Sanktionsavgift om 8 miljoner kronor rörande bristande säkerhetsarbete enligt säkerhetsskyddslagen

Länsstyrelsen i Västra Götalands län har beslutat att påföra Göteborgs universitet en administrativ sanktionsavgift om 8 miljoner kronor för överträdelser av centrala skyldigheter enligt säkerhetsskyddslagen. Beslutet illustrerar att en konstaterad sårbarhet för Sveriges säkerhet kan vara tillräcklig för en hög sanktionsavgift även när myndigheten inte kan visa att en faktisk skada har uppkommit.

Efter att Göteborgs universitet anmält att det bedriver säkerhetskänslig verksamhet har Länsstyrelsen under 2024–2025 utövat tillsyn genom bland annat begäran om underlag och platsbesök. Inom ramen för tillsynsärendet har Länsstyrelsen även meddelat förelägganden om omedelbara åtgärder samt senare uppföljande krav. Länsstyrelsen har därefter bedömt att bristerna i universitetets säkerhetsskyddsarbete alltjämt har bestått.

Grunderna för beslutet

Sanktionsavgift enligt säkerhetsskyddslagen bygger i princip på strikt ansvar. Det innebär att avgift kan tas ut oberoende av om överträdelsen varit uppsåtlig eller orsakats av oaktsamhet. Vid bedömningen av om en sanktionsavgift ska tas ut och vid fastställandet av avgiftens storlek ska dock hänsyn tas till bland annat den skada eller sårbarhet för Sveriges säkerhet som uppstått, om överträdelsen varit uppsåtlig eller oaktsam, vilka åtgärder verksamhetsutövaren vidtagit för att få överträdelsen att upphöra samt om det förekommit tidigare överträdelser. Även överträdelsens varaktighet kan tillmätas betydelse.

I beslutet framhåller Länsstyrelsen särskilt att bristerna varit allvarliga och bestått under lång tid, att överträdelsen bedömts ha skett genom grov oaktsamhet samt att nödvändiga åtgärder vidtagits efter lång tid och först efter myndighetens påtryckningar.

För statliga myndigheter är sanktionsavgiften begränsad till högst 10 miljoner kronor. Beslutet visar att avgiftsnivån i praktiken kan bestämmas nära detta tak.

Vad innebär beslutet för verksamhetsutövare

Beslutet utgör inte prejudikat i formell mening. Det har ändå ett tydligt signalvärde för verksamhetsutövare som omfattas av säkerhetsskyddslagen och för de tillsynsmyndigheter som har att tillämpa regelverket.

För verksamheter som omfattas av säkerhetsskyddslagen bör beslutet läsas som en indikation på följande:

• Sårbarhet räcker: Det krävs inte nödvändigtvis att en konkret skada för Sveriges säkerhet har inträffat.
• Långvariga brister väger tungt i bedömningen: Särskilt gäller detta om bristerna rör centrala delar av säkerhetsskyddsarbetet.
• Resurs- och kompetensbrist är inget försvar: Om brister kvarstår kan sådana förhållanden i stället bidra till en bedömning av grov oaktsamhet.
• Att inte vidta åtgärder direkt kan bli kostsamt: Bristande eller fördröjd reaktion efter tillsyn och förelägganden kan påverka både ansvarsbedömningen och avgiftens storlek.
• Avgiftsnivåerna kan bli mycket höga: För statliga myndigheter är taket 10 miljoner kronor, och beslutet visar att nivån kan hamna nära detta tak.

Beslutet kan fortfarande överklagas till förvaltningsrätten. Det återstår därför att se om Göteborgs universitet kommer att överklaga och, i så fall, i vilken utsträckning beslutet består efter domstolsprövning. Till dess bör beslutet främst uppfattas som ett tillsyns- och tillämpningssignalement snarare än som ett prejudikat i strikt mening.

Vi på Cederquist har erfarenhet av att biträda verksamheter som omfattas av säkerhetsskyddslagen, såväl i frågor om regelefterlevnad som i tillsynsärenden. Ni är välkomna att kontakta oss om ni har frågor om beslutet eller om vilka konsekvenser det kan få för er verksamhet.