Dataskyddsavgifter för myndigheter

Domstolar och riksdagens ämbetsverk får inte påföras påföljdsavgift. Påföljdsavgift får inte heller påföras underrättelsetillsynsombudsmannen för sådan behandling av personuppgifter som hänför sig till övervakning enligt lagen om övervakning av underrättelseverksamheten (121/2019).

Påföljdsavgift får inte påföras, om det har förflutit mer än tio år sedan överträdelsen eller försummelsen har skett. I fråga om fortlöpande överträdelse eller försummelse får påföljdsavgift inte påföras, om det har förflutit mer än fem år sedan överträdelsen eller försummelsen har upphört.

Administrativ påföljdsavgift får påföras statliga myndigheter och affärsverk, kommunala myndigheter och samkommuners myndigheter, välfärdsområdens och välfärdssammanslutningars myndigheter, självständiga offentligrättsliga inrättningar, sammanslutningar, stiftelser och andra självständiga offentligrättsliga samfund, republikens presidents kansli, evangelisk-lutherska kyrkan i Finland och ortodoxa kyrkan i Finland samt deras församlingar, kyrkliga samfälligheter och andra organ samt sammanslutningar, stiftelser och enskilda personer som sköter en offentlig förvaltningsuppgift (myndigheter och offentliga organ) med iakttagande av vad som föreskrivs i artikel 83.1–3 i dataskyddsförordningen och i denna paragraf, om de andra åtgärder som anges i artikel 58.2 i dataskyddsförordningen inte är tillräckliga. Påföljdsavgift får inte påföras, om förutsättningarna för påförande av avgiften inte uppfylls.

Påföljdsavgiften för överträdelse av de bestämmelser som nämns i artikel 83.4 i dataskyddsförordningen får uppgå till högst 500 000 euro om avgiften gäller en myndighet eller ett organ inom den offentliga förvaltningen.

Påföljdsavgiften för överträdelse av de bestämmelser som nämns i artikel 83.5 och 83.6 i dataskyddsförordningen och av artikel 10 i dataskyddsförordningen får uppgå till högst 1 000 000 euro om avgiften gäller en myndighet eller ett organ inom den offentliga förvaltningen.

När beslut fattas om påföljdsavgiftens belopp ska det säkerställas att beloppet står i rätt proportion till myndighetens eller det offentliga organets storlek och ekonomiska ställning samt till hur allvarlig överträdelsen eller försummelsen är.

Bestämmelserna i 2–4 mom. gäller sammanslutningar, stiftelser och enskilda personer endast till den del de sköter offentliga förvaltningsuppgifter.

Påföljdsavgift får inte påföras myndigheter som avses i 4 § i lagen om offentlighet i myndigheternas verksamhet (621/1999) eller sammanslutningar, stiftelser och enskilda personer som tillämpar den nämnda lagen för behandling av personuppgifter som hänför sig till sådant utlämnande av personuppgifter som avses i artikel 86 i dataskyddsförordningen.

Bestämmelser om straff för dataskyddsbrott finns i 38 kap. 9 § i strafflagen. Bestämmelser om straff för kränkning av kommunikationshemlighet och för grov kränkning av kommunikationshemlighet finns i 38 kap. 3 och 4 § i strafflagen och bestämmelser om straff för dataintrång och för grovt dataintrång i 38 kap. 8 och 8 a § i den lagen. Bestämmelser om straff för brott mot tjänsteplikt och brott mot tjänsteplikt av oaktsamhet finns i 40 kap. 9 och 10 § i strafflagen. Till straff för brott mot tystnadsplikten enligt 35 § i denna lag och mot sekretessen enligt 36 § döms enligt 38 kap. 1 eller 2 § i strafflagen, om inte gärningen utgör brott enligt 40 kap. 5 § i strafflagen eller om inte strängare straff för den föreskrivs någon annanstans i lag.

Informerandet av den registrerade om en personuppgiftsincident i enlighet med artikel 34 i dataskyddsförordningen får senareläggas, begränsas eller utelämnas till den del och så länge som de förutsättningar som föreskrivs i 34 § 1 mom. 1–3 punkten uppfylls.

Om informerandet av den registrerade begränsas iakttas bestämmelserna i 34 § 3 mom.

Denna lag träder i kraft den 20 .

På överträdelser och försummelser som har skett före ikraftträdandet av denna lag tillämpas i stället för 24 § 4 mom. och 24 a § i denna lag de bestämmelser som gällde före ikraftträdandet av denna lag.

Dataombudsmannen kan i ärenden som omfattas av tillämpningsområdet för denna lag

10) ålägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att uppgiftsbehandlingen är förenlig med bestämmelserna i denna lag, vid behov på ett bestämt sätt och inom en rimlig tid,

11) påföra en administrativ påföljdsavgift.

En i 51 § 11 punkten avsedd administrativ påföljdsavgift påförs av ett påföljdskollegium som består av dataombudsmannen och de biträdande dataombudsmännen tillsammans. Dataombudsmannen är ordförande för kollegiet. Om en biträdande dataombudsman har förhinder, kan denne ersättas i påföljdskollegiet av en föredragande som utses för detta i arbetsordningen för dataombudsmannens byrå. Kollegiet är beslutfört med tre medlemmar.

Kollegiet ska fatta beslut efter föredragning. Som beslut gäller den mening som flertalet har understött. Vid lika röstetal gäller som beslut den mening som är lindrigare för den som påföljden riktas mot.

Påföljdsavgift får inte påföras, om det har förflutit mer än tio år sedan överträdelsen eller försummelsen har skett. I fråga om fortlöpande överträdelse eller försummelse får påföljdsavgift inte påföras, om det har förflutit mer än fem år sedan överträdelsen eller försummelsen har upphört.

Bestämmelser om verkställighet av påföljdsavgifter som påförts med stöd av denna lag finns i lagen om verkställighet av böter (672/2002).

En behörig myndighet som är personuppgiftsansvarig eller personuppgiftsbiträde får påföras påföljdsavgift för överträdelser av bestämmelserna i denna lag utöver eller i stället för de åtgärder som avses i 51 § 1–10 punkten, beroende på omständigheterna i varje enskilt fall om de övriga åtgärderna inte är tillräckliga. Påföljdsavgift får inte påföras, om förutsättningarna för påförande av avgiften inte uppfylls. Påföljdsavgift får också påföras för underlåtenhet att iaktta ett åläggande, förbud eller begränsning som dataombudsmannen meddelat med stöd av 51 § 5–10 punkten.

Domstolar får inte påföras administrativ påföljdsavgift. Påföljdsavgift får inte heller påföras skyddspolisen och Försvarsmakten för sådan behandling av personuppgifter som avses i 1 § 2 mom.

Vid prövning av påförande av påföljdsavgift och i påföljdsavgiftens belopp ska beaktas

1) överträdelsens karaktär, svårighetsgrad och varaktighet med beaktande av den aktuella uppgiftsbehandlingens karaktär, omfattning eller syfte samt antalet berörda registrerade och omfattningen av den skada som de har lidit,

2) huruvida överträdelsen skett med uppsåt eller genom oaktsamhet,

3) de åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit för att lindra den skada som de registrerade har lidit,

4) graden av ansvar hos den personuppgiftsansvarige eller personuppgiftsbiträdet med beaktande av de tekniska och organisatoriska åtgärder som vidtagits av dem med stöd av 15, 31 och 32 §,

5) eventuella tidigare motsvarande överträdelser som den personuppgiftsansvarige eller personuppgiftsbiträdet gjort sig skyldig till,

6) graden av samarbete med tillsynsmyndigheten för att korrigera överträdelsen och minska dess eventuella negativa effekter,

7) de kategorier av personuppgifter som påverkas av överträdelsen,

8) det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, särskilt huruvida och i vilken omfattning den personuppgiftsansvarige eller personuppgiftsbiträdet anmälde överträdelsen,

9) om åtgärder som avses i 51 § 5–10 punkten tidigare har förordnats mot den berörda personuppgiftsansvarige eller personuppgiftsbiträdet för samma ärende, efterlevnad av dessa åtgärder,

10) eventuella andra än i 1–9 punkten avsedda försvårande eller förmildrande omständigheter som ska tillämpas på fallet.

Påföljdsavgiften för överträdelser av 15–22, 31–36 och 38 § får uppgå till högst 500 000 euro.

Påföljdsavgiften för överträdelser av 4–13, 23–28, 30 och 41–44 § får uppgå till högst 1 000 000 euro.

När beslut fattas om påföljdsavgiftens belopp ska det säkerställas att beloppet står i rätt proportion till myndighetens storlek och ekonomiska ställning samt till hur allvarlig överträdelsen eller försummelsen är.

Om en behörig myndighet, med avseende på samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet bryter mot flera av de bestämmelser som nämns i 1 eller 2 mom., får den administrativa påföljdsavgiftens totala belopp inte överstiga den påföljdsavgift som fastställs för den allvarligaste överträdelsen.

Bestämmelser om straff för dataskyddsbrott finns i 38 kap. 9 § i strafflagen. Bestämmelser om straff för kränkning av kommunikationshemlighet finns i 3 § och för grov kränkning av kommunikationshemlighet i 4 § det kapitlet samt bestämmelser om straff för dataintrång i 8 § och för grovt dataintrång i 8 a § i det kapitlet. Bestämmelser om straff för brott mot tjänsteplikt och brott mot tjänsteplikt av oaktsamhet finns i 40 kap. 9 och 10 § i strafflagen. Till straff för brott mot sekretessen enligt 55 § 3 mom. och tystnadsplikten enligt 62 § i denna lag döms enligt 38 kap. 1 eller 2 § i strafflagen, om inte gärningen utgör brott enligt 40 kap. 5 § i den lagen eller om inte strängare straff för den föreskrivs någon annanstans i lag.

I 38 kap. 10 § 3 mom. i strafflagen finns det bestämmelser om åklagarens skyldighet att höra dataombudsmannen innan åtal väcks för brott som nämns i 1 mom. i denna paragraf liksom om domstolens skyldighet att ge dataombudsmannen tillfälle att bli hörd när domstolen behandlar ett sådant mål.

Denna lag träder i kraft den 20 .

På överträdelser och försummelser som har skett före ikraftträdandet av denna lag tillämpas i stället för 51 § 11 punkten och 58 a–58 c § i denna lag de bestämmelser som gällde före ikraftträdandet av denna lag.