanktionssys- temet mer överblickbart för berörda myndigheter och underlätta tillämp- ningen för tillsynsmyndigheten och domstolarna. Lagrådet, som inte till- styrker avgiftsmodellen som föreslås i lagrådsremissen, anser att möj- ligheten att så långt det går samordna sättet att ta ut sanktionsavgifter bör undersökas. Detta kan enligt Lagrådet innebära att de föreslagna be- stämmelserna om hur avgiften ska bestämmas i det enskilda fallet ersätts med en bestämmelse om att vederbörlig hänsyn ska tas till de omständig- heter som anges i artikel 83.2 a–k i dataskyddsförordningen vid bedöm- ningen av om någon sanktionsavgift ska tas ut och när storleken på avgif- ten ska bestämmas. Regeringen instämmer med Lagrådet i att det är av största vikt att sanktionssystemet blir överblickbart för berörda myndigheter och att förutsättningarna för att tillämpa systemet ska vara klara. Dataskyddsför- ordningen har också varit den viktigaste utgångspunkten för regeringen när det gäller bestämmelser om hur avgifterna ska bestämmas i det en- skilda fallet i ramlagen. De omständigheter som enligt förslaget i lagråds- remissen ska beaktas vid bedömningen av om någon sanktionsavgift ska tas ut och när storleken på avgiften ska bestämmas förekommer i upp- räkningen i artikel 83.2 i EU:s dataskyddsförordning. Även om dessa omständigheter bedöms som särskilt viktiga är dock i princip samtliga omständigheter i artikel 83.2 relevanta och avsikten är inte att uppräk- ningen i förslaget ska vara uttömmande. Artikel 83.2 i dataskyddsförord- ningen innehåller emellertid även omständigheter som inte är relevanta på direktivets område. Regeringen anser därför att en uttrycklig hänvis- ning till förordningen inte bör göras. Dessutom kommer de myndigheter som ska tillämpa ramlagen och tillsynsmyndigheten vid sin tillsyn att behöva förhålla sig till olika regelverk som skiljer sig åt i vissa avseenden. De olika sanktionsavgiftsregleringarna i sig bör dock enligt regeringens bedömning inte leda till tillämpningsproblem. Förslaget i denna del har heller inte ifrågasatts eller kritiserats av någon av remiss- instanserna. Mot denna bakgrund anser regeringen att den ordning som föreslås i lagrådsremissen bör behållas. Både vid bedömningen av om avgift överhuvudtaget bör tas ut och vid bestämmandet av avgiftens storlek bör för det första särskild hänsyn tas till om överträdelsen varit avsiktlig. En avsiktlig överträdelse visar tyd- ligt på nonchalans mot regleringen och utrymmet att underlåta att ta ut avgift eller att bestämma avgiften till ett lågt belopp bör vara mycket litet. Tvärtom talar avsiktliga överträdelser starkt för att sanktionsavgift ska tas ut och att den ska sättas högt. I många fall är dock överträdelser resultatet av mer eller mindre oaktsamma förfaranden, t.ex. missförstånd om hur regleringen ska tillämpas eller ursäktliga bedömningsfel. Även graden av oaktsamhet bör därför vägas in. För det andra bör beaktas vilken skada, fara eller kränkning som över- trädelsen medfört. Ju större skadan, faran eller kränkningen är, desto mindre blir utrymmet att avstå från att ta ut avgift eller att bestämma av- giften till ett lågt belopp. För det tredje bör överträdelsens karaktär, svårhetsgrad och varaktighet Prop. 2017/18:232 beaktas. Här spelar det roll vilken typ av personuppgifter som har be- handlats, hur många uppgifter som har behandlats, för vilka syften och hur länge uppgifterna har behandlats. Om känsliga personuppgifter eller andra särskilt integritetskänsliga uppgifter har behandlats felaktigt, bör utrymmet för att avstå från att ta ut sanktionsavgift vara mindre och be- loppet generellt sett sättas högre. Ju allvarligare överträdelsen är och ju längre den pågått, ju fler registrerade som berörs och ju större skada de registrerade drabbats av, desto starkare skäl talar både för att sanktions- avgift ska tas ut och för att beloppet ska sättas högt. Att en överträdelse vid en samlad bedömning anses vara ringa talar för att någon sanktions- avgift inte bör tas ut eller att den i vart fall bör sättas lågt. För det fjärde bör hänsyn tas till vad den personuppgiftsansvarige eller personuppgiftsbiträdet gjort för att begränsa verkningarna av överträdel- sen. Om de har vidtagit kraftfulla åtgärder för att lindra verkningarna bör det, som utredningen påpekar, öka möjligheten att avstå från att ta ut sanktionsavgift eller i vart fall leda till att sanktionsavgiften blir lägre än den annars skulle ha blivit. Även tekniska och organisatoriska åtgärder som vidtagits i syfte att undvika överträdelser bör beaktas. Ju fler och effektivare åtgärder som vidtagits, desto mindre klandervärt framstår de ansvarigas agerande. Hur överträdelsen kom till tillsynsmyndighetens kännedom bör också kunna beaktas. Om den personuppgiftsansvarige eller personuppgiftsbiträdet själv anmält överträdelsen eller tvärtom för- sökt att dölja den, bör det – som utredningen konstaterar – kunna beaktas i mildrande respektive försvårande riktning. En femte viktig faktor är om den personuppgiftsansvarige eller person- uppgiftsbiträdet tidigare gjort sig skyldig till överträdelser. Regeringen delar utredningens bedömning att det är särskilt graverande om den per- sonuppgiftsansvarige eller personuppgiftsbiträdet trots påpekanden fort- satt att handla i strid med regleringen. Om den personuppgiftsansvarige eller personuppgiftsbiträdet däremot samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelser och minska negativa effekter av dem talar det i mildrande riktning. Sanktionsavgiften bör kunna sättas ned helt eller delvis Som tidigare konstaterats bör den personuppgiftsansvarige och person- uppgiftsbiträden ha strikt ansvar för överträdelser (se avsnitt 12.5.3). Det är därför nödvändigt att ge utrymme för att jämka eller helt sätta ned sanktionsavgiften i fall där det inte framstår som rimligt och proportio- nerligt att ta ut avgift. Sanktionsavgiften bör kunna sättas ned helt eller delvis om exempelvis en personuppgiftsansvarig eller ett personuppgiftsbiträde också blir ska- deståndsskyldig. Den samlade reaktionen skulle, beroende på överträdel- sen, totalt sett kunna bli alltför betungande. Det bör då vara möjligt att jämka beloppet för att undvika att den samlade reaktionen på överträdel- sen blir oproportionerlig. Eftersom ansvaret för överträdelser är strikt, bör det också vara möjligt att jämka sanktionsavgiften om det framkom- mer omständigheter som gör att överträdelsen är ursäktlig. Om regelver- ket överträtts på ett sådant sätt att det varit närmast omöjligt för den per- sonuppgiftsansvarige att upptäcka överträdelsen, t.ex. om någon anställd 2017/18:232 i hemlighet manipulerat ett datasystem, skulle det t.ex. kunna finnas grund för jämkning. Möjligheten att helt sätta ned avgiften bör tillämpas restriktivt och an- vändas endast i undantagsfall. Det bör enbart aktualiseras om det skulle te sig oskäligt att ta ut sanktionsavgift. 12.7.1Vem ska besluta om sanktionsavgift? Regeringens förslag: ska besluta om sanktions- avgift. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget. Polismyn- digheten anser att tillsynsmyndigheten ska ansöka hos domstol om att sanktionsavgift ska tas ut. Skälen för regeringens förslag: Beslut om sanktionsavgift fattas nor- malt av en tillsynsmyndighet eller en domstol. Generellt sett anses en till- synsmyndighet lämpad att besluta om sanktionsavgift när reglerna är relativt enkla att tillämpa, beslutsfattandet är förhållandevis schablonise- rat och sanktionsbestämmelserna bygger på strikt ansvar. En domstol brukar anses mer lämpad att besluta om sanktionsavgift om det är aktu- ellt att pröva framför allt subjektiva rekvisit eller andra svårbedömda rekvisit. menar att de bedömningar och avvägningar som måste göras vid beslut om sanktionsavgift ska tas ut av en myndighet typiskt sett är av det slag att ärendet bör avgöras av domstol. Regeringen håller med utredningen om att kraven på effektivitet och rättssäkerhet naturligtvis måste balanseras mot varandra vid utformningen av ett system med sanktionsavgifter. Det innebär dock inte med nödvändighet att beslut i fråga om sanktionsavgift måste fattas av domstol. Enligt artikel 83.1 i dataskyddsförordningen ska tillsynsmyndigheten besluta om sanktionsavgift. Datainspektionen hänvisar till den artikeln och förespråkar att det bör vara samma ordning på direktivets område. Av artikel 83.7 i förordningen framgår att medlemsstaterna får avgöra om och i vilken utsträckning sanktionsavgift ska kunna tas ut av offent- liga myndigheter. I artikel 83.9 i förordningen anges att en medlemsstat får föreskriva att domstol i stället för en tillsynsmyndighet får besluta om sanktionsavgift om ett nationellt sanktionsavgiftssystem saknas. Enligt skäl 151 verkar den artikeln ta sikte på två särskilt utpekade medlemssta- ter vilkas rättssystem inte tillåter den ordning förordningen föreskriver. 2017/18:105 Ny dataskyddslag föreslås att tillsynsmyndigheten ska besluta om sanktionsavgifter på dataskyddsförordningens område även för statliga och kommunala myndigheter (a. prop. s. 139). Som anges i avsnitt 12.3 har regeringen som utgångspunkt att sanktionssyste- men i ramlagen och förordningen så långt möjligt ska stämma överens. Mot den bakgrunden bör, i likhet med vad Datainspektionen förespråkar, tillsynsmyndigheten besluta om sanktionsavgift även enligt ramlagen. En särskild fråga är vem hos tillsynsmyndigheten som bör pröva frågor Prop. 2017/18:232 om sanktionsavgift. Det finns enligt regeringen starka skäl – inte minst från rättssäkerhetssynpunkt – som talar mot att samma person som utrett en eventuell överträdelse får besluta om sanktionsavgift. Det är viktigt att verksamheten organiseras så att förtroendet för tillsynsmyndigheten inte riskerar att rubbas. Med tanke på sanktionsbeslutens betydelse bör det enligt regeringens mening ställas höga krav på den som får besluta om sanktionsavgift. Det kan därför vara lämpligt att sådana beslut bara får fattas av ett fåtal personer. beslut om sanktionsavgift bör få överklagas till allmän förvaltningsdomstol (se avsnitt 13.7.1). På så sätt tillgodoses rättssäkerhetsaspekterna för den som åläggs sanktionsavgift. kommer det att kunna bildas domstolspraxis till vägledning för tillsyns- myndighetens beslut. 12.7.2Förfarandet vid beslut om sanktionsavgift Regeringens förslag: En sanktionsavgift får inte beslutas om den som avgiften ska tas ut av inte har fått tillfälle att yttra sig från den dag då överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. Regeringens bedömning: Det behövs ingen särskild regel om att den som en sanktionsavgift ska tas ut av ska få yttra sig innan till- synsmyndigheten beslutar i fråga om sanktionsavgift. Utredningens förslag och bedömning överensstämmer med regering- ens. Remissinstanserna: Justitiekanslern påpekar att en femårig preskrip- tionstid kan hindra möjligheten att sätta ned sanktionsavgiften. I övrigt yttrar sig ingen remissinstans särskilt över förslaget i denna del. Skälen för regeringens förslag och bedömning: Enligt artikel 57 ska medlemsstaterna vidta de åtgärder som krävs för att säkerställa att de sanktioner som införs också genomförs. Det finns inga generella förfa- randeregler för handläggningen av ärenden om sanktionsavgift. Det krävs därför särskilda förfaranderegler i ramlagen. Innan tillsynsmyndigheten beslutar om sanktionsavgift bör den som sanktionsavgiften ska tas ut av ges tillfälle att yttra sig. Det ger den per- sonuppgiftsansvarige eller personuppgiftsbiträdet möjlighet att anföra omständigheter som kan påverka både frågan om sanktionsavgift ska tas ut och frågan om sanktionsavgiftens storlek. Möjligheten att komma till tals innan beslut fattas är en förutsättning för materiellt riktiga avgöran- den och är en viktig rättssäkerhetsfråga. Av avsnitt 11.8.2 framgår att tillsynsmyndigheten ska kommunicera underlaget inför beslut som riktar sig mot personuppgiftsansvariga och personuppgiftsbiträden. Det gäller även beslut om sanktionsavgift. Någon särskild regel om kommunikation i ärenden om sanktionsavgift behövs därför inte. Trots att beslut om sanktionsavgift sannolikt i huvudsak kommer att riktas mot myndigheter bör, som utredningen föreslår, besluten delges, eftersom utgångspunkten är att avgiften ska betalas efter beslutet och rättssäkerhetsskäl talar för en sådan ordning. 2017/18:232 des bedömningen att det kan regleras i förordning. Lagrådet förordar emellertid att en sådan bestämmelse tas in i ramlagen. Det kan konstate- ras att en motsvarande bestämmelse finns i den föreslagna dataskydds- lagen (prop. 2017/18:105 s. 12). Att ett beslut om sanktionsavgift ska delges bör därför även enligt regeringens mening framgå av ramlagen. Det bör finnas en bortre gräns för när en sanktionsavgift får beslutas. En regel som anger när avgift senast får beslutas, som blir en form av preskriptionsregel, bör därför tas in i ramlagen. Förfarandet är avsett att leda till snabbt beivrande av överträdelser, vilket talar för att tiden bör sättas kort. kan vissa överträdelser vara både svårupptäckta och ta tid att utreda. Möjligheten att besluta om sanktionsavgift får därför inte vara för begränsad om systemet ska bli effektivt och avskräckande. Med hänsyn till överträdelsernas karaktär har utredningen ansett att motsvarande den preskriptionstid som gäller för brott där det svåraste straffet är fängelse, men inte överstiger fängelse , är rimlig. Preskriptionstiden skulle därmed bli . Som Justitiekanslern påpekar innebär en femårig preskriptionstid att det finns en risk för att ett eventuellt skadeståndsärende angående samma överträdelse skulle avgö- ras senare än sanktionsavgiftsfrågan eftersom preskriptionstiden för ska- destånd är . Detta skulle i praktiken kunna hindra en nedsättning av sanktionsavgiftsbeloppet i vissa fall (jfr. Regeringen anser trots detta att utredningens förslag är väl avvägt och kan i likhet med utredningen konstatera att en femårig preskriptionstid motsvarar vad som gäller för grova brott mot 49 § personuppgiftslagen. Mot denna bakgrund anser regeringen, i likhet med utredningen, att preskriptionsti- den bör vara . Regeringens förslag: Sanktionsavgifterna ska tillfalla staten. En sanktionsavgift ska betalas till den myndighet som regeringen be- stämmer från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas ska tillsynsmyndigheten lämna den obetalda avgiften för indrivning. Vid indrivning får verk- ställighet ske enligt utsökningsbalken. Regeringen ska kunna meddela ytterligare föreskrifter om sank- tionsavgifter enligt ramlagen. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår inte något bemyndigande för regeringen att meddela ytterligare föreskrifter. Vidare föreslår utredningen att betalning och indrivning ska regleras på förordningsnivå. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över försla- get i denna del. Skälen för regeringens förslag: beslut om sanktionsavgift bör gälla som en dom och vara verkställbar. En sådan ordning är rimlig med tanke på att de personuppgiftsansvariga i de flesta fall är myndigheter. Genom den lösningen blir också sanktionsavgifts- Sanktionsavgiften bör som brukligt tillfalla staten, vilket bör framgå av Prop. 2017/18:232 ramlagen. Utredningen anser att regeringen bör bestämma till vilken myndighet betalningen ska göras. Regeringen gör ingen annan bedöm- ning. Betalning bör normalt göras från det att beslutet fick laga kraft. Det bör dock finnas möjlighet för tillsynsmyndigheten att i det enskilda fallet bestämma en längre betalningsfrist. Det kan t.ex. bli aktu- ellt vid mycket höga belopp. Om en individuellt bestämd betalningsfrist inte kopplas till när beslutet får laga kraft kan betalningsskyldighet så- ledes inträda trots att beslutet har överklagats. Ett beslut om sanktionsav- gift bör få lämnas till indrivning efter sista betalningsdagen. Bestämmel- ser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning tillämpas utsökningsbalken. Utredningen har föreslagit att en bestämmelse om betalning och indrivning ska tas in i förordning. Enligt regeringens mening bör bestämmelsen tas in i ram- lagen. Utredningen bedömer att föreskrifter om bl.a. verkställighet och åter- betalning av sanktionsavgifter kan meddelas av regeringen eller den myndighet regeringen bestämmer med stöd av 8 kap. 7 § regeringsfor- men. Regeringen anser dock att det sannolikt kommer att behövas före- skrifter om sanktionsavgifter som går utöver vad som omfattas av denna normgivningskompetens. Det behövs därför ett bemyndigande i ram- lagen som anger att regeringen får meddela ytterligare föreskrifter om sanktionsavgifter. Regeringens bedömning: Det behövs ingen särskild regel om över- klagande av beslut om sanktionsavgift. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Ett beslut om att ta ut sanktions- avgift bör kunna prövas av domstol. Den som har ålagts sanktionsavgift bör ha rätt att överklaga beslutet.