sou · H9B381 · 2021-10-19 00:00:00 — 112Säkerhetspolisen, 2019, Vägledning i säkerhetsskydd – Introduktion till säkerhetsskydd, s. 21. verksamhet.113 Den som ska lämna över säkerskyddsklassificerade uppgifter har vissa skyldigheter att se till att mottagande myndighet har ett fullgott skydd. Det yttersta kravet är att säkerhetsskydds- klassificerad information inte får röjas för obehöriga och det kan innebära särskilda hanteringskrav.114 Regeringen har föreslagit ändringar i säkerhetsskyddslagen som bland annat innebär skärpta krav på säkerhetsskyddsavtal mellan olika verksamhetsutövare som ska dela säkerhetsskyddsklassade upp- gifter mellan varandra. Det har föreslagits att regeringen får meddela undantag från detta krav, men det är ännu oklart vad sådana krav skulle kunna innebära.115 De krav som ställs i säkerhetsskyddslagen kan påverka förutsätt- ningarna för myndigheter och andra aktörer att dela information om dricksvattenförsörjningen. De aktörer som omfattas av säkerhets- skyddslagstiftningen arbetar med frågor om säkerhets- skydd. De kommer behöva analysera hur kraven på överföring av information enligt dricksvattendirektiv påverkar detta arbete. Utredningen kan inte se att det krävs några författnings- ändringar för att den riskbaserade metoden ska kunna genomföras i förhållande till säkerhetsskyddslagstiftningen. Direktivets krav på att lämna och tillgängliggöra information Verksamhetsutövare som producerar eller tillhandahåller dricks- vatten är enligt artikel 17.1 och bilaga IV dricksvatten- direktiv skyldiga att tillhandahålla viss information för allmänheten på internet på ett användarvänligt och lämpligt sätt. Alla personer som försörjs med dricksvatten ska vidare enligt artikel 17.2 regel- bundet och minst en gång få viss information exempelvis på fakturor. Ett sådant informationsansvar går längre än den skyldighet att lämna ut allmänna handlingar som följer av tryckfrihetsförordningen. Utredningen föreslår i kapitel 17 att det ska införas en ny bestäm- melse i livsmedelsförordningen om skyldighet för verksamhets- utövare som producerar och tillhandahåller dricksvatten att lämna 113Säkerhetspolisen, 2020, Vägledning i säkerhetsskydd – Informationssäkerhet, s. 10. 2017/18:89, s. 58 och Säkerhetspolisen, 2020, Vägledning i säkerhetsskydd – Informa- tionssäkerhet, september, s. 10. 2020/21:194, s. 27 f och 34 f. information i enligt artikel 17 dricksvattendirektiv. Enligt förslaget ska få lämna närmare föreskrifter om den information som ska lämnas till allmänheten. Det finns möjlighet att undanta information enligt Inspiredirektivet Den information som ska hållas tillgänglig på internet enligt bi- laga IV till dricksvattendirektiv omfattar enligt punkt 1 identifiering av den relevanta vattenleverantören, det område och det antal personer som försörjs samt metoden för vattenproduktion, inbegripet allmän information om de typer av beredning och des- infektion av vatten som tillämpas. Medlemsstaterna får dock avvika från det här kravet i enlighet med artikel 13.1 i Inspiredirektivet.116 Som redogjorts för i avsnitt 19.3.4 har medlemsstaterna även stor egen befogenhet när det gäller nationell säkerhet och ska inte kunna förpliktas att lämna sådan information vars avslöjande de anser strida mot sina väsentliga säkerhetsintressen. Det är skälen till artikel 13.1 som ska beaktas Så som utredningen redogör för ovan kan medlemsstaterna göra undantag från kravet på att tillgängliggöra information till allmän- heten enligt artikel 13.1 i Inspiredirektivet. En sådan möjlighet ges även när det gäller den rapportering som ska ske till EU enligt arti- kel 18, vilket behandlas närmare i avsnitt 19.4.4. Det finns emellertid en skillnad i formuleringen mellan bilaga IV och artikel 18. I punkt 1 i bilaga IV anges att medlemsstaterna får avvika från kravet i enlighet med artikel 13.1 i Inspiredirektivet. I artikel 18.5 anges istället att en avvikelse får göras med hänvisning till något av de skäl som anges i artikel 13.1 i Inspiredirektivet. Utredningen kan inte se någon anled- ning till att göra skillnad i tillämpningen av bestämmelserna och utgår därför ifrån att undantagen ska hanteras på samma sätt och att det är de skäl som nämns i artikel 13.1 Inspiredirektivet som ska be- aktas när det gäller möjligheten att göra undantag både från informa- tionskravet och från rapporteringsskyldigheten. 116Se punkt 1 i uppräkningen i bilaga IV till dricksvattendirektiv. Inspiredirektivet rör rumslig information. Detta beskrivs närmare i avsnitt 19.3.3. Utredningen gör dock bedömningen att den möjlig- het till avvikelse från kravet på tillgängliggörande av information i punkt 1 i bilaga IV gäller oavsett om det är fråga om rumslig infor- mation eller inte. En sådan tolkning strider inte mot ordalydelsen av bestämmelsen och framstår som rimlig eftersom den information som kan undantas enligt punkt 1 i bilaga IV i allmänhet inte torde omfatta någon rumslig information så som det avses i artikel 11.1 i Inspiredirektivet. Inspiredirektivet i förhållande till offentlighets- och sekretesslagen Av artikel 13.1 första stycket i Inspiredirektivet framgår att med- lemsstaterna får begränsa allmänhetens tillgång till rumsliga data- mängder och datatjänster genom de tjänster som avses i artikel 11.1 a det direktivet, om sådan tillgång skulle få negativa följder för inter- nationella förbindelser, allmän säkerhet eller nationellt försvar. De tjänster som avses i artikel 11.1 a är söktjänster som gör det möjligt att söka efter rumsliga datamängder och datatjänster med utgångs- punkt i innehållet i motsvarande metadata samt att visa innehållet i metadata. Enligt artikel 13.1 andra stycket får medlemsstaterna också be- gränsa allmänhetens tillgång till rumsliga datamängder och datatjänster genom de tjänster som avses i artikel 11.1 b–e eller till de e-handels- tjänster som avses i artikel 14.3, om tillgången skulle inverka negativt på något av följande: a)Sekretess som omfattar offentliga myndigheters förfaranden, då sådan sekretess föreskrivs enligt lag. b)Internationella förbindelser, allmän säkerhet eller nationellt för- svar. c)Domstolsförfaranden, personers möjlighet att få en rättvis rätte- gång eller en offentlig myndighets möjligheter att genomföra en undersökning av straffrättslig eller disciplinär art. d)Sekretess som omfattar kommersiell eller industriell information, där sådan sekretess föreskrivs i nationell lagstiftning eller gemen- skapslagstiftning i syfte att skydda legitima ekonomiska intressen, inbegripet det allmänna intresset att upprätthålla sekretess för statistiska uppgifter och skattesekretess. e)Immateriella rättigheter.117 f)Sekretess som omfattar personuppgifter och/eller akter om en fysisk person, om denna person inte har gett sitt medgivande till att informationen lämnas ut till allmänheten, om sådan sekretess föreskrivs i nationell lagstiftning eller gemenskapslagstiftning. g)En persons intressen eller skyddet av en person, om denne fri- villigt tillhandahållit den begärda informationen utan att vara skyl- dig att göra detta enligt lag eller utan att kunna tvingas att göra detta enligt lag, såvida inte denna person gett sitt medgivande till att informationen lämnas ut. h)Skydd av den miljö som informationen avser, exempelvis lokali- sering av sällsynta arter. De tjänster som avses i artikel 11.1 b–e handlar bland annat om vis- ningstjänster som åtminstone gör det möjligt att visa, navigera, zooma in/ut, panorera och överlagra visningsbara rumsliga datamängder samt att visa förklarande information och relevant innehåll i meta- data och nedladdningstjänster som gör det möjligt att ladda ned och, när så är möjligt, få direkt åtkomst till kopior av rumsliga data- mängder eller delar av dessa. , som genomför Inspire- direktivet i , omfattar myndigheter, kommuner och enskilda organ som fullgör offentliga förvaltningsuppgifter och medför vissa skyldigheter för dessa att medverka i ett sammanhängande system för miljöinformation.118 När det gäller myndigheter och enskilda organ som omfattas av offentlighets- och sekretesslagen regleras möjlig- heten att undanta information som ska tillgängliggöras för allmän- heten samt sekretessbrytande bestämmelser i den lagen. För de en- skilda organ som inte omfattas av offentlighets- och sekretesslagen regleras frågan om vilka uppgifter som får undantas i lagen om geo- grafisk miljöinformation. 117Immateriella rättigheter behandlas närmare nedan. 118En utförlig beskrivning av det sammanhängande miljösystemet och Inspiredirektivet finns i prop. 2009/10:224. I de förarbeten som ligger till grund för genomförandet av Inspire- direktivet i svensk rätt resonerar regeringen kring kopplingen mellan begränsningsgrunderna i Inspiredirektivet och tryckfrihetsförord- ningen samt offentlighets- och sekretesslagen. Enligt regeringens bedömning är sekretessgrunderna i 2 kap. 2 § tryckfrihetsförordningen förenliga med sekretessgrunderna i arti- kel 13 i Inspiredirektivet. Första punkten i 2 kap. 2 § kan sägas ha sin motsvarighet i direktivets bestämmelse om rätt att föreskriva sekre- tess med hänvisning till skydd av internationella förbindelser, det nationella försvaret eller allmän säkerhet. Tredje och fjärde punkterna motsvaras av bestämmelsen i direktivet om sekretess för domstols- förfaranden, myndigheters möjlighet att genomföra undersökning och liknande. Direktivets bestämmelser om sekretess för myndig- heters verksamhet måste anses ha sin motsvarighet i åtminstone andra och femte punkterna. Sjätte punkten motsvaras av direktivets punkt om möjlighet att föreskriva sekretess för personuppgifter, immateriella rättigheter och kommersiell eller industriell informa- tion. Sjunde punkten måste sägas vara tillåten enligt direktivets be- stämmelse om att skydda den miljö informationen avser.119 Vidare anser regeringen att grunderna internationella förbindel- ser eller nationellt försvar i artikel 13.1 i Inspiredirektivet motsvarar den sekretess som kan gälla enligt 15 kap. offentlighets- och sekre- tesslagen (sekretess till skydd för rikets säkerhet eller dess förhåll- ande till andra stater eller mellanfolkliga organisationer). Sekretess- grunden allmän säkerhet motsvarar enligt regeringens bedömning 18 kap. 1, 2, 3, 8, 11 och 13 §§ offentlighets- och sekretesslagen.120 Det har inte kommit fram någon anledning för utredningen att göra någon annan bedömning än den som gjorts i tidigare lagstift- ningsärende när det gäller de begränsningsgrunder som anges i arti- kel 13.1 i Inspiredirektivet i förhållande till offentlighets- och sekre- tesslagen. Utredningen finner därför att begränsningsgrunderna i Inspiredirektivet motsvaras av bestämmelser i offentlighets- och sekre- tesslagen. 2009/10:224, s. 76 och prop. 2004/05:65, s. 50. 2009/10:224, s. 77. Uppgifter som kan vara känsliga De uppgifter som omfattas av punkten 1 i bilaga IV till dricks- vattendirektiv är identifiering av den relevanta vattenleverantören, det område och det antal personer som försörjs samt metoden för vattenproduktion, inbegripet allmän information om de typer av beredning och desinfektion av vatten som tillämpas. Uppgifter om identifiering av den relevanta vattenleverantören, det område och det antalet personer som försörjs måste enligt utredningen endast undan- tagsvis vara av sådan karaktär att dessa måste hemlighållas. Det skulle möjligtvis vara om det är en verksamhetsutövare som försörjer en stor del av befolkning eller levererar dricksvatten till andra samhällsviktiga verksamheter, vilket kan utnyttjas för att på natio- nell nivå störa dricksvattenproduktionen. Det skulle också kunna röra sig om den vattenproduktion och distribution som utförs av för Försvarsmaktens vidkommande. Av naturliga skäl är en större del uppgifter känsliga när det gäller sådan dricks- vattenförsörjning, till exempel hur många som försörjs och hur stor vattenförbrukningen är. Därutöver bedömer utredningen att upp- gifter om metoder för dricksvattenförsörjningen, däribland vilken beredning och desinfektion som används, kan vara känsliga. Det är dock endast en allmän information som ska ges, vilket innebär att verksamhetsutövaren har ett visst utrymme att själv begränsa infor- mationen till att just vara allmän och utelämna detaljerade uppgifter som skulle kunna vara känsliga. Bedömningen för verksamhetsutövare som omfattas av offentlighets- och sekretesslagen Det är upp till den verksamhetsutövare som producerar eller till- handahåller dricksvatten att utifrån kraven i artikel 17 och punkten 1 i bilaga IV avgöra vilka uppgifter som ska undantas från kravet på att tillgängliggöra information på internet. Som anges ovan föreslås få lämna närmare föreskrifter om information som ska lämnas enligt artikel 17 dricksvattendirektiv. När det är fråga om verksamhetsutövare som omfattas av offentlighets- och sekretesslagens reglering så bör deras skyldighet att tillhandahålla information till allmänheten bedömas utifrån bestämmelserna i den lagen. Det innebär att en sådan verksamhetsutövare måste göra en sekretessprövning innan den gör information tillgänglig. Om en så- dan bedömning utmynnar i att uppgifterna är belagda med sekretess så får uppgifterna inte röjas genom att tillgängliggöras för allmän- heten. Enligt direktivet får dock endast vissa grunder åberopas för att begränsa allmänhetens tillgång till informationen. Uppgifter om identifiering av den relevanta vattenleverantören, det område och det antal personer som försörjs samt metoder för dricksvattenproduk- tionen skulle kunna vara föremål för sekretess enligt bestämmel- serna om försvarssekretess, sekretess till skydd för säkerhets- eller bevakningsåtgärder samt sekretess till skydd för risk- och sårbar- hetsanalyser, vilka beskrivs närmare i avsnitt 19.3.2. Dessa sekretess- bestämmelser har en motsvarighet i de begränsningsgrunder som anges i artikel 13.1 i Inspiredirektivet. Det borde enligt utredningens uppfattning därför inte uppstå en situation där uppgifter som är sekretessbelagda enligt svensk rätt inte kan undantas enligt artikel 13.1 i Inspiredirektivet. Det krävs enligt utredningen inte någon upplysning i livsmedels- förordningen om att offentlighets- och sekretesslagen gäller för verk- samhetsutövare som omfattas av den lagen. Bedömningen för verksamhetsutövare som inte omfattas av offentlighets- och sekretesslagen Den verksamhetsutövare som bedriver enskild vattenproduktion och distribution omfattas inte av offentlighets- och sekretesslagen. Precis som för andra verksamhetsutövare kan det dock i varierad grad förekomma känsliga uppgifter i verksamheten. Även dessa verk- samhetsutövare ska kunna undanta känsliga uppgifter från den infor- mation som ska tillgängliggöras. Detta behöver regleras på ett lämp- ligt sätt. Utredningen har övervägt om det bör införas en reglering i livs- medelsförordningen som anger i vilken mån allmänhetens tillgång till uppgifter får begränsas för en sådan verksamhetsutövare. Det som talar för en sådana lösning är att det är en viktig fråga som det kan finnas skäl att regeringen beslutar om. Utredningen anser dock att en sådan detaljerad reglering av vilka undantag som kan tillämpas inte passar in i livsmedelslagstiftningens systematik. Både livsmedels- lagen och livsmedelsförordningen utgör ramförfattningar och den detaljerade regleringen framgår av myndigheters föreskrifter. framgår redan i den föreslagna bestämmelsen i livsmedelsförord- ningen som reglerar verksamhetsutövares skyldighet i detta avseende att information ska lämnas i enligt med vad som framgår av arti- kel 17. Den artikeln och bilaga IV hänvisar sedan till de undantag som är möjliga att göra. Med hänsyn till det ovan sagda finner därför utredningen att det är mest lämpligt att frågan om vilka undantag som kan göras regleras närmare i föreskrifter. Det bemyndigande som utredningen har föreslagit i livsmedelsförord- ningen ger möjlighet att meddela sådana föreskrifter. När det gäller möjligheten att avvika från direktivets krav kan ledning hämtas från 11–12 §§ lagen om geografisk miljöinformation och 7 § lagen om miljöinformation hos vissa enskilda organ, där liknande grunder för att inte tillgängliggöra information har införts med hänvisning till bestämmelser i och miljöinfor- mationsdirektivet. De begränsningsgrunder som anges i artikel 13.1 i Inspiredirektivet överensstämmer ordagrant med de avslagsgrunder som anges i artikel 4.2 i miljöinformationsdirektivet. Vid utforman- det av den svenska lagstiftningen har begränsningsgrunderna fått en något annan utformning än i direktiven på grund av anpassning till svensk rätt.121 Ledning kan också fås från hur utredningen föreslår att undantaget från rapporteringskraven i artikel 18 ska utformas, se närmare i avsnitt 19.4.4. Det kan vara svårt för enskilda verksamhetsutövare att göra bedöm- ningen av vilka uppgifter som kan undantas. bör därför ta fram en tydlig vägledning på området. Bestämmelser om personuppgiftsbehandling ska beaktas Det är inte helt enkelt att bedöma i vilken mån det kommer att förekomma personuppgifter i den information som ska lämnas till dricksvattenkonsumenter och göras tillgänglig för allmänheten en- ligt artikel 17 dricksvattendirektiv. Verksamhetsutövare som producerar eller tillhandahåller dricksvatten bör i så stor utsträckning som det är möjligt undvika att personuppgifter tillgängliggörs på detta sätt. Enligt utredningens bedömning går det emellertid inte att utesluta att personuppgifter kan komma att förekomma i dessa sam- manhang, exempelvis avseende verksamhetsutövare som innehar en- 121Jämför regeringens resonemang i prop. 2004/05:65, s. 105 och prop. 2009/10:224, s. 66–68. Vid sådan behandling måste den personuppgiftsansva- rige säkerställa att dataskyddslagstiftningen följs. Det är den som bestämmer vilka personuppgifter som ska behandlas i verksamheten och vad uppgifterna ska användas till som är personuppgiftsansva- rig.122 är det en juridisk person, exempelvis en myndighet, aktiebolag eller ekonomisk förening, men det kan också vara en enskild person om denna har ett företag med enskild firma. För att personuppgifter ska kunna behandlas i samband med att allmänheten informeras krävs att det finns en rättslig grund som har stöd i författning. Enligt utredningens bedömning finns det en rätts- lig grund för verksamhetsutövare som producerar eller tillhanda- håller dricksvatten att behandla personuppgifter i samband med att de tillhandahåller information enligt artikel 17. Sådan behandling är nödvändig för att verksamhetsutövaren ska kunna fullgöra en rätts- lig förpliktelse som åvilar den personuppgiftsansvarige enligt arti- kel 6.1 c i EU:s dataskyddsförordning. Den rättsliga förpliktelsen att informera allmänheten kommer enligt utredningens förslag följa av bestämmelser i livsmedelsförordningen. I de fall som verksamhets- utövaren är en myndighet är personuppgiftsbehandlingen också nöd- vändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i EU:s dataskyddsförordning. Det är viktigt att den personuppgiftsbehandling som sker är för- enlig med principerna i artikel 5 i EU:s dataskyddsförordning. Det innebär bland annat att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare be- handlas på ett sätt som är oförenligt med dessa ändamål. Endast de uppgifter som behövs ska behandlas. De ska inte behandlas än vad som är nödvändigt för de ändamål för vilka upp- gifterna behandlas. Uppgifterna ska också behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna. De verksamhetsutövare och myndigheter som behandlar person- uppgifter behöver också beakta övriga bestämmelser i data- skyddsförordning, bland annat vad gäller registrerades rättigheter. 122Artikel 4.7 i EU:s dataskyddsförordning. Direktivets krav om rapportering Artikel 18 dricksvattendirektiv innebär att svenska myn- digheter ska göra en stor mängd information tillgänglig för Euro- peiska kommissionen, Europeiska Miljöbyrån och Europeiska centru- met för förebyggande och kontroll av sjukdomar. har en skyldighet att uppfylla de rapporteringskrav som ålagts varje med- lemsstat i dricksvattendirektivet. Det som omfattas av rapporterings- kravet är åtgärder för att förbättra tillgången till dricksvatten och främja användningen av dricksvatten ur kran, riskbedömningen avse- ende tillrinningsområdena, riskbedömningen avseende fastighets- installationer, vissa kontrollresultat och information om dricksvatten- relaterade incidenter samt undantag som beviljats enligt artikel 15 dricksvattendirektiv. Medlemsstaterna får dock avvika från kraven i artikel 18 med hänvisning till något av de skäl som anges i artikel 13.1 i Inspiredirektivet. Det är inte helt klart i vilket format som uppgifterna ska lämnas och på vilket sätt. Kommissionen får fastställa detta i form av genomförandeakter. Av genomförande- akterna får det också framgå detaljerade krav avseende de indika- torer, de unionsomfattande översiktskartor och de översiktsrapporter för medlemsstaterna som avses i artikel 18.3. Av artikel 18.3 framgår att Europeiska Miljöbyrån regelbundet eller på begäran av kom- missionen ska offentliggöra och uppdatera en unionsomfattande över- sikt på grundval av de data som samlats in av medlemsstaterna. Den unionsomfattande översikten ska, beroende på vad som är lämpligt, omfatta indikatorer för direktivets utfall, resultat och effekter, unions- omfattande översiktskartor och medlemsstaternas översiktsrapporter. Det är inte helt lätt att förutse i vilket format eller i vilken om- fattning som uppgifter ska lämnas till EU. Det finns också oklar- heter hur uppgifterna ska användas i ett senare skede. Mot denna bakgrund har utredningen i kapitel 18 endast kunnat ta ställning till vilka myndigheter som bör sköta rapporteringen, och går inte när- mare in på frågan hur det rent praktiskt och tekniskt ska gå till. Det är en fråga för utpekade myndigheter att utreda och arbeta vidare med när genomförandeakterna är på plats. Det kan eventuellt även finnas anledning att i någon form återkomma till dessa frågor då. Rapporterande myndighet och uppgiftslämnande aktör Utredningen lämnar i kapitel 18 förslag om vilka myndigheter som bör sköta rapporteringen till EU. Av kapitlet framgår att Livs- medelsverket bör sköta den rapportering som gäller en förbättrad tillgång till dricksvatten och främjande av användningen av dricks- vatten ur kran, vissa övervakningsresultat och dricksvattenrelaterade incidenter samt beviljade undantag enligt artikel 15 dricks- vattendirektiv. Denna skyldighet bör enligt utredningens mening framgå av livsmedelsförordningen. Utredningen har också föreslagit att det i anslutning till denna bestämmelse ska införas en skyldighet för och verksamhetsutövare som producerar eller till- handahåller dricksvatten att lämna sådana uppgifter till Livsmedels- verket som myndigheten behöver för att fullgöra sitt uppdrag. Livs- medelsverket bör också få möjlighet att meddela närmare föreskrifter om denna skyldighet. Vidare föreslår utredningen att Folkhälso- myndigheten bör fullgöra den rapportering som avses gällande riskbedömningen avseende fastighetsinstallationer, och att detta bör framgå av förordningen och miljöfarlig verksamhet och hälsoskydd. Den rapportering som rör tillrinningsområdena för uttagspunkter för dricksvatten bör enligt utredningens förslag utföras av Havs- och vattenmyndigheten. Havs- och vattenmyndighetens ansvar i denna del bör framgå av vattenförvaltningsförordningen. Det är upp till vattenmyndigheterna att lämna de uppgifter som Havs- och vatten- myndigheten behöver. , Havs- och vattenmyndigheten och Folkhälso- myndigheten ska sedan föra in uppgifterna i de dataset som beskrivs i artikel 18. Det framhålls i direktivet att om det är möjligt ska rums- liga datatjänster enligt definitionen i artikel 3.4 i Inspiredirektivet användas för att presentera dataseten. Möjligheter att undanta uppgifter från rapporteringen