prop · H503232 · 2018-04-19 00:00:00 — Eftersom det är fråga om ett förvalt- ningsbeslut bör beslutet överklagas till allmän förvaltningsdomstol. Någon särskild överklaganderegel behövs inte, eftersom tillsynsmyn- dighetens beslut får överklagas enligt den regel om överklagande som föreslås i avsnitt 13.7.1. 12.8.1Konventionens krav på rättssäkerhetsgarantier Regeringens bedömning: Systemet med sanktionsavgift uppfyller krav på rättssäkerhetsgarantier. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. 2017/18:232 Skälen för regeringens bedömning: Sanktionsavgift är en strafflik- nande ekonomisk sanktion med ett avskräckande och bestraffande syfte. Det har därför i doktrinen framförts åsikter om att sanktionsavgifter nor- malt ska presumeras utgöra brottsanklagelser i mening. Om den föreslagna sanktionsavgiften skulle anses ha den karak- tären medför det att de rättssäkerhetsgarantier som ställs upp i artikel 6 i konventionen måste vara uppfyllda (se Warling-Nerep s. 153 f. och SOU 2013:38 s. 455). Den som avgiften ska tas ut av ska underrättas om överträdelsen och ges rätt att yttra sig innan beslut om sanktionsavgift fattas. Beslutsmyn- digheten har bevisbördan för att det är fråga om en överträdelse och att den bör föranleda sanktionsavgift. Ansvaret är visserligen strikt, men det finns möjlighet att avstå från att ta ut sanktionsavgift eller att jämka den. Den som åläggs sanktionsavgift har rätt till domstolsprövning och rätt att överklaga domstolens beslut. Den föreslagna regleringen uppfyller där- för, som utredningen konstaterar, konventionens krav på rättssäkerhets- garantier. 12.8.2Konventionens förbud mot dubbelprövning Regeringens bedömning: Det behövs ingen bestämmelse i ramlagen om förbud mot dubbelprövning. Utredningens bedömning överensstämmer med regeringens Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Bestämmelser om att ingen ska kunna lagföras eller straffas två gånger för samma brott finns dels i sjunde tilläggsprotokollet till , dels i rättighets- stadgan. Enligt artikel 4.1 i sjunde tilläggsprotokollet får ingen lagföras eller straffas på nytt i en brottmålsrättegång i samma stat för ett brott för vilket han redan blivit slutligt frikänd eller dömd (förbud mot dubbelprövning). Dubbelprövningsförbudet är begränsat till samma rättssubjekt. Huvud- syftet med artikeln är att förhindra en upprepning av en brottmålsrätte- gång som avslutats med ett slutligt avgörande och att förhindra att samma rättssubjekt prövas för samma brott två gånger. Det är följaktli- gen inte förbjudet att döma ut flera straff för samma brott, utan endast att pröva samma brott på nytt, dvs. vid två olika tillfällen. Konventionen gäller som lag i och enligt 2 kap. 19 § regeringsformen får lag eller annan föreskrift inte meddelas i strid med åtaganden enligt konventionen. I artikel 50 i rättighetsstadgan föreskrivs att ingen får lagföras eller straffas på nytt för en lagöverträdelse för vilken han eller hon redan har blivit frikänd eller dömd i unionen genom en lagakraftvunnen brottmåls- dom. Enligt artikel 52.3 har artikel 50 samma innebörd som sin motsva- righet i . Sanktionsavgift får enbart tas ut av personuppgiftsansvariga och per- sonuppgiftsbiträden, som i princip alltid är juridiska personer. Ställföre- trädare och faktiska företrädare för de juridiska personerna eller deras anställda kan däremot aldrig bli föremål för sanktionsavgift enligt lagen. Rekvisiten för de överträdelser av bestämmelser som kan föranleda Prop. 2017/18:232 sanktionsavgift i ramlagen och rekvisiten för straffansvar enligt brotts- balken är olika och bestämmelserna kommer därmed i praktiken mycket sällan att kunna träffa samma handlande. Vidare krävs att den som avgif- ten ska tas ut av också är den som är straffrättsligt ansvarig (se av- snitt 12.2.1). Eftersom juridiska personer inte kan straffas enligt svensk rätt är det enbart när en fysisk person är behörig myndighet enligt ram- lagen eller personuppgiftsbiträde som förbudet mot dubbelprövning kan aktualiseras. Enda gången som det skulle kunna komma i fråga att ta ut sanktionsavgift av en fysisk person är om han eller hon är enskild näringsidkare. Det rör sig förmodligen om enstaka fall. Därmed kommer förbudet mycket sällan, om ens någonsin, att behöva tillämpas. Om det mot förmodan skulle bli fallet gäller som svensk lag. Det innebär att en domstol alltid måste ta hänsyn till förbudet. Mot den bakgrunden delar regeringen utredningens bedömning att det inte behövs någon bestämmelse om förbud mot dubbelprövning i ramlagen. Krav på effektiva rättsmedel vid felaktig Direktivet innehåller flera artiklar om rättsmedel, där den gemensamma nämnaren är att rättsmedlen ska vara effektiva. Den som på rimliga grun- der påstår sig ha blivit utsatt för en kränkning av sina rättigheter ska ha möjlighet att få sitt påstående prövat och kunna få rättelse eller gottgö- relse för konstaterade kränkningar. Rättsmedlet ska också vara effektivt i den meningen att det ska medge en tillfredsställande prövning. även vara praktiskt möjligt för berörda personer att utnyttja rättsmedlen. Även om ett visst rättsmedel sett för sig inte uppfyller kraven för att vara effektivt kan flera rättsmedel tillsammans göra det (, Mänskliga rättigheter i europeisk praxis, 5 uppl. 2015, s. 539). Enligt artikel 54 ska en registrerad ha rätt till ett effektivt rättsmedel, om han eller hon anser att hans eller hennes rättigheter har kränkts genom att personuppgifter har behandlats på ett sätt som inte är förenligt med de bestämmelser som genomför direktivet. Var och en som lidit skada till följd av behandling av personuppgifter i strid med bestämmel- serna ska enligt artikel 56 kunna få ersättning. En registrerad som anser att behandlingen av hans eller hennes personuppgifter står i strid med de bestämmelser som genomför direktivet ska enligt artikel 52.1 också ha rätt att lämna in klagomål till en tillsynsmyndighet. heten inte handlägger klagomålet har den registrerade enligt artikel 53.2 rätt till prövning i domstol av om myndigheten onödigt dragit ut på handläggningen av ärendet. Den som berörs av ett rättsligt beslut, meddelat av tillsynsmyndigheten, ska enligt artikel 53.1 kunna överklaga det till domstol. Flertalet av rättsmedlen i direktivet gäller i förhållande till personupp- giftsansvariga och i vissa fall personuppgiftsbiträden. Så är fallet med be- 2017/18:232 stämmelserna om rättsmedel i artikel 52.1 (rätten att ge in klagomål till tillsynsmyndigheten), artikel 54 (rätten att föra talan) och artikel 56 (rät- ten till skadestånd). Artiklarna 53.1 och 53.2 gäller däremot i förhållande till tillsynsmyndigheten. De flesta av rättsmedlen är främst eller uteslutande tänkta att användas av registrerade. Det gäller framför allt de rättsmedel som riktar sig mot personuppgiftsansvariga och personuppgiftsbiträden. Rätten till skade- stånd gäller dock för den som lidit skada till följd av en olaglig behand- ling av personuppgifter eller någon annan åtgärd som står i strid med de bestämmelser som genomför direktivet, även om det främst är registre- rade som kan drabbas av sådan skada. Talan mot tillsynsmyndighetens beslut är i första hand tänkt att kunna användas av personuppgiftsansvariga och personuppgiftsbiträden, efter- som det i huvudsak är de som träffas av bindande beslut. Även andra, exempelvis registrerade, ska dock kunna utnyttja rättsmedlet om besluten avser dem, eftersom ett rättsmedel ska vara tillgängligt för varje fysisk och juridisk person som ett rättsligt bindande beslut av tillsynsmyndig- heten avser. Registrerade ska också ha rätt till ett effektivt rättsmedel om tillsynsmyndigheten inte behandlar ett klagomål. Rätten att använda ett visst rättsmedel får enligt direktivet inte påverka rätten att använda ett annat av rättsmedlen. Det innebär att en registrerad t.ex. kan välja att både ge in ett klagomål till tillsynsmyndigheten och be- gära skadestånd av den personuppgiftsansvarige avseende samma per- sonuppgiftsbehandling. Förutom de rättsmedel som anges i direktivet finns i svensk rätt dess- utom möjlighet att enligt 52 § personuppgiftslagen överklaga vissa beslut som en myndighet fattat i egenskap av personuppgiftsansvarig. 13.2 Talerätt för registrerade Regeringens bedömning: Rätten att vid allmän domstol föra talan mot en personuppgiftsansvarig eller ett personuppgiftsbiträde om en registrerads rättigheter har kränkts genom personuppgiftsbehandling kräver inga lagstiftningsåtgärder. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens bedömning: Enligt artikel 54 ska en regi- strerad ha rätt till ett effektivt rättsmedel, om han eller hon anser att hans eller hennes rättigheter har kränkts genom att personuppgifter har be- handlats på ett sätt som inte är förenligt med de bestämmelser som Av rubriken till artikeln – rätt till ett effektivt rätts- medel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde – framgår att det är mot deras agerande som det ska finnas ett rättsmedel. Av skäl 85 framgår att det är ett rättsmedel enligt artikel 47 i rättighets- stadgan som avses. Det innebär att den registrerade ska ha rätt att föra talan vid domstol. Enligt artikel 22 dataskyddsdirektiv har var och en rätt att föra talan inför domstol vid kränkningar till följd av behandling av per- I skäl 55 förtydligas att det som avses är en möjlighet till rättslig prövning när en personuppgiftsansvarig inte respekterar en regi- Prop. 2017/18:232 strerads rättigheter. Artikel 22 ledde inte till någon lagstiftning när per- Frågan behandlas inte heller i förarbetena förutom i relation till 28 § personuppgiftslagen, som reglerar rätten för en registrerad att begära att en personuppgift rättas. Av förarbetena framgår att om oenighet uppstår mellan den personuppgiftsansvarige och den registrerade om huruvida korrigering ska göras, kan den registrerade vända sig till tillsynsmyndigheten. Där konstateras också att det finns en möjlighet för den registrerade att själv väcka talan vid allmän domstol (prop. 1997/98:44 s. 133 f.). Rätten att väcka talan vid allmän domstol i den ordning som gäller för tvistemål ansågs uppfylla kraven dataskyddsdirektiv (jfr. SOU 2015:39 s. 656). Artikel 54 i det nya direktivet har enligt utredningens bedömning i sak samma innebörd. Regeringen delar denna bedömning. Artikeln innebär en rätt att föra talan vid domstol för den som anser att hans eller hennes rättigheter har kränkts vid behandlingen av personuppgifter. Regeringen gör ingen annan bedömning nu än den som gjordes beträffande artikel 22 dataskyddsdirektiv. Det krävs därmed inte någon lagstiftnings- åtgärd för att genomföra artikel 54. Den möjlighet enskilda har att väcka talan vid allmän domstol i den ordning som gäller för tvistemål får anses vara tillräcklig. Talan kan föras mot en personuppgiftsansvarig. Det finns skäl att i detta sammanhang påpeka att ett personuppgiftsbiträde som själv fast- ställt ändamålen med eller medlen för behandling ska betraktas som personuppgiftsansvarig för den behandlingen (se avsnitt 9.6.3). Direktivet förutsätter att talan även ska kunna föras mot personupp- giftsbiträden. Eftersom personuppgiftsbiträden inte, utom i det fall som nämnts, självständigt behandlar personuppgifter kommer troligen talan mycket sällan att väckas mot personuppgiftsbiträden. 13.3.1 Det allmännas skadeståndsansvar Enligt 3 kap. 2 § skadeståndslagen (1972:207) ska staten eller en kom- mun ersätta personskada, sakskada eller ren förmögenhetsskada som vål- las genom fel eller försummelse vid myndighetsutövning i verksamhet för vars fullgörande staten eller kommunen svarar. heten omfattar även ideell skada på grund av att någon genom fel eller försummelse vid myndighetsutövning kränkts på det sätt som anges i 2 kap. 3 § samma lag. I 2 kap. 3 § skadeståndslagen föreskrivs att den som allvarligt kränker någon annan genom brott som innefattar ett angrepp mot dennes person, frihet, frid eller ära ska ersätta den skada som kränkningen innebär. Ideellt skadestånd för att den personliga integriteten har kränkts, dvs. skada av icke-ekonomisk natur, förutsätter alltså att kränkningen har orsakats genom brott. Det krävs också att kränkningen är allvarlig. Ersättning för kränkning med stöd av 3 kap. 2 § jämförd med 2 kap. 3 § skadeståndslagen förutsätter att kränkningen har orsakats vid myn- Om det inte är fråga om myndighetsutövning kan ska- 2017/18:232 destånd ändå utgå enligt 3 kap. 1 § skadeståndslagen för skada som vål- lats av arbetstagare. Det förutsätter att kränkningen har orsakats av att den anställde har begått brott i tjänsteutövningen. Genom Högsta domstolens praxis har det lagts fast en rätt till ideellt skadestånd vid kränkningar av även i andra fall än de som regleras i skadeståndslagen. Det har bl.a. varit fråga om kränk- ningar av rätten till privat- och familjeliv enligt artikel 8 i konventionen. En ny bestämmelse i skadeståndslagen om rätten till skadestånd vid över- trädelser enligt träder dessutom i kraft (prop. 2017/18:7, Skadestånd och ). Den som anser att han eller hon har orsakats skada av det allmänna kan väcka talan mot staten eller en kommun vid allmän domstol. Saken prö- vas då som tvistemål. Enligt förordningen (1995:1301) om handläggning av skadeståndsan- språk mot staten kan en skadelidande dessutom få ett skadeståndskrav mot staten prövat inom ramen för statens frivilliga skadereglering. Med det avses skadereglering som företrädelsevis sker hos Justitiekanslern, men som även i viss omfattning kan förekomma hos andra myndigheter. Enligt förordningen kan den enskilde i ett formlöst och kostnadsfritt förfarande vända sig direkt till en myndighet och få ett besked i frågan om huruvida staten är skadeståndsskyldig. Det är ett särskilt snabbt och effektivt sätt att komma i åtnjutande av det rättsmedel som rätten till skadestånd innebär. Vid ett negativt besked har den enskilde kvar möj- ligheten att vända sig till domstol för att få saken prövad. Justitiekans- lerns inställning är inte bindande för domstolarna eller för den enskilde. Enligt förordningen kan Justitiekanslern bl.a. handlägga anspråk som grundas på 3 kap. 1 eller 2 § skadeståndslagen eller skadeståndsregler i vissa särskilt angivna författningar, t.ex. 48 § personuppgiftslagen (se avsnitt 13.3.2). På det kommunala området finns det ingen motsvarande frivillig ska- dereglering. En kommun eller ett landsting är emellertid oförhindrad att frivilligt reglera en skada som någon orsakats i kommunens eller lands- tingets verksamhet, exempelvis i samband med otillåten behandling av personuppgifter. Om den enskilde inte är nöjd, får den enskilde vända sig till allmän domstol. Även socialnämnder och landsting kan ha uppgifter som omfattas av ramlagens tillämpningsområde, exempelvis verkställig- het av påföljder som innebär vård. Regeringens förslag: Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integrite- ten som orsakats av behandling av personuppgifter i strid med ram- lagen eller föreskrifter som meddelats i anslutning till den. Regeringens bedömning: Det bör inte införas någon jämknings- regel i ramlagen. Utredningens förslag och bedömning överensstämmer i sak med regeringens. Remissinstanserna: Justitiekanslern påpekar att det finns ett behov av en ändring i förordningen om handläggning av skadeståndsanspråk mot staten om myndigheten ska pröva anspråk enligt ramlagen. Vidare ifråga- sätter Justitiekanslern om det nya dataskyddsdirektivet utesluter möjlig- heten till jämkning av skadestånd, t.ex. när den skadelidande underlåtit att begränsa sin egen skada. och ifrågasätter om möjligheten att driva skadeståndstalan utgör ett sådant effektivt rättsmedel som är avsikten enligt direktivet. Skälen för regeringens förslag och bedömning Innehållet i direktivet och nuvarande reglering Enligt artikel 56 ska var och en som lidit materiell eller immateriell skada till följd av olaglig behandling av personuppgifter eller av någon annan åtgärd som står i strid med de bestämmelser som genomför direk- tivet ha rätt till ersättning från den personuppgiftsansvarige eller varje annan myndighet som är behörig enligt medlemsstaternas nationella rätt. Enligt 48 § första stycket personuppgiftslagen ska den personuppgifts- ansvarige ersätta den registrerade för skada och kränkning av den person- liga integriteten som behandling av personuppgifter i strid med lagen har orsakat. Alla åtgärder som är oförenliga med personuppgiftslagen kan leda till skadeståndsskyldighet, om de allmänna kraven för skadestånd är uppfyllda. Ersättningsskyldighet inträder så snart en bestämmelse över- trätts, vilket gör att skadeståndsansvaret är strikt. I registerförfattningarna för myndigheterna i rättskedjan hänvisas till 48 § personuppgiftslagen. Myndigheternas skadeståndsansvar omfattar därmed överträdelser som begås både mot reglerna i registerförfattningen och mot de regler i personuppgiftslagen som gäller för myndigheten. Regleringen i det nya direktivet motsvarar artikel 19 i dataskyddsram- beslutet. Varken i artikel 56 i direktivet eller i artikel 19 i dataskyddsram- beslutet finns det någon exculperingsregel. Med det avses en bestäm- melse som gör att den personuppgiftsansvarige under vissa förhållanden kan undgå skadeståndsansvar trots att behandlingen av personuppgifter varit felaktig. En sådan regel finns däremot i 48 § andra stycket person- uppgiftslagen (se även artikel 23.2 dataskyddsdirektiv). Justitiekanslerns skadereglering i personuppgiftsärenden Justitiekanslern handlägger inom ramen för statens frivilliga skaderegle- ring skadeståndsanspråk enligt 48 § personuppgiftslagen. –2013 kom det in 196 sådana ärenden. av- gjorde Justitiekanslern 225 ärenden varav ersättning utgick i 131 fall, dvs. i av ärendena. Det kan jämföras med att det i ärenden om skadeståndsanspråk mot staten som grundas på skadestånds- lagen normalt utgår ersättning i 12–av fallen. Exempel på överträdelser av personuppgiftslagen som enligt Justitiekanslerns beslut medfört ersättningsskyldighet är bristande gallringsrutiner, felaktiga per- sonuppgifter i olika register och felaktiga uppgifter på domstolars upp- I betänkandet Myndighetsdatalag redovisas en genomgång av Justitiekanslerns praxis (SOU 2015:39 s. 643 f.). När det gäller Justitiekanslerns synpunkt om ändring i förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten för att myndigheten ska kunna pröva anspråk enligt ramlagen kommer denna tas om hand i samband med framtagandet av förordningsändringar. Vem ska vara skadeståndsskyldig? Direktivet förutsätter att enskilda ska kunna begära skadestånd vid be- handling av personuppgifter i strid med de bestämmelser som genomför direktivet. Det behövs därför en bestämmelse i ramlagen om skade- ståndsansvar. Enligt 48 § personuppgiftslagen är det enbart den personuppgiftsansva- rige som är skadeståndsskyldig. Gentemot den registrerade är den per- sonuppgiftsansvarige ansvarig för all behandling, dvs. även när ett per- sonuppgiftsbiträde eller annan hjälp anlitas. Om fel har begåtts av t.ex. ett personuppgiftsbiträde anses det alltså bero på den personuppgifts- ansvarige. Enligt dataskyddsförordningen ska det även finnas möjlighet att rikta skadeståndstalan mot personuppgiftsbiträden (artikel 82.1), men i direkti- vet finns ingen motsvarande bestämmelse. Däremot framgår det av rubri- ken till artikel 54 att den registrerade ska ha rätt till ett effektivt rättsme- del inte bara mot den personuppgiftsansvarige utan även mot personupp- giftsbiträden, dvs. kunna väcka talan vid allmän domstol mot dessa för att få en domstolsprövning till stånd. Regeringen anser i likhet med utredningen att det skulle föra för långt att enbart av rubriken till artikel 54 dra slutsatsen att det måste finnas möjlighet för enskilda att föra skadeståndstalan även mot personupp- giftsbiträden. Det finns inte heller något annat som talar för att ålägga personuppgiftsbiträden skadeståndsansvar. Bara den personuppgifts- ansvarige bör således vara skadeståndsansvarig enligt ramlagen. För den registrerade tillgodoses rätten till ersättning för skada som ett personupp- giftsbiträde har orsakat genom att den personuppgiftsansvarige är ansva- rig även för biträdets handlande. Det finns dock skäl att erinra om att ett personuppgiftsbiträde ibland är att anse som personuppgiftsansvarig för viss behandling och då givetvis kan bli skadeståndsskyldig i den egenskapen. Enligt artikel 22.5 gäller det om biträdet själv fastställt ändamålen och medlen för behandlingen (se avsnitt 9.6.3). Regeringen återkommer till frågan om och i så fall i vilken utsträck- ning skadeståndsskyldighet enligt registerförfattningarna behöver regle- ras särskilt i samband med att dessa anpassas till dataskyddsdirektivet. Vad avses med ”varje annan myndighet”? Enligt artikel 56 ska den som har lidit materiell eller immateriell skada ha rätt till ersättning för skadan från den personuppgiftsansvarige eller från varje annan myndighet som är behörig enligt medlemsstaternas nationella rätt. I skäl 88 förklaras att den som lidit skada bör få ersättning av den personuppgiftsansvarige eller någon annan myndighet som är behörig enligt nationell rätt. Frågan är vad som avses med varje annan myndighet. Formuleringen skulle enligt utredningen kunna tolkas på tre olika sätt. För det första kan den tolkas som att inte bara den personuppgiftsansvarige kan bli skade- ståndsskyldig, utan även någon annan behörig myndighet som bidragit till den felaktiga personuppgiftsbehandlingen. För det andra kan formule- ringen avse att det i nationell rätt kan vara en annan myndighet än den personuppgiftsansvarige som är skadeståndsansvarig. För det tredje skulle formuleringen kunna syfta på att den enskilde kan vända sig till en särskild myndighet som hanterar frågor om det allmännas skadestånds- ansvar. Att någon annan myndighet vid sidan av den personuppgiftsansvariga myndigheten skulle kunna bli skadeståndsskyldig anser regeringen i likhet med utredningen inte vara en rimlig tolkning, eftersom det skulle urholka den ansvarsfördelning som direktivet bygger på. Att det däremot i vissa av medlemsstaterna kan finnas regler som gör att särskilt utpekade myndigheter i stället kan vara skadeståndsskyldiga kan inte uteslutas. Någon sådan ordning finns inte i svensk rätt. Om bestämmelsen ska tolkas på det tredje sättet finns det redan en sådan myndighet med det mandat som krävs, nämligen Justitiekanslern. Regeringen håller med utredningen om att de båda senare tolkningarna är möjliga. Direktivet förutsätter inte att det införs en ordning där en sär- skild myndighet är skadeståndsansvarig. Det finns inte heller skäl att ändra den ordning som gäller. Det innebär att Justitiekanslern företräder staten när det gäller skadeståndsfrågor i statlig verksamhet. Någon be- stämmelse i ramlagen behövs därmed inte för att genomföra artikel 56 i denna del. Enligt artikel 56 ska både materiell och immateriell skada till följd av olaglig behandling av personuppgifter eller av någon annan åtgärd som står i strid med regelverket ersättas. Begreppet skada bör enligt skäl 88 tolkas brett baserat på rättspraxis och på ett sätt som fullt ut återspeglar direktivets mål. Skadeståndsansvaret är enligt direktivet strikt och förutsätter att en registrerad ersätts för all den skada han eller hon lidit till följd av behandling i strid med regelverket. Det finns således ingen möjlighet att ha regler som innebär att viss personuppgiftsbehand- ling aldrig ska kunna medföra skadeståndsansvar. Rätten till personlig integritet är en immateriell rättighet. Den person- uppgiftsansvarige är därför ersättningsskyldig inte bara för ekonomisk skada utan även för ideell skada.