prop · H503205 · 2018-04-06 00:00:00 — Behovet av att åtgärdsförelägganden enligt den nya lagen ska vara tillräckligt handlingsdirigerande och bindande talar för att de ska få förenas med vite. Enligt regeringen tillgodoser sanktionen vite NIS-direktivets krav på effektiva, proportionella och avskräckande sanktioner. Vitets storlek kan anpassas efter vilken typ av åsidosättande det är fråga om så att det kan utgöra ett tillräckligt påtryckningsmedel mot aktören i fråga. Åtgärdsförelägganden bör därför få förenas med vite. När vite föreläggs ska det enligt 3 § lagen (1985:206) om viten, kallad viteslagen, fastställas till ett belopp som med hänsyn till vad som är känt om adressatens ekonomiska förhållanden och till omständigheterna i övrigt kan antas förmå honom att följa det föreläggande som är förenat med vitet. Med omständigheterna i övrigt avses bl.a. kostnaderna för föreläggandets fullgörande och omfattningen av de åtgärder som krävs. Beloppet bör vidare bestämmas med hänsyn till hur angeläget det är att föreläggandet följs. Om föreläggandet avser att tillgodose ett betydelsefullt samhällsintresse kan ett högre belopp vara motiverat. Myndigheterna kan inom ramen för 3 § viteslagen bestämma hur högt eller lågt belopp som helst. Vitet ska som huvudregel fastställas till ett bestämt belopp. Om det är lämpligt med hänsyn till omständigheterna, får vite dock enligt 4 § viteslagen föreläggas som löpande vite. Vitet bestäms då till ett visst belopp för varje tidsperiod av viss längd under vilken föreläggandet inte har följts eller, om föreläggandet avser en återkommande förpliktelse, för varje gång adressaten underlåter att fullgöra denna. Om ett föreläggande inte följs kan tillsynsmyndigheten behöva upprepa föreläggandet. Det kan i dessa fall vara lämpligt att höja vitesbeloppet. Samarbete med Datainspektionen innan ett föreläggande meddelas Enligt artikel 15.4 i NIS-direktivet ska tillsynsmyndigheten samarbeta med dataskyddsmyndigheter när den hanterar incidenter hos leverantörer av samhällsviktiga tjänster som medför personuppgiftsincidenter. Innan ett föreläggande mot en leverantör meddelas ska tillsynsmyndigheten därför samverka med Datainspektionen. Det bör t.ex. kontrolleras att ett krav på att vidta en viss säkerhetsåtgärd inte motverkar åtgärder till stöd för en säker personuppgiftsbehandling. En bestämmelse som reglerar denna samverkan bör tas in i förordning. ska kunna besluta om sanktionsavgift Sanktionsavgift är en ekonomisk sanktion som vanligen riktar sig mot en konstaterad överträdelse av en författningsbestämmelse. Om sanktionsavgiften riskerar att innebära en kostnad eller förlust som är lika stor som eller större än den besparing som görs genom att regelverket inte följs, skapar avgiften incitament att undvika överträdelser. Sanktionsavgifter finns inom en rad rättsområden. De har olika syfte och utformning. Tillämpningsområdet varierar också. I vissa fall är sanktionsavgift den enda sanktionen för en överträdelse, men i andra fall kan avgift tas ut vid sidan av eller i stället för straff. I vissa fall är sanktionsavgift ett komplement till andra åtgärder och kan användas för att i enskilda fall nyansera ingripandet. Sanktionsavgift har ofta använts för att genomföra unionsrättsliga krav på sanktioner. Enbart möjligheten att utfärda åtgärdsföreläggande är enligt regeringens bedömning inte tillräckligt för att sanktionssystemet som 2017/18:205 helhet ska kunna anses effektivt och avskräckande på det sätt som NIS- direktivet kräver. Enligt regeringens bedömning skulle risken att som leverantör drabbas av sanktionsavgift verka avskräckande på ett annat sätt än åtgärdsföreläggande. Risken att drabbas av sanktionsavgift borde också öka incitamenten för ansvariga verksamhetsutövare att satsa på förebyggande åtgärder och att avsätta tillräckliga resurser för att säkerställa att säkerhetskraven och kraven på incidentrapportering tillgodoses. Sanktionsavgift bör därför införas som ett komplement till möjligheten att meddela åtgärdsföreläggande i förening med vite. Det bör påpekas att det finns både för- och nackdelar med en sådan reglering som ger tillsynsmyndigheten möjlighet att välja mellan att genomdriva en åtgärd med vite eller att i efterhand påföra sanktionsavgift. En nackdel är att sanktionssystemet inte blir så förutsägbart som man kan önska. Det är dock av stor vikt att tillsynsmyndigheten kan använda en ändamålsenlig och effektiv sanktion i varje enskilt fall för att uppnå de krav som ställs. Beslut om sanktionsavgift fattas som huvudregel av en tillsynsmyndighet eller av en domstol efter ansökan från tillsynsmyndigheten. Generellt sett anses en tillsynsmyndighet lämpad att besluta om sanktionsavgift när reglerna är relativt enkla att tillämpa, beslutsfattandet är förhållandevis schabloniserat och sanktionsbestämmelserna bygger på strikt ansvar. En domstol brukar anses mer lämpad att besluta om sanktionsavgift om det är aktuellt att pröva subjektiva rekvisit eller andra svårbedömda rekvisit. En fördel med att tillsynsmyndigheten fattar beslutet är att handläggningen blir snabbare eftersom inte flera myndigheter måste involveras i hanteringen. Det är vidare tillsynsmyndigheten som har bäst förutsättningar att bedöma om en leverantör har underlåtit att följa den nya lagen eller föreskrifter som har meddelats i anslutning till den. Det bör därför vara tillsynsmyndigheten som beslutar om sanktionsavgift. Med hänsyn till att bestämmelser om sanktionsavgift reglerar förhållandet mellan enskilda och det allmänna och avser ingrepp i enskildas ekonomiska förhållanden, bör bestämmelserna som utgångspunkt tas in den nya lagen. 10.3.1Ett sanktionsavgiftssystem med strikt ansvar Regeringens förslag: En sanktionsavgift ska tas ut av den som underlåter att göra en anmälan till tillsynsmyndigheten, vidta vissa säkerhetsåtgärder eller incidentrapportera enligt den nya lagen eller föreskrifter som har meddelats i anslutning till den. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har inte föreslagit att sanktionsavgift ska tas ut av leveran- törer av samhällsviktiga tjänster som underlåter att anmäla sig till Remissinstanserna: Några remissinstanser, Kommuner och Landsting, anser lagtexten är tillräckligt tydlig och förutsebar när det gäller vilka åtgärder Prop. 2017/18:205 som leverantörer ska vidta för att inte påföras sanktionsavgift. anser att regeringen bör överväga att införa sanktionsavgift även för leverantörer av samhällsviktiga tjänster som underlåter att anmäla sig till tillsynsmyndigheten. Skälen för regeringens förslag Överträdelser som ska kunna föranleda sanktionsavgift Kraven på säkerhetsåtgärder och incidentrapportering i NIS-direktivet är centrala för att uppnå syftet med direktivet, vilket talar för att överträdelser av bestämmelserna i den nya lagen som genomför kraven bör kunna föranleda sanktionsavgift. och Kommuner och Landsting anser dock att bestämmelserna i den nya lagen inte är tillräckligt tydliga för att kunna föranleda sanktionsavgift. Sanktionsavgifter bör som regel endast införas för överträdelser som är relativt lätta att bedöma. Underlåtenhet att incidentrapportera är förhållandevis lätt att konstatera, även om det krävs en bedömning av om en incident har haft en betydande inverkan på kontinuiteten i den tillhandahållna tjänsten. Även en underlåtenhet att göra en riskanalys är i de flesta fall enkel att fastställa. När det gäller kraven på tekniska och organisatoriska åtgärder och incidenthantering kan det vara svårare att bedöma en eventuell underlåtenhet, bl.a. eftersom en aktörs skyldighet att vidta dessa säkerhetsåtgärder är kopplad till den risk som hotar säkerheten. Säkerhetskraven kommer dock att preciseras genom bestämmelser i förordning och föreskrifter. Utan en sanktion såsom sanktionsavgift för överträdelser av bestämmelser som genomför NIS-direktivets säkerhetskrav är det vidare tveksamt om syftet med NIS-direktivet och dess krav på ändamålsenliga och avskräckande sanktioner uppfylls. Mot denna bakgrund anser regeringen att sanktionsavgift ska kunna beslutas för överträdelser av kraven på riskanalys, tekniska och organisatoriska åtgärder, incidenthantering och incidentrapportering. I likhet med utredningen anser regeringen inte att kravet på leverantörer av samhällsviktiga tjänster att bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete är av sådan karaktär att en överträdelse bör kunna föranleda sanktionsavgift. Vidare anser regeringen, liksom , att leverantörer av samhällsviktiga tjänster som underlåter att enligt förslaget i avsnitt 6.3 anmäla sig till tillsynsmyndigheten bör kunna påföras sanktionsavgift. Om leverantörer av samhällsviktiga tjänster inte riskerar sanktionsavgift vid sådan underlåtelse kan skyldigheten i praktiken bli verkningslös. Ska sanktionsavgift alltid tas ut? Bestämmelser om sanktionsavgift är oftast obligatoriska, dvs. utformade så att sanktionsavgift ska tas ut när förutsättningarna för det är uppfyllda. Med hänsyn till behovet av likabehandling, objektivitet och proportionalitet bör tillsynsmyndighetens möjligheter till mer skönsmässiga bedömningar som utgångspunkt vara begränsade. Behovet av att säkerställa likabehandling är särskilt starkt när det gäller sanktionsavgifter enligt den nya lagen eftersom utgångspunkten är att flera tillsynsmyndigheter ska 2017/18:205 tillämpa bestämmelserna. Bestämmelserna om sanktionsavgift bör därför formuleras på så sätt att sanktionsavgift ska tas ut om förutsättningarna för det är uppfyllda. bör dock ha möjlighet att i vissa fall helt eller delvis efterge sanktionsavgiften, se avsnitt 10.3.3. Sanktionsavgiftssystemet ska bygga på strikt ansvar Huvudregeln är att sanktionsavgift bygger på strikt ansvar, dvs. att avgiften ska tas ut oberoende av om överträdelsen har varit uppsåtlig eller berott på oaktsamhet. Beträffande de aktuella överträdelserna finns det ett starkt stöd för en presumtion om att överträdelser inte kan förekomma annat än som en följd av uppsåt eller oaktsamhet. Regeringen anser därför att det inte finns anledning att frångå huvudregeln om strikt ansvar i den nya lagen. Skrivningar om att avgiftsskyldigheten bygger på strikt ansvar bör inte tas med i lagtexten. I motsats till vad som gäller för straffbestämmelser finns det nämligen inte något formellt krav på uppsåt eller oaktsamhet för att besluta om sanktionsavgift. Det bör därför inte i lagtext upplysas om att sanktionsavgift får tas ut även om en överträdelse inte har skett uppsåtligen eller av oaktsamhet. Regeringens förslag: Sanktionsavgiften ska bestämmas till Utredningens förslag stämmer överens med regeringens. Remissinstanserna: Statskontoret tillstyrker förslaget. Skälen för regeringens förslag: Sanktionsavgifter kan vara utformade som på förhand bestämda belopp, oavsett vem som begått överträdelsen, eller vara kopplade till årsomsättning i näringsverksamhet. främst till att vissa aktörer som kommer omfattas av den nya lagen är myndigheter är det inte lämpligt att koppla sanktionsavgiften till om- Ett system med bestämda beloppsintervall är därför att föredra. För att uppfylla kravet på effektiva, proportionella och avskräckande sanktioner bör intervallet för sanktionsavgiften vara förhållandevis stort. får då möjlighet att göra en nyanserad bedömning när avgiftens storlek ska bestämmas. Vid bestämmandet av vilka beloppsintervall som bör gälla finns det skäl att titta på vad som gäller enligt andra regelverk. Inom svensk lagstiftning finns sanktionsavgifter på bl.a. miljö- området och arbetsmiljöområdet. På dessa områden är det lägsta belopp som kan beslutas vid en överträdelse och det högsta (2016:1145) om offentlig upphandling är det lägsta beloppet 10 000 kronor och det högsta . Avgiften får dock aldrig över- stiga en viss andel av upphandlingens värde. Även dataskyddsförordningen innehåller bestämmelser om sanktions- avgifter för överträdelser av förordningens bestämmer. förordningen ska börja tillämpas och kommer att utgöra grunden för generell personuppgiftsbehandling inom EU. skyddsförordningen kan sanktionsavgifter tas ut för överträdelse enligt två nivåer – en lägre nivå vid överträdelser som betraktas som mindre allvarliga och en högre nivå vid allvarligare överträdelser. För de olika nivåerna gäller maximibelopp på respektive . I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås att sanktionsavgifter även ska kunna tas ut av statliga och kommunala myndigheter. Avgifterna ska enligt förslaget uppgå till högst för mindre allvarliga överträdelser och till högst för allvarligare överträdelser. Regeringen bedömer att det är rimligt att det lägsta belopp som ska kunna beslutas i sanktionsavgift är . För att sanktionsavgiften ska få en tillräckligt avskräckande effekt för alla aktörer som kommer att omfattas av den nya lagens bestämmelser krävs att maximibeloppet sätts relativt högt. Enligt regeringens bedömning skulle en avgift om utgöra en effektiv, proportionell och avskräckande sanktion också mot allvarliga överträdelser. Det högsta belopp som ska kunna beslutas i sanktionsavgift bör därför bestämmas till . Hur sanktionsavgiften ska bestämmas i det Regeringens förslag: När sanktionsavgiftens storlek bestäms ska sär- skild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, till om leverantören tidigare begått en över- trädelse och till de kostnader som leverantören undvikit till följd av Sanktionsavgiften ska få sättas ned helt eller delvis om över- trädelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna: Statskontoret och till- har synpunkter på bestämmelsens utform- Skälen för regeringens förslag: När storleken på sanktionsavgiften ska bestämmas i det enskilda fallet bör hänsyn tas till alla relevanta Det är inte möjligt att i den nya lagen ange samtliga relevanta omständigheter som kan behöva beaktas i enskilda fall. Däremot bör den nya lagen innehålla en bestämmelse som anger omständigheter som särskilt ska beaktas. De omständigheter som är särskilt viktiga att beakta och som bör anges i den nya lagen är enligt regeringens mening den skada eller risk för skada som uppstått till följd av överträdelsen, om aktören tidigare begått en överträdelse och de kost- nader som aktören undvikit till följd av regelöverträdelsen. omständigheter kan påverka beloppets storlek både i försvårande och Någon anledning att särskilt ange omständigheter som ska verka försvårande respektive förmildrande, som föreslår, finns därför inte enligt regeringens mening. andra relevanta omständigheter som kan påverka beloppets storlek men 2017/18:205 som inte behöver tas in i den nya lagen kan nämnas hur länge överträdelsen pågått. Om aktören har gjort sig skyldig till en överträdelse kan det bli aktuellt att beakta om överträdelserna är likartade och den tid som gått mellan överträdelserna. Det kan också vara relevant att beakta bestämmelsens betydelse för tillsynsområdet. Att en aktör samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelser kan vara en sådan omständighet som ska påverka beloppets storlek i mildrande riktning. Att avgiftsskyldigheten bygger på strikt ansvar gör att det behöver finnas utrymme för att jämka eller helt sätta ned sanktionsavgiften. Det bör därför införas en bestämmelse som ger tillsynsmyndigheten utrymme att jämka eller helt efterge avgiften om överträdelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Sanktionsavgiften bör kunna sättas ned helt eller delvis om exempelvis en aktör drabbas av sanktionsavgift enligt något annat regelverk för i princip samma brist. Bestämmelser om säkerhetsåtgärder och sanktionsavgifter för den som bryter mot dessa bestämmelser finns t.ex. i den tidigare nämnda dataskyddsförordningen. Den samlade reaktionen skulle, beroende på överträdelsens art, totalt sett kunna bli alltför betungande. En annan situation som kan innebära att det framstår som oskäligt att besluta om sanktionsavgift är om en leverantör, på grund av avtal med t.ex. en underleverantör, är skyldig att betala skadestånd för samma brist. Om regelverket överträtts på ett sådant sätt att det har varit närmast omöjligt för leverantören att upptäcka överträdelsen skulle överträdelsen kunna anses ursäktlig och det därför finnas grund för jämkning. Möjligheten att sätta ner avgiften bör tillämpas restriktivt och endast när det skulle te sig oskäligt att ta ut avgiften. Regeringens förslag: ska inte få besluta om sanktionsavgift om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Utredningens förslag stämmer överens med regeringens. Remissinstanserna: Statskontoret och tillstyrker förslaget. Skälen för regeringens förslag: Enligt och EU:s stadga om de grundläggande rättigheterna finns en rätt att inte bli lagförd eller straffad två gånger för samma brott (gärning), det s.k. dubbelprövningsförbudet. Som regeringen har konstaterat i flera lagstiftningsärenden får begreppet straff i den mening som avses i anses omfatta vite (se prop. 2007/08:107 s. 24 och prop. 2012/13:143 s. 69). Om ett vite har dömts ut bör det därför inte vara möjligt att besluta om en sanktion – administrativ eller straffrättslig – för samma sak. Den avgörande tidpunkten för när sådant hinder uppkommer bör anses vara när det inleds en domstolsprocess angående frågan om utdömande av vite (jfr prop. 2016/17:22 s. 228). Ett föreläggande om vite bör därför inte hindra ett senare ingripande med sanktionsavgift så länge Prop. 2017/18:205 som tillsynsmyndigheten inte har ansökt om utdömande av vitet. När tillsynsmyndigheten har ansökt om utdömande av vitet bör tillsyns- myndigheten dock vara förhindrad att besluta om sanktionsavgift för en överträdelse som omfattas av vitesföreläggandet. En bestämmelse om detta bör tas in i den nya lagen. Regeringens förslag: En sanktionsavgift ska endast få tas ut om den som anspråket riktas mot har getts tillfälle att yttra sig från det att överträdelsen ägde rum. Beslut om sanktionsavgift ska delges. Sanktionsavgiften ska betalas till tillsynsmyndigheten från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas , ska tillsynsmyndigheten lämna den obetalda avgiften för indrivning. Vid indrivning ska verkställighet få ske enligt utsökningsbalken. En beslutad sanktionsavgift ska falla bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. Sanktionsavgifter ska tillfalla staten. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har inte föreslagit någon bestämmelse om att beslut om sanktionsavgift ska delges. Utredningen har till skillnad från regeringen föreslagit bestämmelser om att den som ett sanktionsbeslut kommer att riktas mot ska få tillfälle att yttra sig och att ett beslut ska vara skriftligt och innehålla skälen för beslutet. Remissinstanserna: och Statskontoret tillstyrker förslaget. Förvaltningsrätten i pekar på att utredningens förslag om att den som ett sanktionsbeslut kommer att riktas mot ska få tillfälle att yttra sig och att ett sanktionsbeslut ska vara skriftligt och innehålla skäl behöver motiveras med tanke på att förvaltningslagen (2017:900) innehåller bestämmelser om kommunicering och motiveringsskyldighet. anser att den föreslagna bestämmelsen om att sanktionsavgift endast ska få tas ut om den som anspråket riktas mot har getts tillfälle att yttra sig är otydlig. Skälen för regeringens förslag: Utredningen har föreslagit att det ska införas bestämmelser om att tillsynsmyndigheten ska bereda den som ett sanktionsbeslut kommer att riktas mot tillfälle att yttra sig och att ett beslut ska vara skriftlig och innehålla skälen för beslutet. Som Förvaltningsrätten i påpekar framgår det dock av 25 § förvaltningslagen att en myndighet – innan den fattar ett beslut i ett ärende – ska underrätta den som är part om allt material av betydelse och ge parten tillfälle att yttra sig över materialet, om det inte är uppenbart obehövligt. Av 9 och 32 §§ i samma lag framgår vidare att handläggningen som utgångspunkt ska vara skriftlig och att ett beslut som kan antas påverka någons situation på ett inte obetydligt sätt ska innehålla en klargörande motivering, om det inte är uppenbart obehövligt. Dessa bestämmelser fyller i allt väsentligt samma funktion som utredningens 2017/18:205 förslag. Några bestämmelser med den innebörd som utredningen har föreslagit bör därför inte införas i den nya lagen. Beslut om administrativa sanktionsavgifter är en särskilt ingripande åtgärd. Sådana beslut bör därför delges den betalningsskyldige enligt delgivningslagen (2010:1932). En bestämmelse om detta bör tas in i den nya lagen. På grund av sanktionsavgiftens ingripande natur bör det finnas en bortre tidsgräns för när en sanktionsavgift får beslutas. Utredningen har föreslagit att sanktionsavgift inte ska få tas ut om den som anspråket riktas mot inte från det att överträdelsen ägde rum har getts tillfälle att yttra sig. anser att det inte står klart från vilken tidpunkt tvåårsfristen ska räknas. Hovrätten anser att ett alternativ skulle kunna vara en bestämmelse i linje med 5 kap. 14 § lagen (2016:1306) med kompletterande bestämmelser till EU:s marknadsmissbruksförordning, enligt vilken ingripande inte får ske med mindre än att den som ingripandet riktas mot har delgetts upplysning härom från det att överträdelsen ägt rum. Regeringen anser emellertid att bestämmelsen som utredningen har föreslagit är tillräckligt tydlig. Den innebär att om kommunikation enligt 25 § förvaltningslagen med den som avgiften ska tas ut av inte har skett från överträdelsen, får en sanktionsavgift inte tas ut. Tidsfristen ska räknas från när överträdelsen ägde rum, i likhet med vad som gäller enligt den av hovrätten nämnda lagen. Bevisbördan för att kommunikation har skett ligger på tillsynsmyndigheten. Någon anledning att frångå förvaltningslagens bestämmelser och kräva delgivning av underrättelse finns inte. Regeringen anser liksom utredningen att sanktionsavgift endast ska få tas ut om den som anspråket riktas mot har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Betalning av sanktionsavgift bör ske till tillsynsmyndigheten från det att beslutet om sanktionsavgift vunnit laga kraft eller annars inom den som anges i beslutet. Om avgiften inte betalas bör tillsynsmyndigheten vara skyldig att lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. För att regleringen om sanktionsavgifter ska bli tillräckligt handlingsdirigerande och effektiv bör den avgift som tillsynsmyndigheten beslutat kunna drivas in utan att det krävs något domstolsavgörande. Av 3 kap. 1 § första stycket 6 utsökningsbalken (1981:774) följer att en förvaltningsmyndighets beslut får verkställas om det finns en särskild föreskrift om detta. Det bör alltså införas en bestämmelse i den nya lagen om att en sanktionsavgift som inte betalats inom angiven tid får verkställas enligt utsökningsbalken. Sanktionsavgifter bör som brukligt tillfalla staten, vilket bör framgå av den nya lagen. I allmänhet gäller för den här typen av avgifter att de preskriberas i den utsträckning verkställighet inte har skett . Regeringen bedömer att det saknas anledning att införa någon annan preskriptionstid än den som i allmänhet används. En bestämmelse om att en beslutad sanktionsavgift faller bort om avgiften inte har verkställts från det att beslutet fått laga kraft bör därför införas. Omedelbar verkställbarhet av förelägganden Regeringens förslag: ska få bestämma att ett beslut om föreläggande ska gälla . Utredningens förslag stämmer överens med regeringens.