sou · H8B355 · 2020-09-15 00:00:00 — Behovet av säkerhetsskydd ska analyseras och med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de åtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter (2 kap. 1 § säkerhetsskyddslagen). Utifrån identifierat behov av säker- hetsskydd ska olika åtgärder införas. Det kan vara fråga om admini- strativa åtgärder för att skydda information av betydelse för säkerhet, t.ex. behörighetsrutiner, men även tekniska åtgärder för it- säkerhet eller fysiska inpasseringskontroller. För behandling av personuppgifter i en viss verksamhet inne- håller dataskyddsförordningen bestämmelser om vilka åtgärder som den personuppgiftsansvarige är skyldig att vidta för att säkerställa att behandlingen utförs i enlighet med förordningen.3 Den nya lagen kommer inte i sig att rättsligt påverka aktörernas löpande säkerhetsarbete eller arbete med att skydda enskildas person- liga integritet. Däremot är det av högsta vikt att aktörerna fortsatt följer de krav på säkerhetsskydd, informationssäkerhet och skydd för personuppgifter som ställs i olika regelverk, se avsnitt 17.3. Den föreslagna handlingsdirigerande bestämmelsen om tillgänglig- görande på eget initiativ av information och förslagen på formatkrav kan väntas leda till ett ökat digitalt tillgängliggörande. Vid samråd med företrädare för Säkerhetspolisen, Försvarsmakten och Myndig- heten för samhällsskydd och beredskap har risker som kan hänföras till en utökad tillgång till digital information uppmärksammats, sär- skilt de utmaningar som gör sig gällande när information aggregeras och sedan bearbetas.4 Med aggregering avses i detta sammanhang att olika uppgifter, som var för sig inte omfattas av sekretess, tillsammans utgör ett nytt skyddsvärde. Om myndigheter dessutom i större ut- sträckning använder samma filformat för att göra information till- gänglig, vilket kan antas bli en konsekvens av de föreslagna format- bestämmelserna, kan risken för kartläggning av information öka. 3Se t.ex. artikel 24 och 25 i dataskyddsförordningen. 4Se bl.a. avsnitt 3.1.3 i Vägledning i säkerhetsskydd – informationssäkerhet, utgiven av Säker- hetspolisen . varje myndighet gör sina egna säkerhetsbedömningar av vilken infor- mation som kan göras tillgänglig är risken stor att myndigheten inte ser sin information som den pusselbit den utgör i helheten av infor- mation, exempelvis avseende totalförsvaret, kritisk infrastruktur och säkerhet. Ett ökat digitalt tillhandahållande av information i kombination med ett ökat fokus på säkerhets- och integritetsfrågor i hela sam- hället – såväl från regeringens5 som från EU:s håll – kan också leda till att kraven på förvaltningens säkerhets- och integritetsskydds- arbete kommer att öka. De säkerhetsbedömningar som utförs av de offentliga aktörerna kan vara komplexa, särskilt när det gäller att för- utse om en viss informationsmängd, som i sig framstår som harmlös, kan vara känslig tillsammans med en annan aktörs tillgängliggjorda information (s.k. potentiella aggregat). Genom ett förebyggande, systematiskt och riskbaserat arbete i frågor om säkerhet och personuppgifter anser vi att arbetet med att främja tillgängliggörande av öppna data och annan digital informa- tion kan fortsätta i den offentliga förvaltningen, som ett gott skydd för säkerhet och integritet också säkerställs. Ett gediget säkerhetsarbete är alltså en viktig förutsättning för att förvaltningen ska kunna möta de utmaningar som de har avseende tillgängliggör- ande av öppna data och annan offentlig information i förhållande till frågor om skydd för information. Här bör även vikten av samverkan mellan aktörerna betonas när det gäller att skaffa sig underlag för identifiering och analys av potentiella risker med tillgängliggörande av olika typer av information. I det följande redogör vi för de risker som kan komma att uppstå för de särskilda skyddsintressen som angetts inledningsvis. 17.5Risker när information görs tillgänglig Ett ökat tillhandahållande av information i digital form kan leda till att enskilda i större omfattning än riskerar att utsättas för olika typer av integritetsintrång (jfr Allmänna handlingar i elektronisk 5Regeringens mål i säkerhetsfrågor framgår bl.a. av Nationell säkerhetsstrategi, Statsrådsbered- ningen, och Nationell strategi för samhällets informations- och cybersäkerhet, Skr. 2016/17:213. form – offentlighet och integritet, SOU 2010:4, s. 267 f.). Frågan om utlämnande i digitalt format har utretts , senast av E- offent- lighetskommittén, som ansåg att skyddet för den personliga integri- teten i samband med utlämnande måste säkerställas till en godtagbar skyddsnivå innan en sådan skyldighet införs (SOU 2010:4). Vikten av att skydda den personliga integriteten framhävs, som tidigare nämnts, även i artikel 1.4 i öppna data-direktivet, som anger att direk- tivet inte ska påverka tillämpningen av bestämmelserna i unionsrätten och nationell rätt om skydd av personuppgifter, i synnerhet data- skyddsförordningen. Vid ett utlämnande enligt tryckfrihetsförordningen begränsas till- gången till digital information i första hand av 2 kap. 16 § TF som innebär att en sökande inte har någon grundlagsfäst rätt att få ut en kopia i digitalt format, t.ex. på USB-minne eller genom direkt över- föring från ett datorsystem till ett annat via allmänna kommunika- tionsnät. Utlämnande i digitalt format kan även regleras i en särskild registerförfattning. Ett exempel på en sådan reglering finns i 10 § lagen (2000:224) om fastighetsregister.6 Det gemensamma syftet med dessa bestämmelser är att upprätthålla skyddet för den person- liga integriteten och se till att åtgärderna är i överensstämmelse med dataskyddsbestämmelser (jfr Kungl. Maj:ts proposition med förslag till ändringar i tryckfrihetsförordningen, m.m., prop. 1973:33, s. 85 f. och Offentlighetsprincipen och informationstekniken, prop. 2001/02:70, s. 33 f. och SOU 2010:4, s. 132 ff. och 267 f.). Genom de bestämmelser om format som vi föreslår i av- snitt 11.4.3–11.4.6 införs en sådan skyldighet i annan lag som anges i 2 kap. 16 § TF och som åsidosätter utskriftsundantaget, vilket inne- bär att en myndighet inte fritt kan välja format för utlämnandet när det sker som ett led i att handlägga en begäran om vidareutnyttjande som innehåller vissa krav på format. Skyldigheten gäller en bred flora av informationsinnehåll. Det kan därför antas att bestämmelserna kommer att leda till ett ökat utlämnande av information i digitalt format, med utökade risker för den personliga integriteten. Det är viktigt att beakta sådana risker vid tillämpningen av lagen, se vidare i avsnitt 17.6.1. När man talar om dessa risker är det dock viktigt att ha i åtanke att myndigheter regelmässigt har att ta ställ- ning till sådana integritetsfrågor då många utlämnanden sker digitalt. 6Av bestämmelser framgår att personuppgifter som avser inteckningar inte får lämnas ut på upptagning för automatiserad behandling, om inte annat följer av lag eller annan författning. Artikel 1.2.d i öppna data-direktivet gäller information som är käns- lig med hänsyn till skyddet av den nationella säkerheten, försvaret eller den allmänna säkerheten. I säkerhetsskyddslagen används ut- trycket ”säkerhet”. Vi anser att det även bör användas i detta sammanhang, i stället för ”nationell säkerhet”. För sådana uppgifter finns i 15 kap. OSL bestämmelser om sekretess till skydd för rikets säkerhet eller dess förhållande till andra stater eller mellanfolkliga organisationer. Att avgöra om en viss verksamhet är av betydelse för säkerhet kan i en del fall vara svårt. Den bedömningen görs av den enskilde verksamhetsutövaren. Ett skäl till att en verksamhet kan anses vara av betydelse för säkerhet är om den hanterar säkerhets- skyddsklassificerade uppgifter, men även en verksamhet som hanterar stora mängder information som inte är säkerhetsskyddsklassificerad kan betraktas som säkerhetskänslig av andra anledningar. Det kan exempelvis vara fråga om uppgifter som hämtats från olika allmänt tillgängliga källor men där den samlade uppgiftsmängden är nödvän- dig för andra aktörer i en klart säkerhetskänslig verksamhet. I för- arbetena till säkerhetsskyddslagen anges att det oftast torde krävas en viss mängd uppgifter för att ansamlingen ska anses som säker- hetskänslig och att denna bedömning får avgöras i det enskilda fallet, mot bakgrund av bl.a. vilken typ av uppgifter och verksamhet det är fråga om och vilka konsekvenser det skulle kunna innebära om an- samlingen gjordes tillgänglig för utomstående (Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag, prop. 2017/18:89, s. 43 ff.). Som vi anfört ovan kan dessa bedömningar innebära stora ut- maningar för den enskilda myndigheten. Riskerna gör sig särskilt gällande för digital information och bör därför uppmärksammas vid tillämpningen av de formatkrav som vi föreslår ska införas i den nya lagen. Artikel 1.2.e i öppna data-direktivet rör känslig information om skydd av kritisk infrastruktur. Enligt artikel 2 d i Rådets direktiv /114/EG av om identifiering av, och klassi- ficering som, europeisk kritisk infrastruktur och bedömning av be- hovet att stärka skyddet av denna, definieras känslig information om skydd av kritisk infrastruktur som uppgifter som, om de avslöjas, skulle kunna användas till att planera och agera för att förorsaka driftsstör- ning eller förstörelse av sådan infrastruktur. Det kan röra infrastruk- tur för t.ex. eldistribution, vattenförsörjning, transport och telekom- munikation. I skyddas information om känslig infrastruktur av bestämmelser i säkerhetsskyddslagen och lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Kritisk infrastruktur behöver skyddas på flera sätt, inte bara fysiskt. Funktionaliteten i kritisk infrastruktur är med få undantag beroende av fungerande nätverk och informationssystem, vilket gör informationssäkerhetsarbetet mycket viktigt. Genom regleringen i lagen om informationssäkerhet för samhällsviktiga och digitala tjänster ställs krav på att leverantörer av samhällsviktiga tjänster arbetar syste- matiskt och riskbaserat med informationssäkerhet samt rapporterar it-incidenter. En av säkerhetsåtgärderna inom informationssäkerhetsarbetet är att säkerställa tillräcklig fysisk säkerhet. Syftet med fysisk säkerhet är att förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar där de kan få tillgång till säkerhetsskyddsklassi- ficerade uppgifter. Exempel på åtgärder avseende fysiskt skydd är skal- skydd, påkörningsskydd eller andra barriärer (prop. 2017/18:89, s. 72). I detta sammanhang kan skyddslagen (2010:305) nämnas. I lagen finns bestämmelser om åtgärder till förstärkt skydd för byggnader, andra anläggningar, områden och andra objekt. I 7 § regleras tillträde till sådana skyddsobjekt som definieras i lagen. Det är även viktigt att erinra om att de fysiska skyddsåtgärder som skyddar verksamheten riskerar att påverkas negativt om information kring hur den känsliga infrastrukturen skyddas görs tillgänglig. Informationssäkerhet är en viktig del av den digitala förvaltningen och innebär en strävan efter att skydda information så att den alltid är tillgänglig när den behövs (tillgänglighet), att det går att lita på att den är korrekt och inte manipulerad eller förstörd (riktighet) samt att endast behöriga personer får ta del av informationen (konfiden- Informationssäkerhet garanteras genom administrativa åt- gärder för att skydda information som behörighetsrutiner, genom tekniska åtgärder för it-säkerhet eller genom fysiska åtgärder som skalskydd och inpasseringskontroller. Kraven på tillgänglighet och riktighet kommer sannolikt att öka i flera avseenden, som bedömningen av vad som är känsligt ur ett konfidentialitetsperspektiv blir mer komplex. Med hänsyn till att den nya lagen omfattar inte bara en viss specifik typ av informa- tion eller en viss aktör är det dock inte möjligt att ge en närmare och heltäckande analys av hur informationssäkerheten ska säkerställas i det enskilda fallet. Det ökade kravet på att snabbt tillhandahålla dynamiska data som föreslås – tillsammans med krav på att informa- tion i större utsträckning ska göras tillgänglig i format som främjar sammanställning, förädling och vidareutnyttjande av stora informa- tionsmängder – ställer krav på myndigheterna att säkerställa infor- mationssäkerheten i detta arbete. Det kan handla om att kontrollera att innehållet i den information som publiceras är korrekt eller att se till att det i efterhand går att härleda hur informationen har hante- rats, t.ex. vem som har gjort den tillgänglig (jfr prop. 2017/18:89, s. 69). De risker som är kopplade till dynamiska data och behovet av att kunna verifiera, värdera och klassificera informationen utifrån dess behov av skydd för konfidentialitet, riktighet och tillgänglighet har förts fram av företrädare för Säkerhetspolisen, Försvarsmakten och Myndigheten för samhällsskydd och beredskap under våra samråd. Det är därför av vikt att erinra om dessa skyddsintressen vid tillämp- ningen av den nya lagen, i synnerhet i förhållande till kraven på digi- talt format. Vi kan notera att föreslagit att regeringen låter utreda förutsättningarna för att ta fram en lag om informationssäkerhet som omfattar hela den offentliga förvaltningen, i syfte att stärka informationssäkerheten (se Juridik som stöd för förvaltningens digitalisering, SOU 2018:25, s. 331). 17.6Vissa särskilda begränsningar ska införas i den nya lagen Mot bakgrund av vad som anförts ovan anser vi att det finns anled- ning att överväga begränsningar till de bestämmelser om tillgänglig- görande på eget initiativ och formatkrav som vi föreslår i avsnitt 11.3.2 och 11.4.3–11.4.6, på så sätt att de endast ska tillämpas om det inte är olämpligt. Detta i syfte att erinra om de skyddsintressen som vi pekat på i detta kapitel och de avvägningar som ska göras för att mini- mera riskerna. Förslagen om begränsningar utgör ett komplement till befintliga bestämmelser om sekretess. Eftersom kraven på format åsidosätter utskriftsundantaget är det av särskild vikt att det finns en möjlighet att avstå från att tillämpa kraven i de fall det är olämpligt med hänsyn till ett särskilt skyddsintresse. Genom förslagen anser vi att en hög nivå av säkerhets- och integritetsskydd kan bibehållas som de mål som öppna data-direktivet och den nya lagen vill uppnå främjas. 17.6.1Formatkrav i förhållande till skydd av personuppgifter Vårt förslag: Bestämmelserna om krav på att formatera informa- tion ska inte få tillämpas om det är olämpligt med hänsyn till skyddet av personuppgifter eller om det i annan författning anges att information inte får tillhandahållas i visst format. Mot bakgrund av vad vi anfört i avsnitt 17.5.1 angående riskerna för den personliga integriteten när tillgången till digital information ökar är det av största vikt att skyldigheten att tillhandahålla information i vissa format vid en begäran om vidareutnyttjande begränsas när den innehåller personuppgifter. Detta i synnerhet då formatkraven i prak- tiken medför att det bedömningsutrymme som myndigheten förfogar över vid en tillämpning av 2 kap. 16 § TF faller bort. Begränsningen bör gälla oavsett om informationen i fråga lämnas ut efter en begäran om vidareutnyttjande eller om den görs tillgänglig utan en föregående begäran. Intresset av att skydda den personliga integriteten gör sig gällande i båda dessa situationer. Vid ett tillgängliggörande av infor- mation utan en föregående begäran ska bedömningen av om det är olämpligt att göra informationen tillgänglig ske även inom ramen för ett ställningstagande om den överhuvudtaget bör göras tillgänglig, se avsnitt 17.6.3. Frågan är hur begränsningen ska utformas. Risker för enskildas personliga integritet kan i första hand antas uppstå när information som innehåller personuppgifter lämnas ut till andra än myndigheter. gjorde emellertid bedömningen att det inte fanns bärande skäl för att införa en generell begränsning av en myndighets möjligheter att lämna ut personuppgifter i digitalt format. Utredningen ansåg även att det starkt kunde ifrågasättas om en sådan begränsning skulle vara förenlig med PSI-direktivet (se Myndighetsdatalag, SOU 2015:39, s. 449 och 454). Vi delar dessa bedömningar. Den nya lagen ska därför inte innehålla en bestämmelse som helt undantar tillhandahållande i digitalt format av information som innehåller personuppgifter. I stället anser vi att det genom ett lämplighetsrekvisit ska tydliggöras att det ankommer på myndigheterna att göra en prövning av om det är olämpligt att tillhandahålla informationen i visst format. En sådan lösning har tidi- gare förordats av olika utredningar (jfr SOU 2018:25, s. 497 och SOU 2010:4, s. 306) och förekommer redan i en del författningar, t.ex. 16 § domstolsdatalagen (2015:728) och de registerförfattningar som gäller utöver brottsdatalagen (2018:1177), t.ex. 2 kap. 7 § lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område. I vissa fall följer det av en registerförfattning att information inte får tillhandahållas i digitalt format eller att ett sådant tillhandahållande får ske endast under särskilda förutsättningar. Sådana bestämmelser avser ofta information som till sin natur typiskt sett är integritets- känslig och ska alltid ha företräde i förhållande till de bestämmelser om krav på format som föreslås i avsnitt 11.4.3–11.4.6. Förhållandet till sådan särskild reglering bör därför framgå av den nu aktuella be- stämmelsen genom att det anges att formatkraven inte ska tillämpas om det följer av annan författning att information inte får tillhanda- hållas i visst format (se SOU 2010:4, s. 289, där denna potentiella normkonflikt belyses). Genom de begränsningar som vi föreslår anser vi att en lämplig balans kan uppnås mellan en, i förhållande till utskriftsundantaget, utökad skyldighet att tillhandahålla information i digitalt format i enlighet med direktivet, och behovet av att upprätthålla ett adekvat skydd för personuppgifter. 17.6.2Formatkrav i förhållande till skydd av säkerhet Vår bedömning: Direktivet medger inte att det införs en bestäm- melse i lagen om att formatkraven inte ska få tillämpas om det är olämpligt med hänsyn till säkerhet eller informations- säkerhet i övrigt. Att hänsyn ska tas till dessa skyddsintressen bör i stället framgå av lagens syftesbestämmelse. Hur olika offentliga aktörer praktiskt ska lägga upp sitt arbete med säkerhetsskyddsklassificerade uppgifter för att kunna upprätthålla en nödvändig skyddsnivå eller hur bedömningarna i det enskilda fallet bör göras, ligger utanför vårt uppdrag att ge förslag på. Det står emellertid klart att bristande informationssäkerhet och hantering av information som kan påverka säkerhet eller skyddet för kritisk infrastruktur eller annan skyddsvärd information utgör en stor risk för samhället. En ökad digitalisering innebär därför att nya hot och risker med anknytning till dessa skyddsintressen behöver hanteras. De bestämmelser som vi föreslår i avsnitt 11.4.3–11.4.6 med krav på att formatera information innebär ett ökat flöde av digital information från offentliga aktörer och därmed ökade risker, såväl för den enskilda informationsmängden som när information från olika källor kombineras. Enligt vår uppfattning är det viktigt att de krav på digitalt format som föreslås inte får överskugga behoven av att upprätthålla en hög skyddsnivå för vitala nationella intressen. Vi har övervägt att låta de riskaspekter som pekats på ovan komma till uttryck i den nya lagen genom att i en särskild bestämmelse be- gränsa skyldigheten att tillhandahålla information i vissa format om det är olämpligt med hänsyn till säkerhet eller informations- säkerhet i övrigt. Frågan är emellertid om direktivet medger ett undan- tag av detta slag. I artikel 1.2.d anges att direktivet inte är tillämpligt på information som är undantagen från tillgång enligt medlems- staternas bestämmelser om tillgång med hänsyn till skydd av den nationella säkerheten, försvaret eller den allmänna säkerheten. Det är alltså offentlighets- och sekretesslagen som hindrar att sådan käns- lig information tillgängliggörs och därmed inte kan vidareutnyttjas. Något undantag som motiveras av säkerhetsskäl för att inte tillämpa direktivets krav på att tillhandahålla information i ett visst format finns inte i direktivet. Möjligen skulle man kunna hävda att direk- tivets syfte inte är att skyddsvärd information ska tillgängliggöras och att införa en bestämmelse om skydd för säkerhetsintressen i den nya lagen därför inte kan vara oförenligt med direktivet. Detta sär- skilt då frågor om medlemsstaternas säkerhet och försvar ligger utan- för EU:s kompetens. Emellertid skulle en sådan bestämmelse endast vara av upplysande karaktär och ange sådana hänsyn som ska tas redan vid hanteringen av en begäran om att få tillgång till viss information, eller när information görs tillgänglig utan en föregående begäran. Vi har därför bestämt oss för att inte föreslå en bestämmelse som erinrar om säkerhetsaspekterna i samband med tillhandahållande av information i vissa format, utan i stället föreslå att en övergripande bestämmelse om detta införs i paragrafen om lagens syfte. I denna bestämmelse erinras om att ett ökat tillgängliggörande och vidare- utnyttjande av information inte får inverka negativt på säker- het eller informationssäkerhet i övrigt, se avsnitt 7.2.3. I kombina- tion med det löpande säkerhetsarbete som de olika aktörerna måste bedriva, tillsammans med den ovan föreslagna bestäm- melsen om skydd för personuppgifter, anser vi att behovet av skydd för information tillgodoses. 17.6.3Tillgängliggörande på eget initiativ i förhållande till skydd av personuppgifter och säkerhet Vårt förslag: Information ska inte få göras tillgänglig på eget initiativ om det är olämpligt med hänsyn till skyddet av person- uppgifter eller kritisk infrastruktur eller med hänsyn till säkerhet eller informationssäkerhet i övrigt. När en offentlig aktör gör information tillgänglig på eget initiativ får det förutsättas att detta föregås av ett ställningstagande avseende om informationen till sitt innehåll eller sin typ är känslig och om det finns hinder mot att publicera informationen av sekretess- eller data- skyddsskäl. När det saknas en skyldighet att tillgängliggöra infor- mation kan det innebära att myndigheter och andra offentliga aktörer i vissa fall kommer att underlåta ett tillgängliggörande för att inte riskera att göra information tillgänglig som kan vara känslig. Att den bestämmelse som vi föreslår i avsnitt 11.3.2 innefattar ett handlings- dirigerande moment förändrar inte denna bedömning. Frågan är där- för om det är nödvändigt att i den nya lagen uttryckligen erinra om den lämplighetsbedömning som alltid bör göras i samband med ett tillgängliggörande av information som sker på eget initiativ. Med hänsyn till att syftet med bestämmelsen är att främja ett ökat till- gängliggörande som sker på eget initiativ kan det emellertid inte ute- slutas att risker uppstår vid ett sådant tillgängliggörande. Särskilt med hänsyn till att det i normalfallet kan antas ske digitalt. För att motverka de risker som kan uppstå vid ett tillgängliggör- ande som sker på myndighetens eget initiativ anser vi därför att det i den nya lagen bör införas en bestämmelse som anger att information i de fallen inte ska få göras tillgänglig om det skulle vara olämpligt med hänsyn till skyddet av personuppgifter eller kritisk infrastruk- tur eller med hänsyn till säkerhet eller informationssäkerhet i övrigt. 17.7Samråd när information görs tillgänglig Vår bedömning: Det bör inte införas en bestämmelse i den nya lagen som särskilt ålägger en offentlig aktör att samråda med en samordnande myndighet innan information görs tillgänglig.