sou · H8B358 · 2020-09-30 00:00:00 — Det kan i och för sig framstå som naturligt och konsekvent att samma krav på rättssäkerhet vid handläggningen av förvaltnings- ärenden upprätthålls oberoende av om uppgiften utförs av en myn- dighet eller överlämnats för att fullgöras av ett privaträttsligt organ. utredningar har emellertid bedömt att det inte finns tillräck- liga belägg för en ordning helt grundad på FL med samma förfarande- regler för privaträttsliga organ (se bl.a. prop. 2016/17:180 s. 27). är utformade på ett sätt som inte alltid lämpar sig att tillämpas av privaträttsliga organ. Om det för handläggningen av en viss förvaltningsuppgift finns ett särskilt framträdande behov av att säkerställa att lagens förfaranderegler följs, bör detta kunna ske genom särskilda föreskrifter som meddelas för den verksamheten (se prop. 2016/17:180 s. 27). I propositionen Följdändringar till ny förvaltningslag (2017/18:235) bedömde regeringen att hänvisningar till andra bestämmelser i än bestämmelserna om utredningsansvaret i 23 § och om dokumenta- tion av beslut i 31 § inte borde göras i uppräkningar som avser privat- rättsliga organs ärendehandläggning. När det gäller bestämmelsen om utredningsansvaret konstaterade regeringen att det fick förut- sättas att privaträttsliga organ redan vid sin ärendehandläggning ut- redde ärenden som rörde enskilda i den utsträckning som krävdes. Därför ansågs det både lämpligt och rimligt att de privaträttsliga organen skulle vara skyldiga att följa om utred- ningsansvaret. Med hänsyn till rättssäkerhetens krav framstod det enligt regeringen också som angeläget att skyldigheten att doku- mentera skriftliga beslut skulle gälla för de privaträttsliga organen på samma sätt som för myndigheterna.7 I lagrådsremissen En anpassning av bestämmelser om kontroll i livs- medelskedjan till EU:s nya kontrollförordning8 anges att vissa bestäm- melser i FL bör tillämpas när ett organ med delegerade uppgifter, eller en fysisk person som har delegerats uppgifter, utför offentlig kontroll eller annan offentlig verksamhet. För att en överprövande instans ska kunna ta ställning till om ett överklagat beslut är korrekt och för att enskilda ska kunna ta till vara sin möjlighet att överklaga ett beslut bör vissa bestämmelser i tillämpas. Det gäller att ett beslut ska vara motiverat (32 §), att den enskilde ska underrättas om beslutet (33 §) och hur ett överklagande går till (34 §). Vidare anges att bestämmelserna om legalitet, objektivitet och proportionalitet (5 §), partsinsyn (10 §), jäv (16–18 §§), utredningsansvar (23 §), när 7I t.ex. växtskyddslagen (1972:318) föreskrivs att enskilda kontrollorgan ska tillämpa flera av förvaltningslagens bestämmelser (11 a §). Jfr även 7 kap. 10 § lagen om offentliga uppköps- erbjudanden på aktiemarknaden där ett organ med representativa företrädare för näringslivet som utför förvaltningsuppgifter ska tillämpa ett tiotal bestämmelser i förvaltningslagen. 8Europaparlamentets och rådets förordning (EU) 2017/625 om offentlig kontroll och annan offentlig verksamhet för att säkerställa tillämpningen av livsmedels- och foderlagstiftningen och av bestämmelser om djurs hälsa och djurskydd, växtskydd och växtskyddsmedel. man får lämna uppgifter muntligt (24 §), kommunikation (25 §), dokumentation av uppgifter (27 §), dokumentation av beslut (31 §), rättelse av skrivfel och liknande (36 §), samt vem som får överklaga ett beslut (42 §) bör tillämpas. Utredningen har övervägt om det finns behov av att införa dessa bestämmelser i i den nya lagen för de privata kontrollorganens ärendehandläggning. Den lagrådsremiss som hänvisas till ovan avser livsmedelskontroll genom privaträttsliga kontrollorgan på uppdrag av bl.a. . Även om det finns likheter med detta och det nu aktuella området föreligger också skillnader, bl.a. ska det ackre- diterade organet för bedömning av överensstämmelse som verkar i enlighet med EU:s cybersäkerhetsakt följa regler om handläggning enligt vad som anges i internationella standarder. Vidare är cyber- säkerhetscertifieringen frivillig eller obligatorisk och kontrollorganen verkar på en konkurrensutsatt marknad Med hänsyn till att det redan finns en viss ordning för ärende- handläggning genom det europeiska ramverket för cybersäkerhets- certifiering och standarder som ackrediterade organ för bedömning av överensstämmelse ska tillämpa,9 samt då en författningsreglering av privaträttsliga organs ärendehandläggning utifrån FL ska vara motiverad av ett särskilt framträdande behov, bedömer utredningen att det inte föreligger tillräckligt starka skäl att, ut- över en omprövningsskyldighet (se nedan), föreslå en ordning med formaliserade regler för handläggningen hos de privata kontroll- organen. Till detta kommer att det finns möjlighet att vända sig till den nationella myndigheten för cybersäkerhetscertifiering för till- synsåtgärder avseende certifieringen och klaga på fattade beslut (se nedan). vill utredningen framhålla att frågan om ytterligare reglering av ärendehandläggningen hos de privata kontrollorganen bör övervägas när ytterligare erfarenheter erhållits av cybersäkerhets- aktens tillämpning. 9För övrigt gäller förvaltningslagen för CSEC och andra offentliga organ för bedömning av överensstämmelse. Ett privat organ för bedömning av överensstämmelse bör ha en mot- svarande ärendehantering och ett klagomålsförfarande som gäller för ett offentligt organ för bedömning av överensstämmelse och som grundas på bl.a. tillämplig standard för ackreditering av sådana organ.10 I detta sammanhang kan noteras att när det gäller möjlighet till omprövning har FMV/CSEC inrättat ett sådant internt förfarande.11 Det kan noteras att den verksamheten i stor utsträckning grundas på de internationella arrangemangen CCRA respektive MRA samt att denna handläggningsordning kan komma att behöva anpas- sas efter de europeiska ordningar för cybersäkerhetscertifiering som Det kan i detta sammanhang noteras att det i t.ex. fordonslagen (2002:574) finns en regel om att ackrediterade besiktningsorgan ska vidta omprövning i vissa fall. Besiktningsorganen är även skyldiga att rapportera betydelsefulla iakttagelser till föreskrivande myndigheter. Utöver detta föreskriver lagen inget om besiktningsorganens ärende- handläggning. Lagrådet yttrade i prop. 2001/02:130 (s. 189) att det särskilt kunde övervägas huruvida den ordning för omprövning efter klagomål som AB iakttog borde regleras i för- fattning. Bolaget använde nämligen som kvalitetssystem standarden ISO 17020 (tidigare EN45004) som angav möjligheten till ompröv- ning av resultatet av t.ex. en kontrollbesiktning. Regeringen hänvisade till detta kvalitetssystem och framhöll att behovet av andra regler om ärendehandläggning än sådana som angav vad som skulle kontrolleras var relativt litet. I den efterföljande propositionen 2009/10:32 be- farade regeringen emellertid att det inte var möjligt att under den då gällande ordningen ha uppsikt över att besiktningsorganen verkligen tillämpade godtagbara omprövningsmöjligheter, bl.a. då systemet skulle fungera för många olika aktörer och ISO-standardens regler- 10Skyldigheten för organ för bedömning av överensstämmelse (inbegripet testlaboratorier) att inrätta ett klagomålsförfarande är ett vanligt inslag i standarder som används för ackreditering (t.ex. EN-ISO/IEC 17065, EN-ISO/IEC 17021-1 och EN-ISO/IEC 7025). Jfr även p. 19 i bilagan till EU:s cybersäkerhetsakt. Se även den nederländska regeringens utkast till förklaring av lagen om genomförande av cybersäkerhetsakten (MvT Uitvoeringswet Cyberbeveiligings- verordening), s. 10, . Motsvarande notering har gjorts av det nederländska Mini- steriet för Ekonomi och Klimatpolitik i sina överväganden till förslaget till ny nationell lag om genomförandet av EU:s cybersäkerhetsakt, som man finner att civilrätt gäller för bedömningsorganens hantering av klagomål. Någon författningsreglering av klagomålsförfaran- det vid organen för bedömning av överensstämmelse föreslogs därför inte. 11Till en början dokumenterar och utreder certifieringsorganet alla klagomål mot dess certifi- eringsaktiviteter. ing av omprövningsmöjligheten var ganska vag och övergripande till sin karaktär (s. 73). Man ansåg därför att det fanns ett starkt behov av att författningsreglera en omprövningsskyldighet, utformad med ledning av förvaltningslagen. Mot den bakgrunden, och då ärenden avseende cybersäkerhets- certifiering är av mycket teknisk karaktär, får behovet, som ovan framgår, av formella regler om ärendehandläggningen i dessa fall minska (jfr prop. 2001/02:130 s. 93). Det finns dock skäl att i för- fattning reglera de ackrediterade bedömningsorganens skyldighet att ompröva ett tidigare beslut i ett certifieringsärende. En enskild bör därför ges möjlighet att i första hand få organen för bedömning av överensstämmelse att ompröva beslutet. Den regel om omprövnings- skyldighet som behövs kan lämpligen utformas med ledning av den generella regeln om omprövningsskyldighet som finns i förvalt- ningslagen. Enligt 38 § i den lagen ska en myndighet ändra ett beslut som den har meddelat som första instans om den anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anled- ning, och beslutet kan ändras snabbt och enkelt och utan att det blir till nackdel för någon enskild part.12 Enligt artikel 63.1 i EU:s cybersäkerhetsakt ska fysiska och juridiska personer ha rätt att lämna in klagomål till utfärdaren av ett europeiskt cybersäkerhetscertifikat eller till den berörda nationella myndig- heten för cybersäkerhetscertifiering. Myndigheten eller organet till vilket klagomålet lämnats in ska underrätta den klagande om hur förfarandet fortskrider och beslut som fattas (se artiklarna 58.7 f och 63.2). Vidare ska klaganden informeras om sin rätt till effektiva rätts- medel enligt artikel 64. 12Skyldigheten för en myndighet att ändra ett beslut gäller inte om det föreligger särskilda skäl mot det, t.ex. då en myndighet kommer fram till att ett överklagat beslut är oriktigt bara på en av flera punkter och att den punkten är mindre betydelsefull i sammanhanget. Det förhållandet att bara väsentliga oriktigheter behöver beaktas innebär att myndigheterna ges stöd för att avstå från att besluta om ändring i dessa fall (se prop. 1985/86:80 s. 79 och prop. 2016/17:180 s. 236). Enskilda ska enligt artikel 64 ha rätt till ett effektivt rättsmedel inför behörig nationell domstol mot den myndighet eller det organ som nämnts ovan och som fattat ett beslut, samt när det gäller underlåtenhet att vidta åtgärder med anledning av ett klagomål som lämnats in till myndigheten eller organet. Enligt utredningsdirektiven torde rätten till effektiva rättsmedel beträffande den nationella cybersäkerhetscertifieringsmyndighetens befogenheter i artikel 58.8 för svensk del bäst tillgodoses genom en rätt för enskilda att överklaga myndighetens tillsynsbeslut till allmän förvaltningsdomstol. I direktiven anges att bestämmelserna i de ovanstående frågorna behöver bli föremål för närmare analys, bl.a. i vilken utsträckning det behövs kompletterande bestämmelser till rättsmedel för enskilda som regleras i EU:s cybersäkerhetsakt och vad avser utövandet av den nationella cybersäkerhetscertifieringsmyndighetens tillsynsbefogen- heter. Utredningen behandlar dessa frågor dels i ett avsnitt som rör frågan om klagomål, dels i ett avsnitt som behandlar frågan om över- klagande av beslut. Bedömning: Det behövs ingen särskild författningsreglering av certifieringsorganens handläggning av klagomål. Enskildas rätt att enligt artikel 63.1 i EU:s cybersäkerhetsakt lämna in klagomål till utfärdaren av ett europeiskt cybersäker- hetscertifikat eller den berörda nationella myndigheten för cyber- säkerhetscertifiering kräver inga lagstiftningsåtgärder. Det behövs inga särskilda författningsbestämmelser om hur den nationella myndigheten för cybersäkerhetscertifiering ska behandla klagomål. Utredningen behandlar till en början frågan om det finns behov av kompletterande nationella bestämmelser till regleringen i EU:s cyber- säkerhetsakt om rätten att lämna klagomål till berörda myndigheter och organ för bedömning av överensstämmelse. Därefter tar utred- ningen ställning till om det behövs särskild författningsreglering för handläggningen av inkomna klagomål. Av artiklarna 58.7 f och 63.1 i EU:s cybersäkerhetsakt följer att klagomål som rör EU-försäkringar av överensstämmelse, europeiska cybersäkerhetscertifikat utfärdade av nationella myndigheter för cyber- säkerhetscertifiering och sådana certifikat som utfärdats av organ för bedömning av överensstämmelse i enlighet med artikel 56.6 (dvs. certifikat som avser högsta assuransnivån) ska ges in till den berörda nationella myndigheten för cybersäkerhetscertifiering för behandling. Myndigheten ska då i lämplig utsträckning undersöka det ärende som klagomålet gäller och inom rimlig tid underrätta anmälaren om utvecklingen och resultatet av utredningen. Klagomål ska i övriga fall lämnas till utfärdaren av ett europeiskt cybersäkerhetscertifikat. Även dessa organ för bedömning av överensstämmelse är skyldiga att handlägga inkomna klagomål (se artikel 63.2). Med klagomål avses vanligen missnöje som uttrycks av enskilda och som inte avser överklagande eller någon annan formellt reglerad åt- gärd. Syftet med en klagomålsfunktion är dels att skapa tilltro, dels att säkerställa att det finns en fristående instans som den som anser sig vara utsatt för felaktig behandling kan vända sig till med klago- mål. Klagomål lämnas vanligen till en tillsynsmyndighet. Att en- skilda kan framföra klagomål till en tillsynsmyndighet är ägnat att öka förtroendet för och därmed legitimiteten i den verksamhet som tillsynen avser. Utredningen anser att begreppet anmälan i och för sig i stället för klagomål i vissa fall tydligare skulle särskilja förfarandet från över- klagande. I den fortsatta framställningen används emellertid begrep- pet klagomål då detta används i EU:s cybersäkerhetsakt, även om den som ger in klagomål beskrivs inte bara som ”den klagande” utan även som ”anmälaren”. Någon nyansskillnad mellan begreppen klago- mål och anmälan är – såvitt kan förstås – dock inte avsedd. Med en- skild förstås för övrigt fysisk eller juridisk person. Rätten att ge in klagomål kan även ses som ett rättsmedel. Vad den enskilde kan uppnå genom att ge in ett klagomål skiljer sig från vad denne kan uppnå genom en domstolsprövning och kan inte jäm- ställas med rätten att överklaga ett beslut fattat av berörd myndighet eller organ för bedömning av överensstämmelse. och 63 i EU:s cybersäkerhetsakt bör därför inte ges någon annan innebörd än att en fysisk eller juridisk person ska tillförsäkras en rätt att framföra klagomål till, i tillämpliga fall, den nationella myndig- heten för cybersäkerhetscertifiering eller utfärdaren av ett europeiskt cybersäkerhetscertifikat. Uppgiften för behöriga nationella myndigheter för cybersäker- hetscertifiering att enligt artikel 58.7 f ”behandla” relevanta klagomål inbegriper, som berörts ovan, viss handläggning. Denna handlägg- ningsskyldighet beskrivs alltså något mer preciserat än klagomåls- hanteringen enligt artikel 63.2. I avsnitt 14.2.2 nedan redogör utred- ningen för relevanta nationella bestämmelser om handläggning av klagomål. Det kan noteras att de europeiska ordningarna för cybersäker- hetscertifiering också kan antas behandla frågor om hantering av klagomål. T.ex. förskriver den föreslagna EUCC-ordningen att övervakning av överensstämmelse mellan en IKT-tillverkares eller leverantörs ansökan och kraven i aktuellt cybersäkerhetscertifikat ska ske bl.a. genom möjligheten att hantera klagomål. Vidare anger ordningen att underlåtenhet att fullgöra skyldigheterna enligt EU:s cybersäkerhetsakt att hantera av klagomål kan medföra en avvikelse från gällande reglering (se s. 39 i utkastet till EUCC). Dessutom ska noteras att mekanismen för inbördes granskning bl.a. ska utbyta bästa praxis om hanteringen av klagomål (se kapitel 13). Närmare om gällande reglering Som framgår ovan gäller FL för myndigheternas handläggning av ärenden, inbegripet klagomålsärenden, i den mån det europeiska ram- verket inte reglerar frågan. När det gäller klagomålshantering kan konstateras att EU:s cybersäkerhetsakt innehåller handläggnings- regler som ska följas av såväl den nationella myndigheten för cyber- säkerhetscertifiering som offentliga och privata organ för bedömning av överensstämmelse. Dessutom torde ytterligare sådana förfarande- regler kunna tillkomma inom det europeiska ramverket för cyber- säkerhetscertifiering. Vidare kan noteras att handläggningsförfaran- det enligt cybersäkerhetsakten uppvisar flera likheter med FL i fråga om utredningsansvar, skyndsamhetskrav och underrättelseskyldig- het (jfr artiklarna 58.7 f och 63.2). Den nationella myndigheten för cybersäkerhetscertifiering har alltså inte någon skyldighet grundat på klagomålet att vidta tillsyns- åtgärder eller att alltid närmare undersöka sakförhållandena. Tvärt- om har tillsynsmyndigheten enligt cybersäkerhetsakten, precis som enligt svensk tillsynstradition, ett tydligt utrymme att själv avgöra vilka tillsynsärenden som ska drivas och på vilket sätt det ska ske. Det framgår inte heller uttryckligen av cybersäkerhetsakten att till- synsmyndigheten måste fatta ett formellt beslut i varje klagomåls- eller tillsynsärende. Följaktligen finner utredningen ingen anledning att föreslå kom- pletterande bestämmelser om myndigheternas klagomålshantering. En skillnad är emellertid att en tillsynsmyndighets beslut att inte vidta någon åtgärd med anledning av ett klagomål inte är överklagbart enligt svensk rättspraxis (RÅ 2010:29), medan cybersäkerhetsakten ger enskilda rätt till effektiva rättsmedel även avseende underlåten- het att vidta åtgärder med anledning av ett klagomål (artikel 64.1 b). Frågan om överklagande behandlas närmare i nästa avsnitt. Även om FL inte är tillämplig på de privata kontrollorganens hand- läggning av ansökningar om utfärdande av cybersäkerhetscertifikat och andra ärenden skiljer sig dessa organs praktiska hantering av klagomål dock inte i någon större utsträckning från vad som bör gälla för en myndighet. EU:s cybersäkerhetsakt nämner emellertid inte rätten till omprövning uttryckligen. Det ska noteras att ett klagomål för rättelse av ett organs beslut i fråga om certifikat kan röra enskildas rättigheter och skyldigheter och därför myndighetsutövning. Lagen (1986:1142) om överklagande av beslut av enskilda organ med offentliga förvaltnings- uppgifter blir därför tillämplig (se avsnitt 11.4.3). Vidare ger rätten till klagomål enligt artikel 63 i EU:s cyber- säkerhetsakt möjligheten att genom en anmälan uppmärksamma den nationella myndigheten för cybersäkerhetscertifiering på upplevda felaktigheter i handläggningen av en ansökan eller annat förfarande vid ett sådant organ, vilket ger en klagande möjlighet att få sitt klago- mål prövat även som ett tillsynsärende vid den myndigheten. Dessa möjligheter får, sammantaget med den ovan föreslagna omprövnings- skyldigheten,13 anses utgöra tillräcklig reglering för att en klagande ska kunna tillvarata sin rätt. 13Det kan noteras att omprövning t.ex. kan komma i fråga efter klagomål. Av artikel 64 i EU:s cybersäkerhetsakt ska enskilda ges rätt till effektiva rättsmedel inför domstol som kan inbegripa överklagande av beslut fattade av såväl en nationell myndighet som organ för be- dömning av överensstämmelse, även i fråga om underlåtenhet att vidta åtgärder med anledning av ett klagomål. I viss utsträckning kan dock även en formell rätt till omprövning anses utgöra ett effektivt rättsmedel. Sammantaget bedömer utredningen att ytterligare för- slag om reglering av klagomålshanteringen inte är motiverade. Förslag: Beslut enligt EU:s cybersäkerhetsakt och motsvarande europeiska ordningar för cybersäkerhetscertifiering, den nya lagen eller föreskrifter som meddelats i anslutning till lagen ska kunna överklagas till allmän förvaltningsdomstol. Detta gäller även för beslut som fattas av privata organ för bedömning av överens- stämmelse. Prövningstillstånd ska krävas vid överklagande till kammar- rätten. Rätt till överklagande enligt artikel 64.1 I artikel 64.1 i EU: cybersäkerhetsakt anges att enskilda ska ha rätt till effektiva rättsmedel avseende beslut som har fattats av en myn- dighet för cybersäkerhetscertifiering eller det organ för bedömning av överensstämmelse som avses i artikel 63.1 eller om myndigheten eller organet underlåter att vidta en åtgärd med anledning av ett klagomål enligt artikel 63.1. Som exempel på beslut anges beslut som innebär felaktigt utfärdande eller icke-utfärdande av europeiska cybersäkerhetscertifikat eller erkännande av ett sådant certifikat som innehas av fysiska eller juridiska personer. Av artikel 64.2 framgår, i den svenska versionen av EU:s cyber- säkerhetsakt, att förfaranden enligt artikeln ska inledas vid domsto- larna i den medlemsstat där myndigheten eller organet som det rätts- medlen avser är beläget. I den engelska versionen uttrycks samma bestämmelse enligt följande: “Proceedings pursuant to this Article shall be brought before the courts of the in which the authority or body against which the judicial remedy is sought is located.” Utredningen kan notera att innebörden av vad som anges skiljer sig åt på så sätt att enligt den svenska översättningen ska ett förfa- rande inledas vid domstolarna medan tolkningen av den engelska översättningen snarare ger vid handen att ett förfarande ska väckas vid en domstol. Den svenska översättningen ger såldes intryck av att ett överklagande måste inledas medan den engelska lydelsen kan tolkas som att en talan ska ske vid en domstol, dvs. ger utrymme för att ett beslut först kan överklagas till en myndighet och att den klagande sedan får överklaga den myndighetens beslut till en dom- stol i medlemsstaten. Utredningen anser att tolkningen av den engelska lydelsen är mer förenlig med vad som rimligen bör avses med innebörden av begreppet ”rätt till effektiva rättsmedel” och lägger därför denna tolkning till grund för fortsatta överväganden om hur kravet på rätt till effektiva rättsmedel kan tillgodoses. De beslut av en myndighet och organ för bedömning av överens- stämmelse som – enligt utredningens bedömning – främst kan komma ifråga är beslut efter ansökan om att utfärda ett europeiskt cybersäkerhetscertifikat enligt artikel 56.4–6 eller att avslå en sådan ansökan, t.ex. på grund av att IKT-produkten inte bedöms möta kraven i det europeiska ramverket för cybersäkerhetscertifiering. Ett sådant beslut kan meddelas av antingen den nationella myndigheten för cybersäkerhetscertifiering eller ett offentligt eller privat organ för bedömning av överensstämmelse. Även beslut om vidmakthåll- ande av ett sådant certifikat eller att återkalla certifikatet kan bli aktuellt. Även beslut av tillsynsmyndigheten om t.ex. föreläggande vid vite att vidta åtgärder eller om återkallelse av certifikat kan bli aktuella. Frågan uppkommer om alla beslut som fattas av en myndighet eller av ett organ för bedömning av överensstämmelse bör kunna överklagas av den det berör och, i sådana fall, hur instansordningen bör utformas för att möta kraven i artikel 64 på effektiva rättsmedel. I denna fråga gör utredningen följande övervägande. I artikel 64.1 a EU:s cybersäkerhetsakt föreskrivs att fysiska och juridiska personer, utan att det påverkar administrativa rättsmedel eller andra prövningsförfaranden utanför domstol, ska ha rätt till effektiva rättsmedel avseende beslut som fattas av den myndighet eller det organ som avses i artikel 63.1, t.ex. när besluten avser ett felaktigt utfärdande, icke-utfärdande eller erkännande av ett euro- peiskt cybersäkerhetscertifikat.14 Motsvarande rätt gäller avseende underlåtenhet att vidta åtgärder med anledning av ett klagomål som lämnats in till myndigheten eller organet (punkten b).