prop · H903136 · 2022-03-01 00:00:00 — Vissa remissinstanser, bl.a. Säkerhets- polisen och Försvarsmakten, har synpunkter när det gäller förhållandet till säkerhetsskyddslagen (2018:585). Ett antal remissinstanser, bl.a. och , har synpunkter på förslaget i för- hållande till e-dataskyddsdirektivet. Skälen för regeringens förslag Rapportering av säkerhetsincidenter till tillsynsmyndigheten Enligt 5 kap. 6 c § LEK ska den som tillhandahåller ett allmänt kom- munikationsnät eller en allmänt tillgänglig elektronisk kommunikations- tjänst utan onödigt dröjsmål till tillsynsmyndigheten rapportera störningar eller avbrott av betydande omfattning. Vidare får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om på vilket sätt skyldigheten ska fullgöras och om undantag från skyldigheten. Till- synsmyndigheten får också, om det ligger i allmänhetens intresse, ålägga den som tillhandahåller ett allmänt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst att informera allmänheten om inträffade störningar eller avbrott. Paragrafen genomför artikel 13a.3 i ramdirektivet. Artikel 40.2 i EU-direktivet motsvarar i huvudsak artikel 13a.3 i ram- direktivet. Som utgångspunkt bör därför 5 kap. 6 c § LEK föras över till den nya lagen. Med en säkerhetsincident avses enligt artikel 2.42 i EU-direktivet en händelse med en faktisk negativ inverkan på säkerheten i elektroniska kommunikationsnät eller kommunikationstjänster. Uttrycket säkerhets- incident bör definieras i lagen. PTS påtalar att direktivets definition av säkerhetsincident, genom hänvisning till definitionen av säkerhet i nät och tjänster, felaktigt kan ge intrycket av att en incident är en händelse som bara påverkar förmågan att motstå åtgärder som undergräver tillgänglig- het, riktighet etc. men att händelser med en direkt negativ påverkan på tillgänglighet, riktighet etc. inte omfattas. Regeringen instämmer i PTS be- dömning att detta inte kan anses vara avsikten med regleringen. Mot bak- grund av de sanktionsavgifter som föreslås i avsnitt 21.4 är det, som flera remissinstanser påpekar, viktigt att de nya bestämmelserna blir tydliga. Definitionen av säkerhetsincident bör därför justeras till en händelse med en faktisk negativ inverkan på tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst, hos lagrade, överförda eller behand- lade uppgifter eller hos de närliggande tjänster som erbjuds genom eller är tillgängliga via dessa elektroniska kommunikationsnät eller elektroniska kommunikationstjänster, eller på förmågan att motstå sådana händelser. Enligt EU-direktivet ska säkerhetsincidenter som har haft en betydande påverkan på driften av nät och tjänster rapporteras. Det svenska uttrycket driften av nät och tjänster syftar i begränsad mening närmast på grund- läggande teknisk funktion i nät och tjänster. Den engelska språkversionen använder i stället uttrycket ”operation of networks or services”. Detta ut- tryck bedöms omfatta även andra delar av verksamheten än den rent tek- 2021/22:136 niska driften. Som framgår av avsnitt 17.1 omfattar EU-direktivets defini- tion av säkerhet såväl tillgänglighet (driftsäkerhet) som riktighet, autenti- citet och konfidentialitet. Mot denna bakgrund bör det anges i den nya lagen att den som tillhanda- håller ett allmänt elektroniskt kommunikationsnät eller en allmänt till- gänglig elektronisk kommunikationstjänst utan onödigt dröjsmål ska rapportera säkerhetsincidenter som har haft en betydande påverkan på nät och tjänster till tillsynsmyndigheten. Incidentens påverkan behöver alltså inte vara begränsad till tekniska driften som sådan. I likhet med vad som gäller kommer det enligt den nya lagen att finnas tillhandahållare av allmänna elektroniska kommunikationsnät eller elektroniska kommunikationstjänster vars verksamhet helt eller delvis är säkerhetskänslig och därmed omfattas av kraven i säkerhetsskyddslagen (2018:585). Det kan därför, som bl.a. Försvarsmakten påtalar, inträffa in- cidenter som omfattas av båda regelverken. Det är upp till den som om- fattas av respektive regelverk att följa det. Det är alltså inte en uppgift för tillsynsmyndigheten enligt den nya lagen att försäkra sig om att rapporte- ring i förekommande fall även skett enligt annan lagstiftning. incidentrapporteringen bör, oavsett enligt vilken lagstiftning den sker, omhändertas inom ramen för respektive tillsynsförfarande. nya lagen, precis som är fallet med LEK, och säkerhetsskyddslag- stiftningen kommer att tangera varandra, har de olika syften. olika regelverken ska kunna uppfylla sina syften bör det inte finnas några begränsningar när det gäller incidentrapporteringen på det sätt som bl.a. En säkerhetsincident kan inträffa genom yttre påverkan men kan också bero på brister eller otillåtet förfarande hos den som tillhandahåller nätet Rapporteringsskyldigheten gäller oavsett hur händelsen påbörjats eller vem som är ansvarig för dess uppkomst. i stället vilka konsekvenser incidenten har haft. digheten gäller därmed även för säkerhetsincidenter hos t.ex. tredjeparts- leverantörer och följdincidenter på grund av en sådan incident, om kravet på betydande påverkan på driften av nätet eller tjänsten är uppfyllt. Det anges numera i artikel 40.2 att vissa faktorer särskilt ska beaktas vid bedömningen av hur betydande påverkan en säkerhetsincident har haft. Dessa faktorer är det antal användare som påverkas av incidenten, hur länge incidenten varar, hur stort det geografiska område som påverkas av säkerhetsincidenten är, i vilken utsträckning nätets eller tjänstens funktion påverkas och i vilken utsträckning ekonomisk och samhällelig verksamhet Det är viktigt med tydlighet när det gäller vilka säkerhetsincidenter som De beskrivna faktorerna är endast exempel och angivna på en övergripande nivå. Det kan därför behövas ytterligare vägledning för att i ett enskilt fall avgöra om en incident kan anses ha en betydande påver- kan på nät och tjänster. Den mer detaljerade regleringen bör som framgå av myndighetsföreskrifter. Regeringen eller den myndighet som regeringen bestämmer bör därför få meddela ytterligare föreskrifter om rapportering av säkerhetsincidenterna och föreskrifter om undantag från Till skillnad från förslaget i promemorian föreslås i avsnitt 18.1 att 6 kap. 4 a och 4 b §§ LEK om rapportering av integritetsincidenter ska föras över till den nya lagen. Dessa paragrafer genomför bestämmelserna Prop. 2021/22:136 om säkerhet i samband med behandlingen av uppgifter i e-dataskydds- direktivet 2002/58/EG. Incidenter med påverkan på uppgifter som behand- las i samband med tillhandahållandet av allmänt tillgängliga elektroniska kommunikationstjänster kommer även fortsättningsvis att rapporteras också enligt de bestämmelserna. För genomförande av artikel 40.2 bör det, på motsvarande sätt som , i lagen anges att tillsynsmyndigheten, om det ligger i allmänhetens in- tresse, får ålägga en nät- eller tjänstetillhandahållare att informera allmän- heten om en säkerhetsincident. Även om tillsynsmyndigheten kan besluta om ett sådant åläggande anser regeringen, i likhet med , att det normalt ligger i berörda tillhandahållares intresse att på eget initiativ informera sina kunder och allmänheten om inträffade incidenter. Enligt artikel 40.3 i EU-direktivet ska den som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster, om det föreligger ett särskilt och betydande hot om en säkerhetsincident, informera de användare som kan komma att på- verkas av hotet om de eventuella skydds- eller motåtgärder användarna kan vidta. Om det är lämpligt ska även information om själva hotet lämnas. Krav som motsvarar dessa bestämmelser bör föras in i den nya lagen. Re- geringen eller den myndighet som regeringen bestämmer bör också ha möjlighet att meddela föreskrifter om informationsskyldigheten. Lagrådet väcker frågan om de föreskrifter om informationsskyldigheten som avses är verkställighetsföreskrifter. Med verkställighetsföreskrifter avses, som Lagrådet anför, dels tillämpningsföreskrifter av rent administrativ karak- tär, dels föreskrifter som kompletterar en lag i materiellt hänseende. Den lagbestämmelse som ska kompletteras ska emellertid vara så detaljerad att regleringen inte tillförs något väsentligt nytt. Föreskrifterna får inte inne- bära något nytt åliggande för enskilda eller något nytt ingripande i enskil- das personliga eller ekonomiska förhållanden (se prop. 1973:90 s. 211, jfr prop. 2009/10:80 s. 219). I detta fall kan föreskrifter bl.a. behövas för vägledning vid bedömningen av om det finns ett konkret och betydande hot om att en säkerhetsincident ska inträffa och av lämpliga skydds- eller motåtgärder. Det kan inte uteslutas att sådana föreskrifter kommer att med- föra skyldigheter för enskilda som inte kan anses rymmas i lagbestämmel- sen. Regeringen anser därför att ett normgivningsbemyndigande behövs. Regeringen eller den myndighet som regeringen bestämmer bör alltså få meddela ytterligare föreskrifter om informationsskyldigheten. Behandling av trafikuppgifter och Regeringens förslag: Bestämmelserna som genomför e-dataskydds- direktivet ska föras över till den nya lagen med den ändringen att de ska gälla för den som tillhandahåller ett allmänt elektroniskt kommunika- tionsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst. Det ska dock införas undantag från bestämmelserna om skydd för kon- fidentialitet vid kommunikation och trafikuppgifter för sådan behand- ling av uppgifter som tillhandahållare av nummeroberoende elektro- niska kommunikationstjänster vidtar i syfte att upptäcka sexuella över- grepp mot barn på nätet. Promemorians förslag överensstämmer i huvudsak med regeringens I promemorian föreslås att vissa bestämmelser om behandling av trafikuppgifter ska gälla anmälningspliktig verksamhet enligt lagen. memorian föreslås inte att bestämmelserna om rapportering av integritets- incidenter ska föras över till den nya lagen eller att det ska införas undantag för behandling av uppgifter i enlighet med den tillfälliga förordningen för att bekämpa sexuella övergrepp mot barn på nätet. Remissinstanserna: De flesta av remissinstanserna tillstyrker förslaget eller har inga synpunkter på det. Ett flertal remissinstanser, bl.a. Integri- tetsskyddsmyndigheten, och , anser att fler bestäm- melser som genomför e-dataskyddsdirektivet ska föras över till den nya PTS anför också att reglernas tillämplighet på nummeroberoende interpersonella kommunikationstjänster bör ses över samt har synpunkter på flera definitioner. efterfrågar ett förtydligande i lagen om att hämtning av lokaliseringsuppgifter vid anrop till 112 får göras direkt från terminalutrustningen. frågor om gränsdragningen mot EU:s dataskyddsförordning. Skälen för regeringens förslag: I 6 kap. 1–3, 4–10, 11–16, 17, 18 och 24 §§ LEK finns bestämmelser som genomför e-dataskyddsdirektivet 2002/58/EG (se prop. 2002/03:110 s. 248 f. och 389 f. samt prop. 11:115 s. 129 f. och 181 f.). gäller till dess den nya förordningen om integritet och elektronisk kommu- nikation träder i kraft (se avsnitt 4). Det går inte att säga när detta kommer att ske och vilka lagändringar som då kommer att aktualiseras. Samtliga de bestämmelser i som genomför e-dataskyddsdirektivet bör därför föras över till den nya lagen, se nedan särskilt om 6 kap. 3 och 4–4 b §§ LEK. Av artikel 2 i e-dataskyddsdirektivet och artikel 125 i EU-direktivet framgår att definitionerna i EU-direktivet, däribland den nya definitionen av elektronisk kommunikationstjänst, gäller även för de regler som genom- Eftersom den nya definitionen av elektronisk kommunikationstjänst omfattar även nummeroberoende interpersonella kommunikationstjänster, kommer tillhandahållare av sådana tjänster att omfattas av de bestämmelser som genomför e-dataskyddsdirektivet i den I 6 kap. 1 § LEK finns definitioner av vissa uttryck som gäller endast för det kapitlet. I linje med vad PTS framför bör de definitioner som används i flera kapitel samlas i lagens inledande kapitel. Definitionerna av abonnent, integritetsincident och trafikuppgift bör därför föras över till den nya lagen och redovisas samlade med övriga definitioner. I vissa bestämmelser i 6 kap. LEK används ordet användare. PTS anser att ordet bör bytas ut mot slutanvändare. Användare har dock en vidare innebörd än slutanvändare, då användare även omfattar en fysisk eller juridisk person som själv tillhandahåller allmänna elektroniska kommu- nikationsnät eller allmänt tillgängliga elektroniska kommunikations- tjänster. Ordet användare bör därför behållas i de aktuella bestämmelserna. I6 kap. 3 och 4–4 b §§ finns bestämmelser om åtgärder för att säker- ställa skydd av uppgifter som behandlas i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster, om rapporte- ring av integritetsincidenter och om information till abonnenter om det finns särskild risk för bristande skydd av behandlade uppgifter. Paragra- ferna genomför artikel 4 i e-dataskyddsdirektivet. De täcker till stora delar samma område som de bestämmelser som föreslås i avsnitt 17.1 och 17.3 och som genomför artiklarna 40 och 41 i EU-direktivet. Det finns dock vissa skillnader. Kravet på skyddsåtgärder enligt 6 kap. 3 § LEK gäller all behandling av uppgifter som har samband med tillhandahållandet av en allmänt tillgänglig elektronisk kommunikationstjänst. Dessutom innebär bestämmelserna om rapportering av integritetsincidenter, om krav på in- formation till abonnenter och på att föra förteckningar över integritetsinci- denter vissa avvikelser från de krav som föreslås i avsnitt 17.1 och 17.3. Av artikel 40.4 i EU-direktivet framgår att artikel 4 i e-dataskyddsdirek- tivet inte ska påverkas av EU-direktivets bestämmelser om säkerhet i nät och tjänster. Som bl.a. och påpekar fortsätter e-dataskyddsdirektivet att gälla tills vidare. Till skillnad från vad som föreslås i promemorian bör därför de skyldigheter som finns i6 kap. 3 och 4–4 b §§ LEK föras över till den nya lagen. Regeringens förslag medför därmed ingen skillnad när det gäller rapportering av integritetsincidenter. Det innebär bl.a. att rapportering av integritetsinci- denter ska ske i enlighet med kommissionens förordning (EU) nr 611/2013 av om åtgärder tillämpliga på anmälan av personuppgifts- brott enligt och rådets direktiv /58/EG vad gäller personlig integritet och elektronisk kommunikation. Lagrådet väcker frågan om huruvida det, som föreslås i lagrådsremissen, behövs några motsvarigheter i den nya lagen till bemyndigandena i hittills- varande 6 kap. 4 a och 4 b §§ LEK. Som framgår ovan regleras skyldig- heten att underrätta om integritetsincidenter närmare i förordning (EU) nr 611/2013. Det saknas därför behov av ett bemyndigande att meddela före- skrifter om den underrättelseskyldigheten och om undantag från den. När det gäller innehållet i den förteckning över integritetsincidenter som en tillhandahållare ska föra, bedömer regeringen, i linje med vad Lagrådet anför, att det närmast är fråga om verkställighetsföreskrifter. Bemyndigan- dena i 6 kap. 4 a och 4 b §§ bör därför inte föras över till den nya lagen. I6 kap. 5–8 §§ finns grundläggande regler om behandling av trafikupp- gifter, bl.a. om utplåning och avidentifiering. Paragraferna genomför artikel 6 i e-dataskyddsdirektivet. Artikel 6 riktar sig till såväl tillhanda- hållare av allmänna kommunikationsnät som tillhandahållare av allmänt 2021/22:136 tillgängliga elektroniska kommunikationstjänster. Vid genomförandet an- vändes därför uttrycket den som bedriver anmälningspliktig verksamhet. Som föreslås i avsnitt 9 kommer nummeroberoende interpersonella kom- munikationstjänster inte att omfattas av kravet på anmälan i den nya lagen. Bestämmelserna bör därför justeras så att de avser den som tillhandahåller ett allmänt elektroniskt kommunikationsnät eller en allmänt tillgänglig I 6 kap. 9 och 10 §§ regleras behandling av lokaliseringsuppgifter som inte Paragraferna genomför artikel 9 i e-dataskyddsdirektivet. I 6 kap. 11–14 §§ regleras skyldigheterna att tillhandahålla ospeci- ficerade räkningar och nummerpresentation, åsidosättande av skydd mot nummerpresentation samt skydd mot automatisk vidarekoppling. ferna genomför artiklarna 7, 8, 10 och 11 i e-dataskyddsdirektivet. enhetlig terminologi bör faktura användas i stället för räkning i motsvarig- heten till 6 kap. 11 § (se avsnitt 16.10.2). I den nya lagen införs uttrycket talkommunikationstjänst, som i stora delar ersätter uttrycket telefonitjänst (se avsnitt 15 och 18.3). Motsvarigheten till 6 kap. 14 § bör därför justeras till att gälla den som tillhandahåller en talkommunikationstjänst. När det gäller nummerpresentation innebär den hittillsvarande reglering- en bl.a. att den anropande abonnenten ska ges möjlighet att på ett enkelt sätt och kostnadsfritt vid rimlig användning av funktionen förhindra num- merpresentation vid inkommande samtal. Lagrådet anser att det bör vara en strävan att åtminstone något precisera vad som avses med en icke rimlig användning av funktionen. Regeringen konstaterar att bestämmelsen ge- nomför artikel 8.2 i e-dataskyddsdirektivet. fanns tidigare i 27 § teleförordningen (1997:399). 8.2 i och rådets direktiv /66/EG av den 15 de- cember 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet (teledataskyddsdirektivet), jfr prop. 1998/99:92, s. 42 och prop. 2002/03:110 s. 262 och 393 f. Varken i tele- dataskyddsdirektivet eller e-dataskyddsdirektivet ges det någon ledning i fråga om vad som ska beaktas vid bedömningen av vad som är en rimlig användning av funktionen. Frågan tycks inte heller ha prövats av domstol eller varit föremål för PTS tillsyn. Regeringen anser mot denna bakgrund att vad som avses med en rimlig eller icke rimlig användning av funktionen även i fortsättningen bör överlämnas åt rättstillämpningen. I 6 kap. 15 och 16 §§ regleras abonnentförteckningar. nomför artikel 12 i e-dataskyddsdirektivet. I 6 kap. 17 § finns ett förbud mot behandling av uppgifter i ett elektro- niskt meddelande eller trafikuppgifter som hör till meddelandet, om inte någon av de berörda användarna har samtyckt till behandlingen. vissa undantag från förbudet. Paragrafen genomför artikel 5.1 och 5.2 i e- I 6 kap. 18 § regleras uppgifter som lagras i eller hämtas från använ- Paragrafen genomför artikel 5.3 i e-dataskydds- Den hindrar inte att hämtar lokalise- ringsuppgifter via mobiltelefonens GPS-utrustning när en hjälpsökande ringer 112 (se PTS skrivelse av , dnr 19-11145). kommunikation behandlas i avsnitt 16.11. I 6 kap. 24 § finns ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela närmare föreskrifter om vilka upp- gifter som får behandlas enligt 6 § första och andra stycket och om de krav som ska ställas på en allmänt tillgänglig telefonitjänst som medger identi- fiering av det anropande eller uppkopplade telefonnumret eller vidare- koppling. Bemyndigandet bör föras över till den nya lagen, men termino- login bör anpassas till att avse den som tillhandahåller en talkommunika- tionstjänst (se avsnitt 15). Med stöd av bemyndigandet kan det t.ex. med- delas föreskrifter om åtgärder för att motverka att nummerpresentations- tjänster manipuleras så att det ser ut för mottagaren av ett samtal som att samtalet kommer från ett visst befintligt nummer, men det nummer som visas är oriktigt eller fiktivt (s.k. spoofing). Att bestämmelserna om integritetsskydd i den nya lagen även tillämpas på nummeroberoende interpersonella kommunikationstjänster innebär att per- sonuppgiftsbehandling som faller under EU:s dataskyddsförordning, för vilken utövar tillsyn, kan komma att om- fattas av den nya lagen och av PTS tillsynsområde. Det kan, som Integritets- skyddsmyndigheten påpekar, innebära en förändring av den registrerades rättigheter, de personuppgiftsansvarigas skyldigheter i fråga om exempelvis it-säkerhet och de tillsyns- och sanktionsbefogenheter som är aktuella i olika fall. Den situation som lyfter fram uppstår dock inte med anledning av genomförandet av EU-direktivet. Förhållandet mellan bestämmelserna om integritetsskydd enligt e-dataskyddsdirektivet och EU:s dataskyddsförordning, de gränsdragningsfrågor som det föranleder och vad det innebär för tillhandahållare av elektroniska kommunikations- tjänster och tillsynsmyndigheter är sådant som både Integritetsskyddsmyn- digheten och PTS hanterar inom ramen för sina uppgifter och som de sam- verkar om. En sådan analys av gränsdragningsfrågor som Integritetsskydds- myndigheten efterfrågar är inte möjlig inom ramen för detta lagstiftnings- arbete. I avsnitt 28 behandlas de konsekvenser som förslagen medför för till- handahållare av nummeroberoende interpersonella kommunikationstjänster. Som behandlas i avsnitt 4 föreskriver den tillfälliga förordningen för att bekämpa sexuella övergrepp mot barn på nätet ett tillfälligt undantag från artiklarna 5.1 och 6.1 i e-dataskyddsdirektivet för tillhandahållare av num- meroberoende interpersonella kommunikationstjänster i vissa fall. Förord- ningen begränsar därigenom rätten till skydd av konfidentialitet vid kom- munikation och trafikuppgifter i förhållande till tillhandahållare av sådana tjänster. Den avviker därmed från regleringen i EU-direktivet, där till- handahållare av sådana tjänster omfattas av samma regler som gäller alla andra elektroniska kommunikationstjänster i fråga om integritetsskydd. Undantaget gäller endast i syfte att upptäcka sexuella övergrepp mot barn på nätet, rapportera sådant material till brottsbekämpande myndig- heter och till organisationer som agerar i allmänhetens intresse mot sexuella övergrepp mot barn och avlägsna material med sexuella över- grepp mot barn från dessa tjänster. För att den behandling som tillhandahållare av nummeroberoende interpersonella kommunikationstjänster vidtar i enlighet med förord- ningens bestämmelser inte ska stå i strid med svensk rätt krävs viss an- passning. I de bestämmelser som genomför artiklarna 5.1 och 6.1 i e-data- skyddsdirektivet i den nya lagen bör det därför införas undantag för den uppgiftsbehandling som tillhandahållare av nummeroberoende inter- personella kommunikationstjänster vidtar i enlighet med förordningen. 2021/22:136 18.2 Lagring och annan behandling av trafikuppgifter för brottsbekämpande ändamål Regeringens förslag: Bestämmelserna i lagen om elektronisk kommu- nikation om lagring och annan behandling av trafikuppgifter m.m. för brottsbekämpande ändamål ska föras över till den nya lagen. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: De flesta av remissinstanserna tillstyrker förslaget eller har inga synpunkter på det. PTS anser att det bör klargöras hur ut- trycket internetåtkomst förhåller sig till internetanslutningstjänst. Myndig- heten efterfrågar även ett bemyndigande i lag för att meddela föreskrifter om vilka uppgifter som får lagras. De brottsbekämpande myndigheterna, bl.a. Säkerhetspolisen, och , framhåller att det är angeläget att utreda bl.a. en lagringsskyldighet även för nummer- oberoende interpersonella kommunikationstjänster. Verket för innova- tionssystem understryker vikten av tydliga föreskrifter för att minimera risken för incidenter. Skälen för regeringens förslag: I 6 kap. 1, 3 a, 5 och 16 a–g §§ LEK behandlas lagring och annan behandling av trafikuppgifter m.m. för brotts- bekämpande ändamål (s.k. datalagring). Den materiella regleringen bör föras över till den nya lagen. I regleringen ingår dessutom två upplysningsbestämmelser där det anges att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter. Som Lagrådet påpekar upplyser dessa endast om att verkställighetsföreskrifter till lagen kan meddelas.