prop · H603163 · 2019-09-09 00:00:00 — kan utkrävas för vissa gärningar som innefattar otillåten 2018/19:163 hantering av personuppgifter, t.ex. olaga integritetsintrång enligt 4 kap. 6 § c, dataintrång enligt 4 kap. 9 c § och tjänstefel enligt 20 kap. 1 §. Mot den bakgrunden gällde den bestämmelse om straffansvar vid felaktig per- sonuppgiftsbehandling som fanns i 49 § personuppgiftslagen (1998:204) inte i Säkerhetspolisens verksamhet (Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 91). I lagen (1994:260) om offentlig anställning finns bestämmelser om disciplinansvar som kan aktualiseras om någon bryter mot bestämmel- serna om personuppgiftsbehandling. Disciplinansvar förutsätter att den misstänkta gärningen inte ska anmälas till åtal eller, om den redan prövats straffrättsligt, att den inte har ansetts vara något brott av annat skäl än bristande bevisning. Varken i brottsdatalagen (2018:1177) eller i dataskyddslagen finns det någon straffbestämmelse. I förarbetena till brottsdatalagen uttalas att en kriminalisering motsvarande den som tidigare fanns i 49 § personuppgiftslagen inte skulle vara en lämplig sanktion, eftersom den i huvudsak skulle träffa andra än personuppgiftsansvariga och personuppgiftsbiträden. Straffansvaret skulle i första hand träffa den som faktiskt felbehandlat personuppgifterna, vilket i de flesta fall torde vara en person i underordnad ställning som kanske av oförstånd eller okunskap inte följt reglerna om personuppgiftsbehandling. Överträdelser kan dessutom vara resultatet av flera personers agerande och underlåtenhet. Enligt regeringen blir det då svårt att visa var skulden ligger och vad som lett till överträdelsen. Man valde därför en annan sanktionsform som skulle träffa den personuppgiftsansvarige (, prop. 2017/18:232, De skäl mot en straffbestämmelse som framförs i förarbetena till brottsdatalagen gör sig gällande även för Säkerhetspolisen. Mot den bak- grunden och då Säkerhetspolisens behandling av personuppgifter enligt polisdatalagen inte är straffsanktionerad och det inte heller finns någon straffbestämmelse i dataskyddslagen, bör någon sådan bestämmelse inte tas in i den nya lagen. Sanktionsavgift bör inte få tas ut Regeringens bedömning: Det bör inte tas in bestämmelser om sank- tionsavgift i den nya lagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast Datainspektionen yttrar sig i denna del och anför att skälen för ett enhetligt sanktionssystem är så starka att en bestämmelse om sanktionsavgift bör tas in i den nya lagen. Skäl för regeringens bedömning I 44 och 45 §§ personuppgiftslagen finns bestämmelser som ger tillsynsmyndigheten rätt att vid vite förbjuda behandling på annat sätt än Vidare får tillsynsmyndigheten enligt 47 § hos domstol om att personuppgifter som behandlats på olagligt sätt ska Regleringen i 44, 45 och 47 §§ gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 11 och 6 kap. 4 § polisdatalagen (2010:361). Av 2 kap. 2 § fjärde stycket polisdatalagen framgår emellertid att förbud enligt 44 eller 45 § personuppgiftslagen inte får förenas med vite. I förarbetena motiveras undantaget med att vite inte bör användas mellan statliga myndigheter (prop. 2009/10:85 s. 90). Ett nytt sanktionssystem i brottsdatalagen I brottsdatalagen finns bestämmelser om en ny administrativ sanktion – sanktionsavgift. Enligt 6 kap. 1 och 2 §§ får en sanktionsavgift tas ut av en personuppgiftsansvarig och ett personuppgiftsbiträde vid överträdelser av vissa bestämmelser i lagen. Ansvaret är strikt, vilket innebär att det varken krävs uppsåt eller oaktsamhet för att sanktionsavgiften ska kunna tas ut. Enligt 6 kap. 6 § är det tillsynsmyndigheten som fattar beslut om sanktionsavgift. Även registerförfattningarna föreskriver att en sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelser av vissa bestämmelser i lagarna (se exempelvis 7 kap. 1 § polisens brottsdatalag). Sanktionsavgift bör inte kunna tas ut av Säkerhetspolisen Frågan är om det bör införas ett sanktionssystem som motsvarar det i brottsdatalagen även för Säkerhetspolisen. Säkerhetspolisen ska tillämpa brottsdatalagen och polisens brottsdatalag i vissa fall (avsnitt 7.5). Myndigheten kommer då att omfattas av sanktionssystemet i de lagarna. Även dataskyddsförordningen föreskriver att administrativa sanktions- avgifter ska kunna tas ut vid överträdelse av bestämmelser om person- uppgiftsbehandling. Huvudskälet till att regeringen föreslog att sanktionsavgift skulle kunna tas ut av behöriga myndigheter i brottsdatalagen var att motsvarande sanktionssystem gäller enligt dataskyddsförordningen. Eftersom de behöriga myndigheterna tillämpar båda regelverken finns det fördelar med en enhetlig reglering. För flera av myndigheterna regleras också en större del av personuppgiftsbehandlingen av dataskyddsförordningen. Det gäller , och domstolarna. Även tillämpar dataskyddsförordningen. Det blev då svårt att motivera att helt olika sanktionssystem skulle gälla beroende på om brottsdatalagen eller förordningen är tillämplig vid överträdelser som är likartade och som därför kan antas motivera samma sanktion (prop. 2017/18:232 s. 311– 317). Säkerhetspolisen kommer att tillämpa dataskyddsförordningen i en be- gränsad del av verksamheten som är av intern och administrativ karaktär. Det är också bara i speciella fall som myndigheten kommer att tillämpa brottsdatalagen och polisens brottsdatalag. Skälen för ett enhetligt sanktionssystem gör sig därför inte gällande på samma sätt i Säkerhetspolisens verksamhet. Eftersom Säkerhetspolisens verksamhet som rör nationell säkerhet inte omfattas av dataskyddsdirektivets eller dataskyddsförordningens tillämpningsområde är regeringen inte heller bunden av de krav på sanktioner som ställs i dessa rättsakter. Dataskyddskonventionen, som även omfattar personuppgiftsbehandling som rör nationell säkerhet (avsnitt 5.1), ställer krav på att det ska finnas 2018/19:163 lämpliga sanktioner för överträdelser av bestämmelser om dataskydd. I konventionen anges dock inte vilka krav som ställs på sådana sanktioner. Regeringen delar utredningens bedömning att konventionens krav på sanktioner inte är lika långtgående som dataskyddsdirektivets och dataskyddsförordningens krav. Den nuvarande regleringen ger möjlighet till ersättning genom skadestånd. Vidare kan straffrättsligt ansvar utkrävas enligt . I avsnitt 16.3.2 föreslår regeringen att Säkerhetspolisen ska kunna åläggas skadestånd vid felaktig personuppgiftsbehandling. I avsnitt 15 diskuteras hur tillsynen över Säkerhetspolisens personuppgiftsbehandling bör utövas och vilka befogenheter tillsynsmyndigheten bör ha. Sanktionssystemet i den nya lagen kommer att motsvara det som gäller . Sammanfattningsvis anser regeringen i likhet med utredningen att de sanktionsmöjligheter som finns är tillräckliga. Eftersom skälen för ett enhetligt sanktionssystem inte heller har samma styrka när det gäller behandling av personuppgifter som rör nationell säkerhet, anser rege- ringen, till skillnad från Datainspektionen, att det inte bör införas någon möjlighet att ta ut sanktionsavgift vid överträdelse av bestämmelser i den nya lagen. Enligt 3 kap. 2 § skadeståndslagen (1972:207) ska staten eller en kommun ersätta personskada, sakskada eller ren förmögenhetsskada som vållas genom fel eller försummelse vid myndighetsutövning i verksamhet för vars fullgörande staten eller kommunen svarar. Ersättningsskyldigheten omfattar även ideell skada på grund av att någon genom fel eller för- summelse vid myndighetsutövning kränkts på det sätt som anges i 2 kap. 3 § samma lag. I 2 kap. 3 § skadeståndslagen föreskrivs att den som allvarligt kränker någon annan genom brott som innefattar ett angrepp mot dennes person, frihet, frid eller ära ska ersätta den skada som kränkningen innebär. Ideellt skadestånd för att den personliga integriteten har kränkts, dvs. en skada av icke-ekonomisk natur, förutsätter alltså att kränkningen har orsakats genom brott. Det krävs också att kränkningen är allvarlig. Ersättning för kränkning med stöd av 3 kap. 2 § jämförd med 2 kap. 3 § skadeståndslagen förutsätter att kränkningen har orsakats vid myn- dighetsutövning. Om det inte är fråga om myndighetsutövning kan ska- destånd ändå utgå enligt 3 kap. 1 § skadeståndslagen för skada som vållats av arbetstagare. Det förutsätter att kränkningen har orsakats av att den anställde har begått brott i tjänsteutövningen. Genom Högsta domstolens praxis har det lagts fast en rätt till ideellt ska- destånd vid kränkningar av även i andra fall än de som regleras i skadeståndslagen. Det har bl.a. varit fråga om kränkningar av rätten till privat- och familjeliv enligt artikel 8 i konventionen. En ny bestämmelse i skadeståndslagen om rätten till skadestånd vid överträdelser enligt trädde i kraft (Skadestånd och Prop. 2018/19:163 , prop. 2017/18:7). Den som anser att han eller hon har orsakats skada av det allmänna kan väcka talan mot staten eller en kommun vid allmän domstol. Saken prövas då som tvistemål. Enligt förordningen (1995:1301) om handläggning av skadeståndsan- språk mot staten kan en skadelidande dessutom få ett skadeståndskrav mot staten prövat inom ramen för statens frivilliga skadereglering. Med det avses skadereglering som företrädelsevis sker hos Justitiekanslern, men som även i viss omfattning kan förekomma hos andra myndigheter. Enligt förordningen kan den enskilde i ett formlöst och kostnadsfritt förfarande vända sig direkt till en myndighet och få ett besked i frågan om huruvida staten är skadeståndsskyldig. Det är ett särskilt snabbt och effektivt sätt att komma i åtnjutande av det rättsmedel som rätten till skadestånd innebär. Vid ett negativt besked har den enskilde kvar möjligheten att vända sig till domstol för att få saken prövad. Justitiekanslerns inställning är inte bindande för domstolarna eller för den enskilde. Enligt förordningen kan Justitiekanslern bl.a. handlägga anspråk som grundas på 3 kap. 1 eller 2 § skadeståndslagen eller skadeståndsregler i vissa särskilt angivna för- fattningar, t.ex. 7 kap. 1 § brottsdatalagen. 16.3.2Skadeståndsskyldighet för den personuppgiftsansvarige Regeringens förslag: Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med den nya lagen eller föreskrifter som meddelats i anslutning till den. Regeringens bedömning: Det bör inte införas någon jämkningsregel i lagen. Utredningens förslag och bedömning överensstämmer med rege- ringens. Remissinstanserna: Justitiekanslern välkomnar den föreslagna hän- visningen till Säkerhetspolisens nya lag i 3 § förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten. advokat- samfund ställer sig tveksam till om möjligheten till skadestånd kommer att få någon praktisk effekt på grund av svårigheten att driva en sådan talan. Skälen för regeringens förslag och bedömning Enligt 48 § första stycket personuppgiftslagen ska den personuppgifts- ansvarige ersätta den registrerade för skada och kränkning av den person- liga integriteten som behandling av personuppgifter i strid med lagen har orsakat. Alla åtgärder som är oförenliga med personuppgiftslagen kan leda till skadeståndsskyldighet, om de allmänna kraven för skadestånd är uppfyllda. Ersättningsskyldighet inträder så snart en bestämmelse över- trätts, vilket gör att skadeståndsansvaret är strikt. Enligt 48 § andra stycket kan ersättningsskyldigheten, om det är skäligt, jämkas om den 2018/19:163 personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelsen i 48 § personuppgiftslagen gäller för Säkerhetspolisen 2 kap. 2 § första stycket 12 och 6 kap. I 7 kap. 1 § brottsdatalagen finns en bestämmelse som motsvarar 48 § första stycket personuppgiftslagen. Eftersom det inte finns någon excul- peringsbestämmelse i direktivet har regeringen inte ansett det möjligt att öppna för möjlighet till jämkning i brottsdatalagen (prop. Det bör införas en regel om skadeståndsskyldighet i den nya lagen Det bör i den nya lagen finnas en bestämmelse som reglerar den Den bör formuleras på samma sätt som i brottsdata- Den synpunkt som har lämnat i fråga om möjligheterna att driva en skadeståndstalan föranleder inte någon annan Bestämmelsen skulle kunna föreskriva att skadeståndsersättning får jämkas, eftersom regleringen inte behöver följa direktivets bestämmelser. Det underlättar emellertid både för tillämparen och för den enskilde om regleringen i den delen stämmer överens med övriga registerförfattningar Intresset av en enhetlig reglering väger enligt regeringen tyngre än den personuppgiftsansvariges intresse av att eventuella skadeståndsanspråk i vissa fall kan jämkas. Den nya lagen bör därför inte innehålla någon jämkningsbestämmelse. Enligt 48 § personuppgiftslagen är det enbart den personuppgiftsansva- rige som är skadeståndsskyldig. Gentemot den registrerade är den per- sonuppgiftsansvarige ansvarig för all behandling, dvs. även när ett per- sonuppgiftsbiträde eller annan hjälp anlitas. Om fel har begåtts av t.ex. ett personuppgiftsbiträde anses det alltså bero på den personuppgifts- Enligt dataskyddsförordningen ska det även finnas möjlighet att rikta skadeståndstalan mot personuppgiftsbiträden (artikel 82.1), men i data- skyddsdirektivet finns ingen motsvarande bestämmelse. datalagen är det därför bara den personuppgiftsansvarige som är skade- För den registrerade tillgodoses rätten till ersättning för skada som ett personuppgiftsbiträde har orsakat genom att den person- uppgiftsansvarige är ansvarig även för biträdets handlande. skäl att frångå denna ordning i den nya lagen. Det finns dock skäl att erinra om att ett personuppgiftsbiträde ibland är att anse som personuppgiftsansvarig för viss behandling och då givetvis kan bli skadeståndsskyldig i den egenskapen (avsnitt 13.4.4). prövar Justitiekanslern frågor om skadeståndsskyldighet enligt 48 § personuppgiftslagen. Frågan om myndigheten bör pröva om staten är skadeståndsskyldig enligt den nya lagen tas om hand i samband med framtagandet av förordningsändringar. Rätten till personlig integritet är en immateriell rättighet. ekonomisk skada utan även för ideell skada. Den enskilde har alltså, Prop. 2018/19:163 förutom rätt till ersättning för personskada, sakskada och ren förmögenhetsskada, rätt till ekonomisk kompensation för kränkningen. Det är bara skada eller kränkning som behandlingen har fört med sig som ska ersättas. Orsakssambandet ska vara adekvat. Som regeringen konstaterar i förarbetena till brottsdatalagen möter den nuvarande skadeståndsregeln i personuppgiftslagen både kravet på att all skada ska ersättas och att det ska finnas adekvat kausalitet. Skadestånds- bestämmelsen i brottsdatalagen har därför utformats med den som mönster (prop. 2017/18:232 s. 343). Detsamma bör gälla för skadeståndsbe- stämmelsen i den nya lagen. Den bör i huvudsak kunna tolkas i enlighet med den praxis som har utvecklats med anledning av bestämmelsen i personuppgiftslagen. Hur ska ersättningen för kränkning beräknas? Liksom bör ersättningen för kränkning uppskattas efter skälighet, mot bakgrund av samtliga omständigheter. Det som kan ha betydelse är bl.a. att personuppgifter spridits eller att det funnits risk för otillbörlig spridning av integritetskänsliga eller felaktiga personuppgifter. En annan omständighet kan vara att den registrerade drabbats av beslut eller andra åtgärder som fått eller kunnat få negativa konsekvenser för honom eller henne. Om den registrerade själv har lämnat oriktig eller ofullständig in- formation till den personuppgiftsansvarige, kan även detta ha betydelse vid beräkningen. En jämförelse kan göras med vad som gäller i fråga om betydelsen av den skadelidandes eget agerande när det gäller kränknings- ersättning vid brott (Ersättning för ideell skada, prop. 2000/01:68, s. 52). Bestämmelsen i den nya lagen kommer i likhet med 48 § personuppgifts- lagen att vara en sådan specialbestämmelse om skadestånd som enligt 1 kap. 1 § skadeståndslagen tar över de allmänna reglerna i den lagen. Om en ersättningsfråga inte regleras i den nya lagen – t.ex. hur ersättningen för en personskada eller sakskada ska beräknas (5 kap. skadeståndslagen) eller hur ansvaret ska fördelas när flera är skadeståndsskyldiga (6 kap. 4 § skadeståndslagen) – tillämpas de allmänna reglerna i skadeståndslagen. 16.4.1Överklagande av den personuppgiftsansvariges beslut Regeringens förslag: Beslut i fråga om rättelse, komplettering, rade- ring eller begränsning av behandlingen som har meddelats på begäran av den registrerade, ska kunna överklagas till allmän förvaltningsdom- stol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad eller att ta ut avgift för att lämna sådan information. Vid överklagande till kammarrätten ska det krävas prövningstillstånd. 2018/19:163 Några andra beslut än de som uttryckligen anges i lagen ska inte få överklagas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Behov av en överklagandebestämmelse i den nya lagen Enligt 52 § första stycket personuppgiftslagen får vissa beslut som fattas av en personuppgiftsansvarig som är en myndighet överklagas till allmän förvaltningsdomstol. Det gäller beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 §. Bestämmelsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 13 och 6 kap. 4 § 1 polisdatalagen. Det är naturligt att se en myndighets beslut i egenskap av personupp- giftsansvarig, exempelvis i fråga om en personuppgift ska rättas eller inte, som ett utflöde av dess myndighetsutövning. I allmänhet har myndigheten behandlat personuppgifterna i syfte att fullgöra myndighetsuppgifter. Personuppgifterna har också normalt behandlats med stöd av olika författningsbestämmelser, oberoende av den registrerades samtycke. 2 § brottsdatalagen finns därför en bestämmelse som motsvarar 52 § första stycket personuppgiftlagen. En liknande bestämmelse bör, som utredningen föreslår, tas in även i den nya lagen. Vilka beslut ska kunna överklagas? När det gäller enskildas rätt att överklaga myndighetsbeslut bör samma utgångspunkt gälla som i fråga om rätten att överklaga beslut enligt per- sonuppgiftslagen. Överklaganderätten bör alltså enbart ta sikte på sådana beslut av myndigheten som den fattat i egenskap av personuppgiftsansva- rig och som direkt berör den enskilde och som gått honom eller henne emot. Sådana beslut bör på samma sätt som andra förvaltningsbeslut kunna överklagas till allmän förvaltningsdomstol. Enligt 7 kap. 2 § brottsdatalagen kan beslut som fattas på begäran av en registrerad om att personuppgifter ska rättas, kompletteras eller raderas eller att behandlingen av personuppgifter ska begränsas överklagas. Det gäller oavsett om myndigheten avslår begäran eller vidtar en annan åtgärd än den som begärts. Har myndigheten helt eller delvis underlåtit att lämna information som den enskilde har begärt, kan beslutet överklagas. Även beslut att ta ut avgift för information eller att vägra omprövning av ett automatiserat beslut kan överklagas. Uppräkningen motsvarar i allt väsentligt de beslut som får överklagas enligt 52 § personuppgifts- lagen. På samma sätt som i brottsdatalagen bör det i den nya lagen framgå vilka beslut som får överklagas. Eftersom det inte förekommer några automatiserade beslut i Säkerhetspolisens verksamhet behövs dock inte någon bestämmelse om överklagande av sådana beslut. Överklagandena bör, på samma sätt som , prövas av allmän för- valtningsdomstol. Vid överklagande till kammarrätten bör det krävas prövningstillstånd. Vad bör inte få överklagas? Av 53 § personuppgiftslagen framgår att andra beslut som en personupp- giftsansvarig myndighet fattat enligt lagen inte får överklagas. Bestäm- melsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 13 och 6 kap. 4 § 1 polisdatalagen. På samma sätt som bör inte alla beslut som Säkerhetspolisen fattar i egenskap av personuppgiftsansvarig få överklagas. Administrativa beslut av myndigheten, t.ex. i fråga om tillgången till personuppgifter, berör inte den enskilde på ett sådant sätt att de ska få överklagas. Det bör därför av den nya lagen framgå att andra beslut än de som räknas upp inte får överklagas. En motsvarande bestämmelse finns i brottsdatalagen. 16.4.2Överklagande av tillsynsmyndighetens beslut Regeringens förslag: beslut enligt den nya lagen ska få överklagas till allmän förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndigheten motpart i domstolen. Vid överklagande till kammarrätten ska det krävas prövningstillstånd. Utredningens förslag överensstämmer i huvudsak med regeringens. I utredningens förslag anges inte uttryckligen att tillsynsmyndigheten har ställning som motpart i domstolen. Enligt utredningens förslag ska även tillsynsmyndighetens beslut enligt föreskrifter som meddelats i anslutning till lagen få överklagas till allmän förvaltningsdomstol. Remissinstanserna: Kammarrätten i och Förvaltningsrätten i anser att det bör klargöras att tillsynsmyndigheten är motpart om dess beslut överklagas. Skälen för regeringens förslag En överklagandebestämmelse bör tas in i den nya lagen Enligt 42 § förvaltningslagen (2017:900) får ett beslut överklagas av den som beslutet angår, om det har gått honom eller henne emot. Enligt 51 § första stycket personuppgiftslagen får tillsynsmyndighetens beslut, med undantag av beslut om föreskrifter, överklagas till allmän förvaltnings- domstol. Bestämmelsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 13 och 6 kap. 4 § 1 polisdatalagen. Om en myndighets befogenheter regleras i en författning bör det som huvudregel av samma författning framgå om och i så fall hur myndighe- tens beslut kan överklagas. En sådan ordning ger en samlad bild både av vilka befogenheter en myndighet har och hur den som blir föremål för myndighetens beslut kan angripa dem. Regeringen föreslår nu att till- synsmyndighetens befogenheter regleras i den nya lagen (avsnitt 15.1.3). Den nya lagen bör därför även reglera rätten att överklaga tillsynsmyndighetens beslut. En motsvarande bestämmelse finns i 7 kap. 4 § brottsdatalagen. Vilka beslut ska få överklagas? Rätten att överklaga beslut regleras genom bestämmelser i specialför- fattningar och myndighetsinstruktioner. Även om det i en författning an- ges att ett beslut enligt författningen eller ett beslut av en viss myndighet får överklagas, innebär det inte att alla sådana beslut är överklagbara. Överklagbarheten är nämligen begränsad till följd av allmänna principer som har utbildats i rättspraxis (jfr RÅ 2007 ref. 7 och där angivna rättsfall). En myndighets faktiska handlande eller underlåtenhet att handla kan exempelvis inte överklagas. Normalt saknas det också möjlighet att klaga över motiveringen till ett beslut (prop. 1997/98:101 s. 49 f.). En annan begränsning för överklagande är att beslutet inte får ha en alltför obetydlig verkan för parter eller andra. Frågan om överklagbarhet har prövats när det gäller tillsynsmyndighetens beslut enligt personuppgiftslagen, för exempel se och , Personuppgiftslagen, En kommentar, 4:e uppl. 2011, i fortsättningen m.fl. m.fl. s. 549 f. Bestämmelsen i den nya lagen bör med beaktande av det som har sagts och i likhet med dagens reglering ha som utgångspunkt att tillsyns- myndighetens beslut ska kunna överklagas. Av tydlighetsskäl bör det, som Kammarrätten i och Förvaltningsrätten i anför, även framgå av bestämmelsen att tillsynsmyndigheten har ställning som motpart i ett sådant mål hos domstolen (jfr 22 kap. 5 § lagen [2016:1145] om offentlig upphandling). Det kan i vissa fall vara svårt att förutse vilka beslut som går att överklaga.