Det här är en opinionstext. Åsikter som uttrycks är skribenternas egna.

Sammanfattning 

Den 1 december 2021 infördes nya bestämmelser i säkerhetsskyddslagen, vilka gav tillsynsmyndigheterna mandat att ta ut administrativa sanktionsavgifter av verksamhetsutövare som inte uppfyller de väsentliga skyldigheterna i säkerhetsskyddslagstiftningen. En sanktionsavgift får endast beslutas för överträdelser som skett efter ikraftträdandet av bestämmelserna. Beloppsintervallen ligger mellan 25 000 kr och 50 000 000 kr, men för statliga myndigheter, kommuner och regioner gäller maxbeloppet 10 000 000 kr. 

Ett beslut om sanktionsavgift kan överklagas till Förvaltningsrätten i Stockholm. Förvaltningsrättens dom kan överklagas till kammarrätten men kräver prövningstillstånd. Överklagande av kammarrättens dom förutsätter prövningstillstånd i Högsta förvaltningsdomstolen. 

Jag har begärt ut uppgifter från Förvaltningsrätten i Stockholm om domstolens samtliga pågående eller avslutade mål som gäller sanktionsavgift enligt säkerhetsskyddslagen. I det följande ges en sammanfattning av dessa mål samt mina kommentarer till respektive ärende. Sammanställningen är uppdaterad till och med september 20231. 

5 Post- och telestyrelsens beslut 2023-02-16 i ärende 22–11253, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 1-23. 

6 Post- och telestyrelsens beslut 2023-04-25 i ärende 23-1722, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 4-23. 

Telia Sverige AB2

I september 2021 beslutade PTS, efter begäran av Telia, om placering i säkerhetsklass 3 avseende Telias signalskyddspersonal. I augusti 2022 inledde PTS tillsyn över Telias säkerhetsskydd, där det framkom att Telia saknade aktiva registerkontroller med kontrollorsak signalskyddspersonal. Signalskyddspersonalen var redan föremål för 

registerkontroll med grund i säkerhetsskyddsavtal, d.v.s. de var säkerhetsprövade avseende deltagande i annan aktörs säkerhetskänsliga verksamhet. 

PTS fann att de aktuella personerna hade varit verksamma i Telias säkerhetskänsliga verksamhet utan att vara behöriga. Att registerkontrollen inte genomförts mot korrekt kontrollorsak hade kunnat leda till att Säkerhets- och integritetsskyddsnämnden (SIN) gjort en annan bedömning i fråga om att lämna ut eventuella utfall för säkerhetsprövning. PTS ansåg att Telia genom överträdelsen hade orsakat en sårbarhet för Sveriges säkerhet som hade kunnat leda till åtminstone en icke obetydlig skada för Sveriges säkerhet. Att andra aktörer genomfört säkerhetsprövning inklusive registerkontroll avseende deltagande i den aktörens säkerhetskänsliga verksamhet medförde ingen annan bedömning. Sanktionsavgiften bestämdes till 15 000 0000 kr. 

Telia har överklagat beslutet och gör gällande att deras signalskyddsverksamhet inte har ingått i bolagets säkerhetskänsliga verksamhet utan i Telias kunders säkerhetskänsliga verksamhet. Telia menar vidare att sårbarhetsbedömningen ska utgå från de faktiska omständigheterna och att PTS inte har visat att den använda kontrollorsaken har inneburit någon ökad sårbarhet för Sveriges säkerhet i förhållande till om kontrollorsaken varit signalskyddspersonal. 

I sitt yttrande till förvaltningsrätten gör PTS en jämförelse med kammarrättsdomen mot VA SYD och menar att Telias verksamhet har större betydelse för Sveriges säkerhet än VA SYD:s eftersom Telia är en rikstäckande tillhandahållare av tjänster i en bransch där enligt Säkerhetspolisen risken för spioneri och sabotage är särskilt hög och för att det är fråga om just signalskyddstjänst. PTS pekar även på att Telia är ett avsevärt mycket större företag än VA SYD. 

Kommentar 

I likhet med Telenor-ärendet gör Telia gällande att det inte endast ska ske en prövning av de formella överträdelserna, men skillnaden här är att Telia vill få prövat om den underlåtna registerkontrollen har medfört en faktisk inverkan på sårbarheten för Sveriges säkerhet. 

I sanktionsbeslutet lägger PTS stor vikt vid den felaktiga kontrollorsaken och menar att det funnits risk för att ett s.k. spontanutfall inte skulle ha kommit till Telias kännedom eftersom SIN beslutar om utlämnande utifrån den aktuella kontrollorsaken. Visserligen skulle ett utfall redovisas till Telias motpart eftersom personerna var föremål för säkerhetsprövning för deltagande i den aktörens verksamhet, men om ett sådant utfall skulle medföra att personen inte längre bedömdes lämplig skulle det med säkerhet komma till Telias kännedom. Även om Telia inte skulle få vetskap om utfallets innehåll torde den konstaterade olämpligheten medföra att personen inte heller ansågs lämplig att delta i signalskyddsorganisationen. Vidare framstår det som ett långsökt resonemang att SIN skulle göra en helt annan bedömning i fråga om utlämnande om kontrollorsaken hänförde sig till signalskydd i stället för säkerhetsskyddsavtalet. Men till skillnad från Telenor-fallet rör det sig här om en formellt konstaterbar underlåtelse att ansöka om registerkontroll för personer som enligt verksamhetsutövaren själv deltar i en verksamhet som enligt Försvarsmaktens föreskrifter är av betydelse för Sveriges säkerhet3. 

Pajala, Sorsele och Strömsunds kommuner4

8 Länsstyrelsen i Norrbottens läns beslut 2023-06-13 i ärende 15195-2022, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 6-23 (Pajala kommun). Länsstyrelsen i Norrbottens läns beslut 2023-06-13 i ärende nr 15196-2022, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 7-23 (Sorsele kommun). Länsstyrelsen i Norrbottens läns beslut 2023-06-13 i ärende nr 15198-2022, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 8-23 (Strömsund kommun). 

I december 2022 inledde Länsstyrelsen i Norrbotten tillsyn mot Pajala, Sorsele och Strömsunds kommuner genom att tillsända varje kommun en enkät som skulle besvaras inom en vecka. Enkäten innehöll 16 frågor angående kommunens säkerhetsskyddsarbete att besvaras med ja eller nej. Nedan bild är ett urklipp från enkäten för att illustrera dess utformning. Länsstyrelsen i Norrbotten har bedömt att kommunernas svar på enkäten omfattas av sekretess. 

Med enkätsvaren som grund beslutade länsstyrelsen att påföra samtliga tre kommuner en sanktionsavgift för överträdelser av säkerhetsskyddslagstiftningen. Till varje beslut finns en ”sekretessbilaga”, där merparten av uppgifterna har maskerats. Av de omaskerade uppgifterna i bilagorna framgår att länsstyrelsen har bedömt att kommunerna genom bristande säkerhetsskyddsåtgärder har ”orsakat en sårbarhet för Sveriges säkerhet, vilket kan leda till allvarliga konsekvenser”. Vilka överträdelser det är fråga om framgår dock inte av de maskerade handlingarna. Sanktionsavgifterna bestämdes till 1 750 000 kr (Pajala kommun), 2 000 000 kr (Sorsele kommun) och 1 500 000 kr (Strömsund kommun). 

Samtliga tre kommuner har överklagat besluten. I Pajala och Sorsele kommuners överklaganden framförs att kommunerna tidigare anmält att de bedriver säkerhetskänslig verksamhet men att man numera kommit fram till att så inte är fallet. De enda säkerhetskyddsklassificerade uppgifter, samtliga i säkerhetsskyddsklassen begränsat hemlig, 

som återfinns hos kommunerna är sådana som är kopplade till den signalskyddsutrustning som tillhandahålls av länsstyrelsen. Signalskyddsutrustningen ska anses som en del av länsstyrelsens verksamhet, för vilken länsstyrelsen ansvarar. 

Kommentar 

Länsstyrelsen i Norrbottens län är en av de tillsynsmyndigheter som fick sitt tillsynsuppdrag samtidigt som ikraftträdandet av sanktionsbestämmelserna, d.v.s. den 1 december 2021. Sanktionssystemet infördes som ett komplement till tillsynsmyndigheternas möjlighet att meddela vitessanktionerade åtgärdsförelägganden5. I förarbetena ges exemplet att det vid upprepade, uppsåtliga eller av andra skäl särskilt allvarliga överträdelser kan vara lämpligare att ingripa med sanktionsavgift än med åtgärdsföreläggande6. 

9 Prop. 2020/21:194 s. 90.

10 Prop. 2020/21:194 s. 89 f.

11 Prop. 2020/21:194 s. 89. 

12 Kammarrätten i Stockholms dom den 16 maj 2022 i mål 4548-21. 

13 2 kap. 7 § säkerhetsskyddslagen (2018:585). 

14 Offentlighets- och sekretesslagen (2009:400). 

En sanktionsavgift är till skillnad från åtgärdsförelägganden i huvudsak en tillbakaverkande sanktion som är handlingsdirigerande genom att verka avskräckande7. Sanktionsavgiftens straffliknande karaktär ställer därför höga krav på rättssäkerhet. Kammarrätten i Stockholm har i ett mål om sanktionsavgifter enligt dataskyddsförordningen konstaterat att beslut om sanktionsavgift har en straffrättslig karaktär varför beviskravet av rättssäkerhetsskäl bör ställas högt; det ska klart framgå att förutsättningarna för att besluta om sanktionsavgift är uppfyllda8. 

Det är tillsynsmyndigheten som har bevisbördan för att visa att det klart framgår att förutsättningarna för att besluta om sanktionsavgift är uppfyllda. Att grunda ett beslut på enkätsvar utifrån ja/nej-frågor måste ses som anmärkningsvärt utifrån de rättssäkerhetskrav som redogjorts för ovan. Enkäten innehåller avgränsade frågor såsom ”Har personalen som arbetar med säkerhetskänslig verksamhet utbildning inom säkerhetsskydd?”, men saknar till exempel frågor om säkerhetsprövning eller registerkontroller. En annan fråga är om chefen för verksamheten har personalansvar för säkerhetsskyddschefen, vilket är svårt att få ihop med lagtextens krav på att säkerhetsskyddschefen ska vara direkt underställd chefen/ledningen9. Mot denna bakgrund är det svårt att förstå hur enkätsvaren som sådana skulle kunna utgöra ett tillräckligt robust underlag så att det klart framgår att en sanktionsavgift ska påföras och till vilken storlek. 

Det kan vidare konstateras att det är stor skillnad i sekretessbedömningarna mellan de mål som redogjorts för här. Exempelvis framgår av Telenor-målet att det var fråga om bristande säkerhetsprövning av 24 personer i åtta månader, medan Länsstyrelsen i Norrbottens län har bedömt att de överträdelser som legat till grund för sanktionsbesluten i sin helhet omfattas av sekretess. Länsstyrelsen har angett att beslutsbilagorna omfattas av sekretess enligt 15 kap. 2 § och 18 kap. 8 § OSL10, men vad gäller åberopad sekretess enligt 15 kap. 2 § OSL är handlingarna varken försedda med en sådan sekretesstämpel eller en klassificering enligt säkerhetsskyddslagstiftningens bestämmelser om säkerhetsskyddsklassificerade uppgifter. 

Trots de kraftigt maskerade besluten framgår av överklagandena att målen synes gälla kommunernas signalskyddsutrustning. Förvaltningsrättens kommande avgörande blir därför intressant för frågan om små kommuner ska anses bedriva säkerhetskänslig verksamhet endast på grund av signalskyddsutrustning som tillhandahållits av länsstyrelsen. 

Stockholms tingsrätt11 

På fråga till Förvaltningsrätten i Stockholm om det förutom de mål som redovisats ovan finns andra pågående eller avslutade mål hos domstolen gällande sanktionsavgift enligt säkerhetsskyddslagen, har domstolen hänvisat till detta mål. Partsinlagorna i målet har bedömts omfattas av sekretess, med undantag för en överklagandehandling som till betydande del har maskerats. Av överklagandet framgår att Stockholms tingsrätt har överklagat ett beslut av Säkerhetspolisen. På begäran till Säkerhetspolisen om att få ta del av det överklagade beslutet har en maskerad beslutshandling lämnats ut, men av beslutet framgår inte annat än att det avser ”beslut efter tillsyn enligt säkerhetsskyddslagen”. På förnyad fråga till Säkerhetspolisen om beslutet avser en sanktionsavgift, erhölls svaret att ”huruvida den utlämnande handlingen avser meddelande om sanktionsavgift omfattas av sekretess”. 

Kommentar 

Malin Arentoft, jurist

Säkerhetspolisens beslut har stämplats med säkerhetsskyddsklassen begränsat hemlig och Stockholms tingsrätts överklagandehandling har klassats som konfidentiell. Trots detta är det märkligt att Säkerhetspolisen anser att själva uppgiften om beslutet rör en sanktionsavgift omfattas av sekretess, när förvaltningsrätten på fråga uppgett att så är fallet. Vidare kan det ifrågasättas om ett utlämnande av beloppets storlek kan antas skada landets försvar eller på annat sätt vålla fara för rikets säkerhet. 

Den första delen av sammanfattningen hittar du här.

  1. Notera att det kan finnas sanktionsbeslut som har beslutats av tillsynsmyndigheterna men som inte har överklagats till förvaltningsrätten. ↩︎
  2. Post- och telestyrelsens beslut 2023-04-25 i ärende 23-1722, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 4-23. ↩︎
  3. Enligt Försvarsmaktens föreskrifter om signalskyddstjänsten är ett signalskyddssystem av betydelse för Sveriges säkerhet (FFS 2021:1 1 kap. 7 §). ↩︎
  4. Länsstyrelsen i Norrbottens läns beslut 2023-06-13 i ärende 15195-2022, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 6-23 (Pajala kommun). Länsstyrelsen i Norrbottens läns beslut 2023-06-13 i ärende nr 15196-2022, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 7-23 (Sorsele kommun). Länsstyrelsen i Norrbottens läns beslut 2023-06-13 i ärende nr 15198-2022, överklagat till Förvaltningsrätten i Stockholm, mål nr SM 8-23 (Strömsund kommun). ↩︎
  5. Prop. 2020/21:194 s. 90. ↩︎
  6. Prop. 2020/21:194 s. 89 f. ↩︎
  7. Prop. 2020/21:194 s. 89. ↩︎
  8. Kammarrätten i Stockholms dom den 16 maj 2022 i mål 4548-21. ↩︎
  9. 2 kap. 7 § säkerhetsskyddslagen (2018:585). ↩︎
  10. Offentlighets- och sekretesslagen (2009:400). ↩︎
  11. Säkerhetspolisens beslut 2023-01-16 i ärende nr 2022-11564-9, överklagat till Förvaltningsrätten i Stockholm, mål nr 2638-23. ↩︎
  • #säkerhestskyddslagen
  • #sanktionsavgift

Aktuell Säkerhet jobbar för alla som vill göra säkrare affärer och är därför en säker informationskälla för säkerhetsansvariga inom såväl privat som statlig och kommunal sektor. Vi strävar efter förstahandskällor och att vara på plats där det händer. Trovärdighet och opartiskhet är centrala värden för vår nyhetsjournalistik

Sponsrat innehåll från Stratsys
ANNONS

NIS2 – brandkårsinsats eller affärsvärde?

NIS2 och Cybersäkerhetslagen ställer informationssäkerheten på sin spets. Nu blir ledningen direkt ansvarig. Frågan är inte längre vad [...]