Bolagets VD anställdes i mars 2016, dvs nästan tre år innan den nya säkerhetsskyddslagen började gälla och fem år innan sanktionsavgifter infördes i Säkerhetsskyddsregelverket. Säkerhetsprövning är en fortgående åtgärd så länge deltagande i den säkerhetskänsliga verksamheten pågår. Genom att inte ansöka om placering av anställningen som VD i säkerhetsklass samt se till att registerkontroll och särskild personutredning gjorts avseende den aktuella personen i egenskap av VD har bolaget åsidosatt sina skyldigheter enligt säkerhetsskyddslagen och ådöms en sanktionsavgift på 1 miljon kronor. Att VD varit föremål för registerkontroll för annat arbete hos verksamhetsutövaren medför ingen annan bedömning eftersom det avser annat deltagande i verksamheten än det som VD.
Bakgrund
Den 18 mars 2014 placerades personen i säkerhetsklass och registerkontroll genomfördes för sin anställning i ett företag i koncernen.
Den 16 mars 2016 tillsattes personen som VD för ett annat bolag i koncernen. Någon ny registerkontroll eller avanmälan genomfördes inte.
Den 1 april 2019 började den nu gällande säkerhetsskyddslagen (2018:585) att gälla.
Den 1 december 2021 trädde ändringar i säkerhetsskyddslagen i kraft som införde sanktionsavgifter för överträdelser av säkerhetsskyddsregelverket och som gör det obligatoriskt för tillsynsmyndigheterna att besluta om sanktionsavgift vid överträdelse av vissa delar av säkerhetsskyddsregelverket.
Den 27 augusti 2024 beslutade tillsynsmyndigheten att granska säkerhetsskyddsåtgärder i förhållande till VD:s uppdrag hos verksamhetsutövaren.
Vid kontroll framkom att kontrollorsaken som angetts var arbete vid en annan del av koncernen (även om arbetet handlade om likartade verksamheter). Denna kontroll gjordes avseende personen vid anställning i den delen av verksamheten. Någon förnyad registerkontrollen efter att personen anställdes som VD för den aktuella verksamhetsutövaren.
Den 8 november 2024 ansökte bolaget om placering av VD i säkerhetsklass för den aktuella befattningen.
Tillsynsmyndigheten ansåg att bolaget hade begått en sanktionsgrundande överträdelser sedan reglerna trädde i kraft dvs sedan den 1 december 2021 till och med den 8 november 2024 när ansökan om inplacering i säkerhetsklass för VD gjordes. Tillsynsmyndigheten påpekar att bolaget har åsidosatt centrala skyldigheter enligt säkerhetsskyddslagen och beslutade den 30 januari 2025 om en sanktionsavgift på 1 miljon kronor.
Bolaget överklagade och menade att det inte är möjligt att ta ut en sanktionsavgift för överträdelser som har sin grund i omständigheter som förelegat före den nuvarande säkerhetsskyddslagen trädde i kraft. Bolaget lyfte också att VD har varit föremål för löpande registerkontroller och säkerhetsprövningar under hela den period han varit anställd. Hans deltagande i säkerhetskänslig verksamhet har inte utgjort någon faktisk säkerhets- eller sårbarhetsrisk.
Förvaltningsrättens avgörande
Förvaltningsrätten inleder med att pröva om tillsynsmyndighetens beslut gäller överträdelser före den 1 december 2021.
Av övergångsbestämmelserna till säkerhetslagen följer att en sanktionsavgift får beslutas endast för överträdelser som skett efter lagens ikraftträdande, alltså den 1 december 2021. Enligt 3 kap. 3 § säkerhetsskyddslagen är en verksamhetsutövare inte enbart skyldig att genomföra en säkerhetsprövning innan deltagandet i den säkerhetskänsliga verksamheten påbörjas, vilket i angivna fall även inkluderar registerkontroll och särskild personutredning. Av bestämmelsens andra stycke följer att säkerhetsprövningen ska följas upp under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår. Förvaltningsrätten anser att detta talar för att de överträdelser som tillsynsmyndigheten menar att bolaget har begått inte endast har skett vid den tidpunkt då de ursprungligen har uppstått. Överträdelserna bör i stället kunna betraktas som pågående fram till dess att de har upphört. Den omständigheten att VD tillträdde sin anställning innan det var möjligt att påföra verksamhetsutövare sanktionsavgifter för överträdelser medför därför inte att det överklagade beslutet ska upphävas.
Därefter går Förvaltningsrätten vidare och bedömer om det skett någon överträdelse enligt säkerhetsskyddslagen.
Genom att underlåta att ansöka om placering av anställningen som VD i säkerhetsklass samt se till att registerkontroll och särskild personutredning gjorts avseende den aktuella personen i egenskap av VD anser Förvaltningsrätten att bolaget har åsidosatt sina skyldigheter enligt 2 kap. 1 § andra stycket samt 3 kap. 3 § säkerhetsskyddslagen. Den omständigheten att VD varit föremål för registerkontroll för annat arbete vid koncernen medför ingen annan bedömning eftersom det avser annat deltagande i verksamheten än det som VD.
Beräkning av sanktionsavgiften.
Förvaltningsrätten konstaterar att en registerkontroll ska ske utifrån angiven kontrollorsak, vilket innebär att verksamhetsutövaren beskriver den säkerhetskänsliga verksamheten som personen ska delta i samt vilka skyddsvärden personen får tillgång till. Kontrollorsaken varierar alltså beroende på vilken typ av verksamhet som den säkerhetsprövade personen ska delta i. Av utredningen i målet framgår att bolagets VD har prövats mot fel kontrollorsak. Han har inte heller genomgått en särskild personutredning.
Förvaltningsrätten bedömer att det ur sårbarhetssynpunkt är försvårande omständighet att överträdelsen avser den person som ansvarar för den löpande förvaltningen av bolaget. Det bör kunna presumeras att denna person har tillgång till en stor mängd uppgifter om den säkerhetskänsliga verksamheten som sådan. Det ansågs även försvårande med tanke på den verksamhet som verksamhetsutövaren bedriver. Bolaget har dessutom – trots att det sin säkerhetsskyddsanalys redan i juni 2021 bedömt att anställningen ska placeras i säkerhetsklass – inte vidtagit några åtgärder förrän efter tillsynsmyndigheten inledde tillsyn. När det kommer till beräkningen av beloppet ansåg Förvaltningsrätten att det är förmildrande att VD har varit föremål för registerkontroll i förhållande till andra arbetsuppgifter hos verksamhetsutövaren.
Den beslutade sanktionsavgiften om 1 miljon kronor ansågs väl avvägd och proportionerlig.
Några reflektioner
Trots att man kan tycka att det är skillnad mellan en säkerhetsprövning vid en anställning och uppföljande säkerhetsprövning och trots att beslut om inplacering i säkerhetsklass gjorts i enlighet med den äldre (upphävda säkerhetsskyddslagen) så är säkerhetsprövningar pågående verksamhet som ska följa kraven enligt gällande regelverk. Det är väl känt att vi enligt nuvarande system måste pröva personer mot rätt kontrollorsak – annars kan det bli väldigt stökigt och vissa saker kan falla mellan stolarna och så kan vi inte ha det. Men frågan är om det är så stor skillnad egentligen. Det kan emellertid bara säkerhetspolisen svara på. I detta fall var personen prövad och löpande registerkontroller gjordes för liknande verksamhet. Detta kan ju samtidigt ses som ett undantag och vi kan inte skapa regler för alla möjliga undantagssituationer. Tillsynsmyndigheten ansåg det vara förmildrande att registerkontroller gjordes men det synes inte fått någon större inverkan på beräkningen av sanktionsbeloppet.
Av övergångsbestämmelserna till nu gällande säkerhetsskyddslag framgår att säkerhetsskyddslagen (1996:627) gäller för beslut om placering i säkerhetsklass som har meddelats före ikraftträdandet av säkerhetsskyddslagen (2018:585), dock längst till dess att ett motsvarande beslut om placering i säkerhetsklass meddelas enligt denna lag. Ett sådant beslut ska meddelas senast vid utgången av 2024. Undrar hur många som fattat nya beslut om placering i säkerhetsklass i enlighet med kraven i övergångsbestämmelserna. Min erfarenhet är att många inte direkt bevakar dessa bestämmelser. Det ska bli spännande att se om vi får någon tillsyn på detta – samtidigt kan man ifrågasätta värdet av en sådan tillsyn. Det är oklart om övergångsbestämmelsen innebär att beslut om inplacering i säkerhetsklass enligt den gamla säkerhetsskyddslagen automatiskt upphör att gälla vid utgången av 2024 eller om det bara är ett regulatoriskt krav på att uppdatera sina beslut.
Författare: Andreas Dahlqvist