sou · H8B358 · 2020-09-30 00:00:00 — Sekretessen gäller dock inte om intresset av allmän känne- dom om förhållande som rör människors hälsa har sådan vikt att uppgiften bör lämnas ut. 8Denna skyldighet gäller till slutet av den angivna lagringstiden för all certifieringsinformation, såvida röjande inte är nödvändigt med hänsyn till det allmännas intresse eller följer av dom- stolsbeslut. 9Enisa kan ge vägledning om hur man kan säkerställa säkerheten för information baserad på arbetsflöden i samband med de aktiviteter som beskrivs i EUCC-ordningen. Denna bestämmelse är tillämplig på information som ett offentligt certifieringsorgan får tillgång till under licensierings- och certifierings- uppdrag som utförs för enskilds räkning och där uppdraget lämnas till certifieringsorganet under förutsättning att informationen hålls hemlig. Sekretessen gäller endast just uppgift som avser själva provningen, i praktiken uppgifter som ingår i de underlag (evidence) som ingår i evalueringen och som lämnas till certifieringsorganet, samt certifier- ingsorganets bedömning av dessa underlag. Sekretessen gäller alltså inte generellt för enskilds affärs- eller driftförhållanden10. Begäran om att uppgift ska hållas hemlig bör göras av den som lämnar uppgiften men en bedömning ska också göras internt inom certifieringsorganet. Skriftlig dokumentation och andra handlingar som tas fram inom certifieringsorganet ska bedömas utifrån denna aspekt och vid behov hanteras som sekretesskyddade handlingar. Uppgifter om enskildas ekonomiska förhållanden kan i vissa fall behöva sekretesskydd (se nedan). Begreppet ekonomiska förhållan- den innefattar bl.a. affärs- och driftförhållanden. Affärs- eller drift- förhållanden inbegriper i sin tur uppgifter om förvärv, överlåtelser, upplåtelser eller användning av egendom, tjänster eller annat. Vidare omfattas bl.a. affärshemligheter av mera allmänt slag, marknads- undersökningar, marknadsplaneringar, prissättningskalkyler och planer rörande reklamkampanjer. Även förhandlingar och andra affärshän- delser omfattas av begreppet.11 Också uppgift om namnet på den som det begärs uppgifter om kan omfattas. Begreppet har en vidsträckt betydelse och täcker i praktiken det som ligger inom ramen för en affärsverksamhet. Det handlar i första hand om uppgifter som typiskt sett kan vara av intresse för konkur- renter och som skulle kunna skada verksamheten om de blev kända. Sekretess enligt 31 kap. 16 § OSL gäller för uppgift om en en- skilds affärs- eller driftförhållanden när denne i annat fall än som av- 10Sekretess för sådana uppgifter finns i 30 kap. 23 och 27 §§ när det gäller skydd i verksamhet som avser tillsyn m.m. i fråga om näringslivet. 31 kap. OSL reglerar sekretess till skydd för enskild i annan verksamhet med anknytning till näringslivet, och 16 § avser affärsförbindelser med myndigheter (se nedan). 2018/19:150 s. 70, prop. 1979/80:2 del A s. 145, HFD 2015 ref. 11 med där angivna hänvisningar. ses i 31 kap. 1 § första stycket, 2–4 och 12 §§, har trätt i affärsförbin- delse12 med en myndighet, om det av särskild anledning kan antas att den enskilde lider skada om uppgiften röjs. Denna bestämmelse är tillämplig för uppgifter som ett offentligt certifieringsorgan får tillgång till genom en affärsförbindelse. För certifieringsorganet gäller detta främst information som evaluerings- företag, sponsorer och utvecklare begär att certifieringsorganet ska hålla hemlig. Certifieringsorganet ska bedöma om en inkommen eller en upp- rättad handling innehåller uppgifter som ska skyddas enligt denna bestämmelse och därmed hanteras som sekretessbelagd. På motsvar- ande sätt ska handlingar som tas fram inom certifieringsorganet be- dömas utifrån denna aspekt och hanteras som sekretessreglerade om de anses innehålla uppgifter som skyddas av sekretess. Skydd för uppgifter som lämnas vid upptäckt av sårbarheter och tillsyn En myndighets verksamhet för inspektion, kontroll eller annan tillsyn13 Sekretess gäller för uppgift om planläggning eller andra förberedelser för sådan inspektion, revision eller annan granskning som en myndig- het ska göra, om det kan antas att syftet med granskningsverksam- heten motverkas om uppgiften röjs (17 kap. 1 § OSL). Bestämmelsen är tillämplig på all information där validiteten av en granskning skulle påverkas om informationen var känd på förhand. Sekretess gäller också för uppgift som ingår i eller utgör underlag för kunskapsprov eller psykologiskt prov under en myndighets över- inseende, om det kan antas att syftet med provet motverkas om upp- giften röjs (17 kap. 4 § OSL). Denna bestämmelse är tillämplig för sådan information som tas fram inom certifieringsorganet och som avser tester och prov för att bedöma kunskapsnivå och tilldela status som evaluerare eller certifierare. Bestämmelsen är tillämplig på all in- formation där validiteten av ett prov skulle påverkas om informatio- 12Uttrycket affärsförbindelser avser sådana transaktioner av ekonomisk natur som avses i 1 § och 3 § OSL. 13Det bör noteras att tillsynsbegreppet i OSL är vitt. Det omfattar i stort sett alla de fall där en myndighet har en övervakande eller styrande funktion i förhållande till näringslivet. Den typ av uppgifter som det i första hand handlar om att sekretessbelägga med stöd av bestäm- melsen är uppgifter som typiskt sett kan vara av intresse för konkurrenter och som skulle skada verksamheten om de blev kända. nen var känd på förhand. Inom ramen för sin rapporteringsskyldig- het enligt artikel 56.7 i EU:s cybersäkerhetsakt och den nationella cybersäkerhetscertifieringsmyndighetens tillsyn enligt artikel 58.8 kan bl.a. IKT-tillverkare och -leverantörer även behöva lämna uppgifter som rör deras ekonomiska verksamhet. Enligt 30 kap. 23 § första stycket 1 OSL gäller sekretess, i den utsträckning regeringen med- delar föreskrifter om det, i en statlig myndighets verksamhet som består i utredning, planering, prisreglering, tillståndsgivning, tillsyn eller stödverksamhet med avseende på produktion, handel, transport- verksamhet eller näringslivet i övrigt för uppgift om en enskilds affärs- eller driftförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Bestämmelsen hade alltså kunnat vara tillämplig på tillsynsverksamheten vid den nationella myndigheten för cyber- säkerhetscertifiering i förhållande till enskilda, om regeringen före- skriver det. Regeringen har i 9 § offentlighets- och sekretessförordningen (2009:641) och i bilagan till förordningen meddelat föreskrifter om i vilken utsträckning sekretess enligt 30 kap. 23 § första stycket OSL gäller. I bilagan listas bl.a. planering och tillsyn hos FMV vid uppbygg- nad och kontroll av företags säkerhetsskydd, utredning hos FMV för bedömning av företag inför framtida materielleveranser samt utred- ning, planering och stödverksamhet hos med avseende på exportstödjande verksamhet (punkterna 91, 95, 132). Förutom ovan nämnda bestämmelser kan bl.a. bestämmelsen om för- svarssekretess i 15 kap. 2 § OSL vara tillämplig i vissa situationer. För- svarssekretess kan exempelvis aktualiseras hos organen för bedöm- ning av överensstämmelse och hos den nationella myndigheten för cybersäkerhetscertifiering. Försvarssekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Berörd myndighet kan t.ex. komma att hantera uppgifter om sårbarheter som sammantaget ger en sådan bild av samhällets infrastruktur att det kan antas utgöra en sådan fara för säkerhet om de röjs att försvarssekretess gäller. Utredningen konstaterar att det finns sekretessbestämmelser i som kan aktualiseras i offentliga certifieringsorgans verksamhet. Ovan nämnda nationella bestämmelser är, i likhet med flertalet sek- retessbestämmelser i , försedda med s.k. raka skaderekvisit. Det innebär att utgångspunkten är att uppgifterna är offentliga och att sekretess bara gäller om det kan antas att en viss skada uppkommer om uppgiften röjs. Om uppgiften typiskt sett måste betraktas som känslig omfattas den dock normalt av sekretess (och får då inte utan särskilt lagstöd lämnas ut eller röjas muntligen). Enligt utredningen tillgodoser konstruktionen med ett rakt skade- rekvisit i de relevanta sekretessbestämmelserna allmänhetens berät- tigade intresse av insyn i kontrollorganens och den nationella cyber- säkerhetscertifieringsmyndighetens verksamhet, eftersom harmlösa uppgifter får lämnas ut. tillgodoser bestämmelserna till- verkares och leverantörers berättigade intresse av diskretion, efter- som uppgifter inte får röjas om det kan antas leda till skada. Utredningen finner att punkten 16 i bilagan till EU:s cybersäker- hetsakt, i förening med 31 kap. 12 § OSL, är tillämplig på uppgifter som enskilda lämnar till offentliga certifieringsorgan i dess certifier- ingsverksamhet. Utredningen anser att bestämmelsen i 32 kap. 12 § OSL, med sitt raka skaderekvisit, ger ett väl avvägt skydd. Befintlig nationell sekretessreglering bedöms, sammantaget med kraven på kon- fidentialitet och tystnadsplikt i bilagan till EU:s cybersäkerhetsakt – som avser all information som erhållits vid utförandet av certifierings- uppgifterna, och enligt vilken absolut sekretess råder – säkerställa att uppgifter som organen får vid bedömningen av överensstämmelse enligt EU:s cybersäkerhetsakt inte obehörigen röjs. Eftersom det så- ledes får anses finnas ett fullgott sekretesskydd för uppgifter som samlas hos organen behövs i denna del ingen förändring av bestäm- melserna i OSL. kan noteras att bilagan till cybersäker- hetsakten lämnar utrymme för nödvändigt informationsutbyte som är författningsreglerat. Privata kontrollorgan är alltså inte förhind- rade att t.ex. lämna erforderliga uppgifter till tillsynsverksamheten vid den nationella myndigheten för cybersäkerhetscertifiering. Som framgår ovan finns flera sekretessbestämmelser i som kan aktualiseras i den nationella cybersäkerhetscertifieringsmyndig- hetens verksamhet för att skydda känsliga uppgifter från enskilda som erhålls vid tillämpningen av EU:s cybersäkerhetsakt. För att sekretess ska gälla enligt 30 kap. 23 § OSL krävs dock att regeringen meddelar föreskrifter som närmare anger vilka uppgifter som om- fattas av sekretessen. Utredningen noterar att regleringen i bilagan till offentlighets- och sekretessförordningen är begränsad beträffande FMV. Denna bestämmelse är varken tillämplig i certifierings- eller tillsynsverksamheten vid FMV som den nationella myndigheten för cybersäkerhetscertifiering kommer att bedriva. När det gäller sekre- tesskyddet för uppgifter som den nationella myndigheten för cyber- säkerhetscertifiering kan komma att behandla i sin verksamhet inom ramen för cybersäkerhetsaktens tillämpningsområde bedömer utred- ningen att detta behöver kompletteras när det gäller uppgifter om enskilds affärs- eller driftförhållanden. För att tillförsäkra ett fullgott sekretesskydd föreslår utredningen därmed att offentlighets- och sekretessförordningen (2009:641) ska kompletteras så att sekretess gäller för uppgift om enskilds affärs- eller driftförhållanden i verk- samhet som består i utredning och tillsyn enligt EU:s cybersäkerhets- akt och lagen med kompletterande bestämmelser till EU:s cyber- säkerhetsakt. Det är vidare oklart i vilken utsträckning kommer att be- handla sekretesskyddade uppgifter från bl.a. enskilda. Det kan dock noteras att det finns ett förbud för att för tredje part röja upp- gifter som byrån behandlar eller mottar, om det begärts att uppgif- terna ska behandlas konfidentiellt. Vidare omfattas anställda och experter av tystnadsplikt. ska i sina interna verksamhets- regler fastställa hur reglerna om konfidentialitet ska tillämpas prak- tiskt (se artikel 27). 12.5Uppgifter som lämnas till privata organ för bedömning av överensstämmelse Vad som redogjorts för ovan under avsnitt 12.4.1 om vilka uppgifter som kan komma att samlas hos offentliga organ för bedömning av överensstämmelse gäller också för privata kontrollorgan. Uppgifter som enskilda lämnar enligt det europeiska regelverket för cyber- säkerhetscertifiering kan alltså vara av sådan karaktär som motiverar sekretesskydd. Den som i privat verksamhet disponerar över uppgifter och infor- mation bestämmer själv om utlämnande av den till andra, med de begränsningar som följer av lagstiftning och åtaganden som vilar på civilrättslig grund. Enligt nuvarande bestämmelser i kommer privata organ för bedömning av överensstämmelse som utför uppgifter enligt EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäker- het – inbegripet förvaltningsuppgifter – inte att omfattas av OSL, eftersom den lagen, med vissa undantag, inte är tillämplig utanför den offentliga sektorn. Inom flera olika verksamhetsområden gäller dock tystnadsplikt enligt lag för privata aktörer, och som ofta är reglerad som ett förbud mot att obehörigen röja vissa uppgifter. Det finns också tystnads- plikter i privat verksamhet som inte har någon motsvarighet i det allmännas verksamhet, utan skyddar information som lämnas till personer i olika slag av förtroendeställning. I dessa fall har obehörig- hetsrekvisitet sammanfattningsvis tolkats som att ett utlämnande av uppgifter får ske bl.a. om den som uppgiften rör har lämnat sitt sam- tycke, om uppgifter lämnas vidare till personer inom den berörda verksamheten som behöver dem för verksamheten eller om uppgif- terna enligt lag eller annan författning ska lämnas ut, exempelvis till en tillsynsmyndighet (se t.ex. prop. 2002/03:139 s. 479).14 Författningsreglerad tystnadsplikt, oavsett om den följer av OSL eller av bestämmelser om tystnadsplikt för den privata sektorn, ut- gör en inskränkning av yttrandefriheten enligt regeringsformen och är som regel förenad med straffansvar. Den som bryter mot tyst- nadsplikten kan därmed dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . Fråga uppkommer om det finns behov av kompletterande natio- nell reglering om tystnadsplikt för de privata organen för bedömning av överensstämmelse. De i bilagan till cybersäkerhetsakten uppställda kraven på kon- fidentialitet och tystnadsplikt för organ för bedömning om överens- stämmelse, som utredningen behandlat i avsnitt 12.4.2, är också direkt 14Det finns i svensk rätt flera bestämmelser om tystnadsplikt där obehörighetsrekvisitet an- vänds. Den praxis som finns rörande dessa bestämmelser bör i fråga om rekvisitets innebörd kunna tjäna som ledning även vid tolkningen och tillämpningen av den nu föreslagna bestäm- melsen. tillämpliga för privata kontrollorgan.15 Dessa krav för ackreditering måste uppfyllas för att ett organ för bedömning av överensstämmelse ska kunna verka enligt EU:s cybersäkerhetsakt. Sekretesskraven får anses vara förhållandevis långtgående, såväl när det gäller sekretes- sens föremål och räckvidd som dess styrka.16 Det kan dock inte ute- slutas att uppgifter som kommer fram vid certifieringsverksamhet i enlighet med EU:s cybersäkerhetsakt kan komma att hanteras av en vidare krets av personer än de som omfattas av nämnda bilaga och 2 kap. 1 § OSL. Som ovan berörts är brott mot tystnadsplikt normalt förenat med straffansvar. Straffansvaret gäller var och en som har skyldighet att hemlighålla en uppgift enligt lag eller annan författning, förutsatt att straffansvaret inte har reglerats särskilt. Straffansvaret enligt brotts- balken förutsätter dock att tystnadsplikten har sin grund i just svensk författning (se Ulväng m.fl., Brotten mot allmänheten och staten, 2 uppl. 2014, s. 276).17 EU:s cybersäkerhetsakt kan alltså inte grunda straffansvar för brott mot tystnadsplikten. Mot bakgrund av det anförda bedömer utredningen att det finns behov av att införa en nationell bestämmelse om tystnadsplikt för de privata organen för bedömning av överensstämmelse. Tystnadsplikten gäller uppgifter som lämnas till organen. Tystnadsplikt ska även gälla för sådana uppgifter som framkommer i verksamhet som organen bedriver och som rör certifieringsverksamheten. Närmare bestämt innebär utredningens förslag att en enskild i ett privat organ för be- dömning av överensstämmelse inte obehörigen får röja eller utnyttja uppgifter om enskilds personliga och ekonomiska förhållanden. Den förslagna formuleringen omfattar t.ex. ett företags drifts- och affärs- förhållanden. Förslaget innebär därmed att fler uppgifter kommer att omfattas av straffsanktionerade regler. Därför bör det i lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt även in- föras en upplysning om att den som bryter mot tystnadsplikten kan dömas för brott. En möjlighet för de privata organen för bedömning av överens- stämmelse att bryta sekretessen i förhållande till behöriga nationella 15Vidare kan, som tidigare berörts, europeiska ordningar för cybersäkerhetscertifiering inne- hålla bestämmelser om hur organen för bedömning av överensstämmelse ska bevara sina upp- gifter. 16Också provningslaboratorier omfattas. 17Därmed omfattas inte åsidosättanden av tystnadsplikter som avtalats mellan exempelvis arbets- givare och arbetstagare (vilka däremot kan sanktioneras på annat sätt än genom straffansvar, t.ex. genom skadeståndsskyldighet). myndigheter, och då författning kräver att uppgifter lämnas, har intagits i bilagan till EU:s cybersäkerhetsakt. Detta undantag ligger i linje med svensk rätt på området (se ovan) och möjliggör nödvän- digt informationsutbyte (se vidare avsnitt 12.6). Att den föreslagna tystnadsplikten avgränsas med ett obehörighetsrekvisit innebär bl.a. att uppgifter kan lämnas ut med samtycke, till den nationella myn- digheten för cybersäkerhetscertifiering eller annars som en följd av en skyldighet i lag eller författning. 12.6Informationsutbyte mellan medlemsstaternas myndigheter Av artikel 58.7–9 i EU:s cybersäkerhetsakt framgår att nationella myndigheter för cybersäkerhetscertifiering ska –övervaka relevant utveckling på området cybersäkerhetscertifiering, –samarbeta med varandra och med kommissionen genom att utbyta information, erfarenheter och god praxis när det gäller cyber- säkerhetscertifiering och tekniska frågor som rör cybersäkerhet hos IKT-produkter IKT-tjänster och IKT-processer, –samarbeta med andra nationella myndigheter för cybersäkerhets- certifiering eller andra myndigheter, bl.a. genom att utbyta infor- mation om IKT-produkter, IKT-tjänster och IKT-processer som avviker från kraven i cybersäkerhetsakten eller från kraven i sär- skilda europeiska ordningar för cybersäkerhetscertifiering, och –lämna en årlig sammanfattande rapport om den verksamhet som bedrivits enligt punkten 7 b, c och d eller enligt punkten 8 till och den europeiska gruppen för cybersäkerhetscertifiering. I EU:s cybersäkerhetsakt finns inte några bestämmelser som när- mare reglerar frågan om sekretess för uppgifter och information som lämnas mellan medlemsstaternas myndigheter eller mellan en sådan myndighet och kommissionen eller Enisa.18 I artikel 27 finns dock en sekretessbestämmelse för uppgifter som lämnas till . Av be- stämmelsen framgår att inte ska röja uppgifter som den be- handlar eller mottar för tredje part, om det i en motiverad ansökan har begärts att uppgifterna helt eller delvis ska behandlas konfiden- tiellt. ska i sina interna verksamhetsregler fastställa hur reglerna om konfidentialitet ska tillämpas praktiskt. Av artikel 28 framgår att förordning (EG) nr 1049/2001 ska tillämpas på de handlingar som finns hos . Enligt 15 kap. 1 § OSL gäller sekretess för uppgifter som angår förbindelser med en annan stat eller i övrigt rör en annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös, om det kan antas att det skulle störa mellanfolkliga förbindelser eller på annat sätt skada landet om uppgifterna röjs. Skadebegreppet ska inte ges en alltför vid inne- börd, utan det måste röra sig om någon olägenhet för landet.19 När det gäller uppgifter som fås från en annan stat eller en mellan- folklig organisation kan avsändarens uppfattning i sekretessfrågan inte avgöra om uppgiften ska hållas hemlig, men avsändarens intresse av sekretess kan ha betydelse för sekretessprövningen i det enskilda fallet. Generellt är utrymmet för öppenhet enligt bestämmelsen mer begränsat när det gäller uppgifter som fås från en EU-institution eller annan medlemsstat än uppgifter i handlingar som upprättats i (jfr prop. 1994/95:112 s. 29). Utrikessekretessen är en s.k. primär sekretessbestämmelse som en myndighet ska tillämpa på grund av att bestämmelsen omfattar vissa uppgifter som finns hos myndigheten till följd av att dess räck- vidd inte har begränsats och därför gäller inom hela den offentliga 18I den föreslagna EUCC-ordningen anges emellertid att utbyte av information får ske om det är nödvändigt för ett effektivt genomförande av certifieringsordningen, särskilt för inbördes granskning. Informationsutbyte får också ske för att åstadkomma effektivt samarbete mellan de involverade myndigheterna och organen för bedömning av överensstämmelse, för hanter- ing av nyupptäckta sårbarheter samt för handläggning av klagomål. Information som utbyts konfidentiellt mellan behöriga myndigheter respektive mellan berörda myndigheter och kom- missionen får dock inte lämnas ut till allmänheten utan föregående godkännande av ursprungs- myndigheten. 19Att mindre och tillfälliga störningar eller irritationer inom ett annat lands ledning inte kan uteslutas om uppgifter lämnas ut bör alltså inte alltid leda till sekretess (se prop. 1979/80:2 Del A s. 131). Det kan tilläggas att det är få uppgifter som är så känsliga att de behöver omfattas av sekretess oavsett hos vilken myndighet de befinner sig (se prop. 2008/2009:15 s. 285). Sekretess i det internationella samarbetet på grund av en bindande EU-rättsakt Enligt 15 kap. 1 a § första stycket OSL gäller sekretess för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt, om det kan antas att möjlighet att delta i det internationella samarbete som avses i rättsakten försämras om uppgiften röjs. Motsvarande sekretess gäller enligt bestämmel- sens andra stycke för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket. Uppgiftens innehåll, art eller karaktär saknar betydelse för be- stämmelsens tillämplighet. Bestämmelsen är t.ex. tillämplig i fråga om uppgifter om enskilda, om de finns hos myndigheten på grund av ett reglerat internationellt samarbete. Ett sådant exempel är en uppgift som kommit in från en utländsk myndighet och som härrör från en utredning eller ett annat ärende där. Detsamma gäller om uppgiften på annat sätt samlats in av den svenska myndigheten i syfte att vidarebefordras till en annan stat eller en mellanfolklig organisa- tion, i enlighet med t.ex. en biståndsskyldighet. En förutsättning för att sekretess ska gälla är att ett röjande av uppgiften kan antas försämra möjlighet att delta i det inter- nationella samarbete som avses i rättsakten.20 Uttrycket ”möjlighet att delta i” syftar främst på möjligheten att få del av information i enlighet med EU-rättsakten eller avtalet, dvs. dra nytta av samarbetet. Bestämmelsen gäller normalt bara om det finns en tydlig sekretess- bestämmelse i den aktuella rättsakten (se prop. 2012/13:192 s. 35).21 20Myndigheten är i det enskilda fallet skyldig att göra en självständig bedömning av vilka kon- sekvenser ett röjande kan antas få för det fortsatta samarbetet. 21Om det inte gör det, så kommer en tillämpning av sekretessbestämmelserna normalt inte att aktualiseras, även om det inte utesluts av bestämmelsernas ordalydelse.