prop · GR0393 · 2004-03-10 00:00:00 — Regeringen anser vidare, i likhet med JK, att promemorians förslag bör kompletteras med en bestämmelse om överföring av sekretess i de fall den skadereglerande myndigheten inhämtar uppgifter som är sekretess- belagda hos en annan myndighet. Den överföringsbestämmelse som gäller i JK:s verksamhet begränsas dock på så vis att om uppgiften före- kommer i en handling som har upprättats med anledning av JK:s verk- samhet gäller sekretess för uppgiften bara om det kan antas att allmänt eller enskilt intresse lider avsevärd skada eller betydande men om uppgiften röjs. aktuellt förslag bör således förses med motsvarande undantagsregel. Eftersom det i detta lagstiftningsärende inte finns något som tyder på att sekretess till skydd för det allmänna behöver överföras bör bestämmelsen om överföring av sekretess dock modifieras till att enbart avse överföring av sekretess till skydd för enskilda. Sekretessen enligt den nya bestämmelsen bör inte gälla beslut i ärende. I fråga om uppgift i allmän handling bör sekretessen gälla i högst . Tidningsutgivarna förordar att sekretessen i domstol, som en konsekvensändring, också begränsas till avsevärd skada och betydande men. I domstol gäller, bl.a. i skade- ståndsrättsliga mål, sekretess till skydd för myndigheters och enskildas affärs- och driftförhållanden som huvudregel endast om det kan antas att den som uppgiften rör lider avsevärd skada om uppgiften röjs (8 kap. 17 § sekretesslagen). Vidare gäller i skadeståndsrättsliga mål som huvud- regel inte någon sekretess alls till skydd för enskilds personliga för- hållanden, förutom i de undantagsfall som följer av 12 kap. 12 §§ (över- föring av viss sekretess till domstol) och 9 kap. 16 § sekretesslagen. I sistnämnda fall, som utgör en specialreglering för vissa typer av mål, gäller sekretess till skydd för enskildas personliga eller ekonomiska förhållanden med ett vanligt rakt skaderekvisit. Som framgår av avsnitt 7 har regeringen inte för avsikt att föreslå någon ändring av detta skade- rekvisit. anser att det allvarligt bör övervägas om inte det kvalificerade skaderekvisitet i 7 kap. 30 § sekretesslagen bör ersättas med ett omvänt eller åtminstone ett rakt skaderekvisit, eftersom det är ett problem att uppgifter som inhämtar från andra myndigheter, t.ex. från hälso- och sjukvården, riskerar att bli offentliga hos . Myndigheten har vidare anfört att ett star- kare sekretesskydd motiveras av att alltfler brottsoffer behöver skydd på grund av hot och risker för fortsatt utsatthet för brott. framhållit att det är särskilt angeläget att kunna skydda adressuppgifter. Regeringen anser att det av påtalade problemet avseende uppgifter som inhämtas från andra myndigheter bör lösas genom att en sådan regel om överföring av sekretess, som JK har förordat när det gäller andra myndigheters skadereglerande verksamhet, införs i 7 kap. 30 § sekretesslagen. Överföringsbestämmelsen bör av skäl som anförts ovan modifieras till att enbart avse överföring av sekretess till skydd för enskilda samt förses med den begränsningen att om uppgiften förekommer i en handling som har upprättats med anledning av myndig- hetens skadereglerande verksamhet gäller sekretess för uppgiften bara om det kan antas att den enskilde lider betydande men om uppgiften röjs. När det gäller adressuppgifter noterar regeringen att nuvarande regle- ring lämnar utrymme för att hemlighålla sådana uppgifter i de fall Brotts- offermyndigheten bedömer att det kan antas att den enskilde kommer att lida betydande men om uppgifterna lämnas ut. Det saknas underlag för att i detta lagstiftningsärende ta ställning till den av aktualiserade frågan om skärpt sekretess i brottsskadeärenden utöver vad som har föreslagits ovan. I 16 kap. 1 § sekretesslagen finns de tystnadsplikter uppräknade som har företräde framför principen om meddelarfrihet, dvs. rätten enligt 1 kap. 1 § tredje stycket tryckfrihetsförordningen och 1 kap. 2 § yttrandefrihets- grundlagen att lämna uppgift i vilket ämne som helst för publicering i de medier som de båda grundlagarna omfattar. Denna frihet är inte be- gränsad när det gäller uppgifter i ett ärende om brottsskadeersättning hos eller i ett ärende om skadestånd hos Justitie- Det saknas anledning att behandla uppgifter i övriga myndig- heters ärenden om ersättningsanspråk mot staten på något annat sätt. 10 IT-säkerhet och sekretess I takt med att samhällsviktiga funktioner blir alltmer beroende av väl fungerande IT-system har både det allmänna och enskilda organ fort- löpande vidtagit åtgärder för att förstärka IT-säkerheten. gav regeringen () i uppdrag att inrätta en rikscentral för IT-incidentrapportering. Enligt uppdraget skall PTS stödja samhället i arbetet med skydd mot IT-incidenter genom att inrätta ett system för informationsutbyte mellan samhällets organisationer och rikscentralen avseende IT-incidenter, snabbt sprida information i samhället om nya IT-relaterade problem, lämna information och råd om förebyggande åtgärder, samt sammanställa och publicera statistik som underlag för kon- Prop. 2003/04:93 tinuerliga förbättringar i det förebyggande arbetet. är , Sitic, i drift hos PTS för att arbeta enligt uppdraget. För att PTS skall kunna fullgöra sitt uppdrag är det viktigt att myn- digheter och enskilda organisationer rapporterar IT-incidenter till PTS. IT-incidentrapporter som har inkommit till PTS utgör allmänna hand- lingar hos PTS. Rapporterna utgör även allmänna handlingar hos av- sändande myndigheter. PTS har utarbetat en mall för rapporterna. Enligt behöver endast tekniska uppgifter lämnas. En förutsättning för att myndigheter och enskilda organ skall vara villiga att lämna rapporter i en sådan omfattning och med ett sådant innehåll som behövs för att PTS skall kunna fullgöra sitt uppdrag är att PTS har möjlighet att hemlighålla sådana uppgifter i rapporterna som är känsliga från säkerhetssynpunkt. PTS har i en rapport till regeringen anfört att det i och för sig finns ett antal bestämmelser i sekretesslagen som kan tillämpas på uppgifter i IT- incidentrapporter som kan vara känsliga från säkerhetssynpunkt. PTS anser dock att gällande sekretessreglering inte ger ett heltäckande skydd och har därför föreslagit att det skall införas en ny paragraf i sekre- tesslagen. Enligt PTS förslag skall sekretess gälla för uppgift som lämnar eller bidrar till upplysning om säkerheten hos tekniska system för informationsbehandling, om det kan antas att säkerheten motverkas om uppgiften röjs. Med tekniska system för informationsbehandling avses system där datorer, telekommunikationer eller annan teknisk utrustning samarbetar för att insamla, ordna, bearbeta, söka och distribuera infor- mation (dnr N2002/8256/ITFoU). Regeringens förslag: Uppgift som lämnar eller kan bidra till upplys- ning om säkerhets- eller bevakningsåtgärd med avseende på system för automatiserad behandling av information skall omfattas av sekretess om det kan antas att syftet med åtgärden motverkas om uppgiften röjs. Den tystnadsplikt som följer av den nya sekretessregleringen skall ha föreräde framför meddelarfriheten. Promemorians förslag: Överstämmer i huvudsak med regeringens förslag. Remissinstanserna: Majoriteten av remissinstanserna bl.a. ombudsmän (), Justitiekanslern, riksbank, , , , Riksåklagaren, , , , Försvarets radio- anstalt, , , , , , Riksrevisions- verket, , , Statens kärnkrafts- inspektion och tillstyrker förslaget eller lämnar det utan erinran. Föreningen anser att den föreslagna bestämmelsen inte innebär ett särskilt starkt sekretesskydd och menar att information om IT-incidenter bör omfattas av ett starkare och mer förutsägbart , , och förordar ett s.k. omvänt skade- rekvisit. anser vidare att skyddet enligt 9 kap. 4 § sekretesslagen bör utvidgas till att omfatta all verksamhet vid funktionen för IT-incidentrapportering. och pekar på att myn- digheters möjligheter att kunna vidarebefordra sekretessbelagda uppgifter till PTS måste ses över. tillstyrker i princip att en ny bestämmelse in- förs men menar att den föreslagna bestämmelsen får ett alltför omfattande tillämpningsområde och att rekvisiten borde göras något strängare utan att det för den skull ge avkall på det grundläggande skyddsintresset. , anser bl.a. att försla- get är otillräckligt analyserat och att utförligare analyser av den före- slagna regelns relation till och samordning med redan gällande regler behövs. Statskontoret och tillstyrker att en bestämmelse med föreslaget innehåll införs, men anser att bör det analyseras om förslaget medför att andra bestämmelser helt eller delvis bör upphävas. Kammarrätten i anför att förslaget motiveras bl.a. av syftet att förebygga brott, men förslaget synes även syfta till att förhindra ett visst oönskat, men icke kriminaliserat beteende. Enligt kammarrätten kan den föreslagna lösningen att begränsa rätten att ta del av allmänna handlingar i syfte att förhindra sådant samhällsfarligt beteende ifråga- sättas. avstyrker förslaget på den grunden att be- hovet av en orörd handlingsoffentlighet väger över. anser, mot bakgrund av att det an- givna sekretessintresset redan synes vara uppfyllt och att det i vart fall saknas en redovisning i rapporten som visar på motsatsen, att det saknas anledning att införa ytterligare en sekretessregel. Skälen för regeringens förslag Befintliga sekretessbestämmelser och behovet av en ny sekretessbestämmel- se Uppgifter om säkerheten i myndigheters, enskilda företags och organi- sationers IT-system kan utnyttjas för angrepp mot dessa system och därmed mot viktiga privata eller allmänna funktioner. Regeringen delar PTS och majoriteten av remissinstansernas bedömning att det är viktigt att sådana uppgifter i rapporter om IT-incidenter som är känsliga från säkerhetssynpunkt kan hemlighållas både hos PTS och hos avsändande myndigheter. Frågan är då inledningsvis om den befintliga sekretess- regleringen är tillfredsställande eller om den behöver kompletteras. Enligt 5 kap. 2 § 3 sekretesslagen gäller sekretess för uppgift som läm- nar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd med avseende på bl.a. telekommunikation om det kan antas att åtgärden motverkas om uppgiften röjs. Med telekommunikation avses överföring av telemeddelanden med tråd, radio eller liknande metod. Bestämmelsen kan enligt förarbetena åberopas för att hålla uppgifter om säkerheten vid datorkommunikation hemliga, t.ex. i ett allmänt datornät. Syftet med att skydda telekommunikationer är att förhindra exempelvis brott mot rikets säkerhet, sabotage eller brytande av telehemlighet (prop. 1979/80:2 Del A s. 142). Sekretessen gäller bl.a. för uppgifter om sändar- och mottagar- apparaturens frekvenser och effekt, särskilda sändningsmetoder m.m. (m.fl., Sekretesslagen. En kommentar, s. 5:9). Enligt 5 kap. 2 § 4 sekretesslagen gäller sekretess för uppgift som läm- nar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd med avseende på behörighet att få tillgång till upptagning för automatisk databehandling, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs. Enligt förarbetena kan denna bestämmelse bara åberopas för att hemlighålla behörighetskoder, behörighetsnycklar samt arrange- mang och fördelning av dessa, däremot inte generellt program för hem- liga upptagningar (prop. 1979/80:2 Del A s. 142 f). Program kan emeller- tid ibland hemlighållas med stöd av 6 kap. 1 § (sekretess för uppgift i myndighets affärsverksamhet) och 8 kap. 10 § (sekretess till skydd för enskild som trätt i affärsförbindelse med myndighet) (m.fl. Sekre- tesslagen. En kommentar, s. 5:10). Enligt 5 kap. 3 § sekretesslagen gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod som har till syfte att underlätta befordran eller användning i allmän verk- samhet av uppgifter utan att föreskriven sekretess åsidosätts (första punkten) eller göra det möjligt att kontrollera om data i elektronisk form har förvanskats (andra punkten), i båda fallen om det kan antas att metoden motverkas om uppgiften röjs. Sekretessen enligt första punkten gör det möjligt att i allmän verksamhet skydda uppgifter som lämnar eller kan bidra till upplysningar om t.ex. kryptering. Andra punkten har anknytning till lagen (2000:832) om kvalificerade elektroniska signa- turer. Den infördes därför att det, beträffande säkerhetsåtgärder som är inriktade på att enbart verifiera om en handling härrör från en angiven utställare, utan att bereda sekretesskydd för innehållet i handlingen, skydd för telekommunikation eller skydd för åtkomst till ADB-upptagningar, inte fanns någon tillämplig bestämmelse om sekretess (prop. 1999/2000:117 s. 68). Genom andra punkten är det således t.ex. möjligt att sekretessbelägga hemliga nycklar som används för att verifiera om en handling härrör från angiven undertecknare eller för att skydda vissa datamängder från manipulation. Även 2 kap. 2 § sekretesslagen kan bli tillämplig i vissa fall. Enligt sistnämnda bestämmelse gäller sekretess för uppgift som angår verksam- heten för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Enligt lagen (1992:1403) om totalförsvar och höjd beredskap är totalförsvar verksamhet som behövs för att förbereda för krig. Hit räknas bl.a. befolkningsskyddet, försörjningsbered- skap och det psykologiska förvaret. Även t.ex. polisverksamhet samt hälso- och sjukvård kan vara totalförsvarsverksamhet (prop. 1979/80:176 s. 8 f). Mot bakgrund av vad som sagts konstaterar regeringen att det finns sekretessbestämmelser som gör det möjligt för myndigheter att hemlig- hålla uppgifter om säkerheten hos telekommunikationer, t.ex. i allmänna datornät, uppgifter om behörighetsarrangemang för att få tillgång till upp- tagningar för automatisk databehandling, uppgifter om chiffer och lik- nande metoder som har till syfte att underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts samt uppgifter om nycklar till elektroniska signaturer m.m. Det finns dock ingen för alla myndigheter tillämplig sekretessbestämmelse som innebär att det är möjligt att hemlighålla uppgifter om säkerheten av- seende t.ex. datorprogram i IT-system eller de loggar som datorpro- grammen genererar. Detta får med hänsyn till den tekniska utveckling som har skett och samhällets allt större beroende av IT- system anses otillfredsställande. Regeringen delar således PTS och majo- riteten av remissinstansernas uppfattning att sekretessregleringen behöver kompletteras så att den även skyddar säkerheten hos myndigheters och enskildas IT-system. Den nya bestämmelsens placering Som Datainspektionen har anfört bör det övervägas om förslaget om sekretess till skydd för IT-system bör genomföras genom att det införs en ny paragraf eller genom en justering av 5 kap. 2 § sekretesslagen. Enligt sistnämnda bestämmelse gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd med avseende på i paragrafen uppräknade företeelser bl.a. telekommunikation (tredje punkten) eller behörighet att få tillgång till upptagning för automatisk databehandling (fjärde punkten), om det kan antas att åtgärden motverkas om uppgiften röjs. Förslaget i promemorian är försett med ett något annorlunda skade- rekvisit. Enligt förslaget skall sekretess gälla för uppgift som lämnar eller kan bidra till upplysning om säkerheten hos tekniska system för informa- tionsbehandling, om det kan antas att säkerheten motverkas om uppgiften röjs. Frågan är dock om det finns behov av ett annorlunda utformat skaderekvisit när det gäller tekniska system för informationsbehandling. IT-system och olika komponenter i ett IT-system, t.ex. operativsystem och olika tillämpningsprogram, konstrueras med utgångspunkt från ett säkerhetstänkande och skyddas från angrepp med hjälp av inbyggda eller i ett senare skede vidtagna säkerhets- eller bevakningsåtgärder. Som exempel på säkerhets- eller bevakningsåtgärder kan nämnas funktioner för användning av lösenord, loggning och kryptering, installation av brandväggar och antivirusprogram samt administrativa rutiner för t.ex. utdelning av lösenord eller bevakning av loggar och larm. Om 5 kap. 2 § 3 kompletteras med lokutionen tekniska system för informationsbehand- ling, kan såväl uppgifter som direkt lämnar upplysningar om säkerhets- eller bevakningsåtgärder avseende sådana system, som uppgifter som kan bidra till att lämna upplysningar om sådana åtgärder, hemlighållas om det kan antas att syftet med de vidtagna åtgärderna motverkas om uppgif- terna röjs. Som exempel på uppgifter som kan bidra till att lämna upp- lysningar om säkerhets- eller bevakningsåtgärder avseende t.ex. ett operativsystem kan nämnas uppgift om vilken typ och version av operativsystem som används. Sådana uppgifter kan hemlighållas om t.ex. en viss version av ett operativsystem har visat sig ha svagheter som gör att det är lätt att olovligen ta sig in i systemet trots de vidtagna skydds- mekanismerna. En uppgift om vilket operativsystem som används skulle i ett sådant fall indirekt innebära en anvisning för den datatekniskt kunnige om hur man kringgår de vidtagna skyddsåtgärderna. Beskrivningar av hur ett program fungerar i stora drag och vilka typer av uppgifter som bear- betas i ett program bör dock alltid kunna lämnas utan att det kan antas att vidtagna säkerhetsåtgärder motverkas (jfr 29 § personuppgiftslagen [1998:204]). Regeringen finner att det är en fördel att den föreslagna bestämmelsen inarbetas i systematiken i 5 kap. 2 § i stället för att en ny paragraf med ett till ordalydelsen, men inte till innehållet, annorlunda skaderekvisit införs. Regeringen anser därför att den nya bestämmelsen bör införas som ett tillägg till 5 kap. 2 § 3 sekretesslagen. När det gäller lagtextens närmare ordalydelse har anfört att begreppet IT-system bör användas i stället för tekniska system för informationsbehandling. Eftersom begreppen IT och IT-system sak- nar väl avgränsad innebörd anser emellertid regeringen att de inte bör an- vändas i lagtexten. Regeringen förordar i stället den något justerade for- muleringen system för automatiserad behandling av information (jfr 2 kap. 3 § andra stycket andra meningen tryckfrihetsförordningen). Nå- gon ändring i sak i förhållande till PTS förslag är inte avsedd. Den av regeringen föreslagna formuleringen omfattar således system där datorer, telekommunikation eller annan teknisk utrustning samverkar för att in- samla, ordna, bearbeta, söka och distribuera information. 5 kap. 2 § gäller inte bara hos vissa uppräknade myndigheter utan har givits en generell utformning. Detta innebär att den förslagna komplette- ringen av 5 kap. 2 § 3 kommer att bli tillämplig såväl hos den myndighet som upprättar och skickar en IT-incidentrapport till PTS som hos PTS. Sekretessen enligt bestämmelsen gäller med ett rakt skaderekvisit. Re- geringen anser att en sådan styrka på sekretessen innebär att skyddsvärda uppgifter får ett tillfredställande skydd som insynen i myndig- heternas verksamhet inte inskränks mer än nödvändigt. PRV har anfört att om PTS diarium i dessa typer av ärenden är offent- ligt kan det få en avhållande effekt på myndigheter och andra att rappor- tera in IT-incidenter. Även Försvarshögskolan och Ekobrottsmyndighe- ten menar att uppgiftslämnarens identitet måste skyddas. Om en myn- dighets eller en enskilds IT-säkerhetssystem har slutat fungera eller om vissa svagheter i systemet har upptäckts och en IT-incidentrapport ome- delbart lämnas till PTS kan uppgiften om vem som har lämnat rapporten utgöra en säkerhetsrisk, eftersom uppgiften innebär en upplysning om att den aktuella organisationens säkerhetssystem är sårbart. Även en sådan uppgift kan således falla under 5 kap. 2 § 3 i dess föreslagna utvidgade lydelse, dock endast så länge skaderekvisitet är uppfyllt. Ett antal remissinstanser har pekat på att myndigheters möjligheter att kunna vidarebefordra sekretessbelagda uppgifter till PTS bör ses över. 2003/04:93 Med hänsyn till att den föreslagna bestämmelsen är tillämplig även hos PTS och till syftet med den verksamhet PTS bedriver kan det inte antas att vidtagna säkerhetsåtgärder avseende en myndighets system för auto- matiserad behandling av information motverkas om myndigheten lämnar en IT-incidentrapport till PTS. Den föreslagna bestämmelsens skade- rekvisit hindrar såldes inte att uppgifter som omfattas av bestämmelsen överlämnas till PTS. I 16 kap. 1 § sekretesslagen finns de tystnadsplikter uppräknade som har företräde framför principen om meddelarfrihet, dvs. rätten enligt 1 kap. 1 § tredje stycket tryckfrihetsförordningen och 1 kap. 2 § yttrandefrihets- grundlagen att lämna uppgift i vilket ämne som helst för publicering i de medier som de båda grundlagarna omfattar. Den tystnadsplikt som gäller enligt 5 kap. 24 §§ sekretesslagen begränsar meddelarfriheten. Med hänsyn till storleken på de skador som ett angrepp på IT-system kan orsaka myndigheter och enskilda anser regeringen att även den tystnads- plikt som följer av det föreslagna tillägget i 5 kap. 2 § 3 sekretesslagen avseende tekniska system för automatiserad behandling av information bör begränsa meddelarfriheten. Så som 16 kap. 1 § sekretesslagen är ut- formad blir detta automatiskt resultatet av en ändring i 5 kap. 2 § sekre- tesslagen. 16 kap. 1 § behöver således inte ändras. 11 Sekretess hos utlandsmyndigheterna Ärenden som gäller utlänningars rätt att resa in och vistas i brukar sammanfattas under begreppet utlänningsärenden. En ansökan om uppehållstillstånd eller om svenskt medborgarskap prövas i första hand av som är central utlänningsmyndighet. Om en ansökan avslås kan beslutet överklagas till . De bestämmelser som och har att tillämpa finns bl.a. i utlänningslagen (1989:529) och i utlänningsförordningen (1989:547) samt i lagen (2001:82) om svenskt medborgarskap. För att och (nedan utlännings- myndigheterna) skall kunna fatta korrekta och väl underbyggda beslut i utlännings- och medborgarskapsärenden behöver de ha tillgång till ett så bra beslutsunderlag som möjligt. Utlandsmyndigheterna i detta sammanhang ambassader och karriärkonsulat spelar genom sina expert- kunskaper och lokala nätverk en mycket viktig roll när de medverkar i utredning av enskilda ärenden. En medverkan från utlandsmyndigheterna får emellertid inte medföra att någon enskild person riskerar att lida men i form av exempelvis repressalier från en annan stats myndigheter. Bestämmelser om sekretess till skydd för utlänningar finns i 7 kap. Prop. 2003/04:93 14 § sekretesslagen. Enligt andra stycket gäller sekretess i verksamhet för kontroll över utlänningar bl.a. för uppgift om enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Bestämmelsen ger ett starkt skydd mot att uppgifter som kan vara av känslig art lämnas ut. Justitiekanslern () fann 1995 och 1999 att den nu nämnda sekretessbestämmelsen inte var tillämplig hos utlandsmyndigheterna när dessa medverkade i vissa utlänningsärenden, eftersom en sådan medver- kan inte hade författningsreglerats (beslut i ärende och beslut i ärende 3641-97-21). Regeringen beslutade kommittédirektiv enligt vilka utredaren skulle ta ställning till om sekretesslagen behöver ändras för att det inte skall råda någon tvekan om att utlandsmyndigheterna skall tillämpa samma utlänningssekretess som de utlänningsmyndigheter som handlägger de enskilda ärendena (dir. 2000:82). infördes en ny bestämmelse i förordningen (1992:247) med instruktion för utrikesrepresentationen (7 a §). I be- stämmelsen anges bl.a. att utlandsmyndigheterna skall biträda utlännings- myndigheterna och polismyndigheterna med utredning i ärenden enligt utlännings- och medborgarskapslagstiftningen.