sou · H9B381 · 2021-10-19 00:00:00 — 1a § offentlighets- och sekretesslagen om sekretess i det internatio- nella samarbetet och, i vissa fall, bestämmelserna om förundersök- ningssekretess i 18 kap. 1 § och om sekretess gällande underrättelse- verksamhet i 18 kap. 2 § offentlighets- och sekretesslagen.69 Den som bedriver säkerhetskänslig verksamhet ska genom en säkerhetsskyddsanalys utreda behovet av säkerhetsskydd.70 Säker- hetsskyddsanalysen genomförs för att identifiera skyddsvärde, hot och sårbarheter i en säkerhetskänslig verksamhet. Det är bedöm- ningarna i säkerhetsskyddsanalysen som motiverar de säkerhets- skyddsåtgärder som vidtas och säkerställer att de hänger ihop i ett väl fungerande säkerhetsskyddssystem. I säkerhetsskyddsanalysen bör identifieras vilka säkerhetsskyddsklassificerade uppgifter som finns i verksamheten och vad som i övrigt behöver ett säkerhets- skydd. Det bör därefter göras en bedömning av säkerhetshot, poten- 681 kap. 2 § säkerhetsskyddslagen. 2017/18:89, s. 52. 702 kap. 1 § säkerhetsskyddslagen. tiella konsekvenser och sårbarheter. Analysen ska dokumenteras och mynna ut i en bedömning av behovet av säkerhetsskyddsåtgärder. Arbetet med säkerhetsskyddsanalysen bör vara en kontinuerligt på- gående process och analysen bör hållas uppdaterad.71 Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskydds- klassificerade uppgifter och övriga omständigheter.72 Säkerhetsskydds- åtgärderna kan röra sig om informationssäkerhet, fysisk säkerhet och personalsäkerhet.73 Säkerhetsskyddsklassificerade uppgifter ska delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av upp- giften kan medföra för säkerhet. Indelningen i säkerhets- skyddsklasser ska göras enligt följande: 1.kvalificerat hemlig vid en synnerligen allvarlig skada, 2.hemlig vid en allvarlig skada, 3.konfidentiell vid en inte obetydlig skada, eller 4.begränsat hemlig vid endast ringa skada.74 Statliga myndigheter, kommuner och regioner har en skyldighet att ingå säkerhetsskyddsavtal inför vissa upphandlingar och andra an- skaffningar, om den leverantör som anlitas kan få tillgång till verk- samhetsutövarens säkerhetskänsliga verksamhet. Säkerhetsskydds- avtalet ska klargöra för leverantören vilka säkerhetsskyddsåtgärder som denne ska vidta under samarbetets gång för att säkerhetsskyddet ska kunna tillgodoses.75 finns det särskilda krav i samband med överlåtelse av säkerhetskänslig verksamhet och viss egendom. Kraven innebär i huvudsak att en verksamhetsutövare som avser att genom- föra en sådan överlåtelse är skyldig att göra en särskild säkerhets- skyddsbedömning och en lämplighetsprövning samt samråda med en samrådsmyndighet. har möjlighet att före- lägga verksamhetsutövare att vidta åtgärder för att uppfylla sina 2017/18:89, s. 56. 722 kap. 1 § säkerhetsskyddslagen. 732 kap. 2–4 §§ säkerhetsskyddslagen. 742 kap. 5 § säkerhetsskyddslagen. 752 kap. 6 § säkerhetsskyddslagen. Se också prop. 2017/18:89, s. 103 f. skyldigheter enligt lagen och ytterst besluta att en överlåtelse inte får genomföras (förbud).76 Det finns kompletterande bestämmer till säkerhetsskyddslagen i säkerhetsskyddsförordningen (2018:658). Säkerhetspolisen har också meddelat föreskrifter på området.77 Förslag om att skärpa säkerhetsskyddslagstiftningen har flera uppmärksammade händelser visat på att verksamhetsutövare av stor betydelse för säkerhet haft ett eftersatt säkerhetsskydd. I propositionen ”Ett starkare skydd för säkerhet” har regeringen därför föreslagit ett antal föränd- ringar för att ytterligare skärpa säkerhetsskyddslagstiftningen.78 Regeringen föreslår att skyldigheten att ingå säkerhetsskyddsavtal ska utvidgas på så sätt att den även ska gälla andra förfaranden än upphandlingar och andra anskaffningar. Den utvidgade skyldigheten ska innebära att en verksamhetsutövare som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett sam- arbete med en annan aktör, ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till 1.säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2.annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Det innebär att kravet på säkerhetsskyddsavtal som huvudregel ska gälla i alla situationer där säkerhetskänslig verksamhet exponeras. 79 Mellan statliga myndigheter ska kravet på säkerhetsskyddsavtal enligt förslaget endast gälla vid anskaffning av en vara, tjänst eller byggentreprenad. Regeringen ska få meddela föreskrifter om undan- tag från skyldigheten att ingå säkerhetsskyddsavtal. Vilka undantag som kan bli aktuella är ännu oklart och kommer hanteras i förord- ningar.80 Regeringen föreslår också att tillsynsmyndigheterna får undersökningsbefogenheter och möjlighet att besluta vitesförelägg- 762 kap. 7–10 §§ säkerhetsskyddslagen. 77Säkerhetspolisens föreskrifter om säkerhetsskydd (PMFS 2019:2). 2020/21:194, s. 21 f. 2020/21 :194, s. 27–34. 2020/21:194, s. 34–38. ande och sanktionsavgift mot den som inte följer säkerhetsskydds- lagstiftningens krav.81 Ändringarna ska enligt förslaget träda i kraft . Rätten till privatliv uttrycks i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande frihet- erna (EKMR). Enligt artikel 8 i konventionen har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. I artikel 8 i EU:s stadga om grundläggande rättigheter finns också en särskild bestämmelse om rätt till skydd för personuppgifter. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grund- val av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. Av 2 kap. 6 § andra stycket regeringsformen följer att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. EU:s dataskyddsförordning82, som började tillämpas , är till alla delar bindande och direkt tillämplig i alla medlemsstater. Ett av förordningens syften är att skydda enskildas grundläggande rättigheter och friheter, särskilt rätten till skydd av personuppgifter. Förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan be- handling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.83 Personuppgiftsbehandling av rent privat natur är undantagen från förordningen tillämpningsområde. 2020/21:94, s. 74 f. och 85 f. 82Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Förordningen benämns ofta med sin engelska förkortning GDPR. 83Artikel 2 i EU:s dataskyddsförordning. uppgifter avses i förordningen varje upplysning som avser en identi- fierad eller identifierbar fysisk person.84 All slags information som kan knytas till en levande person utgör en personuppgift. Det kan röra sig om namn, adress och personnummer. Ett organisations- nummer (bolagsnummer) kan exempelvis vara en personuppgift, om det handlar om ett enmansföretag. EU:s dataskyddsförordning innehåller ett antal principer som gäller och ska tillämpas vid all behandling av personuppgifter. För det första ska uppgifterna behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den enskilde. Uppgifterna ska vidare samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Uppgifterna ska också vara adekvata, relevanta och inte för omfatt- ande i förhållande till de ändamål för vilka de behandlas. Uppgifterna ska dessutom vara riktiga och om nödvändigt uppdaterade. Person- uppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Slutligen ska uppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för person- uppgifterna.85 För att personuppgiftsbehandlingen ska vara laglig måste det finnas en rättslig grund för behandlingen. En sådan rättslig grund kan vara att den registrerade har lämnat sitt samtycke till behand- lingen enligt artikel 6.1 a. Personuppgiftsbehandling får även utföras om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige enligt 6.1 c. Vidare får personuppgifts- behandling ske enligt artikel 6.1 e om den är nödvändig för att utföra en uppgift som är av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Uppgifter får också behand- las efter en intresseavvägning mellan den registrerades och den person- uppgiftsansvariges eller en tredje parts berättigade intressen enligt artikel 6.1 f. Om personuppgiftsbehandling utförs med stöd av rättslig för- pliktelse, allmänt intresse eller myndighetsutövning, måste den rätts- liga grunden fastställas i unionsrätten eller i nationell rätt.86 84Artikel 4 i EU:s dataskyddsförordning. 85Artikel 5.1 a–f i EU:s dataskyddsförordning. 86Artikel 6.3 andra stycket i EU:s dataskyddsförordning. Behandling av känsliga personuppgifter är som huvudregel för- bjuden. Från detta förbud finns i förordningen omfattande undan- tag, exempelvis vid den registrerades samtycke eller om behand- lingen är nödvändig av hänsyn till ett viktigt allmänt intresse.87 För- ordningen reglerar i övrigt bland annat den registrerades rättigheter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling, förut- sättningar för överföring av personuppgifter till tredjeland och sank- tioner mot ansvariga som inte lever upp till förordningens krav. Som komplettering till EU:s dataskyddsförordning har i svensk rätt införts lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Dataskyddslagen är subsi- diär i förhållande till andra lagar. Dataskyddslagen kompletteras av förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Enligt 2 kap. 1 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning, om behand- lingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författ- ning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Enligt förarbetena till dataskyddslagen torde i första hand offentligrättsliga förpliktelser omfattas av be- greppet rättslig förpliktelse. Förpliktelser som åligger enskilda eller kommuner kan regleras direkt i lag, i förordningar eller andra före- skrifter. Förpliktelser kan också fastställas i domar eller myndig- hetsbeslut som meddelats med stöd av lag eller andra föreskrifter.88 Enligt 2 kap. 2 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behand- lingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. I förarbetena till dataskyddslagen anges att myndigheternas uppdrag och åligganden framgår av författningar, 87Artikel 9 i EU:s dataskyddsförordning. I förordningen benämns känsliga personuppgifter särskilda kategorier av personuppgifter. 2017/18:105, s. 53. regeringsbeslut och kommunala reglementen, antagna i enlighet med regeringsformens bestämmelser om normgivningskompetens och kommunalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler Det förekommer dock även att myndigheterna, för att fungera, behöver vidta administrativa åtgärder som varken direkt eller indirekt kan sägas följa av författning eller beslut. Be- handling av personuppgifter som utförs som ett led i sådana admini- strativa åtgärder som är nödvändiga för myndighetens förvaltning och funktion är enligt regeringens uppfattning rättsligt grundad i data- skyddsförordningens mening.89 Utredningens förslag: Befintliga bestämmelser i offentlighets- och sekretesslagen är tillräckliga för att skydda känsliga uppgifter i de riskbedömningarna som enligt direktivet ska utföras gällande tillrinningsområdena för uttagspunkter för dricksvatten, försörj- ningssystemet och fastighetsinstallationer. Det behövs inte några nya sekretessbrytande bestämmelser för att möjliggöra det infor- mationsutbyte som den riskbaserade metoden förutsätter mellan myndigheter och den som producerar eller tillhandahåller dricks- vatten. Berörda myndigheter och aktörer måste beakta bestäm- melserna i säkerhetsskyddslagen vid informationsutbyte som rör säkerhetsskyddsklassificerade uppgifter. De möjligheterna till undantag från att tillgängliggöra upp- gifter som anges i artikel 17 ska utnyttjas. ska närmare föreskriva om vilka undantag som får göras från infor- mationsskyldigheten. Ett bemyndigande som ger myndigheten en sådan föreskriftsrätt föreslås i kapitel 17. Även i fråga om vilka uppgifter som ska rapporteras till EU bör de möjligheter till undantag som anges i artikel 18 utnyttjas. Det ska framgå av livsmedelsförordningen, vattenförvaltnings- förordningen och förordningen om miljöfarlig verksamhet och hälsoskydd. Det ska särskilt anges att säkerhetsskyddsklassificerade 2017/18:105, s. 57 och 60–61. uppgifter enligt säkerhetsskyddslagen inte ska omfattas av rap- porteringen. Det bör vara den verksamhetsutövare som producerar eller tillhandahåller dricksvatten som ska avgöra vilka uppgifter som ska lämnas till för vidare rapportering till EU. Gällande bestämmelser om personuppgiftsbehandling ska be- aktas vid tillgängliggörandet av information till allmänheten och rapporteringen. 19.4.1Motstående intressen mellan insyn och skydd av uppgifter Dricksvattenförsörjningen är en samhällsviktig verksamhet, vilket har påtalats i en rad olika sammanhang. När det gäller samhälls- viktiga verksamheter finns ett behov av bestämmelser som hindrar att det sprids information som möjliggör eller underlättar för sabo- tage eller andra attacker. finns ett starkt intresse för all- mänheten att få insyn i hur dricksvattenförsörjningen fungerar och att denna bedrivs på ett sätt som tryggar allmänhetens tillgång till dricksvatten samt innebär ett tillräckligt skydd för människors hälsa och miljön. dricksvattendirektiv finns bestämmelser om bland annat vilken information som medlemsstaterna ska säkerställa att allmän- heten ska få tillgång till. Sådan information får bara begränsas under vissa angivna förutsättningar. Enligt skälen till direktivet bör syftet med bättre konsumentkunskap och ökad öppenhet vara att stärka allmänhetens förtroende för det vatten som tillhandahålls dem samt för vattentjänster i övrigt. Det bör enligt skälen till direktivet leda till ökad användning av kranvatten som dricksvatten, vilket skulle kunna bidra till en minskning av plastanvändning, plastavfall och växthusgasutsläpp. Detta skulle även bidra till att begränsa klimat- förändringen och inverka positivt på miljön som helhet.90 Även när det gäller annan miljöinformation påtalas i olika sammanhang vikten av att allmänheten har tillgång till sådan information. Till exempel innehåller Århuskonventionen en rätt för allmänheten att ta del av miljöinformation som finns hos myndigheter. 90Skäl 40 dricksvattendirektiv. innehåller regler för att möjliggöra att miljöinformation görs till- gänglig för allmänheten. Utöver allmänhetens intresse av insyn förutsätter ett flertal av bestämmelserna dricksvattendirektiv att det ska finnas ett fungerande informationsutbyte mellan olika myndigheter, men också mellan myndigheter och verksamhetsutövare som producerar eller tillhandahåller dricksvatten. Dessutom ska information om dricks- vattenförsörjningen enligt direktivet göras tillgänglig för bland annat kommissionen, som ett led i rapporteringsskyldighet. I lik- het med vad som gäller för information som ska göras tillgänglig för allmänheten får bara uppgifter undantas rapporteringen till EU om det finns förutsättningar för det i direktivet. En annan viktig fråga rör förhållandet mellan dricks- vattendirektiv och gällande dataskyddsregler. Den personuppgifts- behandling som sker i samband med att allmänheten informeras enligt artikel 17 och uppgifter rapporteras till EU enligt artikel 18 dricksvattendirektiv måste vara förenlig med dataskydds- lagstiftningen. De krav som ställs i artikel 17 och 18 dricksvatten- direktiv får inte påverka tillämpningen av miljöinformationsdirek- tivet och Inspiredirektivet. Det innebär att dessa direktiv ska tillämpas parallellt med dricksvattendirektiv och att bestämmelserna som rör tillgång till information och datadelning utgör ett komple- ment till de direktiven istället för att utgöra en separat rättslig ord- ning. Det framgår av skälen dricksvattendirektiv att med- lemsstaterna bör grunda dataspecifikationerna på Inspiredirektivet och dess genomförandeakter för att säkerställa att det finns lämplig infrastruktur för allmänhetens tillgång, rapportering och datadelning mellan offentliga myndigheter.91 Genom artikel 8–10 dricksvattendirektiv har det införts en ny riskbaserad metod för dricksvattensäkerhet. Denna metod förut- sätter att varje medlemsstat ska säkerställa att det görs en risk- bedömning gällande tillrinningsområdet för uttagspunkter för dricks- vatten, försörjningssystemet och fastighetsinstallationer. 91Skäl 43 dricksvattendirektiv. artiklar framgår vad respektive riskbedömning och riskhantering ska omfatta. Enligt kommittédirektivet ska utredningen ta ställning till om offentlighets- och sekretesslagen innehåller ett tillräckligt skydd i förhållande till den riskbaserade metoden som ska genomföras i svensk rätt. Utredningen ska även analysera förutsättningarna enligt offent- lighets- och sekretesslagen samt säkerhetsskyddslagen för utbyte av information mellan olika myndigheter och mellan myndigheter och verksamhetsutövare som producerar och distribuerar dricksvatten. Det kan finnas känsliga uppgifter i de riskbedömningar som ska utföras enligt den riskbaserade metoden Utredningens bedömning är att det främst är riskbedömningen avseende tillrinningsområdet för uttagspunkter för dricksvatten och försörjningssystemet som kan innehålla känsliga uppgifter. Till exem- pel ska den karakterisering som ska ske enligt artikel 8 dricksvattendirektiv inbegripa georeferenser för samtliga uttagspunk- ter i tillrinningsområdena. Det framgår av artikel 8.2 a iii att med- lemsstaterna ska säkerställa att sådana uppgifter skyddas och endast meddelas relevanta myndigheter och vattenleverantörer92 eftersom dessa uppgifter kan vara känsliga, särskilt när det gäller folkhälsan och den allmänna säkerheten. Förutom georeferenser för uttags- punkter finns även andra uppgifter som kan vara känsliga i risk- bedömningarna avseende tillrinningsområdet och försörjningssyste- met. Enligt Svenskt Vatten och Havs- och vattenmyndigheten kan följande uppgifter vara känsliga när det gäller dricksvattenförsörj- ningen. •Uppgifter angående vattenverkets läge (kartor, koordinater). •Uppgifter angående vattenverkets utformning och konstruktion (tekniska beskrivningar, ritningar). •Uppgifter angående skalskydd, larmfunktioner, nyckelhantering, passerkontroll, bevakningsåtgärder. •Uppgifter angående drift och övervakning (driftdata, driftinstruk- tioner, rutiner). 92Enligt utredningens bedömning motsvaras begreppet vattenleverantör av begreppet verk- samhetsutövare som producerar eller tillhandahåller dricksvatten, se kapitel 8. •Uppgifter angående styr- och övervakningssystem (SCADA- system). •Distributionssystem (ledningsnät, reservoarer, tryckstegringar, fördelningskammare, brand- och spolposter, ventiler, tunnlar). •Uppgifter angående vitala anläggningsdelars läge (ledningsnäts- kartor, koordinater). •Uppgifter angående vitala anläggningsdelars utformning och kon- struktion. •Annan information angående ledningsnätet, exempelvis data- modeller och hydrauliska beräkningar som beskriver flödet i nätet. •Uppgifter angående skalskydd, larmfunktion, nyckelhantering, passerkontroll och bevakningsåtgärder vid vitala delar i distribu- tionssystemet. •Antal anslutna personer på vattenverks- eller vattentäktsnivå. •Koordinater på uttagsplatser (ytvatten), brunnar, och framtida resurser. •Vilka anläggningar som försörjer Försvarsmakten, kriminalvård, flyktingförläggningar, flygplatser, akutsjukhus. •Detaljerade redogörelser för risker som påverkar förmågan att försörja utpekad samhällsviktig verksamhet. •Beskrivning av allvarliga brister i reserv-, krisberedskaps- eller nödförmåga.93 Ovanstående uppgifter är sådana som i varierande utsträckning kan tänkas finnas med i en riskbedömning. Dessutom är meningen med en riskbedömning att faror, som kan leda till risker för människors hälsa, ska identifieras för att det därefter ska göras en bedömning av vilka åtgärder som bör vidtas. En sådan bedömning är i sig särskilt känslig då den pekar ut vilka brister som finns och vad dessa brister kan leda till. En annan viktig aspekt i sammanhanget är att en enskild uppgift i sig inte behöver vara särskilt känslig, men när enstaka uppgifter sammanställs så kan dessa tillsammans bli mer skyddsvärda. 93Svenskt vatten, 2012, Råd och riktlinjer om informationssäkerhet, Hantering av skyddsvärda uppgifter inom dricksvattenförsörjningen och Havs- och vattenmyndigheten, 2020, Vägledning för regional vattenförsörjningsplanering, rapport 2020:1. Riskbedömningen avseende fastighetsinstallationer ska enligt ut- redningens bedömning göras på ett mer övergripande plan och därför bör det endast undantagsvis finnas uppgifter i denna som är så känsliga att dessa behöver skyddas. Befintliga bestämmelser i offentlighets- och sekretesslagen är tillräckliga Det finns många aktörer som allmänheten kan vända sig till för att få ut information om dricksvattenförsörjningen, bland annat av- seende de riskbedömningar som bestämmelserna om riskbaserad metod dricksvattendirektiv ställer krav på. Framförallt kommer information om dessa finnas hos den aktör som utred- ningen har föreslagit ska ha ansvar för att utföra själva riskbedöm- ningen. Riskbedömningen som gäller tillrinningsområdena för ut- tagspunkter för dricksvatten ska enligt utredningens förslag utföras av vattenmyndigheterna. Enligt direktivet ska även den som produ- cerar eller tillhandahåller dricksvatten ta del av denna riskbedömning. Riskbedömningen avseende försörjningssystemet föreslår utredningen ska göras av den som producerar dricksvatten eller tillhandahåller det från en distributionsanläggning. En sådan riskbedömning ska också enligt utredningens förslag underställas kontrollmyndigheten. Den tredje riskbedömningen, som handlar om fastighetsinstallationer, före- slår utredningen att ska ha ansvar för. Folk- hälsomyndigheten ska i detta arbete samråda med en rad olika aktörer. Om den aktör som allmänheten vänder sig till för att få infor- mation om riskbedömningarna omfattas av offentlighets- och sekre- tesslagen får en begäran om utlämnande av allmän handling endast avslås om den innehåller uppgifter som är sekretessbelagda enligt offentlighets- och sekretesslagen.