prop · H503232 · 2018-04-19 00:00:00 — När oaktsamhet av normalgraden avkrimina- liserades anfördes bl.a. att utvecklingen hade gått mot att straff inte är en nödvändig reaktion på överträdelser av personuppgiftslagen eller anslutande registerförfattningar (prop. 2005/06:173 s. 47 f.). Frågan är om det finns bärande skäl att nu införa en straffbestämmelse som gäller för ramlagens tillämpningsområde. Det finns inget känt exem- pel på att en person har dömts för brott mot personuppgiftslagen för en överträdelse som han eller hon gjort sig skyldig till som anställd vid en myndighet (SOU 2015:39 s. 637). Av det förhållandet att 49 § person- uppgiftslagen inte såvitt känt har lett till några fällande domar mot anställda vid myndigheter – vilket ibland anförs som skäl för att någon straffbestämmelse inte behövs – går det emellertid inte att dra någon slutsats om bestämmelsen fyllt sin funktion att avhålla från brott. 2017/18:232 Det som talar för att ha en särskild straffbestämmelse är att bestämmel- serna i inte motsvarar det som kriminaliseras i 49 § personuppgiftslagen eller de överträdelser som det skulle kunna vara aktuellt att kriminalisera i ramlagen. Brottsbalksbrotten tar i stället pri- märt sikte på andra straffvärda förfaranden än felaktig behandling av personuppgifter och har helt andra rekvisit. Den straffbestämmelse som det ligger närmast till hands att jämföra med är bestämmelsen om dataintrång (4 kap. 9 c § ). Om t.ex. en arbetstagare behandlat personuppgifter felaktigt i eget intresse, exempelvis gjort registerslagningar som inte krävts för arbetsuppgifterna, fyller bestämmelsen om dataintrång en viktig funktion. Det kan t.ex. vara fråga om någon som av nyfikenhet kontrollerat uppgifter om en granne eller en närstående. Det är inte ovanligt att offentliganställda döms för dataintrång. Dataintrång omfattar dock inte oaktsamhetsbrott och täcker inte heller vissa andra typer av förfaranden som kriminaliseras i person- uppgiftslagen. Bestämmelsen om tjänstefel (20 kap. 1 § ) torde sällan kunna tillämpas på överträdelser av regler om personuppgiftsbehandling. Det kan t.ex. vara svårt att med stöd av reglerna i fälla någon till ansvar för att ett olagligt register har inrättats. Regler om disciplinansvar fyller en viktig funktion för att säkerställa att arbetstagare inte bryter mot arbetsgivarens föreskrifter, t.ex. om hur personuppgifter får behandlas, men bör inte ses som ett medel för att genomföra direktivets sanktionsbestämmelser. Det gäller även de straff- bestämmelser som finns i , eftersom de primärt har ett annat syfte. Överträdelser ska inte straffsanktioneras i ramlagen Inom ramlagens tillämpningsområde hanteras i stor utsträckning känsliga personuppgifter eller annars särskilt integritetskänsliga uppgifter, vilket talar för att det behövs en särskild straffbestämmelse. Det som talar mot en straffbestämmelse som den i personuppgiftslagen är både den restriktivitet med nya straffbestämmelser som förordas och att kriminalisering troligen inte skulle få avsedd effekt. Straffansvaret skulle i första hand träffa den som faktiskt felbehandlat personuppgif- terna på visst sätt. Det torde i de flesta fall vara en person i underordnad ställning som kanske av oförstånd eller okunskap inte följt reglerna om personuppgiftsbehandling. Överträdelser kan dessutom vara resultatet av flera personers agerande och underlåtenhet. Det blir då svårt att visa var skulden ligger och vad som lett till överträdelsen. En straffbestämmelse med den straffskala som skulle vara aktuell i det här fallet kan också komma att behöva nedprioriteras till förmån för bekämpande av grövre brottslighet. Det kan alltså diskuteras hur stor avskräckande effekt en straffbestämmelse skulle ha för att förhindra felaktig personuppgiftsbe- handling inom myndigheter. Direktivet förutsätter vidare att sanktioner ska kunna träffa både fysi- ska och juridiska personer. De personuppgiftsansvariga som ska tillämpa ramlagen är emellertid nästan uteslutande juridiska personer, men straff- ansvar kan enligt svensk rätt inte träffa sådana. Regeringen delar utredningens bedömning att en kriminalisering mot- Prop. 2017/18:232 svarande 49 § personuppgiftslagen inte skulle vara en lämplig sanktion, eftersom den i huvudsak skulle träffa andra än personuppgiftsansvariga och personuppgiftsbiträden. En annan typ av sanktion riktad direkt mot framför allt personuppgiftsansvariga kan antas få mycket större effekt. Med hänsyn till att straffsanktion ska användas i sista hand och endast om det inte finns någon annan sanktion som är tillräckligt effektiv, anser regeringen – i likhet med utredningen – att en annan sanktionsform bör väljas. Någon straffbestämmelse bör alltså, till skillnad från vad förordar, inte tas in i ramlagen. 12.2.2En ny administrativ sanktion ska införas Regeringens förslag: En ny administrativ sanktion, sanktionsavgift, ska införas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ett antal remissinstanser, däribland Datainspek- tionen och , tillstyrker att sanktionsavgifter ska infö- ras som administrativ sanktion. Flera remissinstanser, däribland Polis- myndigheten, Försvarsmakten och , avstyrker förslaget. framhåller att systematiska brister som berör en stor mängd personer regleras med skadestånd som då snabbt når höga nivåer. Bl.a. mot den bakgrunden menar myndigheten att skadestånd skulle kunna anses uppfylla kravet på effektiva och avskräckande sanktioner. I vart fall skulle skadestånd tillsammans med straffbestämmelser, discip- linansvar och tillsynsmyndighetens åtgärder enligt utgöra ett samlat sanktionssystem som bör kunna motsvara direktivets krav. ifrågasätter att en kombination av sank- tionsavgifter och skadestånd är det mest effektiva sättet att se till att lagstiftningen följs. Vissa remissinstanser, däribland och , menar att en sanktionsavgift är en omfördelning av resurser inom statskassan och ifrågasätter om en sådan åtgärd kan anses vara en effektiv sanktion. Skälen för regeringens förslag Behovet av en ny typ av sanktion Genomförandet av direktivet förutsätter att det finns sanktioner mot över- trädelser och att de är tillräckligt effektiva och avskräckande. Samma krav ställs i artikel 24 dataskyddsdirektiv. I förarbetena till personuppgiftslagen ansågs även bestämmelsen om skadestånd till vissa delar genomföra den artikeln. Tanken bakom det synsättet torde vara att skadestånd ibland ses som en civilrättslig sanktion som kompletterar offentligrättsliga sanktioner som t.ex. straffbestämmelser och sanktions- avgifter. Skadestånd behandlas i avsnitt 13.3. Även om skadestånd vid systematiska eller allvarliga överträdelser kan uppgå till mycket höga belopp, som påpekar, är möjligheten att begära skade- stånd enligt regeringens mening inte tillräcklig för att uppfylla kravet på Inte heller skadestånd tillsammans med straffbe- stämmelser, disciplinansvar och tillsynsmyndighetens åtgärder kan enligt regeringens mening anses uppfylla de krav som ställs i direktivet. Som tidigare konstaterats träffar inte brottsbalksbestämmelserna primärt fel- aktig behandling av personuppgifter och en kriminalisering i ramlagen är inte aktuell. Disciplinansvarsreglerna ska inte heller ses som ett medel att genomföra sanktionsbestämmelserna i direktivet. Det krävs därför någon annan typ av sanktion för att uppfylla de krav som ställs i direktivet. Dataskyddsförordningen har ett nytt sanktionssystem I dataskyddsförordningen föreskrivs en ny form av sanktion, administra- tiva sanktionsavgifter, för överträdelser av reglerna om personuppgifts- behandling. Syftet med sanktionsavgifterna är att stärka verkställigheten av förordningens bestämmelser (skäl 148). Det ligger nära till hands att överväga samma sanktionssystem som i förordningen. Systemet med sanktionsavgifter regleras i artikel 83 och motiveras i skäl 148–150 i förordningen. Den nationella tillsynsmyndigheten ska en- ligt artikel 83.1 besluta om sådana avgifter. I artikel 83.2 räknas upp vilka omständigheter som allmänt ska beaktas när sanktionsavgifter be- slutas och avgiftens storlek bestäms. I artikel 83.3 regleras hur avgiften ska beräknas vid flera överträdelser. I princip ska sanktionsavgift beslutas för överträdelse av samtliga be- stämmelser i förordningen som föreskriver rättigheter för registrerade eller skyldigheter för personuppgiftsansvariga eller personuppgiftsbiträ- den. Sanktionsavgift ska enligt artiklarna 83.5 e och 83.6 även tas ut när någon inte följer tillsynsmyndighetens förelägganden eller beslut eller inte ger myndigheten tillgång till uppgifter. Enligt artikel 83.8 ska det finnas effektiva rättsmedel och rättssäkerhetsgarantier vid beslut om sanktionsavgifter. Medlemsstaterna får avgöra om sanktionsavgifter ska kunna beslutas mot offentliga myndigheter och organ. Fördelar och nackdelar med sanktionsavgift Sanktionsavgifter finns inom en rad rättsområden. De har olika syfte och utformning. Tillämpningsområdet varierar också. I vissa fall är sank- tionsavgift den enda sanktionen för en överträdelse, men i andra fall kan avgift tas ut vid sidan av eller i stället för straff. Användningen av sank- tionsavgifter har ökat kraftigt. Övergången från straffbestämmelser till bestämmelser om sanktionsavgift syftade ursprungligen till att utnyttja rättsväsendets resurser bättre och att kunna beivra en del mindre allvar- liga och ofta förekommande överträdelser effektivare. Ofta kan avgift tas ut oberoende av om reglerna överträtts uppsåtligen eller av oaktsamhet. Ett annat syfte med sanktionsavgift var att skapa en kännbar ekono- misk sanktion mot juridiska personer, som inte kan bli föremål för straff- rättsliga åtgärder. Sanktionsavgift kan riktas mot det subjekt som tjänar på överträdelsen eller har agerat mest klandervärt eller bär det största ansvaret för att överträdelsen begicks. Om sanktionsavgiften riskerar att innebära en kostnad eller förlust som är lika stor som eller större än den besparing som görs genom att regelverket inte följs, skapar avgiften incitament att undvika överträdelser. När sanktionsavgift tas ut av en myndighet har den ekonomiska aspekten dock inte lika stor betydelse. Vissa remissinstanser, däribland och uni- versitet, menar vidare att en sanktionsavgift är en omfördelning av resur- ser inom statskassan och ifrågasätter om en sådan åtgärd kan anses vara en effektiv sanktion. Utredningen hänvisar till som ingående belyser för- och nackdelarna med sanktionsavgifter (SOU 2014:83 s. 104 f.). Kommittén hämtade in information, förutom från länsstyrelserna, från 16 myndigheter med tillsyn över bl.a. områdena miljö, arbetsmiljö, fiskeri, transport, bank- och finansverksamhet samt konsument- och konkurrensfrågor, där det finns sanktionsavgifter. Kom- mittén ville veta hur tillsynsmyndigheterna ansåg att systemen med administrativa sanktionsavgifter fungerade. Fördelarna med sanktionsavgifter ansågs vara många. En vanlig åsikt var att sanktionsavgifter har bättre förutsättningar att bidra till regelefter- levnad än straffsanktioner, eftersom brott mot den aktuella lagstiftningen inte prioriteras. Administrativa sanktionsavgifter ansågs också vara mer förutsägbara, vilket leder till en bättre preventiv effekt. Det uppgavs t.ex. att antalet beslutade avgifter hos vissa av myndigheterna minskat . Myndigheterna bedömde att det berodde på ökad regelefterlevnad. Sanktionsavgifter ledde enligt myndigheterna också till enklare och snabbare beivrande av överträdelser, jämfört med straffsanktioner. Sank- tionsavgifter ansågs också vara resurseffektiva, eftersom den tillsyns- myndighet som beslutar om avgifterna fattar beslutet baserat på sin egen utredning. Andra myndigheter behöver inte kopplas in i processen, utom vid överklagande eller om avgiften ska beslutas av domstol på ansökan av tillsynsmyndigheten. Det finns givetvis också nackdelar med sanktionsavgifter. Om sank- tionsavgiftsbeloppet är lågt kan verksamhetsutövaren se avgiften som enbart en kostnad som det går att kalkylera med. I dessa fall bidrar avgif- ten inte till ökad regelefterlevnad. System med sanktionsavgifter kan kräva mer resurser hos tillsynsmyndigheten. Domstolsväsendet kan, i vart fall inledningsvis, få fler ärenden att hantera om sanktionsavgifter införs. Innan det finns vägledande praxis kan det t.ex. råda osäkerhet om när sanktionsavgift ska tas ut och med vilket belopp. Det behöver alltså inte bli en ekonomisk besparing för staten att införa sanktionsavgifter (SOU 2014:83 s. 106). Avsaknaden av en domstols bedömning av hän- delseförlopp kan inverka menligt på rättssäkerheten (prop. 2007/08:107 s. 17). Är sanktionsavgift en lämplig reaktion mot myndigheter? Vid överväganden om vilken sanktionsform som bör väljas måste hänsyn tas till att det i huvudsak är myndigheter som kommer att tillämpa ramla- gen. Det har länge funnits en samsyn om att vitesföreläggande inte bör användas myndigheter emellan, om det inte finns särskilda skäl för det. Därför har bl.a. personuppgiftslagens regel om att tillsynsmyndigheten får förena förelägganden med vite i många fall inte gjorts tillämplig på myndigheter. När det gäller statens roll som arbetsgivare har det dock i olika sammanhang ansetts rimligt att inte särbehandla staten i fråga om ekonomiska sanktioner (se bl.a. 4 kap. 5 § diskrimineringslagen [2008:567] och 7 kap. 7 § arbetsmiljölagen [1977:1160]). 2017/18:232 Sanktionsavgift kan tas ut av myndigheter på vissa områden. Hit hör bl.a. miljösanktionsavgift enligt och förordningen (2012:259) om miljösanktionsavgifter. Enligt praxis tas dock inte miljö- sanktionsavgift ut av myndigheter om överträdelsen skett vid myndig- hetsutövning. Det finns också exempel på sanktionsavgifter som särskilt riktar sig mot myndigheter. Enligt 21 kap. 1 § 3 lagen (2016:1145) om offentlig upphandling får allmän förvaltningsdomstol vid otillåten direktupphand- ling besluta att en upphandlande myndighet ska betala upphandlings- skadeavgift. I förarbetena till den tidigare lagen om offentlig upphand- ling, som innehöll en motsvarande bestämmelse, betonades vikten av att sanktionsbestämmelserna är desamma för alla slag av upphandlande myndigheter och enheter och att något undantag för statliga myndigheter därför inte borde göras även om det innebär att staten betalar en avgift till staten (Nya rättsmedel på upphandlingsområdet, prop. Direktivet syftar till att förbättra skyddet för enskildas integritet. skildas intresse av skydd för sin personliga integritet väger lika tungt oavsett om uppgifter behandlas i det allmännas verksamhet eller i den privata sektorn. Såväl statliga som kommunala myndigheter hanterar mycket stora mängder personuppgifter, ofta känsliga sådana. De utbyts dessutom i allt större utsträckning över myndighets- och nationsgränser. Även om det allmännas verksamhet styrs av annan lagstiftning än per- sonuppgiftsregleringen, exempelvis tryckfrihetsförordningen, offentlig- hets- och sekretesslagen och arkivlagstiftningen, behandlas personupp- gifter på i stort sett samma villkor som i privat sektor. Till det kommer att dataskyddsförordningen kommer att tillämpas av alla myndigheter och att sanktionsavgifter således kan komma att drabba även dem, om regelverket görs tillämpligt på myndigheter. Det är, som utredningen konstaterar, en principiell skillnad mellan att låta en myndighet använda ekonomiska påtryckningsmedel i syfte att förmå en annan myndighet att göra eller underlåta något och att använda ekonomiska sanktioner som reaktion på begångna överträdelser. Regeringen delar utredningens bedömning att administrativa sanktions- avgifter är en lämplig åtgärd mot myndigheter vid överträdelser av regler om personuppgiftsbehandling. Är sanktionsavgift i övrigt en lämplig reaktion? Frågan är då om sanktionsavgift i övrigt är en lämplig reaktion på över- trädelser av bestämmelser i ramlagen. Det finns, som utredningen påpe- kar, flera skäl som talar för en sådan lösning. De myndigheter som tillämpar sanktionsavgifter inom andra områden ser många fördelar med den sanktionen. De argument som dessa lyft fram väger tungt även vid personuppgiftsbehandling. Sanktionsavgift är en snabb och tydlig sanktion – som även kan vara kännbar ekonomiskt. Risken att som personuppgiftsansvarig drabbas av en sådan sanktion skulle verka avskräckande. Sanktionsavgifter skulle också leda till att ansvar för överträdelser utkrävs på rätt nivå. Det finns nämligen skäl att förmoda att överträdelser av reglerna om personupp- giftsbehandling ofta beror på att otillräckliga resurser avsatts för att ut- forma it-system som stödjer en korrekt personuppgiftsbehandling, för att Prop. 2017/18:232 utarbeta handledningar och för att utbilda personalen. av sanktionsavgift skulle öka incitamenten för personuppgiftsansvariga att satsa på förebyggande åtgärder och att avsätta tillräckliga resurser för den interna kontrollen av personuppgiftsbehandlingen. Överträdelserna skulle därmed kunna minska på det sätt som beskrivits inom andra områden. Det finns också anledning att anta att ett system med sanktionsavgifter skulle vara effektivare än straffsanktioner. Mindre bevissvårigheter kan leda till att fler överträdelser beivras än om ansvaret är straffrättsligt. Dessa resonemang gör sig även gällande på förordning- ens och den föreslagna dataskyddslagens område (se prop. 2017/18:105 s. 139 f.). Mot denna bakgrund anser regeringen, till skill- nad från bl.a. att det i ramlagen bör tas in regler om sank- tionsavgift. Regeringens bedömning: Sanktionsavgiftssystemet bör utformas med beaktande av regeringens riktlinjer för sådana avgifter, regle- ringen i dataskyddsförordningen och internationella åtagan- den. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning Regeringens riktlinjer för att använda sanktionsavgift Sanktionsavgift har använts som sanktionsform . Införandet av skattetillägg brukar ses som inledningen på mer allmän användning av sanktionsavgift som sanktionsform (SOU 2013:38 del 2, s. 467). Inledningsvis fanns det inga riktlinjer för hur sanktionsav- gifter skulle utformas och användas. I samband med lagstiftningsarbetet om ekonomiska sanktioner i näringsverksamhet togs dock ett samlat grepp om frågan (Ds Ju 1981:3, och prop. 1981/1982:142. Jfr även , Sanktionsavgifter – särskilt i näringsverksam- het, 2010 s. 53, i fortsättningen Warling-Nerep). I nyssnämnda proposi- tion lade regeringen fram allmänna riktlinjer för hur ett sanktionsavgifts- system bör utformas (prop. 1981/82:142 s. 24 f.) Riktlinjerna i propositionen har kommit att ligga till grund för försla- gen i olika lagstiftningsärenden och tillämpas alltjämt (se t.ex. prop. 2015/16:118 och prop. 2016/17:22). Riktlinjerna kan sammanfattas enligt följande. •Ett avgiftssystem kan erbjuda en ändamålsenlig lösning i fall där regelöverträdelser är särskilt frekventa eller speciella svårigheter föreligger att beräkna storleken av den vinst eller besparing som upp- nås i det särskilda fallet. 2017/18:232 • Avgifter bör få förekomma endast inom speciella och klart av- gränsade rättsområden. •Bestämmelserna om beräkning av avgiftsbeloppet bör konstrueras så att de utgår från ett mätbart moment i den aktuella överträdelsen – en parameter – som gör det möjligt att förutse och fastställa hur stor av- giften ska bli i det särskilda fallet. •Beroende på det aktuella rättsområdets natur bör särskilt prövas om uppsåt eller oaktsamhet ska förutsättas för avgiftsskyldighet eller om skyldigheten ska bygga på strikt ansvar. För att en konstruktion med strikt ansvar ska vara försvarbar från rättssäkerhetssynpunkt bör det finnas starkt stöd för en presumtion om att överträdelser på området inte kan förekomma annat än som en följd av uppsåt eller oaktsamhet. Bestämmelser som reglerar möjligheten till jämkning av avgiftsbe- lopp bör så långt möjligt vara så preciserade att det inte föreligger någon tvekan om deras räckvidd. •Något hinder bör inte föreligga mot att låta avgiftsregler som i första hand riktas mot juridiska personer och straffrättsliga bestämmelser riktade mot fysiska personer vara tillämpliga vid sidan av varandra. De subjektiva rekvisiten kan vara annorlunda utformade i de olika systemen – strikt ansvar vid avgift och uppsåt eller oaktsamhet vid straffrättsligt ansvar. •Att ta ut sanktionsavgifter kan i viss utsträckning överlämnas till de administrativa myndigheter som är verksamma på det aktuella områ- det. I vissa fall är det emellertid lämpligt att överlämna denna pröv- ning till domstol. Riktlinjerna tar sikte på sanktioner med vinstbegränsande syfte. De bru- kar dock också läggas till grund för utformningen av sådana sanktions- system som har ett bestraffande syfte. Andra riktlinjer på området Vid sidan om regeringens riktlinjer i nyssnämnda proposition finns det ytterligare riktlinjer som bör beaktas vid utformningen av ett sanktions- avgiftssystem. kan vara av betydelse för sanktions- avgiftssystem, om de är jämställa med en straffrättslig påföljd (se av- snitt 12.8). rekommendation nr R (91) om administrativa sanktions- avgifter omfattar åtta principer. Många av frågeställningarna regleras också i . Några behandlas dock inte i konventionen. Rekommendationen, som inte är rättsligt bindande, får därför anses kom- plettera den. Principerna kan sammanfattas enligt följande (se SOU 2014:83 s. 110 f.). •Såväl sanktionens innehåll som de omständigheter som krävs för att sanktionen ska kunna åläggas någon ska framgå av lag. •Förbud mot retroaktiv tillämpning. •Förbud mot dubbelprövning (ne bis in idem). •Krav på rimlig handläggningstid. • Krav på ett slutligt beslut. Varje inlett förfarande som kan föranleda Prop. 2017/18:232 att en sanktion åläggs en person ska avslutas med ett slutligt avgö- •Krav på ett öppet, objektivt och rättvist förfarande. Varje person som riskerar att åläggas en sanktion ska informeras om anklagelsen och den bevisning som åberopas. Vidare ska han eller hon få tillfälle att yttra sig och få tillräcklig tid till det. Ett sanktionsbeslut ska innehålla skälen för beslutet. •Bevisbördan åligger den som beslutar om sanktionen. •Krav på domstolsprövning. En sanktion beslutad av en administrativ myndighet ska kunna överprövas av en domstol. Utgångspunkter för utformningen av sanktionsavgiftssystemet Vid utformningen av sanktionssystemet bör regeringens riktlinjer och internationella åtaganden beaktas. Frågor som rör Europakon- ventionen behandlas i avsnitt 12.8. Bestämmelserna om sanktionsavgift bör utformas i linje med hur sådana avgifter utformats inom andra rättsområden och de rättssäker- hetskrav som ställs på sanktionsavgift bör få genomslag. Det innebär att frågor om sanktionsavgift bör regleras i lag och att det av den bör framgå när, hur och av vem sanktionsavgift får tas ut. Systemet ska också vara förutsägbart och möta kraven på rimlig handläggningstid, domstolspröv- ning och en rättssäker process. Dataskyddsförordningen har ett system med sanktionsavgifter. De be- höriga myndigheterna kommer även att tillämpa förordningen, som är direkt tillämplig i svensk rätt. Överträdelser av bestämmelser om person- uppgiftsbehandling bör, som utredningen anger, i princip föranleda samma sanktioner. Det är dock inte möjligt att skapa helt identiska sys- tem, eftersom tillämpningsområdena för förordningen och direktivet och regleringen i övrigt skiljer sig åt. Förordningens system med sanktions- avgifter föreslås även gälla för myndigheter inom förordningens tillämp- ningsområde (prop. 2017/18:105 s. 139 f.). Regeringen utgår därför i förslagen från hur sanktionsavgifter regleras i förordningen och den föreslagna dataskyddslagen. Vem ska betala sanktionsavgift? Regeringens förslag: Sanktionsavgift får tas ut av personuppgiftsans- variga och i vissa fall av personuppgiftsbiträden. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag: En personuppgiftsansvarig ansvarar