sou · H8B355 · 2020-09-15 00:00:00 — Det är den personuppgiftsansvarige som ska säkerställa att kraven följs vid behandlingen av uppgifterna (artikel 5.2). Förhållandet till vissa andra rättsområden För att en behandling av personuppgifter ska vara laglig måste den vila på en rättslig grund enligt artikel 6.1 i dataskyddsförordningen. De rättsliga grunderna är samtycke, avtal, rättslig förpliktelse, grund- läggande intresse, allmänt intresse, myndighetsutövning och – såvitt avser behandling som utförs av enskilda – intresseavvägning. Person- uppgiftsbehandlingen ska även vara nödvändig. Om behandlingen utförs med stöd av någon av de rättsliga grun- derna rättslig förpliktelse, allmänt intresse eller myndighetsutövning måste denna vara fastställd i unionsrätten eller i nationell rätt i enlig- het med artikel 6.3. När en myndighet, vars behandling av personuppgifter faller under brottsdatalagen, lämnar ut allmänna handlingar omfattas inte den behandlingen av brottsdatalagen. I stället blir dataskyddsförordning- ens bestämmelser tillämpliga och i de flesta fall är det de rättsliga grunderna rättslig förpliktelse och allmänt intresse som aktualiseras (Brottsdatalag, prop. 2017/18:232, s. 107 f. och 131 ff.). Dataskyddsförordningen förbjuder, som huvudregel, behandling av personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. Detsamma gäller behandling av genetiska och biometriska uppgifter (artikel 9.1 data- skyddsförordningen; jfr 2 kap. 11 och 12 §§ brottsdatalagen). Säkerhetsskydd innebär bl.a. förebyggande åtgärder för att skydda säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott. Kraven på säkerhetsskyddet har förändrats genom utveck- lingen i omvärlden och på informationsteknikområdet, ökningen av säkerhetskänslig verksamhet som bedrivs i enskild regi och en ökad internationell samverkan. För att stärka säkerhetsskyddet har säker- hetsskyddslagstiftningen varit föremål för en översyn och en Förhållandet till vissa andra rättsområden ny säkerhetsskyddslag (2018:585) trädde i kraft . Den nya lagen gäller för den som till någon del bedriver verksamhet som är av betydelse för säkerhet eller som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd, s.k. säkerhetskänslig verksamhet (1 kap. 1 §). Säkerhetsskyddet omfattar inte bara skydd av säkerhetskänslig verksamhet, utan även skydd av säkerhetsskyddsklassificerade uppgifter. En uppgift är säkerhetsskyddsklassificerad om den rör säkerhetskäns- lig verksamhet och därför omfattas av sekretess enligt offentlighets- och sekretesslagen, eller skulle ha omfattats av sekretess om den lagen hade varit tillämplig (1 kap. 2 §). Det andra ledet i bestämmel- sen tar sikte på enskilda verksamhetsutövare som normalt inte om- fattas av offentlighets- och sekretesslagens regler. Säkerhetsskyddsklassificerade uppgifter delas in i olika säkerhets- skyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet. Det finns fyra olika säkerhetsskydds- klasser: kvalificerat hemlig vid en synnerligen allvarlig skada, hemlig vid en allvarlig skada, konfidentiell vid en inte obetydlig skada och begränsat hemlig vid endast ringa skada (2 kap. 5 §). Lagen innehåller krav på olika säkerhetsskyddsåtgärder i form av informationssäkerhet, fysisk säkerhet och personalsäkerhet för de aktörer som bedriver säkerhetskänslig verksamhet. Åtgärder inom informationssäkerhet ska företas dels för att före- bygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels för att förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet (2 kap. 2 §). Tillämpningsområdet för säkerhetsskyddsåtgärden informationssäkerhet har utvidgats bl.a. till att även avse skydd av uppgifter och informationssystem som inte utgör eller innehåller säkerhetsskyddsklassificerade uppgifter, men som har ett högt skyddsvärde av andra skäl, t.ex. system inom digital infrastruktur eller för styrning av viktiga samhällsfunktioner. Det ut- ökade skyddet avser framför alltuppgifternas riktighet och tillgäng- lighet (Ett modernt och stärkt skydd för säkerhet – ny säker- hetsskyddslag, prop. 2017/18:89, s. 67 ff. och 138). Förhållandet till vissa andra rättsområden Reglerna om informationssäkerhet i säkerhetsskyddslagen gäller inte för alla verksamheter utan för de som är mest skyddsvärda. Krav på informationssäkerhet som gäller för samtliga statliga myndigheter finns emellertid i förordningen (2015:1052) om krisberedskap och bevakningsansvarigas myndigheters åtgärder vid höjd beredskap. Av 19 § framgår att varje myndighet ansvarar för att sina informations- hanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett till- fredsställande sätt och att behovet av säkra ledningssystem för infor- mationssäkerhet särskilt ska beaktas. Förordningen kompletteras av föreskrifterna om statliga myndigheters informationssäkerhet och om statliga myndigheters rapportering av it-incidenter från Myndig- heten för samhällsskydd och beredskap (MSBFS 2016:1 och 2016:2). I föreskrifterna finns ytterligare reglering kring utformning av led- ningssystem för informationssäkerhet samt krav på myndigheternas informationssäkerhetsarbete, bl.a. gällande incident- och kontinui- tetshantering. För kommuner och regioner finns inte motsvarande reglering om informationssäkerhet som för statliga myndigheter. I lagen (2006:544) om kommuners och regioners åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap med tillhörande förordning, finns bestämmelser om vilka åtgärder kommuner och regioner ska vidta för att hantera krissituationer i fred för att kunna minska sår- barheten i sin verksamhet. Regleringen innehåller emellertid inte några specifika bestämmelser om informationssäkerhet i bemärkelsen säker informationshantering. Upphovsrätt gäller som huvudregel för litterära och konstnärliga verk oavsett i vilken form dessa har kommit till uttryck och regleras i lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk (upphovsrättslagen, URL). För att upphovsrätt ska föreligga krävs att verket har höjt sig till en viss grad av självständighet och origina- Förhållandet till vissa andra rättsområden litet, s.k. verkshöjd (m.fl., Kommentaren till lagarna inom immaterialrätten, Zeteo 2008, kommentaren till 1 kap. 1 § URL). I myndigheternas verksamheter förekommer ett stort antal verk och andra alster som kan vara föremål för upphovsrätt eller närstå- ende rättigheter. Rätten för enskilda att ta del av allmänna handlingar gäller även för handlingar som är upphovsrättsligt skyddade (2 kap. 26 b § URL).1 Den person som fått ut handlingen får däremot inte någon rätt att utnyttja verket utöver vad upphovsrättslagen medger. Den fria användningen av allmänna handlingar kan alltså begränsas av upphovsrättslig reglering (1 kap. 11 § TF). Myndigheter som har upphovsrätt till en handling kan därför ställa upp villkor för vidareut- nyttjandet av handlingen i enlighet med reglerna i upphovsrättslagen. Upphovsrättslagen gör skillnad mellan upphovsrätt för handlingar som har upprättats hos myndigheten och handlingar som har kom- mit in till myndigheten. Upphovsrätten till handlingar som kommer in till en myndighet innehas i huvudsak av någon annan än myndig- heten. Eftersom öppna data-direktivet inte är tillämpligt på hand- lingar som omfattas av tredje mans upphovsrätt enligt artikel 1.2.c är det i första hand handlingar som har upprättats av myndigheter som är av intresse för framställningen. Upphovsrätt till upprättade handlingar Vissa kategorier av handlingar av stats- eller förvaltningsrättslig karak- tär som upprättats av en myndighet – författningar, beslut, yttran- den och officiella översättningar av sådana handlingar – skyddas nor- malt inte av upphovsrätt och får återges helt fritt (1 kap. 9 § URL). Detta gäller emellertid inte för kartor, alster av bildkonst, musika- liska verk eller diktverk som ingår i en sådan handling. Har ett verk av denna typ tagits in i exempelvis ett beslut omfattas det likväl av upphovsrätt, men denna är dock inskränkt eftersom verken, med undantag av kartor, får återges fritt enligt 2 kap. 26 a § första stycket URL. Upphovsrättsmannen har emellertid rätt till ersättning. Upp- hovsrätt gäller även till ett verk som ingår i en bilaga till ett myndig- hetsbeslut, om beslutet avser utlämnande av en allmän handling där verket ingår i handlingen. Verket behåller alltså sitt upphovsrättsliga skydd trots att det blir en del av myndighetens beslut. 1Sekretess kan emellertid gälla för uppgifter i vissa typer av handlingar som har lämnats in till en myndighet utan upphovsmannens samtycke (31 kap. 23 § OSL). Förhållandet till vissa andra rättsområden Andra upprättade myndighetshandlingar än de av stats- eller för- valtningsrättslig karaktär, t.ex. handböcker, skyddas som huvudregel av upphovsrätt, men även sådana handlingar får enligt 2 kap. 26 a § andra stycket URL återges fritt. Undantag från rätten till fri åter- givning görs emellertid i 2 kap. 26 a § tredje stycket URL för vissa kategorier av handlingar som har ansetts behöva samma upphovs- rättsliga skydd som inom den privata sektorn. Det rör sig bl.a. om kartor, tekniska förebilder, datorprogram och handlingar som till- handahålls allmänheten i samband med myndighetens affärsverksam- het. För att framställa exemplar av sådana handlingar eller för att göra dem tillgängliga krävs rättighetshavarens tillstånd. Upphovsrätt gäller alltså fullt ut för kartor, oavsett om dessa fram- ställts i myndighetens offentliga verksamhet eller i dess affärsverk- samhet. Kartor kan därför inte fritt återges utan myndighetens till- stånd. En förutsättning för det upphovsrättsliga skyddet är emellertid att kartan uppnår verkshöjd. Det är oklart om kartdata som används för automatiserad kartritning utgör kartor i upphovsrättslig mening och därmed omfattas av undantagen i 1 kap. 9 § och 2 kap. 26 a § URL (m.fl., Offentlighet i det digitala samhället, Juridik 2018). Utöver det upphovsrättsliga skyddet kan det i handlingar som finns hos myndigheter förekomma sådant som är föremål för annat im- materialrättsligt skydd, t.ex. skydd för varumärken eller mönster som begränsar rätten att fritt vidareutnyttja handlingen. Detta kan förekomma i såväl upprättade som inkomna handlingar och rättig- heterna kan tillkomma såväl myndigheter som tredje man. 5Arbetet med digital information från den offentliga sektorn Information som samlas in eller framställs i den offentliga sektorn är en stor tillgång för samhället. Möjligheten att utnyttja sådan infor- mation vidare har genom offentlighetsprincipen gamla anor i . Digitaliseringen av offentlig förvaltning och nya tekniska lösningar för att ta del av information av olika slag gör att de praktiska möj- ligheterna att vidareutnyttja information har ökat markant. I detta kapitel redogör vi för det digitaliseringsarbete som utförs i och inom EU avseende information från den offentliga sektorn. Inledningsvis redogör vi för nyttan med ett ökat tillgäng- liggörande och vidareutnyttjande av information, avsnitt 5.2, och för risker i samband med ökad tillgång till information, avsnitt 5.3. I avsnitt 5.4 beskriver vi den digitala inre marknaden inom EU. Där- efter behandlas och regeringens arbete med digitalisering, avsnitt 5.5, och slutligen den offentliga förvaltningens arbete med digital information och de regeringsuppdrag som finns på området, avsnitt 5.6. I detta kapitel kommer begreppen information och handling att användas synonymt, om inte något annat särskilt anges. Begreppen behandlas närmare i avsnitt 8.2. 5.2Nyttan med tillgängliggörande och vidareutnyttjande Begreppet vidareutnyttjande definieras i PSI-lagen som ”användning av handlingar för andra ändamål än det ursprungliga ändamålet för vilket handlingarna behandlas av en myndighet” (6 §). Arbetet med digital information från den offentliga sektorn Den information som skapas är framför allt till nytta inom den verksamhet som tar fram den, men kan även vara till gagn i andra sammanhang. En myndighet själv eller andra aktörer kan samman- ställa eller förädla informationen. På så vis kan informationen an- vändas för andra ändamål och få ett värde inte bara för ursprungs- verksamheten utan även för andra myndigheter eller intressenter. Även information som isolerat sett inte har något värde utanför en viss myndighet kan i en sammanställning, där information från olika verksamheter har länkats ihop, få ett värde. En sådan förädlad version av information kan vara värdefull i en bredare krets, vilket medför att ursprungsinformationen i sig också blir attraktiv att ha tillgång till. Information från den offentliga sektorn kan alltså ha ett betydande värde för enskilda eller företag. Genom att samman- ställa och bearbeta information och göra den sökbar är det möjligt att utveckla nya tjänster som gör att informationen kan användas av fler. Att fler aktörer får möjlighet att ta del av information från offent- lig verksamhet främjar insyn i förvaltningen och ger en ökad delak- tighet och bidrar därmed till en demokratisk utveckling. Genom att bidra till förbättrad effektivitet kan en ökad tillgång till information även ha positiva samhällsekonomiska effekter. En bärande tanke bakom öppna data-direktivet är att öka mäng- den information som är tillgänglig för vidareutnyttjande från den offentliga sektorn och på så vis stärka EU:s dataekonomi. Även infor- mation som härrör från offentligt finansierad forskning omfattas av direktivet. Av skäl 13 i direktivet framgår att information från den offentliga sektorn utgör ett betydelsefullt utgångsmaterial för produkter och tjänster med digitalt innehåll och att sådan information kommer att bli en ännu viktigare resurs genom utvecklingen av avancerad digital teknik såsom artificiell intelligens, distribuerad databasteknik och sak- ernas internet1 (”internet of things”). Ökade möjligheter att vidare- utnyttja information förväntas bidra till ekonomisk utveckling och skapa nya arbetstillfällen. Ett vidareutnyttjande av handlingar som innehas av myndigheter ger enligt direktivet mervärde för vidareut- nyttjarna, slutanvändarna och samhället i stort och i många fall även för den offentliga myndigheten själv, då insyn och ansvar främjas. Vidareutnyttjare och slutanvändare kan ge återkoppling på informa- 1Föremål med inbyggd teknik och internetuppkoppling vilket gör att de kan styras eller utbyta data över nätet. Arbetet med digital information från den offentliga sektorn tionen som gör att den berörda myndigheten kan förbättra kvaliteten på informationen som samlas in. 5.3Risker med ökad tillgång till information Även om nyttan bedöms som betydande vid ökade möjligheter till vidareutnyttjande finns det anledning att vara försiktig med att göra information tillgänglig då det kan finnas risker förenade med detta. Det finns flera undantag från direktivets tillämpningsområde som är kopplade till skyddet för grundläggande rättigheter och till informa- tion som av andra skäl är skyddsvärd. Exempelvis kan integritets- skydd och immaterialrättsligt skydd medföra att information inte får eller bör göras tillgänglig för vidareutnyttjande. Detsamma gäller självfallet för information som omfattas av sekretess. Vidare regleras handlingar som behöver skyddas på grund av nationell säkerhet, för- svar och allmän säkerhet undantas särskilt i artikel 1.2.d i öppna data- direktivet. Som vi nämnt i avsnitt 5.2 kan viss information vara relativt ointres- sant för vidareutnyttjande, men om den läggs samman med annan information kan den bli värdefull. En sådan samlad informations- mängd kan leda till att uppgifterna blir säkerhetsskyddsklassificerade, även om informationen härrör från öppna källor (Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag, prop. 2017/18:89, s. 45). Sambearbetning av information från olika källor kan även leda till att den personliga integriteten kränks, t.ex. kan det vara möjligt att identifiera enskilda individer genom att kombinera uppgifter från olika källor. Det är viktigt att lagstiftningen tar höjd för de olika risker som kan finnas. Sådana åtgärder kan bestå i att skydda den personliga integri- teten vid hantering av personuppgifter, men även nationell säkerhets- hänsyn, informationssäkerhet och att skydda samhället mot olika typer av cyberhot. Dessa frågor berörs närmare i kapitel 17. 5.4Den digitala inre marknaden Den pågående digitaliseringen av samhället påverkar inte bara en viss marknad eller del av ekonomin utan utgör ett digitalt skifte som sträcker sig över alla sektorer. Inom EU är satsningen på digitaliser- Arbetet med digital information från den offentliga sektorn ing som en möjlighet att skapa tillväxt tydlig. Vad gäller området offentlig förvaltning har EU visserligen begränsad befogenhet att lagstifta om hur medlemsstaternas förvaltningar ska se ut – så även en digital förvaltning – men däremot är det möjligt att lagstifta om själva sakområdet digitalisering. ”Den digitala inre marknaden” och strategin för denna presenter- ades som en av kommissionens prioriteringar. Tanken var att komma till rätta med den fragmentering och de hinder som finns på den digitala inre marknaden och därigenom skapa de bästa förutsätt- ningarna för att göra världsledande inom den digitala ekono- min. Strategin innehåller tre huvudområden: 1) förbättra tillgången till digitala varor och tjänster för konsumenter och företag, 2) skapa goda förutsättningar för att digitala nät och tjänster ska blomstra, samt 3) maximera tillväxtpotentialen för vår europeiska digitala eko- nomi (Meddelande från kommissionen till , rådet, Europeiska ekonomiska och sociala kommittén samt Regionkommit- tén, En strategi för en inre digital marknad i , COM/2015/0192). En inre marknad som till fullo drar nytta av digitaliseringens möj- ligheter kan bidra till stärkt konkurrenskraft och hållbar tillväxt. Som ett led i att genomföra strategin för en digital inre marknad informe- rade kommissionen om satsningen på att skapa en europeisk dataekonomi. Kommissionen konstaterade att information är en viktig resurs för att skapa ekonomisk tillväxt, arbete och samhälls- utveckling. Vidare menade kommissionen att information bär på enorm potential för ny innovation och optimering av processer och beslutsfattande inom en rad olika områden, t.ex. hälsosektorn, ener- gisektorn, smarta städer och transportsystem och att allt större data- mängder produceras av den nya teknikens maskiner och processer som sakernas internet, framtidens fabriker och autonoma, uppkopplade system. Kommissionen framhöll också att dataekonomin kommer att kräva ramar som möjliggör att digital information kan användas genom hela värdekedjan i vetenskaps-, samhälls- och näringssyfte (Meddelande från kommissionen till , rådet, Europeiska ekonomiska och sociala kommittén samt Regionkom- mittén, Skapandet av en europeisk dataekonomi, COM/2017/09). Arbetet med digital information från den offentliga sektorn Att EU satsar stora resurser på stöd till digitaliseringen av ekono- min och samhället är tydligt. Förslag finns om inrättande av ett nytt finansieringsprogram, Programmet för ett digitalt , för åren 2021–2027. Det nya programmet syftar till att stödja den digitala om- vandlingen av ekonomi och samhälle i och se till att europeiska medborgare och företag kan dra nytta av fördelarna. Programmet ska främja en storskalig utbyggnad och användning av viktig digital tek- nik, som applikationer med artificiell intelligens och avancerade cyber- säkerhetsverktyg (EU-förslag 2017/18:FPM147 COM/2018/434). 5.4.2Direktiv inom området datadriven ekonomi Nyttan med att information ska vara möjlig att dela och nyttjas av andra är en bärande tanke bakom satsningen på en gemensam digital marknad inom EU. Öppna data-direktivet är en del i denna satsning, men även andra direktiv berör detta område, t.ex. följande. –Inspiredirektivet (och rådets direktiv /2/EG av om upprättande av en infrastruktur för rums- lig information i Europeiska gemenskapen). Inspire står för Infra- structure for Spatial Information in Europe. Syftet med direktivet är att utbytet av information mellan myndigheter ska bli effek- tivare. Det ska också vara möjligt att sömlöst, dvs. utan märkbara skarvar, kombinera information från olika medlemsländer inom EU. Tillgången till information ska alltså öka. Direktivet specifi- cerar riktlinjer för att beskriva rumsliga datamängder med meta- data, utforma datamängdernas attribut på ett gemensamt sätt och publicera datamängderna som nättjänster som kan nås via inter- net. Lagen (2010:1767) om geografisk miljöinformation med till- hörande förordning (2010:1770) reglerar det svenska genomför- andet av direktivet. Lagstiftningen talar om vilka myndigheter som har ansvar att göra sin information tillgänglig enligt stan- darder kopplade till direktivet. Lantmäteriet ansvarar för samord- ningen av den svenska infrastrukturen för geodata, som är en del av den europeiska infrastrukturen enligt Inspire. –Miljöinformationsdirektivet (och rådets direk- tiv 2003/4/EG av om allmänhetens tillgång till miljöinformation). Miljöinformation på ett mer övergripande Arbetet med digital information från den offentliga sektorn plan harmoniseras genom direktivet. I har direktivet bl.a. genomförts genom lagen (2005:181) om miljöinformation. –EU:s andra betaltjänstdirektiv (och rådets direktiv (EU) 2015/2366 om betaltjänster på den inre markna- den). Direktivets syfte är att utveckla marknaden för elektroniska betalningar och skapa bättre förutsättningar för säkra och effek- tiva betalningar. Så kallade tredjepartsbetaltjänstleverantörer på marknaden omfattas av direktivet. Tredjepartsleverantörerna kan få tillgång till bankernas kundinformation och kunddata genom öppna applikationsprogrammeringsgränssnitt. –Intelligenta transportsystem (och rådets dir- ektiv 2010/40/EU av om ett ramverk för införande av intelligenta transportsystem på vägtransportområdet och för gränssnitt mot andra transportslag). Inom detta direktivs område ryms till exempel reseplanering. Vidare är tillhandahållande av EU-omfattande realtidstrafik-informationstjänster ett prioriterat område. I delegerad förordning (EU) 2017/1926 av kompletteras direktivet vad gäller tillhandahållande av EU- omfattande multimodala reseinformationstjänster. Syftet med för- ordningen är att stödja utvecklingen av trafikslagsövergripande resenärs- och planeringstjänster, särskilt tjänster som gör det möjligt för gränsöverskridande och interregionala resor inom EU. I har en genomförd statlig utredning, Utred- ningen om ett nationellt biljettsystem för all kollektivtrafik i hela , behandlat frågan vad som krävs för att data ska finnas tillgängligt för tredjepartsförsäljning, se Ett nationellt biljettsystem för all kollektivtrafik, (SOU 2020:25). 5.5Riksdagens och regeringens arbete Det finns en bred politisk uppbackning till satsningen på öppna data. har i två tillkännagivanden framhållit att arbetet med öppna data måste ges ökad tyngd och att samtliga statliga myndigheter bör ges i uppdrag att arbeta strategiskt för att öka utbytet av och till- gängligheten av öppna data. Därutöver bör även regeringen se till att de statliga myndigheterna tillgängliggör offentliga handlingar i maskin- Arbetet med digital information från den offentliga sektorn läsbart skick (bet 2016/17:FiU17 punkt 3, rskr. 2016/17:187 och bet 2017/18:FiU25 punkt 2, rskr. 2017/18:180). Bedömningen tar bl.a. sin utgångspunkt i gransk- ningsrapport Den offentliga förvaltningens digitalisering – En enklare, öppnare och effektivare förvaltning? (RiR 2016:14) publicerad och överlämnad till regeringen av .