sou · H5B336 · 2017-05-02 00:00:00 — Flertalet punkter avser det allmännas intressen, bl.a. det allmännas ekonomiska intresse (p. Punkten 6 avser enskildas intressen, nämligen skyddet för enskilds personliga eller ekonomiska förhållanden. Sekretess innebär ett förbud att röja en uppgift, oavsett om det sker genom utlämnande av en handling eller genom att röja uppgiften muntligen eller på något annat sätt (3 kap. 1 § OSL). Sekretessen inne- bär dels handlingssekretess, dels tystnadsplikt. Till den del sekretes- sen innebär tystnadsplikt innebär den en begränsning av yttrande- friheten enligt regeringsformen, och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande fri- heterna. Förbudet att röja eller utnyttja en uppgift enligt OSL eller annan lagstiftning som OSL hänvisar till gäller för myndigheter. Det finns dock kompletterande bestämmelser om tystnadsplikt i en- skilda verksamheter, t.ex. 16 § elberedskapslagen (1997:288) och 6 kap. 12 § patientsäkerhetslagen (2010:659). Sekretess gäller som huvudregel inte bara i förhållande till en- skilda utan också mellan myndigheter och inom en myndighet, om det där finns olika verksamhetsgrenar som är att betrakta som själv- ständiga i förhållande till varandra (8 kap. 1 och 2 §§ OSL). I vissa fall måste dock myndigheter kunna utbyta uppgifter för att kunna utföra sina uppgifter. Sekretessregleringen innehåller därför särskilda sekretessbrytande bestämmelser (10 kap. OSL). Dessa har utformats efter en intresseavvägning mellan myndigheternas behov av att utbyta uppgifter och det intresse som den aktuella sekretessbestämmelsen avser att skydda. Sekretessens styrka bestäms i regel med hjälp av s.k. skaderekvisit. Man skiljer mellan raka och omvända skaderekvisit. Vid raka skade- rekvisit är utgångspunkten att uppgifterna är offentliga och att sek- retess bara gäller om det kan antas att en viss skada uppkommer om uppgiften röjs. Det omvända skaderekvisitet har den omvända ut- gångspunkten, dvs. det uppställer sekretess som huvudregel. Vid ett omvänt skaderekvisit gäller således sekretess om det inte står klart att uppgiften kan röjas utan att viss skada uppstår. En del bestäm- melser innehåller ett kvalificerat rakt skaderekvisit, dvs. det krävs sär- skilt mycket för att sekretessen ska gälla. Sekretessen enligt en be- stämmelse kan även vara absolut. Vid absolut sekretess ska uppgifter som omfattas av bestämmelsen hemlighållas oavsett skada. Någon skadeprövning ska inte göras i dessa fall. Utbyte av uppgifter med krav på bevarande av konfidentialiteten enligt NIS-direktivet Utan att det påverkar tillämpningen av artikel 346 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) får information som är konfidentiell enligt unionsbestämmelser och nationella be- stämmelser, såsom bestämmelser om affärshemligheter, utbytas med kommissionen och andra relevanta myndigheter endast när sådant ut- byte är nödvändigt för att tillämpa NIS-direktivet. Den information som utbyts ska begränsas till vad som är relevant och proportionellt för ändamålet med utbytet. Vid sådant utbyte ska informationens konfidentialitet bevaras och säkerhetsintressen och kommersiella intressen hos leverantörer av såväl samhällsviktiga tjänster som digi- tala tjänster skyddas. (artikel 1.5) Av artikel 346 EUF-fördraget framgår följande. Bestämmelserna i fördragen ska inte hindra tillämpningen av följan- de regler: a)Ingen medlemsstat ska vara förpliktad att lämna sådan information vars avslöjande den anser strida mot sina väsentliga säkerhetsintressen. b)Varje medlemsstat får vidta åtgärder, som den anser nödvändiga för att skydda sina väsentliga säkerhetsintressen i fråga om tillverkning av eller handel med vapen, ammunition och krigsmateriel; sådana åtgärder får inte försämra konkurrensvillkoren på den inre marknaden vad gäller varor som inte är avsedda speciellt för militärändamål. 2.Rådet får på förslag från kommissionen genom enhälligt beslut ändra den lista som rådet fastställde över varor på vilka bestämmelserna i punkt 1b ska tillämpas. Leverantörer av samhällsviktiga tjänster ska rapportera incidenter som har en betydande inverkan på kontinuiteten i de samhällsviktiga tjänst- er de tillhandahåller till CSIRT-enheten vid MSB. Mot bakgrund av informationen i rapporten ska CSIRT-enheten informera andra be- rörda medlemsstater, om incidenten har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i den medlemsstaten. Därvid ska CSIRT-enheten, i enlighet med unionsrätten eller med nationell lagstiftning som är förenlig med unionsrätten, bevara nämnda leveran- törs säkerhetsintressen och kommersiella intressen samt konfiden- tialiteten hos informationen i leverantörens rapport. (artikel 14.3 och 14.5). CSIRT-enheten ska enligt den förordning som utredning- en föreslår också skyndsamt överlämna incidentrapporterna till den tillsynsmyndighet som utövar tillsyn över den rapporterande leve- rantören. När det är möjligt ska CSIRT-enheten också förse den rapporterande leverantören med annan relevant information. Leverantören kan åläggas att tillhandahålla tillsynsmyndigheten information som är nödvändig för att bedöma säkerheten i nätverk och informationssystem, inklusive dokumenterade säkerhetsprin- ciper, liksom information om resultaten av en genomförd säkerhets- revision inklusive de underliggande dokumenten (artikel 15.2). Leverantörer av digitala tjänster ska rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av tjänsten till CSIRT- enheten. Om det är lämpligt, och särskilt om incidenten berör två eller fler medlemsstater, ska CSIRT-enheten informera andra med- lemsstater som påverkats. Därvid ska CSIRT-enheten, i enlighet med unionsrätten eller nationell lagstiftning som är förenlig med unions- rätten, bevara leverantören av digitala tjänsters säkerhetsintressen och kommersiella intressen samt den tillhandahållna informationens kon- fidentialitet (artikel 16.2 och 16.6). Leverantören kan åläggas att tillhandahålla tillsynsmyndigheten information som är nödvändig för att bedöma säkerheten i nätverk och informationssystem inklusive dokumenterade säkerhetsprinciper (artikel 17.2). 12.2Behövs ett starkare skydd för uppgifter som ska rapporteras med anledning av en incident eller som ska tillhandahållas i samband med tillsyn? Förslag: En ny punkt ska införas i bilagan till offentlighets- och sekretessförordningen (2009:641): tillsyn enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhälls- viktiga tjänster och digitala tjänster. Bedömning: Skyddet för uppgifter som ska rapporteras och delas med anledning av incidenter samt tillhandahållas i samband med tillsyn enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster samt förordningen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster är tillgodosett genom bestämmelserna i förutom när det gäller skyddet för enskilds affärs- eller driftförhållande. Nuvarande sekretesskydd i 18 kap. 8 § 3 OSL är tillräckligt för att skydda uppgifter i incidentrapporteringen. Leverantörer av samhällsviktiga tjänster och digitala tjänster är en- ligt NIS-direktivet skyldiga att rapportera incidenter. Det kan röra sig om uppgifter om namn och kontaktuppgifter på den som rappor- terat, beskrivning av incidenten, när den inträffat, uppgift om in- cidenten är pågående eller avslutad, vilken kategori incidenten tillhör samt bedömning av omfattning och konsekvenser av incidenten. Leverantörer av samhällsviktiga tjänster och digitala tjänster kan även behöva lämna känslig information om bl.a. säkerhets- och bevakningsåtgärder till tillsynsmyndigheten, såsom uppgifter om säkerheten i nätverk och informationssystem samt uppgifter om säkerhetsprinciper. Leverantörer av samhällsviktiga tjänster ska även tillhandahålla uppgifter om genomförda säkerhetsrevisoner. Uppgifterna som rapporteras eller tillhandhålls kan även röra den rapporterande aktörens ekonomiska verksamhet. Nedan följer en genomgång av bestämmelser i som kan vara aktuella. Sekretess till skydd för säkerhets- eller bevakningsåtgärd I 18 kap. 8 § OSL finns bestämmelser om sekretess för olika brotts- förebyggande åtgärder som i huvudsak hänför sig till annan verk- samhet än polisens. Vissa av åtgärderna syftar endast mera indirekt till att förebygga brott. De åtgärder som aktualiseras i samband med incidentrappor- teringen återfinns i punkterna 3 och 4. Bestämmelserna är tillämpliga både hos den myndighet som upprättar och skickar in en incident- rapport och hos den myndighet som tar emot rapporten. Motsvaran- de gäller när uppgifter tillhandahålls i samband med en tillsyn. Sekretess gäller för uppgift som lämnar eller kan bidra till upp- lysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser telekommunikation eller system för automatiserad behandling av in- formation, (tredje punkten) eller behörighet att få tillgång till upp- tagning för automatiserad behandling eller annan handling (fjärde punkten) (18 kap. 8 § 3 och 4 OSL). Som exempel på säkerhets- eller bevakningsåtgärder nämns i förarbetena1 funktioner för användning av lösenord, loggning och kryptering, installation av brandväggar och antivirusprogram samt administrativa rutiner för t.ex. utdelning av lösenord eller bevakning av loggar och larm. Både uppgifter som direkt lämnar upplysningar om säkerhets- eller bevakningsåtgärder avseende sådana system och uppgifter som kan bidra till att lämna upplysningar om sådana åt- 2003/04:93 s 82 f. gärder kan hemlighållas om det kan antas att syftet med de vidtagna åtgärderna motverkas om uppgifterna röjs. Som exempel på upp- gifter som kan bidra till att lämna upplysningar om säkerhets- eller bevakningsåtgärder nämns t.ex. i förarbetena uppgift om vilken typ och version av operativsystem som använts. Sådana uppgifter kan hemlighållas om t.ex. en viss version av ett operativsystem har visat sig ha svagheter som gör att det är lätt att olovligen ta sig in i syste- met trots de vidtagna skyddsmekanismerna. En uppgift om vilket operativsystem som används skulle i ett sådant fall indirekt innebära en anvisning för den datatekniskt kunnige om hur man kringgår de vidtagna skyddsåtgärderna. Beskrivningar av hur ett program fungerar i stora drag och vilka typer av uppgifter som bearbetas i ett program bör dock alltid kunna lämnas utan att det kan antas att vidtagna säkerhetsåtgärder motverkas. Den för incidentrapporteringen mest relevanta sekretessbestäm- melsen är bestämmelsen i tredje punkten, angående system för auto- matiserad behandling av information. Med system för automatiserad behandling av information avses system där datorer, telekommuni- kation eller annan teknisk utrustning samverkar för att insamla, ordna, bearbeta, söka och distribuera information. Om en myndighets in- formationssystem har slutat att fungera eller om vissa svagheter i systemet har upptäckts och en incidentrapport lämnas till tillsyns- myndigheten eller till myndighet som tar emot rapporten kan upp- giften om vem som har lämnat rapporten utgöra en säkerhetsrisk, eftersom uppgiften innebär en upplysning om att den aktuella orga- nisationens säkerhetssystem är sårbart. Även en sådan uppgift kan falla under bestämmelsen under förutsättning att skaderekvisitet är uppfyllt. Sekretessen enligt fjärde punkten, avseende uppgift om åtgärd som avser behörighet att få tillgång till upptagning för automatise- rad behandling eller annan handling, gäller i första hand uppgifter om behörighetskoder och behörighetsnycklar samt arrangemang och fördelning av dessa, däremot inte generellt program för hemliga upp- tagningar. Bestämmelsen gäller inte bara behörighet avseende upptag- ningar som utgör hemliga, allmänna handlingar i tryckfrihetsför- ordningens mening, utan gäller behörighet avseende alla typer av handlingar. Sekretess till skydd för chiffer, kod m.m. Sekretess gäller för uppgift som lämnar eller kan bidra till upplys- ning om chiffer, kod eller liknande metod, om det kan antas att syftet med metoden motverkas om uppgiften röjs och metoden har till syfte att antingen underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller göra det möjligt att kontrollera om data i elektronisk form har förvanskats (18 kap. 9 § OSL). Sekretessen gäller oberoende av hos vilken myndighet uppgifterna finns. Inom ramen för it-incident- rapporteringen och en tillsyn eller säkerhetsrevision kan uppgifter om chiffer, kod eller liknande metoder som används av informations- säkerhetsskäl komma att hanteras i samband med en teknisk analys av en incident och i tillsynsarbetet. Sekretess till skydd för det allmännas ekonomiska intresse Sekretess gäller i en myndighets affärsverksamhet för uppgift om myndighetens affärs- eller driftförhållanden, om det kan antas att någon som driver likartad rörelse gynnas på myndighetens bekost- nad om uppgiften röjs. Under motsvarande förutsättning gäller sekre- tess hos en myndighet för uppgift om affärs- eller driftförhållanden hos bolag, förening, samfällighet eller stiftelse som driver affärsverk- samhet och där det allmänna genom myndigheten utövar ett bestäm- mande inflytande eller bedriver revision (19 kap. 1 § första stycket). Med affärs- eller driftförhållanden avses förvärv, överlåtelser, upp- låtelser eller användning av egendom, tjänster eller annat. Vidare om- fattas affärshemligheter av mera allmänt slag, marknadsundersök- ningar, marknadsplaneringar, prissättningskalkyler och planer rörande reklamkampanjer. Nämnas kan också sådant som konstruktions- arbeten, utredningar av annat slag, prov, förhandlingar och andra affärshändelser.2 Som exempel kan nämnas att drift- handböcker har ansetts omfattas av sekretess.3 Av förarbetena till sekretesslagen framgår att bestämmelsen i första hand tar sikte på att skydda uppgifter hos de affärsdrivande verken men det nämns också att begreppet affärsverksamhet inte 1979/80:2 del A s. 145. 3Kammarrätten i dom , mål nr 2662-11. får fattas alltför snävt. Enligt vad som uttalas i förarbetena är det utmärkande för affärsverksamhet i allmänhet att verksamheten be- drivs under krav på viss vinst eller åtminstone att den går ihop eko- nomiskt, låt vara att den kan vara delvis subventionerad. Det är vidare i allmänhet fråga om verksamhet som inte kan sägas bestå i fullgöran- de av förvaltningsuppgift i snäv bemärkelse.4 Enligt vad regeringen uttalade i prop. 1992/93:43 s. 12 f. om ökad konkurrens i kom- munal verksamhet får de delar av kommunernas och landstingens verksamheter som är konkurrensutsatta anses utgöra annat än full- görande av förvaltningsuppgifter i snäv bemärkelse. Regeringen be- dömde att sekretessbestämmelsen därför torde kunna vara tillämplig på sådan konkurrensutsatt verksamhet hos kommunerna och lands- tingen.5 Får en myndighet en uppgift som är sekretessbelagd enligt 19 kap. 1 § från en annan myndighet blir 1 § tillämplig på uppgiften också hos den mottagande myndigheten under förutsättning att uppgiften inte ingår i ett beslut av den mottagande myndigheten. Sekretess till skydd för enskilds affärs- eller driftförhållanden Uppgifter kan även vara känsliga med hänsyn till leverantörernas eko- nomiska verksamhet. Utredningen ska analysera om det befintliga sekretesskyddet för uppgifter om enskilds affärs- och driftförhål- landen är tillräckligt. Enligt 30 kap. 23 § OSL gäller sekretess i en statlig myndighets verksamhet som består i utredning, planering, prisreglering, tillstånds- givning, tillsyn eller stödverksamhet med avseende på produktion, handel, transportverksamhet eller näringslivet i övrigt, för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forsk- ningsresultat, om det kan antas att den enskilde lider skada om upp- giften röjs (första punkten), och för uppgift om andra ekonomiska eller personliga förhållanden än som avses i första punkten för den som har trätt i affärsförbindelse eller liknande förbindelse med den som är föremål för myndighetens verksamhet (andra punkten). Be- stämmelsen ger inte i sig själv upphov till någon sekretess utan förut- 1979/80:2 del A s. 144 f. 1993/94:188 sida 89. sätter att regeringen föreskriver om sekretess. Regeringen har med stöd av första stycket meddelat föreskrifter om sekretess i 9 § offent- lighets- och sekretessförordningen (2009:641) (OSF) i den ut- sträckning som anges i bilagan till OSF. 13 i bilagan anges bl.a. utredning, planering, tillsyn och stödverksamhet hos MSB, i p. 17 tillståndsgivning och tillsyn hos Transportstyrelsen, i p. 26 tillsyn enligt lagen (2012:806) om beredskapsplanering av olja eller enligt motsvarande äldre föreskrifter, p. 28 tillsyn enligt livsmedelslagen (2006:804) och livsmedelsförordningen (2006:813), p. 33 tillsyn en- ligt lagen (1993:584) om medicintekniska produkter, p. 58 tillsyn en- ligt patientsäkerhetslagen (2010:659) och p. 99 tillsyn hos . Begreppet affärs- eller driftförhållande har beskrivits ovan. Ordet tillsyn ska inte ges en alltför snäv tolkning utan får anses omfatta alla de fall där en myndighet har en övervakande eller styrande funk- tion i förhållande till näringslivet. Under begreppet tillsyn faller också sådan rådgivning som sker som ett led i en myndighets tillsynsverk- samhet.6 Den typ av uppgifter som det i första hand handlar om att sekretessbelägga är enskildas affärs- och driftförhållanden, dvs. upp- gifter som typiskt sett kan vara av intresse för konkurrenter och som skulle skada verksamheten om de blev kända. För sekretess i första punkten gäller rakt skaderekvisit och för andra punkten gäller absolut sekretess. Sekretessen gäller oberoende av hos vilken myndighet uppgift- erna finns. I 15 kap. 1–2 §§ OSL regleras utrikes- och försvarssekretessen samt sekretess i det internationella arbetet. Där finns regler om sekretess till skydd för säkerhet och förhållande till andra stater eller mellanfolkliga organisationer. Utrikessekretess gäller uppgift som rör förbindelser med en annan stat eller i övrigt rör annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller stats- 1979/80:2 del A s. 235–236. lös, om det kan antas att det stör mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs (15 kap. 1 § OSL). Sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att möjlig- het att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs (15 kap 1 a § OSL). I denna bestämmelse regleras sekretess för uppgifter som har lämnats till eller inhämtats av en myndighet på grund av en bindande EU-rättsakt. Med bindande EU-rättsakt avses förordning, direktiv eller beslut.7 Försvarssekretess gäller uppgift som rör verksamhet för att för- svara landet eller planläggning eller annan förberedelse av sådan verk- samhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Förekommer sådana uppgifter, t.ex. upp- gifter om funktionssätt och säkerhet i system som har betydelse för samhällets försörjning eller infrastruktur, omfattas de av bestämmel- sen. Bestämmelsen gäller oberoende av hos vilken myndighet upp- gifterna finns (15 kap. 2 § OSL). Behov av starkare sekretess i 18 kap. 8 § 3 OSL? Bestämmelsen i 18 kap. 8 § 3 OSL är utrustad med ett s.k. rakt skaderekvisit. Vid införandet förordade dock flera remissinstanser i stället ett omvänt skaderekvisit.8 I samband med att betänkandet Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23) remitterades pekade flera remissinstanser på att sekretesskyddet för aktuella uppgifter behöver ses över. MSB framförde i det sammanhanget att det kan finnas an- ledning att överväga möjligheten att föreskriva om absolut sekretess för it-incidentrapporter. Utredningen ska enligt kommittédirektiven analysera om det nuvarande sekretesskyddet i 18 kap. 8 § 3 OSL är tillräckligt för att skydda de uppgifter som ska rapporteras till MSB och övriga tillsyns- 2012/13:192 s. 43. 2003/04:93 s. 78 f. myndigheter eller om det finns behov av ett starkare sekretesskydd. Det som kan komma ifråga är att införa ett omvänt skaderekvisit eller absolut sekretess. När bestämmelsen infördes gjorde regeringen bedömningen att ett rakt skaderekvisit innebär att skyddsvärda uppgifter får ett till- fredställande skydd som insynen i myndigheternas verk- samhet inte inskränks mer än nödvändigt.9 Kammarrätten i har prövat om uppgifter om it-inci- denter i incidentrapporter omfattas av sekretess enligt 18 kap. 8 § 3 OSL.10 I samtliga avgöranden beslutade kammarrätten att inte lämna ut uppgifterna eftersom de bedömdes vara sådana att de lämnade eller kunde bidra till upplysning om säkerhets- eller bevakningsåtgärd och att det kunde antas att syfte med åtgärden motverkades om uppgifterna röjdes. I skälen till NIS-direktivet (skäl 40–41) konstateras att informa- tion om incidenter blir allt mer värdefull för allmänheten och företag, särskilt små och medelstora företag. I vissa fall tillhandahålls sådan information redan via webbplatser på nationell nivå, på ett specifikt lands språk, och är främst inriktad på incidenter och händelser med en nationell dimension. Eftersom företag i allt större utsträckning bedriver gränsöverskridande verksamhet och medborgare använder onlinetjänster, bör information om incidenter tillhandahållas i samlad form på unionsnivå. sekretariat uppmuntras i direktivet att upprätta en webbplats eller upplåta utrymme åt en sär- skild sida på en befintlig webbplats, där allmän information om all- varliga incidenter i unionen görs tillgänglig för allmänheten. Infor- mationen ska vara särskilt inriktad på företags intressen och behov. CSIRT-enheter som deltar i uppmanas att på fri- villig grund tillhandahålla den information som ska offentliggöras på denna webbplats, utan att därvid inkludera konfidentiell eller känslig information. I fall då information anses vara konfidentiell enligt unionsbestämmelser och nationella bestämmelser om affärs- hemligheter, bör konfidentiell behandling säkerställas vid genom- förande av verksamhet och uppfyllande av mål enligt direktivet. Vid genomförandet av rapporteringsskyldigheterna bör CSIRT-enheter- na särskilt ta hänsyn till behovet av att hålla uppgifter om produkters 2003/04:93 s. 82. 10Kammarrätten i , mål nr 2972-16; 5858-16 och 5032-16. sårbara aspekter strikt konfidentiella till dess att lämpliga säkerhets- lösningar släpps. (skäl 59) För att det ska vara möjligt att vägra lämna ut en uppgift i en allmän handling måste det enligt svensk rätt finnas en sekretessbe- stämmelse som omfattar den aktuella uppgiften. Gör det inte det är uppgiften offentlig och ska lämnas ut. Finns det en sekretessbestäm- melse som uppgiften omfattas av ska myndigheten göra en skade- prövning. Det innebär att det ska ske en prövning av om uppgiften kan lämnas ut i just den aktuella situationen. Vid raka skaderekvisit är utgångspunkten att uppgiften är offentlig och att sekretess bara gäller om det kan antas att en viss skada uppkommer om uppgiften röjs. Det omvända skaderekvisitet har den omvända utgångspunk- ten, dvs. det uppställer sekretess som huvudregel. Vid ett omvänt skaderekvisit gäller således sekretess om det inte står klart att upp- giften kan röjas utan att viss skada uppstår. Omfattas uppgiften av absolut sekretess saknas skaderekvisit och uppgiften får då inte lämnas ut oavsett skada. Någon skadeprövning behöver alltså inte göras i dessa fall. Det är alltid förbjudet att sprida uppgifter som omfattas av absolut sekretess.