sou · H8B355 · 2020-09-15 00:00:00 — Redan av den anledningen anser vi att det inte krävs att det införs en särskild bestämmelse i den nya lagen för att genomföra direktivet i denna del. Till detta kommer att en förenklad tillgång till datamängder, genom en enda åtkomstpunkt, i praktiken främjas genom de åtgärder som viföreslår i avsnitt 16.2, särskilt genom skyldigheten att publicera beskrivningar över information i en särskild förteckning i samband med att information görs tillgänglig utan en föregående begäran. Även de krav på att göra särskilda värdefulla datamängder tillgäng- liga i vissa format som redovisats i avsnitt 11.4.6 främjar de mål som anges i artikel 9.2. Mot denna bakgrund anser vi att ett genomförande av artikel 9.2 idirektivet inte förutsätter att en särskild bestämmelse införs i den nya lagen, eller att någon annan åtgärd vidtas. 6Råden finns tillgängliga på webbplatsen för samrådsgruppen, . Åtgärder för att underlätta vidareutnyttjande Vikten av öppenhet för att främja vidareutnyttjande av information lyfts fram på flera sätt i öppna data-direktivet, bl.a. genom ett ökat fokus på öppna data och i form av krav på att medlemsstaterna ska underlätta sökningen efter och tillgången till information genom olika praktiska arrangemang. I artikel 8 och 11 regleras krav på villkor, t.ex. att de ska vara objektiva, proportionerliga och icke-diskrimi- nerande, se avsnitt 15.3. För att en vidareutnyttjare lättare ska kunna avgöra om avgifter och andra villkor uppfyller dessa krav, och om de avgifter som tas ut stämmer överens med direktivets nivåer, finns i artikel 7.1 och 7.2 i direktivet krav på öppenhet kring avgifter som tas ut för vidareutnyttjande av information. Lydelsen av bestämmel- serna är densamma som i ändringsdirektivet. Kravet på att informera om avgifter regleras i 11 § första stycket PSI-lagen som anger att en myndighet ska informera om avgifter, inklusive beräkningsgrund, och andra villkor för vidareutnyttjandet. Informationen ska enligt tredje stycket lämnas ut elektroniskt och utan avgift. Svensk rätt innehåller ingen generell aktiv informationsplikt av det slag som föreskrivs i artikel 7.1 och 7.2 i öppna data-direktivet, utom i de fall då avgifter och villkor ingår i sådana föreskrifter som ska offentliggöras enligt PSI-lagen. Med hänsyn till detta och med beaktande av den bestämmelse om tillgängliggörande på eget initia- tiv som vi föreslår, finns det anledning att se över hur artikel 7.1 och 7.2 bör implementeras i den nya lagen. 16.5.1Redovisningsskyldighet när en avgift är fastställd i förväg Vårt förslag: En myndighet eller ett offentligt företag ska, om en avgift är fastställd i förväg, digitalt publicera avgiftsbeloppet, grunden för hur avgiften har beräknats och andra villkor för vidareutnyttjandet. Öppna data-direktivet skiljer på informationsskyldighet för standard- avgifter och för andra avgifter. Det innehåller däremot inte någon definition av begreppet standardavgifter. Av ett tillkännagivande från framgår att vad som avses med detta begrepp är Åtgärder för att underlätta vidareutnyttjande avgifter som kan tillämpas automatiskt på i förväg definierade hand- lingar eller uppsättningar av handlingar, utan krav på någon bedöm- ning från fall till fall (Kommissionens tillkännagivande – Riktlinjer om rekommenderade standardlicenser, datauppsättningar och avgifter för vidareutnyttjande av handlingar (2014/C 240/01), punkt 4.3.a). Åtskillnaden motiveras av att det är omöjligt att tillhandahålla en uttömmande översikt av avgifter som täcker alla upptänkliga situa- tioner (Se meddelande från kommissionen till enligt artikel 251.2 andra stycket i EG-fördraget Gemensam stånd- punkt antagen av rådet inför antagandet av ett direktiv om vidare- utnyttjande och kommersialisering av information från den offentliga sektorn, 2002/0123(COD), ). Bestämmelsen i direktivet som handlar om standardavgifter, artikel 7.1, bör enligt vår bedömning tillämpas när det är fråga om avgiftstaxor eller avgifter som är bestämda i förväg. Detta kommer främst att gälla information som gjorts tillgänglig utan en föregående begäran. Vid ett sådant tillgängliggörande är det den som innehar informationen som i stor utsträckning styr över vilken information som görs tillgänglig, vilka villkor som kommer att tillämpas samt om en avgift ska tas ut och i så fall storleken på avgiften. Eftersom av- giften i dessa fall avser en viss på förhand känd informationsmängd som gjorts tillgänglig i ett visst format, kan grunden för hur beloppet har beräknats anges utan svårighet. Om beräkningsgrunden i sig har stöd i ett normbeslut om avgiftstaxor eller andra riktlinjer som har tagits fram av den enskilda myndigheten eller i form av en bolags- ordning eller annat styrdokument i ett offentligt företag, saknar bety- delse. Det avgörande är att en potentiell vidareutnyttjare på förhand kan informera sig om vilka avgifter, inklusive beräkningsgrunden, och andra villkor som aktualiseras för vidareutnyttjandet. Uttrycket ”andra villkor för vidareutnyttjandet” kan exempelvis avse en licens som begränsar hur informationen kan vidareutnyttjas. Mot denna bakgrund anser vi att det bör införas en särskild be- stämmelse i den nya lagen som anger en skyldighet för offentliga aktörer att, om avgiften för ett vidareutnyttjande är bestämd i för- väg, publicera avgiftsbeloppet, grunden för hur avgiften har beräk- nats och andra villkor för vidareutnyttjandet. Enligt artikel 7.1 ska publiceringen ske på elektronisk väg, om möjligt och lämpligt. För avgifter som är bestämda i förväg bör det vara en självklarhet att de finns tillgängliga på myndighetens eller företagets webbsida så att Åtgärder för att underlätta vidareutnyttjande vidareutnyttjaren kan ta del av dem på ett enkelt sätt. Publiceringen ska därför ske digitalt. Detta får anses såväl möjligt och lämpligt och behöver enligt vår mening inte komma särskilt till uttryck i bestäm- melsen (jfr prop. 2014/15:79, s. 16.5.2Redovisningsskyldighet när en avgift inte är fastställd i förväg Vårt förslag: I andra fall än när en avgift är fastställd i förväg ska en myndighet eller ett offentligt företag kunna ange grunden för hur en avgift kommer att beräknas. På begäran ska en myndighet eller ett offentligt företag ange hur en avgift har beräknats i ett enskilt fall. Enligt artikel 7.2 första meningen ska de faktorer som beaktas vid beräkningen av avgifterna anges på förhand när det gäller andra av- gifter för vidareutnyttjande än de som avses i artikel 7.1. Av den gränsdragning som görs i avsnitt 16.5.1 vad gäller avgifter som är fastställda i förväg går det att sluta sig till att ”andra avgifter” avser information där något faktiskt avgiftsbelopp inte har fastställts i förväg. Syftet med bestämmelsen kan antas vara att den enskilde ska kunna få en uppfattning om hur avgiften kommer att beräknas för det fall att informationen tillhandahålls för vidareutnyttjande. Ett krav på att beräkningsgrunden ska publiceras på det sätt som följer av artikel 7.1 saknas också, vilket talar för att det är fråga om att lämna information på begäran. Kravet på begäran togs emellertid bort i ändringsdirektivet, varvid bestämmelsen om information om avgifter också ändrades i detta avseende, se prop. 2014/15:79, s. 30. För att uppfylla skyldigheten i artikel 7.2 första meningen anser viatt det i många fall kan vara tillräckligt att hänvisa till relevant be- stämmelse i avgiftsförordningen eller andra på förhand bestämda före- skrifter som tillämpas vid beräkningen av en avgift. För att genomföra artikel 7.2 första meningen anser vi att en särskild bestämmelse bör införas i den nya lagen som föreskriver att i de fall en avgift för viss information inte är fastställd i förväg ska en myndighet eller ett offentligt företag kunna ange grunden för hur en avgift kommer att beräknas. Åtgärder för att underlätta vidareutnyttjande Av artikel 7.2 andra meningen framgår att om det begärs ska inne- havaren av den berörda informationen ange hur en avgift har beräk- nats för en specifik ansökan om vidareutnyttjande. Det ska alltså vara fråga om en specifik ansökan om vidareutnyttjande. Vi anser dock att sådan information ska kunna fås även om en begäran av vidareutnyttjande inte har ställts. Informationsrätten föreligger alltså i varje enskilt fall där en avgift har tagits ut. En bestämmelse som ålägger en myndighet eller ett offentligt företag en skyldighet att på begäran ange hur en avgift har beräknats i ett enskilt fall bör därför införas i den nya lagen. Det bör understrykas att en förfrågan om information om en avgift inte utmynnar i ett beslut som kan över- klagas enligt den nya lagen. Inte heller är det frågan om ett sådant beslut enligt avgiftsförordningen som kan överklagas i den ordning som anges där. Öppna data-direktivet ställer inte några krav på att medlemsstaterna inrättar särskilda kontroller eller tillsynsorgan. Frågan är om det likväl finns några områden inom den nya lagen som bör stå under tillsyn och om en sådan tillsyn skulle främja efterlevnaden av lagen. Regeringen har i skrivelsen En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79) framhållit att den offentliga tillsynen är viktig för att stärka efterlevnaden av de föreskrifter som bl.a. och regeringen har beslutat och att tillsynen bidrar till att upprätthålla grundläggande värden i samhället såsom rättssäkerhet, effektivitet och demokrati. Som vi har påpekat har den nuvarande PSI- lagen fått ett begränsat genomslag, vilket talar för att det kan vara motiverat med någon form av tillsyn. 16.6.1Behovet av tillsyn i den nya lagen Vi har identifierat några områden i den nya lagen som vi anser skulle kunna vara aktuella för tillsyn och där ett tillsynsorgan skulle kunna såväl ge råd och stöd till myndigheterna som kontrollera att regel- verket följs. Ett område där tillsyn framför allt skulle kunna vara aktuellt är kravet på tillgångsförteckningar. Kravet som finns på att publicera en tillgångsförteckning har som nämnts i avsnitt 16.2.1 Åtgärder för att underlätta vidareutnyttjande inte efterlevts av många myndigheter och här skulle enligt vår be- dömning en tillsynsfunktion sannolikt resulterat i att kravet hade fått ett bättre genomslag. Även om vårt förslag innebär att kravet på när en tillgångsförteckning ska publiceras begränsas jämfört med anser vi att en formell tillsyn på detta område skulle kunna bidra till att stärka efterlevnaden av kravet. Ett annat område som skulle kunna vara föremål för tillsyn är kraven på att villkor för vidareutnyttjande ska vara objektiva, pro- portionerliga, icke-diskriminerande och motiverade av ett allmänt intresse samt inte får begränsa konkurrensen eller möjligheterna till vidareutnyttjande. Likaså skulle förbudet mot avtal om exklusiva rättigheter samt de krav på öppenhet och insyn som finns i lagen, t.ex. redovisning av avgifter och publicering av avtal om exklusiva rättigheter, kunna vara aktuellt för tillsyn. Behovet av tillsyn över PSI-lagen har behandlats i tidigare lagstift- ningsarbete. föreslog att skulle ges i uppdrag att utöva tillsyn över PSI-lagens förbud mot diskrimi- nerande villkor (SOU 2014:10, s. 154 f.). Regeringen ansåg emeller- tid att förslaget inte skulle genomföras, bl.a. eftersom avslagsbeslut kunde prövas av domstol, vilket kunde leda till gränsdragningspro- blem. Vidare påpekade regeringen att utredningen inte hade redo- visat att det förelåg några tydliga behov för en tillsynsfunktion eller föreslagit några möjligheter till sanktionsåtgärder (prop. 2014/15:79, s. 34 f.). 16.6.2En tillsynsfunktion bör inte inrättas Vår bedömning: Det finns inte tillräckliga skäl för att införa en särskild tillsynsfunktion för att säkerställa att den nya lagen följs. För att en tillsynsfunktion ska inrättas krävs att det finns tydliga behov eller andra starka skäl som talar för detta. I annat fall kan det vara mer lämpligt med en funktion som i stället har i uppgift att stödja och främja offentliga aktörers arbete med den nya lagen. Vi föreslår i avsnitt 13.3.1.att en myndighets beslut om att avslå en begäran om vidareutnyttjande ska kunna överklagas till allmän förvaltningsdomstol. Behovet av tillsyn är därmed inte lika framträd- ande då möjlighet till överprövning finns av de krav som anges i lagen Åtgärder för att underlätta vidareutnyttjande på format, avgifter och användandet av villkor som kan begränsa ett vidareutnyttjande. Det som talar mot att inrätta en tillsynsfunktion är vidare att den nya lagen inte innehåller några rättigheter eller intressen för enskilda som behöver skyddas från kränkning, på det sätt som exempelvis följer av dataskyddsförordningen. Enligt vår bedömning kräver inte något av de områden i lagen som vi redogjort för i avsnitt 16.6.1 ett sådant kraftfullt verktyg som tillsyn för att säkerställa efterlevnaden av lagen. Ett annat väsentligt skäl som talar mot en tillsynsfunktion är att det är svårt att införa en sanktion kopplad till tillsynen. Detta med hänsyn till att det är en vedertagen princip att sanktionsavgifter som utgångspunkt inte ska riktas mot staten om det inte finns starka skäl, t.ex. i form av ett särskilt skyddsintresse, jfr regeringens uttalande i samband med genomförandet av webbtillgänglighetsdirektivet (Ge- nomförandet av webbtillgänglighetsdirektivet, prop. 2017/18:299, s. 68) samt i lagstiftningsärendet inför genomförande av dataskyddsdirek- tivet. I det senare ärendet framhöll regeringen att det är en principiell skillnad mellan att låta en myndighet använda ekonomiska påtryck- ningsmedel i syfte att förmå en annan myndighet att göra eller under- låta något och att använda ekonomiska sanktioner som reaktion på begångna överträdelser (Brottsdatalag, prop. 2017/18:232, s. 316). Slutligen kan det finnas fog för att skilja på tillsyn i form av inspek- tioner och kontroller respektive främjande- och stödjandeåtgärder i form av information och rådgivning, då dessa uppdrag kan riskera att komma i konflikt med varandra. Regeringen har tidigare valt att särskilja dessa funktioner åt (se t.ex. Inspektionen för vård och omsorg –en ny tillsynsmyndighet för hälso- och sjukvård och socialtjänst, prop. 2012/13:20, s. 94). Vi anser sammantaget, särskilt mot bakgrund av att direktivet inte innehåller några krav på tillsyn eller annan kontroll eller uppföljning, att det inte finns tillräckliga skäl för att införa en tillsynsfunktion i den nya lagen. Frågan är då om en myndighet i stället bör få i uppgift att främja och stödja myndigheternas och de offentliga företagens tillämpning av den nya lagen. Åtgärder för att underlätta vidareutnyttjande 16.6.3En främjandefunktion bör inrättas Vårt förslag: Myndigheten för digital förvaltning ska få i uppdrag att främja tillämpningen av den nya lagen. Vi har i avsnitt 16.6.2 bedömt att det inte finns tillräckliga behov av en tillsynsfunktion. Däremot anser vi att det finns behov av en funk- tion som har i uppgift att stödja och främja myndigheternas och de offentliga företagens tillämpning av den nya lagen. Denna bedöm- ning grundar vi bl.a. på att den nuvarande PSI-lagen har fått ett svagt genomslag och att internationella mätningar har visat att halkar efter andra länder när det gäller arbetet med öppna data, se avsnitt 5.6.1. Därtill kommer att den nya lagen kan upplevas som komplex eftersom det kan uppkomma vissa gränsdragnings- frågor i förhållande till andra regelverk, t.ex. bestämmelser om till- gång till information. Digg har, som tidigare nämnts, i uppdrag att främja öppen och datadriven innovation samt tillgängliggörande av öppna data och vidareutnyttjande av handlingar från den offentliga förvalt- ningen, se 6 § 2 förordningen med instruktion för Myndigheten för digital förvaltning. Vi anser att detta mer generella uppdrag om att främja tillgängliggörande av öppna data och vidareutnyttjande av hand- lingar skulle kunna förtydligas och utvidgas till att avse ett explicit uppdrag om att främja att den nya lagen tillämpas på rätt sätt av myndigheter och offentliga företag. Genom ett utvidgat uppdrag skulle Digg få ett tydligare ansvar att främja och stödja myndigheternas arbete med att tillgängliggöra öppna data och annan offentlig infor- mation för att möjliggöra ett ökat vidareutnyttjande. Den nya lagen, exempelvis bestämmelserna om formatkrav, kräver såväl tekniska som juridiska kunskaper. För att myndigheter och offentliga företag ska kunna uppfylla den nya lagens krav är vår be- dömning att det kommer att finnas behov av lättillgänglig och tydlig information samt utbildning, men även annat stöd, t.ex. bistånd av teknisk och juridisk kompetens, vägledningar samt forum för erfaren- hetsutbyte. Det är också av vikt att den nya lagens tillämpning följs upp för att kunna utvärdera om det behöver vidtas några ytterligare stöd- eller informationsinsatser för att komma till rätta med eventuella brister som identifierats. Åtgärder för att underlätta vidareutnyttjande Vi föreslår mot denna bakgrund att Digg får i uppdrag att främja tillämpningen av den nya lagen. Det bör därför införas en ny bestäm- melse i myndighetens instruktion som tydliggör denna uppgift. 17 Skydd för information Öppna data-direktivet och den nya lagen har en hög ambitionsnivå vad gäller att göra information som innehas av den offentliga sektorn tillgänglig för vidareutnyttjande. Detta kommer bl.a. till uttryck genom den i avsnitt 11.3.2 redovisade bestämmelsen om tillgängliggörande på eget initiativ och krav på att information ska tillhandahållas i digi- tala format som kräver så lite bearbetning som möjligt. För dynamiska data pekas i direktivet särskilt på att värdet i sådan infor- mation ofta kan kopplas till att den är aktuell. Dessa målsättningar och de potentiella värden som finns i information från den offentliga sektorn måste dock balanseras mot de eventuella risker som kan uppstå vid ett ökat tillhandahållande av digital information. I våra kommittédirektiv anges att vi ska beakta dessa säkerhetsrisker och behovet av att upprätthålla nationell säkerhet, säkerhetsskydd och informationssäkerhet samt sekretess och skydd för den personliga integriteten. Företrädare för myndigheter som vi har haft kontakt med har också gett uttryck för att skyddet av information särskilt bör lyftas fram. I avsnitt 17.2 och 17.3 ges en översikt av vilka områden som be- rörs och den rättsliga regleringen. I avsnitt 17.4 berörs vikten av löpande och systematiskt säkerhets- och integritetsskyddsarbete och i avsnitt 17.5 när risker kan antas uppstå vid tillgängliggörande av information och hur den nya lagen kan komma att påverka dem. Vidare ges i avsnitt 17.6 förslag på särskilda bestämmelser som syftar till att minimera riskerna när information görs tillgänglig på eget initiativ och i enlighet med de krav på format som vi föreslår ska införas. Slutligen behandlas i avsnitt 17.7 frågan om eventuell sam- ordning när information görs tillgänglig. Ett utökat tillhandahållande av digital information kan medföra sär- skilda risker avseende vissa skyddsintressen i samhället. Detta tyd- liggörs på olika sätt i direktivet. Enligt artikel 1.4 ska direktivet inte påverka tillämpningen av bestämmelser om skydd av personuppgifter och enligt artikel 1.2.d och 1.2.e ska direktivet inte tillämpas på käns- liga uppgifter med hänsyn till skydd av den nationella säkerheten, förvaret eller allmänna säkerheten eller på känslig information om skydd av kritisk infrastruktur (jfr skäl 26). Även skälen berör dessa särskilda skyddsintressen. Vad gäller att göra information tillgänglig som öppna data erinras i skäl 16 om att det bör säkerställas en kon- sekvent skyddsnivå för mål av allmänt intresse, såsom allmän säker- het, bl.a. när det rör sig om känslig information om skydd av kritisk infrastruktur, men även vad gäller skyddet av personuppgifter. Att viss information som kombineras med annan tillgänglig information kan medföra en risk för att en fysisk person identifieras lyfts också fram. Av skäl 28 framgår att aspekter vad gäller personlig integritet, skydd av personuppgifter och nationell säkerhet bör beaktas vid an- tagandet av strategier för att göra forskningsdata tillgänglig som öppna data. Vi kommer i det följande att fokusera på de risker som kan uppstå avseende skyddet av personuppgifter, säkerhet, kritisk infra- struktur samt informationssäkerhet i övrigt. 17.3Översikt av den rättsliga regleringen Rättslig reglering som träffar olika aktörer och olika typer av infor- mation med anknytning till de skyddsintressen som angetts ovan finns spridd på olika håll i rättsordningen och har delvis olika syften. I första hand kan säkerhetsskyddslagen (2018:585) och förordningen (2015:1052) om krisberedskap och bevakningsansvarigas myndigheters åtgärder vid höjd beredskap nämnas, se avsnitt 4.6. I säkerhetsskydds- lagen regleras myndigheters arbete med säkerhetsskyddsåtgärder i form av informationssäkerhet, fysisk säkerhet och personalsäkerhet. Syftet med lagen är att skydda säkerhetskänslig verksamhet mot spio- neri, sabotage, terroristbrott och andra brott som kan hota verksam- heten. Föreskrifter om informationssäkerhet inom ramen för säker- hetsskyddet finns i Säkerhetspolisens föreskrifter om säkerhetsskydd (PMFS 2019:2). Säkerhetspolisen publicerar även särskilda vägled- ningar kring det säkerhetsskyddsarbete som ska bedrivas.1 Myndigheten för Samhällsskydd och beredskap (MSB) utfärdar föreskrifter om hur statliga myndigheter ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete (MSBFS 2016:1) i syfte att ha förmåga att omhänderta olika behov av att skydda informa- tion. Enligt uppgift från MSB revideras föreskrifterna och kommer att kompletteras med krav på att vidta olika specifika åtgärder för att skydda myndigheters information. När det gäller krav på skydd för vissa typer av information finns i första hand bestämmelser i offentlighets- och sekretesslagen (2009:400). Exempelvis finns i 15 kap. OSL närmare reglering av sekretess till skydd för rikets säkerhet eller dess förhållande till andra stater eller mellanfolkliga organisationer. För behandling av person- uppgifter finns bestämmelser dels i EU:s dataskyddsförordning, se avsnitt 4.5, dels i särskilda registerförfattningar. Det s.k. utskrifts- undantaget i 2 kap. 16 § TF syftar också till att motverka ökade in- tegritetsrisker som föranleds av att information som innehåller per- sonuppgifter tillhandahålls i digitalt format. 17.4Vikten av löpande och systematiskt säkerhets- och integritetsskyddsarbete Att tillgängliggöra öppna data och annan offentlig information med- för som vi tidigare beskrivit stora möjligheter i form av större sam- hällsnytta och kan bidra till innovation och tillväxt. Ett ökat tillgäng- liggörande kan emellertid också medföra risker ur ett säkerhets- och integritetsskyddsperspektiv. De offentliga aktörernas löpande arbete med att upprätthålla skyddet för säkerhet, informations- säkerhet och enskildas personliga integritet blir därför än mer bety- delsefullt. Ett förebyggande och strukturerat säkerhetsarbete är alltså en viktig förutsättning för att den offentliga förvaltningen ska kunna tillhandahålla mer digital information. Ett öppet och demokratiskt samhälle är avhängigt av att önskad konfidentialitet, riktighet och tillgänglighet kan upprätthållas när man hanterar och tillgängliggör information2, se vidare avsnitt 17.5.4. Det är därför viktigt att de offentliga aktörerna tar ansvar för sin infor- 1Se Säkerhetspolisens hemsida, . 2Se Nationell strategi för samhällets informations- och cybersäkerhet (Skr. 2016/17:213), s. 6. mationssäkerhet och bedriver ett systematiskt arbete med detta. MSB:s föreskrifter ställer uttryckliga krav på att statliga myndig- heter ska bedriva ett systematiskt och riskbaserat informations- säkerhetsarbete. Offentliga aktörer måste kontinuerligt upprätthålla ett tillräckligt skydd när information av olika slag hanteras.