Utredningen mot Telenor har pågått sedan i april förra året. Under gårdagen kom så till slut beslutet från Post- och Telestyrelsen, PTS. Telenor har gjort sig skyldig till överträdelser av säkerhetsskyddslagen (2018:585) och ska betala en sanktionsavgift på 12,5 miljoner kronor. Det motsvarar en fjärdedel av den maximala avgiften på 50 miljoner kronor som kan utgå enligt lagen.
Den överträdelse som Telenor, enligt PTS beslut, gjort sig skyldig till är att inte ha registerkontrollerat ett antal personer i den egna verksamheten på det sätt som krävts enligt säkerhetsskyddslagen. Enligt beslutet har 24 olika befattningshavare, däribland säkerhetskyddschefen, varit delaktiga i verksamheten utan att vara behöriga, eftersom nödvändiga registerkontroller inte hade utförts.
Enligt PTS är den sårbarhet som därmed uppkommit allvarlig, vilket gör att sanktionsavgiften inte bör sättas ”alltför lågt”.
Eftersom det fanns ett antal förmildrande omständigheter i situationen, bland annat att överträdelsen inte varit avsiktlig och att Telenor inte gjort sig skyldig till tidigare överträdelser, så ska Telenor betala 12,5 miljoner kronor i avgift.
Intressant i detta fall är storleken på sanktionsavgiften. Av beslutet kan det förvisso läsas ut ett antal olika omständigheter som PTS beaktat och som både legat Telenor till last och som ska ses som förmildrande. Hur PTS faktiskt kommer fram till att det är just 12,5 miljoner kronor som är en lämplig avgift i det aktuella fallet är dock något oklart.
Vid en genomgång av beslutet framstår summan snarast som tagen ur luften. Om Telenor överklagar beslutet och det prövas inom ramen för en domstolsprocess så blir det intressant att höra hur PTS faktiskt har resonerat när de kommit fram till den aktuella summan, och om domstolen håller med.
Om summan står sig vid en domstolsprövning så kommer den troligtvis bli normerande för hur denna typ av situationer ska bedömas, och hur höga avgifter som ska utgå. Det innebär i sin tur att andra bolag som bedriver säkerhetskänslig verksamhet, exempelvis kommunala elbolag, kan förvänta sig motsvarande nivåer på framtida avgifter vid överträdelser av denna karaktär.
Beslutet sätter också fingret på svårigheterna för enskilda verksamheter att göra bedömningen av om de omfattas av säkerhetsskyddslagen eller inte. Av PTS beslut framgår nämligen att Telenor redan år 2021 gjort en säkerhetsskyddsanalys, och i den identifierat vilka befattningar inom den säkerhetskänsliga verksamhet som skulle vara placerade i säkerhetsskyddsklass.
I samband med PTS granskning så inkom Telenor med en ny, fördjupad, säkerhetsskyddsanalys under oktober 2022, i vilken bolaget kom fram till bedömningen att bolaget varken bedrev säkerhetskänslig verksamhet eller hade gjort det historiskt sett.
Efter att en dialog påbörjats mellan parterna så genomförde Telenor i december 2022 därefter ännu en säkerhetsskyddsanalys. Resultatet? Bolaget bedömdes återigen bedriva säkerhetskänslig verksamhet.
För en utomstående kan det kanske tyckas märkligt att ett bolag som Telenor kan ändra sig i sin bedömning av om de bedriver säkerhetskänsliga verksamhet under en så kort tidsperiod. Om man har satt sig in i problematiken med att bedöma om en verksamhet omfattas av lagen så förstår man däremot att så inte är fallet. Denna bedömning är en av de svåraste som kan göras, och omfattar en rad olika faktorer.
Behovet av vägledning från ansvariga myndigheter är därmed stort, men regeringen har konsekvent sagt nej till ett system med förhandsbesked. Det saknas därför möjligheter för verksamheter att få aktivt och konkret stöd i att göra bedömningen om just deras verksamhet omfattas av lagen innan skadan är skedd.
Låt oss hoppas att detta exempel kan göra så att lagstiftaren tänker om, och underlättar för enskilda verksamheter att bedöma om de omfattas av lagen eller inte. Det skulle leda till en ökad rättssäkerhet för verksamheter och säkerställa att verksamheter som är av betydelse för den nationella säkerheten får det skydd som krävs.
Det om något skulle vara till nytta för Sveriges säkerhet.
Viktor Robertson
Advokat och senior specialist
Kahn Pedersen
Kommentatorerna ansvarar för sina egna kommentarer