sou · H9B381 · 2021-10-19 00:00:00 — Enligt dessa punkter gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser byggnader eller andra anläggningar, lokaler eller inventarier (första punkten), tele- kommunikation eller system för automatiserad behandling av infor- mation (tredje punkten) eller behörighet att få tillgång till upptagning för automatiserad behandling eller annan handling (fjärde punkten). Den för dricksvattenförsörjningen mest relevanta punkten är första punkten. Säkerhets- eller bevakningsåtgärder för byggnader, anlägg- ningar och lokaler avser utformningen av tillträdesbegränsning som ska hindra att obehöriga får tillträde till utrymmen eller att upptäcka obehöriga. Exempel på säkerhets- eller bevakningsåtgärder är bygg- nadstekniska åtgärder (mekaniskt inbrottsskydd), teknisk bevakning (inbrottslarm, passerkontroll och övervakningssystem) och bevakning. Med system för automatiserad behandling av information i tredje punkten avses system där datorer, telekommunikation eller annan teknisk utrustning samverkar för att insamla, ordna, bearbeta, söka och distribuera information. Sekretessen enligt fjärde punkten, av- seende uppgift om åtgärd som avser behörighet att få tillgång till upptagning för automatiserad behandling eller annan handling, gäller i första hand uppgifter om behörighetskoder och behörighetsnyck- lar samt arrangemang och fördelning av dessa, däremot inte generellt program för hemliga upptagningar. Till exempel skulle beskrivning av delar och anläggningar i vatten- försörjningssystem (läge och utformning, tekniska beskrivningar, ritningar), säkerhet kring styr- och övervakningssystem, skyddsåtgär- der (till exempel skalskydd, larm, bevakningsåtgärder) och upphand- lingar av skalskydd, larm, passerkontrollsystem och bevakningstjänster kunna omfattas av förevarande sekretessbestämmelse.40 Säkerhets- och bevakningssekretessen är inte begränsad till myn- digheters verksamhet utan avser uppgifter oavsett i vilken verksam- het de finns. Det innebär att uppgifter om säkerhets- och bevak- ningsåtgärder, som en myndighet inhämtar från enskild verksamhet vid exempelvis upprättandet av risk- och sårbarhetsanalyser, kan om- fattas av sekretessen, även om uppgiften inte tar sikte på myndig- hetens egna säkerhets- och bevakningsåtgärder. 40Svenskt Vatten, 2012, för dricksvattenproducenter, s. 79. Sekretessen är begränsad genom ett rakt skaderekvisit. Därför gäller sekretess endast om det kan antas att syftet med skyddsåtgärden motverkas om den aktuella uppgiften röjs. Regeringen har i för- arbetena angett att en sådan styrka på sekretessen innebär att skydds- värda uppgifter får ett tillfredställande skydd som insynen i myndigheternas verksamhet inte inskränks mer än nödvändigt.41 Sekretess till skydd för risk- och sårbarhetsanalyser En annan för dricksvattenförsörjningen relevant sekretessbestäm- melse är den i 18 kap. 13 § offentlighets- och sekretesslagen. Av den framgår att sekretess gäller för uppgift som hänför sig till en myn- dighets verksamhet som består i risk- och sårbarhetsanalyser avse- ende fredstida krissituationer, planering och förberedelser inför så- dana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjligheter att förebygga och hantera freds- tida kriser motverkas om uppgiften röjs. Med begreppet fredstida krissituationer avses mycket allvarliga kriser, alltså inte olyckor och andra händelser av mer vardaglig karaktär.42 Verksamhet i form av risk- och sårbarhetsanalyser syftar till att minska samhällets sårbarhet, bland annat genom att öka myn- digheternas förmåga att förutse och hantera fredstida krissituationer. För att uppgifter i denna verksamhet inte ska kunna utnyttjas till angrepp mot myndigheter, enskilda eller samhället i stort är det i viss utsträckning nödvändigt att begränsa insynen i denna verksamhet. Handlingar som utarbetas vid genomförandet av risk- och sårbar- hetsanalyserna kan komma att innehålla uppgifter som är känsliga ur säkerhetssynpunkt för verksamheter inom myndighetens ansvars- område. Bestämmelsen bör således vara tillämplig på uppgifter som har insamlats eller producerats inom ramen för analys-, planerings- eller förberedelseverksamheten avseende fredstida kriser.43 Vilka konsekvenserna kan bli av att känsliga uppgifter röjs har beskrivits i propositionen ”Om vårt framtida försvar”. Där anförs bland annat att om uppgifter som lämnar eller kan bidra till upplysning om risker och sårbarhet inom en myndighets ansvarsområde blir offentliga och sprids utanför myndigheten kan de komma att utnyttjas för att skada 2003/04:93, s. 82. 2004/05:5, s. 266. 2004/05:5, s. 259–260. Uppgifterna kan komma att användas för brottslig verk- samhet såsom inbrott, bedrägeri, skadegörelse, sabotage eller terror- handlingar. Att känsliga uppgifter röjs kan således leda till att säker- heten i samhället minskar. Detta motverkar det övriga arbetet på krishanteringsområdet. Exempel på uppgifter som kan omfattas av bestämmelsen är risk- och sårbarhetsanalyser, säkerhetsanalyser och förmågebedömningar. Vidare skulle kunna planering av vattenförsörjningen i samband med allvarliga störningar så som beredskapsplaner och handlingsplaner omfattas.45 Av förarbetena till bestämmelsen framgår att bestäm- melsen behövs för att kunna hemlighålla känsliga uppgifter som kan komma fram i samband med risk- och sårbarhetsanalyser eller vid planering och förberedelser för hantering av fredstida krissituationer, detta mot bakgrund av den mer övergripande karaktär som präglar denna verksamhet. Särskilt eftersom det i en sådan analys beskrivs olika riskscenario och följderna av olika brister. De resonemang som förs när helhetsbilden skärskådas och analyseras behöver kunna sekretessbeläggas. Det kan bland annat vara fråga om gränssättande faktorer för samhällets krishanteringsförmåga, förbättringsåtgärder som vägs mot varandra, grunder för nedprioriteringar, detaljer om var reaktionstiden är lång och var möjligheten att upptäcka en inci- dent är låg med mera. Det kan vidare finns behov av att kunna sekre- tessbelägga exempelvis listor över nyckelpersoner och dessa personers ansvarsområden vid en eventuell krissituation och dylikt.46 Det kan även röra sig om uppgifter som uppkommer under en kris och som kan behöva beredas skydd, till exempel om brister och oförmågor som är av bestående natur och som därmed också har bäring på förmågan att motverka framtida kriser. Det kan i sin tur röra sig om stabernas uthållighet, gränssättande tekniska faktorer (såsom brist på kapacitet i kommunikationssystem), beroendeförhållanden av vissa leverantörer eller bristande redundans (nödvändigt överskott av något, till exempel tillgång till el).47 Bestämmelsen är tillämplig på uppgifter som har insamlats eller producerats inom ramen för analys-, planerings- eller förberedelse- verksamheten avseende fredstida kriser. För att nödvändig sam- verkan ska kunna ske mellan myndigheterna bör bestämmelsen vara 2004/05:5, s. 260. 45Svenskt Vatten, 2012, för dricksvattenproducenter, s. 79. 46Prop 2004/05:5, s. 260. 47Prop 2008/09:152, s. 17–18. tillämplig på sådana uppgifter såväl hos den myndighet som har insamlat och producerat dem, som hos en annan myndighet som har fått dem överlämnade till sig. Att sekretessen följer med en uppgift som har insamlats eller producerats i den angivna verksamheten när en sådan uppgift lämnas till en annan myndighet kommer till uttryck genom att bestämmelsen inte har begränsats till att gälla uppgifter hos en viss myndighet eller uppgifter i en viss verksamhet. Sekre- tessen gäller istället för uppgift som hänför sig till en myndighets verksamhet. Om en uppgift som omfattas av sekretessbestämmelsen lämnas till en annan myndighet ska således även den mottagande myndigheten tillämpa sekretessbestämmelsen på uppgiften.48 Sekretessbestämmelsen är, i likhet med bestämmelserna om för- svarssekretess, försedd med ett så kallat rakt skaderekvisit. Det raka skaderekvisitet innebär enligt förarbetena att sekretess kan meddelas i den utsträckning det behövs, som insynen i myndig- hetens verksamhet inte inskränks mer än nödvändigt.49 I 30 kap. offentlighets- och sekretesslagen finns bestämmelser om sekretess till skydd främst för myndigheters verksamhet för inspek- tion, kontroll eller annan tillsyn. Bland annat gäller sekretess i den utsträckning regeringen meddelar föreskrifter om det, i en statlig myn- dighets verksamhet som består i utredning, planering, prisreglering, tillståndsgivning, tillsyn eller stödverksamhet med avseende på pro- duktion, handel, transportverksamhet eller näringslivet i övrigt för uppgift om en enskilds affärs- eller driftförhållanden.50 Regeringen har i 9 § offentlighets- och sekretessförordningen (2009:641) och punkt 28 i bilagan till förordningen pekat ut vilka verksamheter som avses, bland annat offentlig kontroll enlig livsmedelslagen. Vidare gäller sekretess gäller i verksamhet som bedrivs av någon annan än en statlig myndighet och som består i tillsyn eller stöd- verksamhet med avseende på näringslivet för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat, om det kan antas att den enskilde lider skada om uppgiften röjs. 2004/05:5, s. 262–263. 2008/09:152, s. 18–19. 5030 kap. 23 § offentlighets- och sekretesslagen jämte 9 § offentlighets- och sekretessförord- ningen. Denna sekretess gäller emellertid inte för uppgift i tillsynsverksam- het som bedrivs av den eller de kommunala nämnder som fullgör uppgifter inom miljö- och hälsoskyddsområdet, om intresset av all- män kännedom om förhållande som rör människors hälsa, miljön eller redligheten i handeln eller ett liknande allmänintresse har sådan vikt att uppgiften bör lämnas ut.51 19.3.3Allmänhetens rätt till miljöinformation och deltagande Århuskonventionen kopplar samman frågor om mänskliga rättig- heter och miljön. Enligt konventionen är ett tillfredställande miljö- skydd väsentligt för att man ska kunna åtnjuta grundläggande mänsk- liga rättigheter. Konventionen utgår också från att ett större sam- hälleligt deltagande från allmänhetens sida leder till en bättre miljö. Konventionen innebär därför att allmänheten ska garanteras vissa medborgerliga och politiska rättigheter. Konventionen skiljer sig från andra internationella miljöavtal genom att den ålägger parterna skyldig- heter i förhållande till allmänheten. Andra miljöavtal innehåller främst skyldigheter som gäller förhållandet parterna emellan.52 I konventionen slås fast att var och en i nuvarande och framtida generationer har rätt att leva i en miljö som är förenlig med hans eller hennes hälsa och välbefinnande. För att bidra till att skydda denna rätt ska varje konventionspart i enlighet med konventionens bestämmel- ser garantera allmänheten en rätt att ta del av information, rätt att delta i beslutsprocesser och rätt till rättslig prövning i miljöfrågor.53 Konventionen har tre huvudteman. 1.allmänhetens rätt att ta del av miljöinformation som finns hos myndigheter, 2.allmänhetens rätt till delaktighet i beslutsprocesser som har in- verkan på miljön, samt 3.allmänhetens tillgång till rättslig prövning i miljöfrågor. 5130 kap. 27 § offentlighets- och sekretesslagen. 2004/05:65, s. 18. 53Artikel 1 i Århuskonventionen. När det gäller rätten att få del av information om miljön ska parterna se till att myndigheter, under vissa angivna förutsättningar och tids- ramar, tillhandahåller miljöinformation till den som begär det. En begäran om att få information kan dock avslås under vissa särskilt redovisade förutsättningar. Parterna ska vidare se till att offentliga myndigheter samlar in och sprider relevant miljöinformation.54 För allmänhetens inflytande i beslutsprocesser finns bestämmel- ser om allmänhetens rätt att delta i beslut som gäller tillstånd att bedriva vissa verksamheter. Allmänheten ska ges rätt att få viss in- formation och vissa praktiska möjligheter att kunna påverka ett be- slut. Allmänheten ska vidare genom lämpliga åtgärder ges inflytande också när planer och program som har betydelse för miljön utformas och i lämplig utsträckning få möjlighet att delta vid utformningen av lagar och andra författningar.55 Den som inte fått ta del av den information han eller hon bett om, eller anser att en förfrågan om att få information har blivit felaktigt hanterad, ska ha rätt att få frågan prövad av domstol eller annat oberoende organ. Allmänheten ska dessutom under vissa förut- sättningar även ha rätt till domstolsprövning eller prövning i admi- nistrativ ordning av myndigheters eller personers handlingar eller underlåtenheter att handla i strid med nationell miljörätt. För samt- liga dessa prövningar gäller att proceduren ska vara effektiv, snabb, rättvis och inte oöverkomligt dyr.56 är part till Århuskonventionen. Även EU är part till konventionen. EU har med anledning av Århuskonven- tionen antagit miljöinformationsdirektivet och direktiv /35/EG57, som togs fram i ett led i gemenskapens tillträde till konventionen. har även förordning (EG) nr 1367/200658 antagits, som tillämpar konventionens krav på unionens institutioner och organ. 54Artiklarna 4–5 i Århuskonventionen. 55Artiklarna 6–7 i Århuskonventionen. 56Artikel 9 i Århuskonventionen. 57Europaparlamentets och rådets direktiv /35/EG av om åtgärder för allmänhetens deltagande i utarbetandet av vissa planer och program avseende miljön och om ändring, med avseende på allmänhetens deltagande och rätt till rättslig prövning, av rådets direk- tiv 85/337/EEG och 96/61/EG. 58Europaparlamentets och rådets förordning (EG) nr 1367/2006 av om tillämpning av bestämmelserna i om tillgång till information, allmän- hetens deltagande i beslutsprocesser och tillgång till rättslig prövning i miljöfrågor på gemen- skapens institutioner och organ. Konventionens bestämmelser om till exempel tillgång till rättslig prövning genomförs i svensk rätt främst genom bestämmelser i . Miljöorganisationers rätt att överklaga regleras i 16 kap. 13 § . Där fastställs dels kriterier för vilka organisationer som får överklaga, dels vilka typer av beslut som organisationerna får klaga på. beslutade också om en ny lag, lag om miljö- information hos vissa enskilda organ, för att genom denna införa delar av Århuskonventionen. Vid ratificeringen av konventionen me- nade regeringen att de rättigheter som konventionen ger allmänheten redan då var garanterade i svensk rätt, bland annat genom offentlig- hetsprincipen och offentlighets- och sekretesslagen.59 Målet med Inspiredirektivet är att skapa en infrastruktur för rumslig (geografisk) information i . Med rumslig information avses i direktivet information som direkt eller indirekt avser en viss plats eller ett visst geografiskt område, det vill säga det som i normalt kallas geografisk information.60 Bakgrunden till direktivet är behovet av bättre tillgång till information för att utforma och genomföra EU:s miljöpolitik. Medlemsstaterna ska skapa och driva infrastrukturer med enkelt användbara elektroniska tjänster som gör informationen tillgänglig via internet för allmänheten inom EU, men också för myndigheter, kommuner och enskilda organ som fullgör offentliga förvaltningsuppgifter inom EU i deras arbete som rör miljön. Vilken information som ryms under benämningen ”rumslig information” definieras bland annat i direktivets tre bilagor. Inspiredirektivet bygger på att de infrastrukturer för rumslig information som redan finns i medlemsländerna utnyttjas och om- fattar befintlig elektronisk information som innehas av offentliga myndigheter. De offentliga myndigheter som innehar den informa- tion som träffas av direktivet är skyldiga att tillgängliggöra infor- mationen för allmänheten och att dela informationen med andra myndigheter inom och övriga EU (datadelning). För detta ändamål ska ett nät med olika typer av tjänster byggas upp (nät- tjänster), till exempel sök-, visnings- och nedladdningstjänster. 2004/05:65, s. 1. 2009/10:224, s. 17. ställs inga krav på ny uppbyggnad av datamängder, men på harmo- nisering av information och tjänster. Information och tjänster ska följa vissa bestämda standarder så att de kan kombineras, insamlas eller fungera med annan information och tjänster från andra källor. Direktivet öppnar upp för att även andra organisationer än infor- mationsansvariga myndigheter ska kunna tillgängliggöra sin informa- tion i infrastrukturen (frivillig medverkan). För att säkerställa att de nationella infrastrukturerna för rumslig information är förenliga med varandra och är användbara i gräns- överskridande sammanhang, har det ansetts nödvändigt att anta vissa gemensamma bestämmelser inom flera specifika områden. Sådana detaljer regleras i ett antal genomförandebestämmelser som tagits fram av Europeiska kommissionen. Direktivet är subsidiärt i förhåll- ande till andra direktiv som överlappas av Inspiredirektivet (till exem- pel miljöinformationsdirektivet och direktiv /98/EG om vidare- utnyttjande av offentlig information hos offentliga myndigheter) och påverkar inte förekomsten av eller äganderätten till offentliga myndigheters immateriella rättigheter. Inspiredirektivet har i svensk rätt införts genom lagen om geo- grafisk miljöinformation (2010:1767), vilken kompletteras av för- ordning (2010:1770) om geografisk miljöinformation. Medlemsstaternas befogenheter när det gäller nationell säkerhet I EU:s grundläggande fördrag finns bestämmelser som handlar om medlemsstaters nationella säkerhetsintressen. I artikel 4.2 i EU-för- draget61 anges följande: ”Unionen ska respektera medlemsstaternas likhet inför fördragen samt deras nationella identitet, som kommer till uttryck i deras politiska och konstitutionella grundstrukturer, inbegripet det lokala och regionala självstyret. Den ska respektera deras väsentliga statliga funktioner, särskilt funktioner vars syfte är att hävda deras territoriella integritet, upprätthålla lag och ordning och skydda den nationella säkerheten. I synnerhet ska den nationella säkerheten också i fortsättningen vara varje medlemsstats eget an- svar.” Artikel 346 i EUF-fördraget62 innebär vidare att bestämmel- 61Fördraget om Europeiska unionen. 62Fördraget om Europeiska unionens funktionssätt. serna i fördragen inte ska kunna medföra att medlemsstater ska vara förpliktade att lämna sådan information vars avslöjande de anser strida mot sina väsentliga säkerhetsintressen. Det finns ett antal rättsfall från som behandlar EU:s befogenheter på det här om- rådet.63 Med informationssäkerhet avses skydd av information utifrån krav på informationens konfidentialitet (att endast behöriga personer får ta del av den), riktighet (att informationen inte är manipulerad eller förstörd) och tillgänglighet (att informationen finns när den be- hövs).64 Reglering av hur myndigheter ska bedriva ett systematiskt informationssäkerhetsarbete finns i förordning (2015:1052) om kris- beredskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Enligt 19 § i denna förordning ska varje myndighet an- svara för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verk- samhet kan utföras på ett tillfredsställande sätt. Myndigheterna ska enligt 20 § till Myndigheten för samhällsskydd och beredskap skynd- samt rapportera it-incidenter som inträffat i den rapporterande myn- dighetens informationssystem och som allvarligt kan påverka säker- heten i den informationshantering som myndigheten ansvarar för, eller som inträffat i tjänster som myndigheten tillhandahåller åt en annan organisation. Myndigheten för samhällsskydd och beredskap har tagit fram före- skrifter, allmänna råd och vägledning kring hur myndigheter ska be- driva sitt informationssäkerhetsarbete. 63Se bland annat C-623/17, C-511/18, C-512/18 och C-520/18. 643 § Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för statliga myndigheter, MSBFS 2020:06. Se också den vägledning kring informationssäker- het som bland annat myndigheten för samhällsskydd och beredskap har tagit fram: informationssakerhet/, hämtat . NIS-direktivet65 ställer krav på säkerhet i nätverk och informations- system. Reglerna omfattar leverantörer av samhällsviktiga tjänster och vissa digitala tjänster. Dessa leverantörer kan finnas i både privat och offentlig sektor. Leverans och distribution av dricksvatten räk- nas som en samhällsviktig tjänst.66 Direktivet har genomförts i svensk rätt genom lagen (2018:1174) om informationssäkerhet för samhälls- viktiga och digitala tjänster och förordningen (2018:1175) om infor- mationssäkerhet för samhällsviktiga och digitala tjänster. Livsmedels- verket är tillsynsmyndighet för leverantörer av samhällsviktiga tjänster enligt lagen om informationssäkerhet för samhällsviktiga och digi- tala tjänster i fråga om sektorn för leverans och distribution av dricks- vatten. Förhandling pågår i EU om ett förslag till revi- derat direktiv (NIS2). Säkerhetsskyddslagen gäller för den som till någon del bedriver verk- samhet som är av betydelse för säkerhet eller som omfattas av ett för förpliktande internationellt åtagande om säkerhets- skydd (säkerhetskänslig verksamhet).67 Lagen är tillämplig vid verk- samhet hos staten, kommuner, regioner och enskilda oberoende av verksamhetsform. Med ”till någon del” tydliggörs att det för lagens tillämplighet inte krävs att hela verksamheten anses utgöra säkerhets- känslig verksamhet. Verksamhet av betydelse för säkerhet kan delas in i verksamhet som hanterar säkerhetsskyddsklassificerade upp- gifter och verksamhet som bedriver i övrigt säkerhetskänslig verksam- het, det vill säga utan att hantera säkerhetsskyddsklassificerade uppgifter. Med säkerhetsskydd avses skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassi- ficerade uppgifter. Med säkerhetsskyddsklassificerade uppgifter avses 65Europaparlamentets och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. 66En utförligare beskrivning av NIS-direktivet finns i prop. 2017/18:205. 671 kap. 1 § säkerhetsskyddslagen. uppgifter som rör säkerhetskänslig verksamhet och som därför om- fattas av sekretess enligt offentlighets- och sekretesslagen eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig.68 Bestämmelsen innebär att även en enskild verksamhetsutövare som inte omfattas av offentlighets- och sekretesslagen ska bedöma om uppgifterna i verksamheten är sådana att säkerhetsskyddslagen är tillämplig på verksamheten. Verksamhetsutövaren behöver alltså göra en fiktiv sekretessbedömning. Den så kallade försvarssekretessen i 15 kap. 2 § offentlighets- och sekretesslagen är särskilt relevant för vägledning om vilka uppgifter som till sin natur medför krav på säkerhetsskydd. Aktörer som bedriver verksamhet som har bety- delse för totalförsvaret torde därför omfattas av kraven i säkerhetsskyddslagen till någon del. Även andra sekretessbestäm- melser som delvis överlappar försvarssekretessen bör kunna tjäna som vägledning till vilka förhållanden som är av betydelse för säkerhet. Känsliga uppgifter som ska skyddas enligt ett internatio- nellt säkerhetsskyddsåtagande omfattas i regel av bestämmelser om sekretess i förhållande till annan stat eller mellanfolklig organisation, den så kallade utrikessekretessen i 15 kap. 1 § offentlighets- och sekre- tesslagen. Även andra bestämmelser om sekretess kan vara tillämp- liga på denna typ av uppgifter, till exempel bestämmelsen i 15 kap.