prop · H503232 · 2018-04-19 00:00:00 — för all personuppgiftsbehandling som utförs under dennes ledning eller på dennes vägnar. Det gäller även den behandling personuppgiftsbiträ- den, anställda, personer som är att jämställa med anställda (t.ex. inhyrd personal) eller uppdragstagare utför. Sanktionsavgift bör därmed kunna tas ut av personuppgiftsansvariga. Vem som är personuppgiftsansvarig på ramlagens område framgår oftast av författning. 2017/18:232 Även om sanktionsavgift normalt kommer att tas ut av personuppgifts- ansvariga, bör enligt utredningens mening sanktionsavgift även kunna tas ut av personuppgiftsbiträden. Regeringen delar denna uppfattning. Det bör dock bara gälla om ett personuppgiftsbiträde brutit mot uttryckliga skyldigheter enligt ramlagen. I avsnitt 12.5.2 utvecklas i vilka fall sank- tionsavgift bör kunna tas ut av personuppgiftsbiträden. Om ett person- uppgiftsbiträde bestämt ändamålen med och medlen för behandlingen i strid med ramlagen är biträdet att anse som personuppgiftsansvarig för den behandlingen (se avsnitt 9.6.3). För sådan behandling bör samma regler om sanktionsavgift gälla som för andra personuppgiftsansvariga. 12.5Vad ska leda till en sanktionsavgift? Överträdelser som kan leda till sanktionsavgift enligt dataskyddsförord- ningen är något förenklat överträdelser av bestämmelser om personupp- giftsansvarigas och personuppgiftsbiträdens skyldigheter gentemot regi- strerade och överträdelser av bestämmelser om rättigheter för registre- rade. Även vägran att ge tillsynsmyndigheten tillgång till uppgifter eller att följa beslut eller förelägganden som myndigheten meddelat kan leda till sanktionsavgift. Många av de överträdelser som kan leda till sanktionsavgift enligt för- ordningen bör i motsvarande fall kunna göra det enligt ramlagen. Skälen för att vissa överträdelser bör leda till sanktionsavgift är nämligen i allt väsentligt desamma. Det rör sig om överträdelser av de bestämmelser i ramlagen som är viktigast för att värna registrerades integritet, som inne- håller de grundläggande reglerna för hur personuppgifter får behandlas och som – om de inte efterlevs – riskerar att leda till allvarliga kränk- ningar av registrerades integritet. Mot den bakgrunden finns det inte skäl att för varje enskild bestämmelse i detalj redogöra för varför sanktions- avgift är motiverad. I det följande redovisas vilka resonemang som ligger bakom urvalet av överträdelser. Vissa bestämmelser i ramlagen är dock av den arten att någon sank- tionsavgift inte bör komma i fråga. Om den som berörs av ett beslut kan överklaga det beslutet bör sanktionsavgift inte komma i fråga, eftersom möjligheten till domstolsprövning är tillräcklig för att ta till vara registre- rades intressen. Det är som regel inte heller lämpligt med sanktionsavgift vid överträdelse av bestämmelser som ger utrymme för olika bedöm- ningar, t.ex. om det är nödvändigt att informera i ett specifikt fall. Bestämmelser om dokumentations- eller underrättelseskyldighet bör normalt inte heller föranleda sanktionsavgift. Överträdelser som kan leda till en sanktionsavgift Regeringens förslag: En sanktionsavgift får tas ut av en personupp- giftsansvarig eller ett personuppgiftsbiträde vid överträdelse av vissa bestämmelser om behandling av personuppgifter. En sanktionsavgift får också tas ut av den som låter bli att bistå till- synsmyndigheten eller inte rättar sig efter förelägganden eller beslut som myndigheten meddelat. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: tillstyrker förslaget generellt men anser att det kan krävas ytterligare överväganden och förtydliganden eftersom det för vissa krav som föreslås sanktionsföreläggas, t.ex. röran- de skyldigheter om tekniska och organisatoriska åtgärder, inte är tydligt när ansvar inträder. Tingsrätten anser att det kan ifrågasättas om det är lämpligt att regler av sådan karaktär omfattas av sanktionsavgifter. anser att brott mot bestämmelser om förpliktelser mot enskilda och rörande förhållandet mellan personuppgiftsansvarig och personupp- giftsombud bör vara sanktionsbelagda. Skälen för regeringens förslag Överträdelse av bestämmelser till skydd för registrerades integritet Att överträda bestämmelser som syftar till att skydda registrerades inte- gritet eller deras rättigheter bör som regel leda till sanktionsavgift. det som utgångspunkt bör överträdelser av följande skyldigheter föran- Bestämmelserna om att personuppgiftsbehandlingen ska ha rättslig grund och utföras för ett särskilt angivet och berättigat ändamål är av så grundläggande natur att överträdelser av dem bör föranleda sanktionsav- Även överträdelse av bestämmelserna om behandling för nya ända- mål bör kunna föranleda sanktionsavgift, oavsett om det nya ändamålet ligger innanför eller utanför ramlagens tillämpningsområde. Bestämmelserna om personuppgifters kvalitet föreskriver konkreta skyldigheter i fråga om bl.a. uppgifternas korrekthet, aktualitet, adekvans Även kraven på att göra skillnad mellan olika slag av upp- gifter och att se till att alla rimliga åtgärder vidtas för att rätta och kom- plettera personuppgifter är viktiga för skyddet av enskildas integritet. Alla dessa skyldigheter, liksom den personuppgiftsansvariges skyldighet att radera personuppgifter eller begränsa behandlingen av dem om de behandlats på otillåtet sätt och att inte behandla fler personuppgifter än nödvändigt och inte längre än vad som behövs, bör därför kunna föran- Otillåten behandling av känsliga personuppgifter är straffsanktionerad och bör redan av det skälet kunna föranleda Även skyldigheten att vidta tekniska och organisatoriska åtgärder för att säkerställa att behandlingen av personuppgifter är författningsenlig och kunna visa det bör kunna leda till sanktionsavgift. rätt ifrågasätter om dessa krav är sådana att det föreligger tillräcklig säkerhet och tydlighet beträffande när ansvar inträder. staterar emellertid att skyldigheten preciseras genom andra bestämmel- 2017/18:232 ser, både om vilka personuppgifter som får behandlas och hur det får göras och genom konkreta krav på bl.a. inbyggt dataskydd, dataskydd som standard och loggning. Skyldigheten att internt begränsa tillgången till personuppgifter är också en viktig del i skyddet för personuppgifter och bör vid överträdel- ser kunna leda till sanktionsavgift. Överträdelser av kravet på att vidta åtgärder för att skydda personupp- gifter mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada bör också kunna leda till sanktionsavgift. Vad kravet innebär preciseras bl.a. i regler om vad som är en lämplig säkerhetsnivå. Även underlåtenhet att anmäla eller dokumentera person- uppgiftsincidenter till tillsynsmyndigheten bör kunna föranleda sank- tionsavgift. Det bör också gälla skyldigheten att göra en konsekvensbe- dömning och att i vissa fall förhandssamråda med tillsynsmyndigheten. Personuppgifter får bara överföras till tredjeland och internationella organisationer under vissa förutsättningar. I likhet med utredningen anser regeringen – mot bakgrund av att motsvarande överträdelser är straff- sanktionerade – att överträdelser av reglerna om överföring bör kunna föranleda sanktionsavgift. Att inte bistå tillsynsmyndigheten eller att inte följa dess förelägganden eller beslut I avsnitt 11.7.3 föreslås att tillsynsmyndigheten ska ges tillgång till upp- gifter och dokumentation, tillträde till lokaler och annat nödvändigt bi- stånd för att kunna utöva sin tillsyn. Sanktionsavgift bör kunna tas ut vid underlåtenhet att bistå tillsynsmyndigheten vid tillsyn. I avsnitt 11.7.6 föreslås att tillsynsmyndigheten ska kunna meddela förelägganden om viss åtgärd. ska också kunna förbjuda viss behand- ling. Det är, som utredningen konstaterar, viktigt att sanktionsavgift kan tas ut av den som vägrar att rätta sig efter tillsynsmyndighetens beslut i sådana frågor. ställning kan annars undermineras. Sanktionsavgift bör i vissa fall kunna tas ut av personuppgiftsbiträden Eftersom den personuppgiftsansvarige ansvarar även för personuppgifts- biträdens behandling bör sanktionsavgift tas ut av den personuppgiftsan- svarige vid överträdelser som berott på biträdets agerande. Som framgår av avsnitt 12.4 bör dock sanktionsavgift kunna tas ut även av personupp- giftsbiträden i vissa fall när de har uttryckliga skyldigheter som framgår av författning. Sanktionsavgift bör således kunna tas ut av personuppgiftsbiträden om tillgången till personuppgifter internt inte begränsas till vad varje tjänste- man behöver för att utföra sina arbetsuppgifter eller om tillräckliga åtgär- der inte vidtas för att säkerställa att de personuppgiftsuppgifter som be- handlas skyddas t.ex. mot obehörig eller otillåten behandling. Sanktions- avgift bör också kunna tas ut om skyldigheten att se till att behandling loggas inte fullgörs. Skyldigheten att bistå tillsynsmyndigheten och att följa förelägganden och beslut som meddelats av tillsynsmyndigheten föreslås gälla även för personuppgiftsbiträden (se avsnitt 11.7.3 och 11.7.6). Det bör därför vara möjligt att ålägga personuppgiftsbiträden sanktionsavgift om de inte full- Prop. 2017/18:232 gör sådana förpliktelser. I övrigt bör personuppgiftsbiträden inte kunna åläggas sanktionsavgift. Sanktionsavgift bör inte tas ut för vissa överträdelser Som nämnts bör inte sanktionsavgift tas ut för överträdelser av alla bestämmelser i ramlagen och de föreskrifter som meddelas i anslutning till den. Det finns inte skäl att ta ut sanktionsavgift för överträdelser av bestämmelser om personuppgiftsansvarigas skyldighet att på begäran av en registrerad rätta, komplettera eller radera personuppgifter eller be- gränsa behandlingen av dem eller ompröva vissa beslut. Om det finns sakskäl för att vidta åtgärden är den personuppgiftsansvarige skyldig att utföra den oberoende av begäran (se avsnitt 8.1.6). Sanktionsavgift kan då tas ut på grund av att de grundläggande bestämmelserna om åtgärder för att säkerställa personuppgifternas kvalitet har överträtts och rege- ringen anser därför till skillnad från inte att bestämmel- serna om skyldigheter i förhållande till den registrerade i dessa avseen- den bör sanktioneras. Eftersom sanktionsavgift kan tas ut för överträdelser av de mer kon- kreta skyldigheterna i ramlagen anser regeringen vidare i likhet med utredningen att det inte finns skäl att ta ut sanktionsavgift för överträdel- ser av bestämmelsen om att personuppgifter ska behandlas författnings- enligt och på ett korrekt sätt. Sanktionsavgift bör inte heller tas ut om skyldigheten att utse data- skyddsombud inte fullgörs. Regeringen håller med utredningen om att det är tillräckligt att det finns en skyldighet att anmäla att ombud har utsetts och entledigats till tillsynsmyndigheten. Om en personuppgiftsan- svarig inte skulle fullgöra den skyldigheten, kan tillsynsmyndigheten reagera och t.ex. utfärda ett föreläggande. Till skillnad från anser regeringen inte heller att bestäm- melser som reglerar förhållandet mellan personuppgiftsansvariga och personuppgiftsbiträden bör kunna föranleda sanktionsavgift. Inte heller personuppgiftsbiträdens underlåtenhet att anmäla personuppgiftsinciden- ter till den personuppgiftsansvarige bör kunna leda till sanktionsavgift. Inte heller överträdelser av bestämmelser som reglerar skyldigheter mellan gemensamt personuppgiftsansvariga bör kunna föranleda sank- tionsavgift. Om överträdelser förekommer i situationer där personupp- giftsansvaret är gemensamt får det avgöras i det enskilda fallet om avgift bör tas ut av en av parterna eller av flera. En personuppgiftsansvarig ska tillhandahålla viss information till de registrerade. De bestämmelser som reglerar skyldigheten att tillhanda- hålla allmän information och information som ska lämnas i ett enskilt fall bör inte kunna föranleda sanktionsavgift. Den allmänna informationen är av sådan karaktär att det inte finns någon större risk att en registrerad lider en rättsförlust om den inte lämnas. Skyldigheten att lämna person- relaterad information i ett enskilt fall förutsätter en bedömning av när information ska lämnas, vilket gör att sanktionsavgift inte bör kunna tas ut. Skyldigheten att på begäran informera om eller ge tillgång till person- uppgifter bör inte heller kunna leda till sanktionsavgift, eftersom beslut i sådana frågor får överklagas. 2017/18:232 12.5.3 Ska sanktionsavgift alltid tas ut? Regeringens förslag: Regleringen av sanktionsavgifter ska bygga på Det ska inte vara obligatoriskt att ta ut sanktionsavgift när en be- stämmelse i ramlagen som kan föranleda avgift har överträtts. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Sanktionsavgiftssystemet bör bygga på strikt ansvar Huvudregeln är att sanktionsavgiftssystem bygger på strikt ansvar. positionen Ny dataskyddslag tolkas bestämmelserna i dataskyddsförord- ningen som att varken uppsåt eller oaktsamhet är ett krav för att ta ut Det räcker att en bestämmelse faktiskt har överträtts. Däremot kan det påverka frågan om sanktionsavgift ska tas ut eller inte, och avgiftens storlek, om överträdelsen är uppsåtlig eller oaktsam (prop. 2017/18:105 s. 138). Regeringen håller med utredningen om att det inte finns skäl att avvika från grundprincipen för sanktionsavgifter att ansvaret ska vara strikt. är framför allt den omständigheten att det inte behöver bevisas att hand- landet varit avsiktligt eller att avgöra hur oaktsamt handlandet har varit som gör att system med sanktionsavgifter anses vara så effektiva. inte den fördelen ska gå förlorad bör den personuppgiftsansvarige och personuppgiftsbiträden ha strikt ansvar för sådan felaktig behandling av personuppgifter som kan föranleda att sanktionsavgift tas ut. svårt att se att överträdelser kan bero på annat än uppsåt eller oaktsamhet. Lagrådet har uttalat att skrivningar om att avgiftsskyldigheten bygger på strikt ansvar inte bör tas med i författningstext. I motsats till vad som gäller för straffbestämmelser finns det nämligen inte något formellt krav på uppsåt eller oaktsamhet för att besluta om sanktionsavgift (Ny lag om av ekologisk produktion, prop. 2012/13:55 s. 142). därför inget skäl att uttryckligen föreskriva att ansvaret ska vara strikt. Ska det vara obligatoriskt att ta ut sanktionsavgift? Strikt ansvar innebär att det varken krävs uppsåt eller oaktsamhet för att sanktionsavgift ska kunna tas ut. Strikt ansvar medför emellertid inte att sanktionsavgift måste tas ut vid varje överträdelse. En viktig fråga är där- för om det ska vara obligatoriskt att ta ut sanktionsavgift när en viss be- stämmelse har överträtts. Regeringen anser, i likhet med utredningen, att inte varje överträdelse av de bestämmelser i ramlagen som kan föranleda sanktionsavgift bör medföra att sådan avgift faktiskt tas ut. handling är mycket komplexa och det nya regelverket kommer inte att Det skulle ställa alltför höga krav på de person- uppgiftsansvariga och lägga en orimlig börda på tillsynsmyndigheten om varje överträdelse av en viss bestämmelse skulle leda till att sanktionsav- gift tas ut. Som exempel kan nämnas att det inte är rimligt att ålägga en myndighet sanktionsavgift för att någon i enstaka fall behandlat en per- sonuppgift felaktigt, även om det kan vara djupt kränkande. Om det där- Prop. 2017/18:232 emot har satts i system att göra sådana behandlingar eller om påpekanden om att det krävs utbildning för att undvika sådant felbeteende inte följs, bör sanktionsavgift kunna övervägas. Det bör således ligga hos den som har till uppgift att besluta om avgiften att avgöra om en överträdelse är så allvarlig eller systematisk att sanktionsavgift bör tas ut. Bestämmelsen bör därför utformas så att det inte är obligatoriskt att besluta om sank- tionsavgift. Det kan diskuteras om lagstiftningen med en sådan regel lever upp till direktivets krav på effektiva sanktioner. Liksom utredningen utgår emel- lertid regeringen från att de personuppgiftsansvariga – som i huvudsak är myndigheter – normalt kommer att rätta sig efter tillsynsmyndighetens påpekanden, förelägganden och beslut och att det bara i ett litet antal fall kommer att vara nödvändigt att ta ut sanktionsavgift. Sanktionssystemet som helhet uppfyller således enligt regeringen kraven i direktivet. 12.6Hur sanktionsavgiften ska bestämmas Regeringens förslag: För mindre allvarliga överträdelser ska avgiften bestämmas till högst . För allvarliga överträdelser ska avgiften bestämmas till högst . Det ska av ramlagen framgå vilka överträdelser som kan leda till den lägre respektive högre Om flera bestämmelser har överträtts genom samma personuppgifts- behandling, eller om en eller flera bestämmelser har överträtts genom sammankopplade personuppgiftsbehandlingar, ska sanktionsavgiften bestämmas efter överträdelsernas allvar. aldrig överstiga maximibeloppet för den allvarligaste överträdelsen. Utredningens förslag överensstämmer delvis med regeringens. ningen föreslår att högsta avgiften för mindre allvarliga överträdelser ska vara och för allvarliga överträdelser 20 000 000 kro- Dessutom föreslår utredningen minimibelopp på respektive nivå. Remissinstanserna: Datainspektionen påpekar att det är viktigt att ramlagen utformas på samma sätt som dataskyddsförordningen och den kompletterande dataskyddslagen och ifrågasätter införande av minimi- Några remissinstanser, däribland kommun och Norr- kommun, anser att de föreslagna beloppen om högst 20 000 000 kronor är för höga. anser att sanktionerna ska bidra till att den tillsedda aktören får ekonomiska incitament att agera på tillsynens resultat och att dataskyddsförordningens nivåer borde gälla. Skälen för regeringens förslag Hur hög bör sanktionsavgiften vara? I dataskyddsförordningen regleras vilken sanktionsavgift som maximalt kan tas ut vid olika överträdelser. I förordningen är de belopp som anges mycket höga och anges dessutom i euro. Några minimibelopp anges inte, men maximibeloppen är respektive , alternativt en viss procentsats av den totala globala årsomsättningen. När det gäller sanktionsavgifter är det inte ovanligt att det i författning eller genom myndighetsföreskrifter anges fasta belopp för olika typer av Regeringen instämmer med utredningen i att en sådan ord- ning inte är ändamålsenlig i detta fall. Ett flertal faktorer som inte går att standardisera måste beaktas i det enskilda fallet för att avgöra hur stor sanktionsavgiften bör vara. På samma sätt som i förordningen bör sank- tionsavgiften inte baseras på i förväg fastställda belopp utan bestämmas med utgångspunkt i omständigheterna i det enskilda fallet. Överträdelser av bestämmelserna i ramlagen kan typiskt sett inte för- väntas generera stora besparingar eller vinster för den personuppgifts- ansvarige eller personuppgiftsbiträdet. Det finns därmed inte förutsätt- ningar att knyta avgiften till omsättningen av verksamheten, vinsten eller något liknande kriterium. Varken på miljöområdet eller på arbetsmiljöområdet är de avgifter som kan tas ut tillnärmelsevis så höga som de som anges i dataskyddsförord- Det högsta beloppet som kan beslutas vid en överträdelse inom dessa områden är . Inte heller företagsbot eller upp- handlingsskadeavgift kan uppgå till lika höga belopp som enligt förord- För företagsbot är maximibeloppet . upphandlingsskadeavgift enligt lagen (2016:1145) om offentlig upphand- ling är det högsta beloppet . Avgiften får dock aldrig överstiga en viss procentsats av upphandlingens värde. De överträdelser som enligt förordningen kan bli föremål för sank- tionsavgift har till största delen sin motsvarighet i direktivet. givetvis kunna hävdas att samma typ av överträdelse bör leda till samma Utredningen anser dock att det är viktigare att sanktionerna i ramlagen utgör en rimlig reaktion på överträdelserna, särskilt mot bak- grund av att det framför allt är myndigheter som kan komma att träffas Regeringen delar denna bedömning. bör också beloppsmässigt ligga i paritet med andra sanktionsavgifter i Skillnaden mellan sanktionsavgifternas storlek i förord- ningen och ramlagen kan också motiveras av att de personuppgiftsan- svariga som ska tillämpa förordningen kan vara multinationella företag där det krävs synnerligen höga sanktionsbelopp för att det ska vara känn- Inom ramlagens tillämpningsområde kan även en lägre avgift för- väntas påverka agerandet i önskad riktning. Till det kommer att ett felaktigt handlande av en myndighet sällan föranleds av en önskan att maximera vinst eller att göra en större besparing, även om det inte kan uteslutas att det finns ekonomiska motiv. Lägre men tillräckligt kännbara belopp torde därför påverka myndigheterna så länge budgetprincipen upprätthålls och de inte får ekonomiska tillskott för att kunna betala sina Ett av huvudsyftena med sanktionsavgifter är att de ska vara avskräck- För att regleringen ska få en tillräckligt avskräckande effekt krävs, trots det som sagts om myndigheters relativt sett högre känslighet även för låga sanktionsavgifter, enligt regeringens mening att maximibeloppet sätts relativt högt. De överträdelser som kan leda till sanktionsavgift kan se olika ut och de ekonomiska förutsättningarna för dem som avgiften ska tas ut av kan Spannet inom vilket avgift kan bestämmas bör därför vara rela- tivt stort. Beträffande personuppgiftsbiträden väger argumenten ovan inte lika tungt eftersom de ofta, även inom ramlagens tillämpningsområde, är pri- vaträttsliga aktörer som drivs av affärsmässiga överväganden och vinst- intressen. Som framgår av avsnitt 9.6.2 agerar myndigheter ibland per- sonuppgiftsbiträden åt varandra. Syftet med det torde vara att spara på statens resurser. Mot den bakgrunden bör samma sanktionsavgifter till- lämpas på personuppgiftsbiträden som på personuppgiftsansvariga. Sammanfattningsvis delar regeringen utredningens bedömning att sanktionsavgiftsbeloppen bör vara lägre än i dataskyddsförordningen och ligga mer i linje med de sanktionsavgifter som finns på andra om- råden och med företagsbot. I avsnitt 12.6.2 återkommer regeringen till hur avgiften bör bestämmas i det enskilda fallet. Sanktionsavgift ska enligt dataskyddsförordningen tas ut enligt två olika nivåer – en lägre nivå vid överträdelser som betraktas som mindre allvarliga och en högre nivå vid allvarligare överträdelser och underlå- tenhet att följa förelägganden eller beslut av tillsynsmyndigheten eller att på annat sätt bistå den. Regeringen instämmer med utredningen i att det även inom ramlagens tillämpningsområde bör finnas två avgiftsnivåer. I propositionen Ny dataskyddslag föreslås att sanktionsavgifter införs för statliga och kommunala myndigheter på förordningens område (prop. 2017/18:105 s. 139 f.). Däremot föreslås inga minimibelopp på de olika avgiftsnivåerna. Utgångspunkten bör som nämnts i avsnitt 12.3 vara att sanktionssystemen i ramlagen och förordningen så långt möjligt ska stämma överens. Det är även ett argument som Datainspektionen anför emot införande av minimibelopp i ramlagen. Mot denna bakgrund anser regeringen till skillnad mot utredningen att endast maximibelopp för sanktionsavgifter ska anges i ramlagen. Det är viktigt att avgiftsnivåerna sätts så pass högt att de har en avskräck- ande effekt. anser att förordningens nivåer bör gälla. De sanktionsavgifter som kan tas ut med stöd av dataskyddsförordningen är emellertid synnerligen höga. Utredningen föreslår ett maximibelopp om för mindre allvarliga överträdelser och att det ska kunna påföras maximibelopp om för allvarliga över- trädelser. Regeringen anser emellertid, i likhet med bl.a. kommun och , att även dessa belopp är höga. Som tidigare konstaterats är maximibelopp för både företagsbot och upphandlingsskadeavgift. Regeringen anser att högre belopp än så inte heller bör kunna påföras en myndighet vid överträdelser inom ram- lagens tillämpningsområde.