prop · H903225 · 2022-04-07 00:00:00 — Att data tillgängliggörs i syfte att de ska kunna vidareutnyttjas innebär att lagen inte ska tillämpas som en myndighet eller ett offentligt företag publicerar data på eget initiativ. Om data publiceras i ett annat syfte, exempelvis för att sprida information om myndighetens eller företagets verksamhet, ska lagen inte tillämpas. Ett förtydligande i lagen om när den ska tillämpas i kombination med ett klargörande av de förutsättningar som ska vara för handen innan data görs tillgängliga för vidareutnyttjande (se avsnitt 7.1) får, i linje med det bl.a. anför, anses klargöra att det är den myndighet eller det offentliga företag som tillgängliggör data som bär ansvaret för detta. Data som lämnas mellan myndigheter och offentliga företag Öppna data-direktivet gäller som huvudregel inte för data som lämnas mellan myndigheter eller mellan myndigheter och offentliga företag (artikel 2.11). Undantaget syftar till att uppgiftsutbyten inom ramen för den offentliga verksamheten ska kunna ske utan att informationen i fråga behöver tillgängliggöras för vidareutnyttjande i enlighet med direktivet (prop. 2009/10:175 s. 198). Undantaget gäller emellertid inte om den myndighet som tar emot data ska använda dem i en konkurrensutsatt verksamhet som avser tillhandahållande av data. Att de rutinmässiga uppgiftsutbyten som förekommer mellan statliga och kommunala myndigheter inte bör omfattas av den nya lagen framstår som en självklarhet. På samma sätt bör lagen inte heller omfatta de situationer där ett organ som i lagen jämställs med en myndighet eller ett offentligt företag lämnar data till en statlig eller myndighet. Undantaget bör dock inte gälla i de fall den myndighet som tar emot data har för avsikt att använda dem i en konkurrensutsatt verksamhet som avser tillhandahållande av data. I ett sådant fall ska den som lämnar data tillämpa lagen och behandla den mottagande myndigheten som vilken vidareutnyttjare som helst. och organ som i lagen jämställs med en myndighet verkar som utgångspunkt på en konkurrensutsatt marknad. För att dessa aktörer inte ska hamna i en sämre ställning jämfört med andra vidareutnyttjare bör lagen vara tillämplig när en sådan aktör begär att en statlig eller myndighet ska tillgängliggöra data för vidareutnyttjande enligt lagen. En statlig eller myndighet som tillhandahåller data inom ramen Prop. 2021/22:225 för en konkurrensutsatt verksamhet ska inte tillämpa lagen i den verksam- heten (artikel 1.2 a). En konkurrensutsatt verksamhet kan avse tillgängliggörande av data som framställs eller prissätts enbart på affärsmässiga grunder och i konkurrens med andra marknadsaktörer (jfr skäl 22). Data som ska undantas från lagen Regeringens förslag: Lagen ska inte gälla för data som någon på grund av sin identitet eller ställning har en särskild rätt att få tillgång till enligt någon annan lag eller förordning. Lagen ska inte gälla för data som omfattas av en sådan ensamrätt som följer av patentlagen, mönsterskyddslagen, lagen om skydd för krets- mönster för halvledarprodukter, växtförädlarrättslagen, varumärkes- lagen eller lagen om företagsnamn. Lagen ska inte heller gälla för data som tredje man innehar rätt till enligt lagen om upphovsrätt till litterära och konstnärliga verk. Lagen ska vidare inte gälla för data som utgörs av datorprogram, logotyper, heraldiska vapen eller insignier. Utredningens förslag överensstämmer i huvudsak med regeringens för- Utredningen föreslår ett snävare undantag för immateriella rättigheter. Remissinstanserna: Transportstyrelsen har synpunkter på utformning- en av undantaget för data som någon har en särskild rätt att få tillgång till. , och Totalförsvarets forskningsinsti- tut anser att undantaget för immateriella rättigheter bör utvidgas. meteorologiska och hydrologiska institut () understryker vikten av att datorprogram undantas från lagens tillämpningsområde. instanser, däribland Arbetsförmedlingen, och of (), efterlyser ett klargörande i frågan om huruvida undantaget för datorprogram även omfattar program- Lantmäteriet anser att viss stödinformation och förteckningar över användarbehörigheter bör omfattas av undantaget för datorprogram. Myndigheten för digital förvaltning och Ingenjörer, anser att datorprogram inte bör undantas. Skälen för regeringens förslag Data som någon har särskild rätt att få tillgång till Data som endast tillhandahålls någon som har ett särskilt intresse av sådan tillgång är undantagna från öppna data-direktivets tillämpningsområde (artikel 1.2 f). Motivet till detta är att direktivet inte ska ge någon möjlighet att få tillgång till och vidareutnyttja data som kan vara av känslig karaktär (jfr 1.2 h, 1.3 och 1.4). Det är rätten att få tillgång till data som styr över möjligheten att få dem tillgängliggjorda för vidareutnyttjande i enlighet med direktivets bestäm- Det förekommer emellertid att någon, i enlighet med det nationella regelverket, har rätt att få tillgång till data av känslig karaktär. i ett sådant fall finns en författningsreglerad rätt till tillgång bör sådana data undantas från den nya lagen. 2021/22:225 Rätten till tillgång kan grundas på att den som begär tillgång innehar en viss identitet eller en viss ställning. En enskild kan exempelvis kräva att en personuppgiftsansvarig ska ge tillgång till de personuppgifter som behandlas om honom eller henne (artikel 15 i dataskyddsförordningen). Vidare kan en enskild ha en författningsreglerad rätt att få ta del av personuppgifter eller andra data genom direktåtkomst eller annat digitalt utlämnande. Den som är part i ett ärende har en särskild rätt att få ta del av allt material som har tillförts ärendet, se 10 § förvaltningslagen. Rätten att få tillgång till vissa data kan också tillfalla någon som företräder en enskild, exempelvis ett ombud. En sådan företrädare kan också ha rätt att ta del av vissa data endast till följd av att en enskild häver den sekretess som gäller till skydd för honom eller henne. Data som någon har en särskild författningsreglerad rätt att få tillgång till för att denne innehar en viss identitet eller ställning är ofta av känslig karaktär och lämpar sig inte för vidareutnyttjande. Sådana data bör därför undantas från lagens tillämpningsområde. De data som omfattas av undantaget är i allmänhet av den arten att de är nära knutna till en viss person. Det handlar alltså om data som inte skulle tillhandahållas någon annan, främst för att de innehåller integritetskänsliga personuppgifter eller omfattas av sekretess. Syftet med undantaget är att minimera risken för att data av känslig karaktär tillgängliggörs för vidareutnyttjande. Data som omfattas av en immateriell rättighet Data som omfattas av tredje mans immateriella rättigheter är undantagna från öppna data-direktivet (artikel 1.2 c). Med immateriella rättigheter avses upphovsrätt och närstående rättigheter. Direktivet ska inte heller påverka sådana rättigheter när de tillkommer en myndighet eller tillämpas på data som omfattas av industriell äganderätt (jfr skäl 54). Upphovsrätt och rättigheter som är närstående till upphovsrätten regleras i lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk. Ett undantag för data som omfattas av tredje mans upphovsrätt bör införas i den nya lagen. Data som omfattas av upphovsrätt eller en närstående rätt som tillkommer en myndighet är inte uttryckligen undantagna från öppna datadirektivet. Motivet till detta är att en myndighet bör sträva efter att använda sin upphovsrätt på ett sätt som underlättar vidareutnyttjande. En myndighet bör i regel kunna tillgängliggöra data som omfattas av myndighetens upphovsrätt genom att förena ett tillgängliggörande av data för vidareutnyttjande med villkor eller licens (se avsnitt 7.4). Några remissinstanser, däribland , framhåller att utredningens förslag om undantag för immateriella rättigheter bör utvidgas och att samtliga direktivets möjligheter att undanta immaterialrättsligt skyddade data bör utnyttjas. Regeringen anser att det finns skäl att ytterligare värna de immateriella rättigheterna. Avsikten är exempelvis inte att direktivet ska tillämpas på data som omfattas av industriell äganderätt (jfr skäl 54). En sådan äganderätt kan bl.a. vara en ensamrätt som följer av patentlagen (1967:837) eller mönsterskyddslagen (1970:485). Det saknar betydelse om ensamrätten tillkommer en myndighet, ett offentligt företag eller tredje man. Undantaget för data som omfattas av ensamrätt till följd av en industriell äganderätt bör komma till uttryck i den nya lagen. Det bör dock poängteras att undantaget inte innebär något förbud för en Prop. 2021/22:225 myndighet eller ett offentligt företag att tillgängliggöra data för vidare- utnyttjande även om de omfattas av en industriell äganderätt som tillkommer myndigheten eller företaget. Data som utgör datorprogram Datorprogram är inte uttryckligen undantagna från öppna data-direktivets tillämpningsområde, men avsikten är att datorprogram inte ska omfattas av direktivets definition av begreppet handling (jfr skäl 30). Med datorprogram brukar i allmänhet förstås en instruktion eller en serie av instruktioner i form av programkod som beskriver de operationer som en dator ska utföra. Instruktionerna skrivs med källkod, dvs. är begriplig för människan. Källkoden översätts till maskinkod så att datorn kan utföra instruktionerna. Datorprogram eller programkod kan ut- göra en allmän handling hos en myndighet (se rättsfallet RÅ 2004 ref. 74 och Kammarrätten i dom i mål nr 6973– Det innebär att både datorprogram och programkod kan bli föremål för utlämnande som allmän handling enligt 2 kap. TF såvida inte sekretess Vid sidan av eventuell sekretess åtnjuter datorprogram även visst upphovsrättsligt skydd genom att de inte får återges, se 26 a § tredje stycket 3 lagen om upphovsrätt till litterära och konstnärliga verk. I öppna data-direktivet nämns inga särskilda motiv till att datorprogram får undantas från tillämpningsområdet. Det saknas vidare en beskrivning av vad som avses med ett datorprogram. Det är därför oklart om program- kod omfattas av uttrycket datorprogram. Remissutfallet visar på en blan- dad uppfattning i frågan om huruvida datorprogram bör omfattas av den nya lagen eller inte. Å ena sidan understryker vikten av att dator- Lantmäteriet vill gå längre och även undanta viss stöd- Å andra sidan anser bl.a. Myndigheten för digital förvaltning att datorprogram bör omfattas av lagen. Andra remissinstanser pekar på problematiken i att avgöra vad som utgör ett datorprogram respektive pro- gramkod i förhållande till det föreslagna undantaget. En effekt av att låta lagen omfatta datorprogram är att ett datorprogram då kan behöva göras tillgängligt i ett format som lämpar sig för vidare- Vilka eventuella konsekvenser ett sådant tillgängliggörande kan få har inte analyserats närmare. Detta talar för att datorprogram bör undantas från lagen. Eftersom programkod utgör de instruktioner som ett datorprogram består av, får uttrycket datorprogram anses omfatta pro- Det är därför naturligt att även programkod omfattas av undan- Att datorprogram undantas från lagens tillämpningsområde innebär endast att det inte finns något krav på att tillgängliggöra datorprogram i enlighet med lagen. En myndighet kan dock fortfarande vara skyldig att lämna ut datorprogram eller programkod enligt 2 kap. TF. Så länge ett till- gängliggörande av ett datorprogram inte möter hinder i någon annan för- fattning är det upp till varje myndighet att avgöra i vilket format en pro- gramkod eller ett datorprogram kan göras tillgängligt. Data som utgörs av logotyper, heraldiska vapen och insignier Logotyper, heraldiska vapen och insignier är undantagna från öppna data- direktivet (artikel ). och tillstyrker att undantaget 2021/22:225 genomförs i den nya lagen. Inga remissinstanser invänder mot detta. Logotyper, heraldiska vapen och insignier bör därför undantas från lagens tillämpningsområde. 7Tillgängliggörande av data för vidareutnyttjande 7.1När data ska tillgängliggöras för vidareutnyttjande Regeringens förslag: Data ska tillgängliggöras för vidareutnyttjande i den utsträckning som krav på informationssäkerhet och skydd av personuppgifter kan upprätthållas och under förutsättning att det inte innebär risker för säkerhet. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningen föreslår att data bör tillgängliggöras om det inte är olämpligt med beaktande av vissa risker. Remissinstanserna: Flera remissinstanser, bl.a. Arbetsförmedlingen, Geoforum , och , anser att det ska införas en skyldighet att tillgängliggöra data för vidareutnyttjande. , och Statskontoret menar att det är tillräckligt att myndigheter på eget initiativ bör göra data tillgängliga. avstyrker en generell bestämmelse om att myndigheter bör tillgängliggöra data. Flera remissinstanser lyfter frågor om informationssäkerhet. och of poängterar vikten av att myndigheter bedriver ett riskbaserat informationssäkerhetsarbete. , Försvarsmakten, Myndigheten för samhällsskydd och beredskap och Säkerhetspolisen pekar på svårigheten i att bedöma om vissa data riskerar att bidra till att en aggregerad datamängd blir känslig ur ett säkerhetsperspektiv och att detta förstärks när informationssystem samägs av flera myndigheter. Några remissinstanser, däribland Försvarsmakten, Kommuner och Regioner och Säkerhetspolisen, framhåller att det är lämpligt att dokumentera de avvägningar som ligger till grund för ett beslut att tillgängliggöra data. Enligt Försvarsmakten bör en myndighet inte tillgängliggöra data som härrör från en annan myndighet utan att först samråda med den myndigheten. Ytterligare ett antal remissinstanser, bl.a. Myndigheten för samhällsskydd och beredskap, understryker behovet av vägledning vid tillgängliggörande av data för vidareutnyttjande. Skälen för regeringens förslag Data som omfattas av lagen ska tillgängliggöras för vidareutnyttjande Öppna data-direktivet innehåller inget uttryckligt krav på att myndigheter och offentliga företag ska arbeta aktivt med att tillgängliggöra data för vidareutnyttjande utan en begäran från en enskild. Däremot anges det att myndigheter bör uppmuntras att göra alla sina data tillgängliga för vidareutnyttjande, men att det inte får ske på bekostnad av den allmänna säkerheten eller enskildas personliga integritet (jfr skäl 16, 28 och 31). Eftersom öppna data-direktivet är ett minimidirektiv, finns det inget hinder för en medlemsstat att införa mer långtgående krav än vad direktivet föreskriver. Tvärtom uppmanas medlemsstaterna att gå längre. I finns det inte något allmänt krav på myndigheter eller offentliga företag att på eget initiativ tillgängliggöra data för vidareutnyttjande. har däremot i två tillkännagivanden framfört att arbetet med öppna data bör ges ökad tyngd och att statliga myndigheter bör ges i uppdrag att arbeta strategiskt för att öka utbudet av och tillgängligheten till öppna data (bet. 2016/17:FiU17 punkt 3, rskr. 2016/17:187 och bet. 2017/18:FiU25 punkt 2, rskr. 2017/18:180). Det bör därför övervägas om den nya lagen bör innehålla en bredare skyldighet att tillgängliggöra data för vidareutnyttjande. Utredningen föreslår att en myndighet eller ett offentligt företag på eget initiativ bör göra data tillgängliga för vidareutnyttjande. Förslaget innehåller inget tvingande moment utan är snarare att betrakta som en uppmaning att proaktivt tillgängliggöra data som omfattas av lagen. Bland de remissinstanser som kommenterar förslaget anser majoriteten att det bör införas en skyldighet för myndigheter att på eget initiativ tillgängliggöra data för vidareutnyttjande. Några remissinstanser är av motsatt uppfattning och pekar på bl.a. riskerna med att öka mängden data som finns direkt tillgängliga för vidareutnyttjande. Att införa en skyldighet för myndigheter och offentliga företag att på eget initiativ tillgängliggöra data för vidareutnyttjande är av flera skäl inte lämpligt. En sådan skyldighet kan medföra att data av låg kvalitet och användbarhet tillgängliggörs för vidareutnyttjande endast i syfte att uppfylla kravet på tillgängliggörande. Ett generellt krav på att arbeta aktivt med att tillgängliggöra data för vidareutnyttjande kan också påverka kärnverksamhet och budget hos en myndighet eller ett offentligt företag och medföra risker för säkerhets- och integritetsintressen. Avsikten med öppna data-direktivet är att en vidareutnyttjare, som enligt nationella eller unionsgemensamma regler har rätt att få tillgång till data, ska kunna kräva att dessa görs tillgängliga i enlighet med vad direktivet föreskriver. Det innebär att en myndighet eller ett offentligt företag som enligt en annan författning är skyldig att ge en vidareutnyttjare tillgång till data ska tillgängliggöra dessa i enlighet med den nya lagen, såvida inte bestämmelser i en annan författning inverkar begränsande på tillgängliggörandet (se avsnitt 5.3). På samma sätt ska en myndighet eller ett offentligt företag tillämpa lagen när det på eget initiativ gör data direkt tillgängliga i syfte att de ska kunna vidareutnyttjas, exempelvis genom att publicera dem på sin webbplats. I praktiken innebär detta, inom den nya lagens ramar, en faktisk skyldighet att göra data tillgängliga för vidareutnyttjande. Skyldigheten gäller emellertid endast för sådana data som omfattas av lagen och som en vidareutnyttjare kan få tillgång till efter en begäran eller som en myndighet eller ett offentligt företag gör tillgängliga på eget initiativ i syfte att de ska kunna vidareutnyttjas. En myndighet eller ett offentligt företag bör alltså som huvudregel ha en skyldighet att tillgängliggöra data som omfattas av den nya lagen för vidareutnyttjande. Det bör dock understrykas att en vidareutnyttjare inte kan 2021/22:225 åberopa denna skyldighet för att få tillgång till data. En annan sak är att skyldigheten att tillgängliggöra data kan fungera som ett incitament för en myndighet eller ett offentligt företag att förstärka sitt arbete med att proaktivt tillgängliggöra data för vidareutnyttjande. En särskild bestämmelse om att myndigheter och offentliga företag på eget initiativ bör göra data tillgängliga för vidareutnyttjande, som utredningen föreslår, anses mot denna bakgrund inte vara nödvändig. Säkerhets- och integritetsintressen ska beaktas innan data tillgängliggörs En skyldighet att tillgängliggöra data för vidareutnyttjande bör inte vara undantagslös även om den endast omfattar data där stöd för tillgång finns i en annan författning eller data som görs tillgängliga på eget initiativ. Innan en myndighet eller ett offentligt företag tillgängliggör en datamängd i enlighet med den nya lagen bör vissa säkerhets- och integritetsintressen beaktas. Den nya lagen påverkar inte bestämmelser i någon annan författning som begränsar rätten att få tillgång till data (avsnitt 5.3). Hinder mot att ge tillgång till data, t.ex. i form av sekretess, har alltså företräde framför lagen. Utöver författningar som innehåller uttryckliga hinder mot att ge tillgång till vissa data finns reglering som, utan att uppställa sådana hinder, syftar till att uppnå en hög nivå av skydd för det informationsbärande innehållet. Det kan röra sig om bestämmelser om särskilt skydd för viss information eller informationssystem för att exempelvis undvika skadlig inverkan. Så- dana bestämmelser finns bl.a. i säkerhetsskyddslagen (2018:585) och lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Myndigheten för samhällsskydd och beredskap meddelar också föreskrifter om informationssäkerhet för statliga myndigheter. En författning som reglerar säkerhetsåtgärder för skydd av information begränsar normalt inte en enskilds rätt till tillgång. Att tillgängliggöra sådana data för vidareutnyttjande kan emellertid få en negativ påverkan på de intressen som författningen avser att skydda. Det bör därför övervägas om den nya lagen bör innehålla en ventil som möjliggör för myndigheter och offentliga företag att beakta andra säkerhets- och integritetsintressen än sådana som utgör ett direkt hinder mot att ge tillgång till data. Öppna data-direktivets syfte är att öka mängden data som finns tillgängliga för vidareutnyttjande i den mån det inte inverkar negativt på andra skyddsvärda intressen (jfr skälen 16 och 27). Att tillåta att data tillgängliggörs för vidareutnyttjande när det medför säkerhetsrisker vore därmed att gå för långt. Bestämmelser som syftar till att upprätthålla en hög skyddsnivå för data eller för samhället i stort bör därför ges företräde på så sätt att tillgängliggörande enligt den nya lagen kan nekas, om det kan påverka skyddet för data eller andra viktiga skyddsintressen. Med detta avses säkerhet samt krav på informationssäkerhet och skydd av personuppgifter. Arbete med informationssäkerhet handlar i stor utsträckning om att förhindra skadlig inverkan genom att vidta förebyggande åtgärder i syfte att bevara det informationsbärande innehållets konfidentialitet, riktighet och tillgänglighet. Som ett antal remissinstanser påtalar, bl.a. Myndigheten för samhällsskydd och beredskap, kan det finnas säkerhetsrisker med att tillgängliggöra omfattande mängder information i digitala format för vidareutnyttjande. En sådan risk är att en vidareutnyttjare oavsiktligt ges tillgång till s.k. dolda data, i form av programkod eller metadata. En annan risk är att en vidareutnyttjare genom att kombinera datamängder som tillgängliggjorts av olika aktörer kan skapa nytt informationsbärande innehåll som har ett högre skyddsvärde än den initiala datamängden eller datamängderna var för sig. Om kraven på informationssäkerhet inte kan upprätthållas för en viss datamängd bör den inte få tillgängliggöras för vidareutnyttjande. Tillgängliggörande av data för vidareutnyttjande kan också medföra en risk för intrång i enskildas personliga integritet. Det gäller även om dataskyddsförordningen eller anslutande nationell reglering inte uppställer hinder mot tillgängliggörandet. En grundförutsättning för att tillgängliggöra data som innehåller personuppgifter är förstås att behandlingen är förenlig med dataskyddsförordningen och anslutande nationell reglering. Utgångspunkten är att stor försiktighet bör iakttas även om bestämmelser om dataskydd inte hindrar ett tillgängliggörande. En risk för intrång i enskildas personliga integritet kan vara svår att konkretisera men bör likväl beaktas innan data som innehåller personuppgifter tillgängliggörs för vidareutnyttjande. Tillgängliggörande av data för vidareutnyttjande bör inte heller ske om det innebär risker för säkerhet. I säkerhetsskyddslagen tar uttrycket säkerhet sikte på förhållanden som är av grundläggande betydelse för och kan avse både militär och civil verksamhet. Vilka verksamheter som är av betydelse för att upprätthålla säkerhet, s.k. säkerhetskänsliga verksamheter, måste bedömas i ljuset av samhällsutvecklingen. Vad som behöver skyddas för att förebygga hot mot säkerhet kan därför i viss utsträckning förändras (prop. 2017/18:89 s. 133). Med säkerhetsskyddsklassificerade uppgifter avses uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt OSL eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Uppgifter som är av betydelse för säkerhet och som är sekretessbelagda faller utanför lagens tillämpningsområde (se avsnitt 5.3). Uppgifter som inte omfattas av sekretess men som aktualiserar särskilda risker för säkerhet får inte heller tillgängliggöras för vidareutnyttjande. En datamängd som exempelvis består av uppgifter från olika källor kan ha ett skyddsvärde i sig även om uppgifterna i datamängden härrör från öppna källor. Det kan vara fråga om uppgifter som samlats in från olika allmänt tillgängliga källor och där den samlade uppgiftsmängden är nödvändig för andra aktörer i en klart säkerhetskänslig verksamhet (prop. 2017/18:89 s. 45). Att tillgängliggöra en sådan datamängd kan medföra risker för säkerhet.