1.    Inledning

Den 1 december 2021 infördes bestämmelser i säkerhetsskyddslagen (2018:585) som gav tillsynsmyndigheterna mandat att ta ut administrativa sanktionsavgifter av verksamhetsutövare som inte uppfyller de väsentliga skyldigheterna i säkerhetsskyddslagstiftningen. Beloppsintervallen ligger mellan 25 000 kr och 50 000 000 kr, men för statliga myndigheter, kommuner och regioner gäller maxbeloppet 10 000 000 kr.

Ett beslut om sanktionsavgift kan överklagas till Förvaltningsrätten i Stockholm. Förvaltningsrättens dom kan överklagas till kammarrätten men kräver prövningstillstånd. Överklagande av kammarrättens dom förutsätter prövningstillstånd i Högsta förvaltningsdomstolen.

För ett år sedan gjorde jag en sammanställning över vilka pågående och avslutade domstolsärenden som fanns gällande sanktionsavgifter enligt säkerhetsskyddslagen[1]. Vad har då hänt sedan dess? I det följande ges en kortfattad sammanfattning av det senaste årets domar och beslut samt några avslutande kommentarer. Sammanställningen är uppdaterad till och med september 2024[2].

2.   Telenor

Telenor hade inte hade ansökt om placering i säkerhetsklass för vissa befattningar som enligt bolagets säkerhetsskyddsanalys skulle vara placerade i säkerhetsklass 3 (däribland säkerhetsskyddschefen). PTS bestämde sanktionsavgiften till 12 500 000 kr. Telenor överklagade beslutet och gjorde gällande att det i efterhand visat sig att bolaget gjort en alltför extensiv tolkning i sin tidigare säkerhetsskyddsanalys och att ingen av de aktuella befattningarna rätteligen skulle ha placerats i säkerhetsklass.

Enligt förvaltningsrätten har det ålegat Telenor att så länge den tidigare analysen gällde ansöka om placering i säkerhetsklass och anmäla personer till registerkontroll. En ny säkerhetsskyddsanalys kunde alltså inte ges retroaktiv verkan. Då flertalet av personerna ändå varit föremål för andra personalsäkerhetsåtgärder ansågs den uppkomna sårbarheten inte betydande. Sanktionsavgiften sänktes till 2 000 000 kr[3].

3.   Stockholms tingsrätt

Säkerhetspolisen påförde Stockholms tingsrätt en sanktionsavgift om 7 000 000 kr eftersom tingsrätten saknade en säkerhetskyddsanalys. Förvaltningsrätten ansåg det förmildrande att tingsrätten ändå haft rutiner och åtgärder för sitt säkerhetsskyddsarbete samt att det numera fanns en dokumenterad säkerhetsskyddsanalys. Sanktionsavgiften sänktes till 2 500 000 kr[4].

4.   Telia

Vid tillsyn framkom att Telia saknade aktiva registerkontroller med rätt kontrollorsak för sin signalskyddspersonal (signalskyddspersonalen var redan föremål för registerkontroll av aktörer som Telia ingått säkerhetsskyddsavtal med). PTS bestämde sanktionsavgiften till 15 000 0000 kr.

Förvaltningsrätten konstaterade att användandet av signalskyddssystem är i sig en säkerhetskänslig verksamhet som omfattas av säkerhetsskyddslagens krav. Då Telia inte genomfört registerkontroller med kontrollorsak signalskyddstjänst var personalen obehöriga att delta i den säkerhetskänsliga verksamheten. Överträdelsen bedömdes allvarligare än i Telenor-målet och sanktionsavgiften bestämdes till 10 000 000 kr[5].

5.   Pajala, Sorsele och Strömsunds kommuner

Länsstyrelsen i Norrbotten beslutade om sanktionsavgifter mot Pajala, Sorsele och Strömsunds kommuner efter en tillsyn som bestod i besvarande av en enkät. Sanktionsavgifterna bestämdes till 1 750 000 kr (Pajala), 2 000 000 kr (Sorsele) och 1 500 000 kr (Strömsund).

Pajala och Sorsele gjorde i förvaltningsrätten gällande att kommunerna inte bedriver säkerhetskänslig verksamhet. Förvaltningsrätten konstaterade att kommunerna deltar i Sveriges totalförsvarsplanering och omfattas av lagen (2006:544) om kommuners och regioners åtgärder inför och vid extra ordinära händelser i fredstid och höjd beredskap. Kommunerna hade dessutom tillgång till signalskyddssystem. Mot denna bakgrund ansågs kommunerna bedriva säkerhetskänslig verksamhet. Med hänsyn till att ”det rör sig om en relativt ny lagstiftning inom ett på många sätt komplicerat rättsområde” i kombination med kommunernas ringa storlek sänktes sanktionsavgiften till 1 250 000 kr.

Strömsunds kommun, som inte ifrågasatt att kommunen omfattades av säkerhetsskyddslagen, hade enligt tillsynsmyndigheten inte uppfyllt kravet på en säkerhetsskyddsplan. Förvaltningsrätten halverade sanktionsavgiften till 750 000 kr[6].

6.   Kalmar kommun

Länsstyrelsen i Skåne beslutade att Kalmar kommun skulle betala 800 000 kr i sanktionsavgift eftersom kommunen inte hade en säkerhetsskyddsanalys som uppfyllde kraven i säkerhetsskyddslagen och Säkerhetspolisens föreskrifter om säkerhetsskydd (PMFS 2022:1). Kalmar kommun gjorde gällande att det numera fanns en säkerhetsskyddsanalys och att kommunen arbetat aktivt för att få denna på plats.

Förvaltningsrätten delade tillsynsmyndighetens bedömning att de handlingar som upprättats inte utgjorde en fullgod säkerhetsskyddsanalys. Med hänsyn till att överträdelsen avsåg en central skyldighet och att den pågått i drygt två år, ansågs sanktionsavgiften om 800 000 kr väl avvägd [7].

7.    Överklagade men ännu ej avgjorda ärenden

7.1.        Göteborgs stad

Länsstyrelsen i Västra Götaland påförde Göteborgs stad en sanktionsavgift om 5 000 000 kr. Av det sekretessmarkerade beslutet framgår att tillsynsmyndigheten tidigare påtalat att kommunens säkerhetsskyddsorganisation inte är förenlig med säkerhetsskyddslagstiftningen och att beslutet grundas på bestämmelserna om säkerhetsskyddsanalys respektive säkerhetsskyddschefens roll, ansvar och placering[8].

7.2.       Lessebo kommun

Länsstyrelsen i Skåne beslutade att Lessebo kommun skulle betala 400 000 kr i sanktionsavgift eftersom kommunen saknade en fullgod säkerhetsskyddsanalys[9].

7.3.       Vattenfall

Svenska kraftnät påförde Vattenfall en sanktionsavgift om 33 000 000 kronor för att ha åsidosatt sina skyldigheter enligt säkerhetsskyddslagen. Vilka överträdelser det handlar om har belagts med sekretess, men av beslutet framgår att överträdelserna ansågs så allvarliga att ett belopp i den övre halvan av beloppsintervallet var motiverat[10].

7.4.       Eskilstuna kommun

Länsstyrelsen i Stockholm beslutade att påföra Eskilstuna kommun en sanktionsavgift om 7 500 000 kr. Det höga beloppet motiverades av att kommunen ”visat stor nonchalans gentemot regelverket och de intressen den ska skydda genom att inte ha prioriterat säkerhetsskyddsarbetet under flera års tid” och därmed även undvikit kostnader[11].

7.5.       Säkerhets- och integritetsskyddsnämnden (SIN)

SIN, som bland annat beslutar om utlämnande av uppgifter från registerkontroller, påfördes en sanktionsavgift om 3 000 000 kr av Säkerhetspolisen. Av det sekretessmarkerade beslutet framgår inte vilka överträdelser det rör sig om[12].

7.6.       Kungsbacka kommun

Länsstyrelsen i Västra Götaland påförde Kungsbacka kommun en sanktionsavgift om 2 500 000 kr eftersom kommunen saknat en säkerhetsskyddsanalys. Som försvårande omständigheter angavs att överträdelserna begåtts uppsåtligen, pågått under en längre tid samt att kommunen lämnat oriktiga uppgifter och agerat först efter påtryckningar[13].

7.7.        Västra Götalandsregionen

Länsstyrelsen i Västra Götaland beslutade att påföra Västra Götalandsregionen en sanktionsavgift om 5 000 000 kr för att inte ha uppdaterat sin säkerhetsskyddsanalys på nära fyra år[14].

8.   Avslutande kommentarer

Förvaltningsrättens ställningstagande i domarna mot de mindre norrlandskommunerna torde sannolikt innebära att samtliga av Sveriges kommuner anses bedriva säkerhetskänslig verksamhet (på grund av totalförsvarsplanering och signalskyddssystem) och därmed måste uppfylla säkerhetsskyddslagstiftningens krav.

Då säkerhetsskyddsanalysen utgör grunden för allt säkerhetsskyddsarbete är det inte förvånande att flera ärenden har fokus på analysen, men värt att notera är att sanktionsavgifterna inte endast handlar om huruvida det finns en säkerhetsskyddsanalys på plats utan snarare om analysens kvalitet och metodik i förhållande till Säkerhetspolisens föreskrifter m.m.

Vad gäller sanktionsavgifternas storlek har Förvaltningsrätten med ett undantag sänkt de belopp som tillsynsmyndigheterna beslutat, i de flesta fall kraftigt. Det enda sanktionsbeslut där beloppet har fastställts av domstolen är också det senaste, där tillsynsmyndigheten sannolikt har tagit hänsyn till den praxis som fanns på plats i juni 2024 när beslutet meddelades. Det ska även framhållas att Förvaltningsrätten i detta mål ansåg sanktionsavgiften om 800 000 kr väl avvägd trots att överträdelsen avsåg en central skyldighet och pågått i drygt två år. Det återstår att se vilket genomslag denna dom får på tillsynsmyndigheternas praxis.

Malin Arentoft
Jurist specialiserad på säkerhetsskydd
Arentoft Säkerhetsskydd AB

Det ska även bli intressant att följa hur Förvaltningsrättens domar står sig i högre instans. Samtliga meddelade domar ovan, förutom den mot Kalmar kommun, har överklagats till Kammarrätten i Stockholm, som har meddelat prövningstillstånd.

[1] Del 1: Sanktionsavgifter enligt säkerhetsskyddslagen – Aktuell Säkerhet (aktuellsakerhet.se), del 2: Sanktionsavgifter enligt säkerhetsskyddslagen – Aktuell Säkerhet (aktuellsakerhet.se)

[2] Notera att det kan finnas sanktionsbeslut som har beslutats av tillsynsmyndigheterna men som (ännu) inte har överklagats.

[3] Förvaltningsrätten i Stockholms dom 2023-12-21 i mål nr SM 1-23

[4] Förvaltningsrätten i Stockholms dom 23-12-21 i mål nr 2638-23.

[5] Förvaltningsrätten i Stockholms dom 24-05-07 i mål nr SM 4-23.

[6] Förvaltningsrätten i Stockholms dom 24-05-28 i mål nr SM 6-23 (Pajala), mål nr SM  7-23 (Sorsele) och mål nr SM 8-23 (Strömsund).

[7] Förvaltningsrätten i Stockholms dom 24-06-03 i mål nr SM 4-24.

[8] Länsstyrelsen i Västra Götalands läns beslut 23-11-01 i ärende 451-37500-2022.

[9] Länsstyrelsen i Skåne läns beslut 24-02-22 i ärende 451-26888-2023.

[10] Affärsverket svenska kraftnäts beslut 24-03-11 i ärende nr 2022/17/47.

[11] Länsstyrelsen i Stockholms läns beslut 24-05-07 i ärende nr 32195-2023 .

[12] Säkerhetspolisens beslut 24-05-20 i ärende 2023-19788-16.

[13] Länsstyrelsen i Västra Götalands läns beslut 24-06-17 i ärende 5919-2024.

[14] Länsstyrelsen i Västra Götalands läns beslut 24-09-03 i ärende 1383-2024.

  • #säkerhetsskyddslagen
  • #sanktionsavgifter

Aktuell Säkerhet jobbar för alla som vill göra säkrare affärer och är därför en säker informationskälla för säkerhetsansvariga inom såväl privat som statlig och kommunal sektor. Vi strävar efter förstahandskällor och att vara på plats där det händer. Trovärdighet och opartiskhet är centrala värden för vår nyhetsjournalistik

Sponsrat innehåll från Stratsys
ANNONS

NIS2 – brandkårsinsats eller affärsvärde?

NIS2 och Cybersäkerhetslagen ställer informationssäkerheten på sin spets. Nu blir ledningen direkt ansvarig. Frågan är inte längre vad [...]