4.5 Informationssäkerhet

Introduktion

Sammanfattning

En verksamhets totala informationsmängd bör alltid skyddas på något sätt, oavsett om informationen omfattas av sekretess, NIS-lagstiftning, säkerhetsskydd eller inte. Skyddet ska syfta till att informationen inte sprids okontrollerat samt behåller sin sakriktighet så att den förblir tillgänglig, riktig och är spårbar. Det är viktigt att alla som ska arbeta med en viss känslig uppgift får kunskap om att uppgiften är känslig och hanterar den på ett lämpligt sätt.

Tillgång till och hantering av information är en förutsättning för att VA-verksamheten ska kunna bedrivas. Informationen finns i dag i en mängd varierande former, både fysiskt och digitalt. Informationssäkerhet handlar om att skydda information och inom ämnet brukar man prata om tre aspekter av informationssäkerhet:

Konfidentialitet – information kan behöva skyddas, endast behöriga personer får ta del av den.
Riktighet – informationen behöver vara korrekt och inte manipulerad eller förstörd.
Tillgänglighet – man behöver kunna få tag i informationen vid behov.

De tre aspekterna är av olika vikt beroende på sammanhang och typ av information och det avgör hur informationen bör hanteras. Det vi behöver arbeta med inom informationssäkerhet är att konfidentialitet, riktighet och tillgänglighet skyddas från att skadas. Nivån på det skydd som krävs varierar efter typen av information, tillämplig lagstiftning, kravställningar samt vilken hotbilden är. Dessutom behöver skyddet vara anpassat så att det inte är för krångligt, dyrt eller för svagt. För att uppnå ett bra skydd av information behöver informationen analyseras och arbetet med informationssäkerhet ske på ett rutinbaserat, systematiskt sätt.

Det är av stor vikt att verksamheten har kontroll över vilken information som inkommer, upprättas, förvaras och delas samt att systemen som informationen behandlas i är säkra. Det behöver vara ordning och reda på handlingar och uppgifter som finns i en verksamhet.

Hur tillgängliga ska uppgifterna vara?

Ställ er frågan hur tillgängliga uppgifter som rör verksamheten bör vara och vilka som verkligen har behov av uppgifterna, utifrån sina ålagda arbetsuppgifter. Risken för en okontrollerad spridning av känsliga uppgifter ökar med ett ökat antal personer som förfogar över dem. Den som inte har behov av uppgifterna för att utföra sitt arbete ska därmed inte heller ha tillgång till dessa och än mindre förfoga över dem. Däremot är det givetvis viktigt att den som har behov av viss information har tillgång till den så att verksamheten fungerar.

En stor del av informationen inom VA-branschen hanteras i dag i IT-system, nätverk och i molntjänster kopplade mot internet varför säkerheten (omnämns som cybersäkerhet) i sådana system är starkt prioriterad. Inom IT talar man om en spårbarhet som en fjärde aspekt inom informationssäkerhet. Spårbarheten är viktig för att kunna åtgärda problem vid källan. Exempelvis kan loggar och annan historik från datasystem sparas för att i efterhand kunna spåra var och när ett intrång har genomförts och hur data har manipulerats. Säkerhet inom IT - system behandlas i avsnitt 4.6 och avsnitt 4.7. Viktigt att notera är att spårbarhet även kan vara viktigt för information som inte hanteras digitalt.

Som beskrivits i kapitlet om lagar och krav gäller vissa krav på hur informationssäkerhetsarbete ska bedrivas enligt NIS-regleringen, enligt säkerhetsskyddslagen och dataskyddsförordningen. Det är viktigt att notera, att det även för verksamhet som inte uppfyller kriterierna för dessa finns regler om sekretess och övriga krav på att information hanteras på ett medvetet och korrekt sätt. Däribland offentlighets- och sekretesslagen som vi kommer att återkomma till.

Uppmaning eller viktig information

Livsmedelsverket har under åren 2021-2023 genomfört ett projekt med målet att öka förmågan att identifiera och klassificera skyddsvärd information inom dricksvattenförsörjningen så att Sveriges totalförsvar stärks. Erfarenheter från projektet ingår i Livsmedelverkets Handbok för krisberedskap och civilt försvar för dricksvatten.

4.5.1 Metoder för arbete med informationssäkerhet

Hur åstadkommer man ett systematiskt säkerhetsarbete? Frågan är omfattande och har många svar. På webbsidan informationssäkerhet.se, framtagen av MSB, Säkerhetspolisen, FRA, Försvarsmakten, polisen, PTS och FMV, anges att arbetet med informationssäkerhet omfattar att införa och förvalta administrativa regelverk som policys och riktlinjer, tekniskt skydd med bland annat brandväggar och kryptering samt fysiskt skydd med till exempel skal- och brandskydd. Det handlar enligt MSB om att ta ett helhetsgrepp och skapa ett fungerande långsiktigt arbetssätt för att ge organisationens information det skydd den behöver. Det är viktigt att det ledningssystem som tas fram omfattar alla tre disciplinerna handlingar, datorbaserade informationssystem och industriella system.

För att åstadkomma detta har MSB tagit fram ett metodstöd för systematiskt informationssäkerhetsarbete. Det första metodstödet lanserades 2011 och kallades metodstöd för LIS, ledningssystem för informationssäkerhet. Metodstödet reviderades 2018 och kallas i dag för Metodstöd för systematiskt säkerhetsarbete och bygger främst på standarderna SS-EN ISO/IEC 27001 och SS-EN ISO/IEC 27002. Metoden riktar sig till den som samordnar informationssäkerhetsarbetet men ger stöd både till medarbetare och ledning. Metodstödet uppdateras och revideras löpande och kompletteras med bland annat utbildningsmaterial.

Metodstödet är uppbyggt av fyra steg som tillsammans bildar helheten av det systematiska informationssäkerhetsarbetet:

Identifiera och analysera.
Utforma.
Använda.
Följa upp och förbättra.

Tips

Oavsett storlek på din organisation, är metodstödet ett bra sätt att komma i gång med informationssäkerhetsarbetet på ett systematiskt sätt.

Underlag och fördjupning

Informationssäkerhet.se MSB:s webbplats med vägledning för systematiskt informationssäkerhetsarbete.

Metodstöd för systematiskt säkerhetsarbete

4.5.2 NIS – Informationssäkerhet för samhällsviktiga och digitala tjänster

Regleringen enligt NIS syftar till att höja nivån på informationssäkerheten i nätverk och IT-system för leverantörer av samhällsviktiga tjänster. Kraven som uppställs i lagen innebär bland annat skyldighet att anmäla att man är en leverantör av samhällsviktig verksamhet/tjänst om organisationen uppfyller vissa kriterier (se föreskriften MSBFS 2021:9), att ha ett systematiskt informationssäkerhetsarbete, att vidta säkerhetsåtgärder och att rapportera incidenter som påverkar kontinuiteten i tjänsten. MSB är nationell kontaktpunkt för Sveriges arbete med NIS och samordnar det nationella arbetet, mottar incidentrapporter och liknande. MSB:s föreskrifter och allmänna råd gällande NIS samt mer information finns på MSB:s hemsida. Livsmedelsverket är tillsynsmyndighet för dricksvattenproducenter och distributörer.

Vem omfattas av lagen?

I MSB:s föreskrifter MSBFS 2021:9 om anmälan och identifiering av leverantörer av samhällsviktiga tjänster anges att en leverantör och distributör av dricksvatten omfattas av NIS ifall incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten och dricksvatten tillhandahålls till minst 20 000 personer eller akutsjukhus. MSB har tagit fram en vägledning för anmälan och identifiering av leverantörer av samhällsviktiga tjänster.

Leverantören kan ansvara för driften av flera produktionsanläggningar och distributionsnät som vardera försörjer färre än 20 000 personer, men det är den totala leveransen som ska beaktas vid bedömning av om leverantören omfattas av NIS-regleringen eller inte.

Exempel

NIS

VA-huvudmännen i kommunerna X, Y, Z levererar var och en vatten till färre än 20 000 personer. Ingen av kommunerna har ett akutsjukhus. Kommunerna samarbetar genom ”VA-bolaget AB”. VA-bolaget AB driftar VA-anläggningar och IT-system för alla tre kommunernas VA-huvudmän som gemensamt har fler än 20 000 brukare. Eftersom VA-huvudmännen har lagt distributionen av dricksvatten på driftbolag och är beroende av ett nätverk, som om det inträffar en incident kan innebära en allvarlig störning, behöver var och en av kommunerna X, Y, Z följa NIS-regleringen. VA-huvudmännen i kommunerna X, Y, Z behöver även se till att NIS-regleringen efterlevs i VA-bolaget AB.

Föreskrifter MSBFS 2021:9 om anmälan

: Den VA-huvudman som har verksamhet som berörs av NIS-lagen ska anmäla det till Livsmedelsverket utan dröjsmål och Livsmedelsverket tillhandahåller blanketter för anmälan via sin webbsida. Livsmedelsverket ansvarar för tillsynen av anmälda verksamheter och har tagit fram kompletterande föreskrifter om informationssäkerhetsåtgärder, som krav på riskanalys och åtgärdsplan, LIVSFS 2022:2. Dessa finns tillgängliga på Livsmedelsverkets webbsida.
: Lagen gäller inte för verksamhet som omfattas av säkerhetsskyddslagen. Båda lagarna är alltså inte tillämpliga samtidigt. Däremot kan det finnas fall där delar av verksamheten omfattas av NIS medan annan omfattas av säkerhetsskyddslagen. MSB har tagit fram en exempelguide för hur säkerhetsskyddslagen och NIS-lagen förhåller sig till varandra.
: Om man omfattas av NIS ska man bedriva ett systematiskt och riskbaserat informationssä- kerhetsarbete avseende nätverk och informationssystem. Aktörerna ska göra en riskanalys som ska ligga till grund för de säkerhetsåtgärder som man vidtar. I analysen ska det ingå en åtgärdsplan. Den framtagna analysen ska dokumenteras och uppdateras årligen. Mer om vad som ska ingå i analysen kan läsas i Livsmedelsverkets föreskrift 2022:2.

De som omfattas av NIS-lagen ska vidta de tekniska och organisatoriska åtgärder som krävs och är proportionella för att hantera risker i de nätverk och informationssystemen som används för den samhällsviktiga tjänsten. Man ska även förebygga och minimera verkningar av incidenter som kan påverka nätverk och informationssystem som används för att tillhandahålla samhällsviktiga tjänster. MSB har tagit fram föreskrifter och allmänna råd om informationssäkerhet för leverantörer av samhällsviktiga tjänster, MSBFS 2018:8. Föreskrifterna preciserar hur arbetet ska bedrivas och ur dem framgår att ett systematiskt och riskbaserat informationssäkerhetsarbete ska utföras med stöd av standarderna SS-EN ISO/IEC 27001:2017 och SS-EN ISO/IEC 27002:2017 om ledningssystem för informationssäkerhet eller motsvarande. Det systematiska och riskbaserade informationssäkerhetsarbetet ska enligt föreskrifterna utformas och samordnas utifrån organisationens behov och det ska vara styrande avseende informationshantering i nätverk och informationssystem. Arbetet ska dokumenteras.
: Om det inträffar incidenter som har en ”betydande verkan” på kontinuiteten i verksamheten ska det genast rapporteras till MSB. ”Betydande verkan” definieras i föreskrifterna som att incidenter ska ha orsakat störning i tjänsten och pågått i minst två timmar och som kan antas ha påverkat 2 000 personer, har påverkat ett akutsjukhus eller att incidenten har påverkat styrning och övervakning av tjänsten.

MSB har tagit fram föreskrif- ten MSBFS 2018:9 om rapportering av incidenter för leverantörer av samhällsviktiga tjänster för att guida hur leverantörer ska gå till väga. Det beskrivs i föreskrifterna, hur rapporteringen ska gå till, när man ska rapportera och vad den ska innehålla.
: Europeiska unionen har under 2022 beslutat om ett kompletterande direktiv, NIS2. Kompletteringarna handlar i korthet om att tillämpningsområdet utökas så att NIS- reglering ska gälla fler sektorer än i dag. För VA-sektorn är det största förändringen att även aktörer som tar emot avloppsvatten samt berörda verksamheters leverantörer och underleverantörer omfattas. EU:s medlemsländer ska på ett mer harmoniserat sätt att arbeta med informationssäkerhet. Rapporteringsskyldigheten effektiviseras för att undvika att orsaka överrapportering som skapar en onödigt stor börda för de som omfattas. Direktivet ska genomföras i svensk lagstiftning hösten 2024.

4.5.3 Informationssäkerhet enligt säkerhetsskyddslagstiftning

För aktörer som omfattas av säkerhetsskyddslagen har det ställts upp vilka säkerhetsskyddsåtgärder gällande informationssäkerhet, personalsäkerhet och fysisk säkerhet som ska vidtas. Följande text fokuserar på åtgärderna gällande informationssäkerhet enligt 2 kap 2 § säkerhetsskyddslagen. Som presenteras i avsnitt 3.1 Säkerhetsskydd enligt säkerhetsskyddslagen, ska verksamhetsutövaren med utgångspunkt i säkerhetsskyddsanalysen planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. Enligt lagen ska informationssäkerhet förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs och förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet.

Säkerhetspolisens föreskrifter om säkerhetsskydd, PMFS 2022:1, kompletterar säkerhetsskyddslagen och säkerhetsskyddsförordningen. I föreskrifterna tydliggörs hur arbetet med informationssäkerhet inom regleringarna ska tillämpas (4 kap). I SÄPO:s vägledning Informationssäkerhet ges ytterligare vägledning kring hur informationssäkerhetsarbetet ska tillämpas i säkerhetsskyddad verksamhet.

I vägledningen behandlas en rad viktiga punkter angående arbete med informationssäkerheten, som hur man arbetar med uppdelningen av uppgifter i olika säkerhetsskyddsklasser och vilka stämplar man ska använda på uppgifterna, se tabell- och figur nedan.

Tabellen visar fyra säkerhetsskyddsklasser, ur Säkerhetspolisens vägledning.

Säkerhetsskyddsklass	Den skada som ett röjande av uppgifterna kan medföra	Värdeord till stöd för bedömningen om en viss typ av skada föreligger
Kvalificerat hemlig	Ett röjande kan medföra en synnerligen allvarlig skada.	Synnerligen allvarliga negativa konsekvenser av stor omfattning, under lång tid, som utgör ett direkt hot mot den nationella förmågan. Konsekvenserna är inte begränsade till enstaka funktioner. Mycket svårt att återställa.
Hemlig	Ett röjande kan medföra en allvarlig skada.	Allvarliga/betydande negativa konsekvenser, av stor omfattning eller av väsentlig art, som innebär ett direkt hot mot den nationella förmågan, om än mot avgränsade funktioner. Svårt att återställa.
Konfidentiell	Ett röjande kan medföra en inte obetydlig skada.	Påtagliga negativa konsekvenser för den nationella förmågan, om än i begränsad omfattning, som äventyrar, vållar skada, hindrar, underlättar för en antagonist eller innebär större avbrott.
Begränsat hemlig	Ett röjande kan medföra endast ringa skada.	Ringa negativa konsekvenser som är begränsade till att påverka, försvåra eller störa den nationella förmågan i mindre omfattning.

Exempel på hur anteckningar om säkerhets- skyddsklass kan se för offentliga verksamhetsutövare. Den undre anteckningen används när handlingen innehåller flera sidor.

Hantering och förvaring av säkerhetsskyddsklassificerade handlingar, märkning av lagringsmedium

Beroende på vilken säkerhetsskyddsklass en handling har finns regler för hur den ska förvaras och vem i verksamheten som ska förvara den. Hur man gör om man ska byta säkerhetsskyddsklass och hur anteckningar ska ske på en handling som inte längre innehåller uppgifter som ska vara kategoriserade i säkerhetsskyddsklass. För mer information om förvaring, se Säkerhetspolisens vägledning om säkerhetsskydd, Fysisk säkerhet.

I SÄPO:s vägledning står vidare att läsa hur märkning av olika typer av lagringsmedium ska ske.

Distribution och medförande utanför verksamhetens lokaler

Det ska finnas dokumenterade rutiner för hur information som är säkerhetsskyddsklassad ska distribueras. SÄPO skriver i sin vägledning bland annat att rutinerna bör omfatta både extern och intern distribution. Ytterligare preciseringar för hur säkerhetsskydds- klassificerade handlingar ska och bör distribueras finns i vägledningen. Där finns även tydliggöranden om vad som gäller om en person har med sig eller förvarar en handling utanför verksamhetsutövarens lokaler, exempelvis på en tjänsteresa.

Förstöring av säkerhetsskyddsklassificerade handlingar

Det finns vidare reglering kring hur säkerhetsskyddsklassat material ska förstöras och hur man med leverantörer kan överenskomma att de ska förstöras, se SÄPO:s vägledning.

Fördjupning

Informationssäkerhet

Säkerhetspolisen

4.5.4 Informationssäkerhet enligt dataskyddsförordningen

Personuppgifter

VA-organisationer behöver ha ett etablerat arbetssätt med informationssäkerhet. Inom arbetet ryms att rätt information ska finnas tillgänglig för rätt personer, och i rätt tid. Information ska inte kunna hamna i orätta händer och missbrukas. De registrerade ska veta vem som använder deras personuppgifter och varför. En arbetsgivares rätt att kontrollera sina anställda regleras i första hand genom arbetsrätten, till exempel i arbetsrättslig lagstiftning och kollektivavtal. Om kontrollen innebär att arbetsgivaren behandlar uppgifter om anställda måste arbetsgivaren följa dataskyddsförordningen. Det gäller till exempel kontroller av anställda som görs med hjälp av uppgifter som samlas in genom olika IT-system. En särskild risk är att teknik ofta möjliggör en omfattande insamling av personuppgifter utan att den enskilda är medveten om detta.

Arbetsgivarens behov av att behandla personuppgifter för ett kontrolländamål ska vara sakligt motiverat i den specifika verksamheten. Behandlingen får inte vara för omfattande eller närgången i förhållande till ändamålet. Arbetsgivaren ska kunna visa att ändamålet med behandlingen inte kan uppnås på ett tillfredställande sätt genom andra, mindre integritetskränkande, metoder. Det är som regel inte är tillåtet att använda ett IT-system för att i realtid eller på annat sätt regelmässigt övervaka hur de anställda utför sina arbetsuppgifter eller när de tar raster. Mer om kontroller och personalsäkerhet finns att läsa i avsnittet 4.9. om Personalsäkerhet.

Integritetsskyddsmyndigheten är tillsynsmyndighet i Sverige enligt dataskyddsförordningen och dataskyddslagen. Integritetsskyddsmyndigheten ger även ut allmänna råd och informationsskrifter som finns tillgängliga på myndighetens webbplats.

På integritetsmyndighetens hemsida finns bra vägledning om arbete med dataskyddsförordningen, där presenteras bland annat följande lista:

Den som behandlar personuppgifter i verksamheten

Måste ha stöd i dataskyddsförordningen för att få behandla personuppgifter.
Får bara samla in personuppgifter för specifika, särskilt angivna och berättigade ändamål.
Ska inte behandla fler personuppgifter än vad som behövs för ändamålen.
Ska se till att personuppgifterna är riktiga.
Ska radera personuppgifterna när de inte längre behövs.
Ska skydda personuppgifterna, till exempel så att inte obehöriga får tillgång till dem och så att de inte förloras eller förstörs.
Ska kunna visa att dataskyddsförordningen efterlevs och hur detta sker.

Fördjupning

Integritetsmyndighetens hemsida

Om arbete med dataskyddsförordningen

Integritetsmyndigheten vägledning

Informationssäkerhet

Integritetsmyndigheten

4.5.5 Offentlighet och sekretess

Offentlighetsprincipen

Offentlighetsprincipen är en av hörnstenarna i ett demokratiskt samhälle. Den innebär att myndigheternas verksamhet så långt som möjligt ska ske i öppna former. Ett uttryck för offentlighetsprincipen är principen om handlingsoffentlighet. Den innebär att allmänheten, som enskilda individer och företrädare för media, har rätt till insyn i och tillgång till information om statens och kommunernas verksamhet. Principen har skrivits in i en av grundlagarna, tryckfrihetsförordningen (1949:105).

Det finns undantag från principen om handlingsoffentlighet. Undantagen innebär att rätten att ta del av allmänna handlingar bara får begränsas för att skydda följande intressen:

Rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation.
Rikets centrala finanspolitik, penningpolitik eller valutapolitik.
Myndigheters verksamhet för inspektion, kontroll eller annan tillsyn.
Intresset att förebygga eller beivra brott.
Det allmännas ekonomiska intresse.
Skyddet för enskilds personliga eller ekonomiska förhållanden.
Intresset att bevara djur- eller växtart.

Dessa begränsningar behöver vara angivna i en bestämmelse i en särskild lag. Ett exempel på lag som ger möjlighet att begränsa rätten att ta del av allmänna handlingar är offentlighets- och sekretesslagen, genom olika bestämmelser om exempelvis sekretess och hur myndigheter ska hantera uppgifter i samband med tillsyn och kontroller.

Genom ett strukturerat arbetssätt med handlingar blir det lättare att hålla ordning i arbetet och man kan undvika att åtgärder vidtas ad hoc och gör att informationssäkerhetsarbetet går åt ett och samma håll. Arbetet behöver fungera långsiktigt samtidigt som det behöver kunna anpassas efter utvecklingen av hot och risker. Känslig information inom området VA är sådan information som ensam eller tillsammans med annan information kan ge viktig kunskap om hela eller delar av vattenförsörjningskedjan.

För att göra en bedömning av vad som är känslig information, ska den som förfogar över informationen överväga vilka uppgifter som kan orsaka skada för samhället eller tredje person om de av misstag kommer i orätta händer. Exempelvis bör uppgifter som rör vattenförsörjningen, som fullständiga kartor över VA-ledningsnätet, inte slentrianmässigt läggas ut på kommunens eller förvaltningens intranät eller gemensamma servrar med åtkomst för alla. Det är oftast fullt tillräckligt att kartor och andra handlingar är tillgängliga för ett begränsat antal befattningshavare som i sitt dagliga arbete har behov av uppgifterna.

En felaktig hantering av skyddsvärda uppgifter kan medföra allvarliga konsekvenser och medföra skada för verksamhetsutövaren och allmänheten. Information kan därför sekretessbeläggas. Om känslig information inte kan sekretessbeläggas så är det ändå viktigt att organisationen känner till uppgifternas känslighet och behandlar uppgifterna med varsamhet.

4.5.6 Begreppet handling

En handling är en informationsbärare av något slag. Handlingen kan vara en framställning i skrift eller bild, en video, ett handskrivet dokument eller fotografi. En handling kan också vara ett USB-minne, e-post, SMS, en hårddisk eller motsvarande, sensordata som till exempel nedskrivna värden från en termometer.

Eftersom allmänheten har rätt att ta del av handlingar som är offentliga och allmänna är det viktigt att känna till vad som avses med en handling samt hur en handling blir allmän och offentlig. Nedan beskrivs olika typer av handlingar.

Olika typer av handlingar

: En allmän handling är en handling som är förvarad, inkommen till eller upprättad hos verksamhetsutövaren. Den behöver dock inte vara offentlig. För att den ska vara offentlig krävs att den inte är sekretessbelagd, att det inte är frågan om en arbetshandling eller en privat handling.

För att en handling ska anses vara förvarad hos en verksamhetsutövare ska den finnas tillgänglig hos verksamhetsutövaren eller hos en av verksamhetsutövaren anlitad konsult eftersom verksamhetsutövaren anses ha tillgång till handlingen.

För att en handling ska anses vara inkommen till verksamhetsutövaren ska den på något sätt ha skickats eller överlämnats till denne. Det är viktigt att diarieföra alla handlingar som kommer till verksamhetsutövaren samt stämpla tidpunkten när handlingen inkom. Även om en tjänsteman inte har hunnit läsa en inkommen handling, eller om den inte hunnit bli diarieförd, så är handlingen ändå allmän, exempelvis oöppnad e-post. På vilket sätt handlingen har inkommit till verksamhetsutövaren saknar betydelse.

En handling anses vara upprättad när den har expedierats, det vill säga skickats. Oftast avses att handlingen har skickats till en aktör utanför den egna verksamheten. Om en handling inte har expedierats anses den vara upprättad när ärendet som handlingen hör till är avslutat. Om en handling inte tillhör ett ärende anses den upprättad när den har fått sin slutliga utformning eller har diarieförts.

När en handling diarieförts ska det minst framgå följande:

Datum, då handlingen kom in eller upprättades.

Diarienummer eller annan beteckning som har åsatts handlingen.

I förekommande fall från vem handlingen har kommit in eller till vem den har expedierats.

I korthet vad handlingen rör.

Nya sammanställningar av datorlagrat material kan bedömas vara en handling. En förutsättning för att det ska räknas som en allmän handling är att sammanställningen kan göras med rutinbetonade åtgärder, det vill säga med en begränsad arbetsinsats som inte medför nämnvärda kostnader. E-postloggar, cookiefiler och globalfiler är enligt praxis att betrakta som upprättade allmänna handlingar.
: Begreppet arbetshandling eller ”mellanprodukter” är till exempel minnesanteckningar, utkast, sammanställningar av svåröverskådligt material och koncept till beslut. Dessa räknas inte som allmänna handlingar, om de inte har diarieförts eller tagits om hand för arkivering. Denna typ av handlingar är inte allmänna och ska därför inte lämnas ut till allmänheten. Anbud är heller inte en allmän handling förrän tidsfristen har gått ut.
: Handlingar som till sitt innehåll är rent privat är inte allmänna handlingar även om de skulle ha skickats till verksamhetsutövaren. Anställda bör dock undvika att blanda privat post med arbetsrelaterad post. Anställda bör inte skicka arbetsrelaterad post från sin privata e-post liksom att den anställde inte bör skicka e-post med privat innehåll från sin e-post kopplad till arbetet. Om ett e-postmeddelande innehåller både privat och verksamhetskopplad information, räknas mejlet som en inkommen handling och ska diarieföras.

Facklig post, det vill säga information som lämnas från en facklig organisation till ett platsombud på arbetsplatsen, är inte allmänna handlingar.
: När det gäller hantering av e-post gäller i princip samma bestämmelser som för handlingar i övrigt. Innebörden av detta är att ett e-postmeddelande kan komma att lämnas ut till en sökande om inte sekretess hindrar detta samt att innehållet i e-postmeddelandet innehåller uppgifter som man kan koppla till verksamhetsutövaren. Det är därför viktigt att det finns rutiner för att exempelvis öppna och ta hand om e-post och annan post vid medarbetares frånvaro. Frånvaromeddelande per e-post fungerar som information för mottagaren men fritar inte verksamhetsutövaren från ansvaret att öppna och ta hand om e-posten. Att notera är att det är innehållet och inte rubrik på exempelvis ett mejl som avgör handlingens kategori.

Praktiska exempel

Skapande av handling

Innan en handling upprättas, ska personen som upprättar handlingen tänka igenom vilka uppgifter den kommer att innehålla. Fundera över vem som behöver och ska ha tillgång till uppgifterna i för sitt arbete eller sin verksamhet samt i vilken omfattning sekretess eventuellt föreligger för dessa uppgifter.
Den som skapar information (uppgifter) genom att upprätta en handling, eller på annat sätt sammanställer uppgifter, ansvarar också för att en sekretessbedömning av uppgifterna sker.
Föreligger det ingen sekretess i handlingen, ska det inte ske någon markering på dokumentet mer är normal expeditionshantering som exempelvis diarieföring.
Innan handlingen färdigställs bör en sista kontroll göras av innehållet i handlingen för att på nytt säkerställa att sekretessbelagda uppgifter inte lagts till under arbetets gång.

4.5.7 Sekretess vid utlämnande och delning av allmänna handlingar

Vem som helst, svensk eller utländsk medborgare, har rätt att ta del av allmänna handlingar. Verksamhetsutövaren har inte rätt att efterforska varför personen vill ha vissa handlingar eller vad han eller hon heter eller ska ha handlingarna till, i större utsträckning än vad som behövs för att myndigheten ska kunna pröva om hinder föreligger mot att handlingen lämnas ut. Offentlighets- och sekretesslagen reglerar myndigheters och vissa andra organs handläggning vid registrering, utlämnande och övrig hantering av allmänna handlingar. Dessutom finns regler om sekretess, tystnadsplikt och förbud att lämna ut vissa uppgifter ur allmänna handlingar. Det är först när någon begär att få ta del av en handling som den som förvarar den behöver göra en prövning av om uppgifterna i handlingen ska omfattas av någon form av sekretess.

Offentlighets- och sekretesslagen (2009:400) reglerar myndigheters och andra organs handläggning vid registrering, utlämnande och övrig hantering av allmänna handlingar. Även kommuner och kommunala bolag omfattas.

Begäran av utlämnande eller delning av allmän handling

Den som begär ut handlingen kan komma till verksamhetsutövaren och ta del av handlingen på plats eller få en kopia på handlingen. Verksamheten har ingen skyldighet att lämna ut allmänna handlingar elektroniskt, även om det kan vara lämpligt i vissa fall. Information som har lagrats digitalt kan lämnas ut i form av en utskrift.

Om en begäran är otydlig är verksamhetsutövaren skyldig att hjälpa den enskilde att komplettera eller precisera sin begäran så att den kan hanteras, samt att inom rimliga gränser göra de efterforskningar som krävs för att försöka identifiera vilka handlingar den enskilde begär.

Oavsett om den allmänna handlingen innehåller sekretessreglerade uppgifter eller ej så ska handlingen alltid sekretessgranskas (bedömas) innan en utlämning sker. Vid en prövning av om en allmän handling kan delas eller lämnas ut måste man först bedöma om handlingen är en allmän handling eller inte, enligt vad som angivits ovan. Om handlingen inte är en allmän handling behöver den inte lämnas ut. Detta gäller till exempel om handlingen inte längre förvaras vid myndigheten. Den som har begärt ut handlingen men inte får den kan begära att få ett skriftligt beslut med motivering och hänvisning till hur man överklagar. Arbetsgången vid en sådan begäran beskrivs nedan.

Figur som visar arbetsgång vid begäran av utlämnande allmän handling (inspiration från Livsmedelsverket). Arbetsgången beskrivs i Praktiskt exempel.

Praktiska exempel

Begäran av utlämnande av allmän handling

Begäran om utlämnande inkommer

Hantera begäran skyndsamt/genast (helst samma dag).
Meddela att en sekretessbedömning gör att det kan ta längre tid att få ut handlingen, ifall sådan behövs.
Fråga inte vem som begär eller varför personen begär handlingen.

Bedömning

Förvaras handlingen hos oss?
Är det en allmän handling? Är den inkommen/upprättad?
Innehåller handlingen uppgifter som omfattas av sekretess?
Omfattas uppgifterna av en eller flera bestämmelser i OSL?
Fråga vem som begär ut handlingen om det behövs för sekretessbedömningen.
Maska noggrant och enbart de ord som omfattas av sekretess.

Utlämnande

Lämna ut handlingen.
Skriv tydligt vilka bestämmelser i OSL som gäller för varje maskning.
Meddela att det går att få ett överklagbart skriftligt beslut.
Skriv beslut, med hänvisning om att det går att överklaga, om beslut begärs.

Dokumentation

En person som fått avslag i sin begäran att ta del av allmän handling med hänvisning till OSL, har rätt att överklaga beslutet till Kammarrätten. Vid en eventuell överklagan är det därför viktigt att det finns ett väl dokumenterat underlag för de beslut som fattades i samband med att uppgifterna sekretessbelades. Riskanalysen utgör en viktig del av denna dokumentation.
Det kan vara en bra idé att spara en kopia av det maskade dokumentet som har lämnats ut. Om någon annan begär ut samma dokument bör samma bedömning göras vid utlämnande som tidigare gjorts.

4.5.8 Skillnad mellan handling och uppgift

Huvudregeln är att allmänna handlingar är offentliga, men om uppgifter i en handling omfattas av sekretess enligt någon bestämmelse i OSL ska dessa uppgifter sekretessbeläggas och får inte lämnas ut vare sig muntligen, skriftligen eller på något annat sätt. Det är i den bemärkelsen viktigt att skilja på handlingar och uppgifter i handlingar. Själva handlingen kan oftast lämnas ut till den som begär det, men uppgifterna som framgår i handlingen kan behöva strykas (maskeras/maskas) så att de inte går att läsa, med hänsyn till sekretessregler.

Om en handling innehåller uppgifter som ska beläggas med sekretess ska man täcka över de uppgifterna och lämna ut resterande del av handlingen som då blir offentlig. En sådan övertäckning kan exempelvis ske på en kopia av originalet och där man med hjälp av en svart penna stryker över de sekretessbelagda uppgifterna och skannar igen eller kopierar innan utlämningen sker, för att försvåra att man kan se igenom överstrykningen. Att maska eller täcka över uppgifter är svårt att göra helt säkert digitalt. Därav rekommenderas att digitala handlingar skrivs ut, maskas och skannas in igen innan utlämning.

I bilden visas en handling med maskerade uppgifter. Handlingen är allmän och kan lämnas ut men de flesta av uppgifterna i handlingen har sekretessbelagts och maskerats.

Vem ska göra bedömningen?

Det är den som har handlingen i sin vård som är den som i första hand ska pröva om en handling/uppgift ska lämnas ut. Det bör framgå i arbets- eller delegeringsordning vilket mandat man har att lämna ut handlingar. I tveksamma fall ska den anställde låta verksamhetsstället göra prövningen av ett eventuellt utlämnade.

Rätt nivå av sekretess

För mycket sekretess också kan utgöra en säkerhetsrisk. Anordningars position kan behöva vara sekretessbelagda för att skyddas från sabotage och antagonistiska angrepp samtidigt som anordningars position kan behöva vara kända för att skyddas vid exempelvis grävarbeten. I vissa fall kan en lämplig lösning vara att lämna ut uppgiften med förbehåll enligt 10 kap. 14 § OSL. Det innebär att någon görs behörig att ta del av sekre- tessbelagd information under vissa förutsättningar.

Sekretessmarkering

När en handling upprättas eller inkommer som bedöms innehålla känsliga uppgifter ska det genomföras en metodisk sekretessbedömning av handlingens innehåll. En första sekretessbedömning bör genomföras av den som har upprättat handlingen. Om innehållet i handlingen bedöms kunna sekretessbeläggas förses handlingen med en så kallad sekretessmarkering (se 5 kap. 5 § OSL). En sekretessmarkering utgör i sig inte något hinder mot ett utlämnande, men den utgör en varningssignal att handlingen kan innehålla uppgifter som omfattas av sekretess och behöver bedömas innan den kan lämnas ut eller delas med andra. En skarpare sekretessbedömning görs i samband med en begäran om utlämnande eller överföring av en sekretessbelagd handling. Det kan i den sekretessbedömningen behövas hjälp av en jurist.

Säkerhetsskyddsklassificering och sekretessbedömning

Som beskrivs ovan görs alltså en sekretessmarkering redan vid inkommandet eller upp- rättandet av en uppgift i en handling medan den huvudsakliga sekretessbedömningen görs först vid utlämnandet av en handling. Detta förfarande ska särskiljas från hanteringen av säkerhetsskyddsklassificerad information som alltid ska klassificeras och hanteras enligt reglerna om säkerhetsskydd redan vid skapandet av handlingen. En handling som är säkerhetsskyddsklassad omfattas också alltid av sekretessbestämmelser. Se även avsnitt 4.1.

Uppmaning eller viktig information

Det är viktigt att organisationen har klara och tydliga regler om vem som hanterar utlämnande och vem som är aktförvarare samt att man har mandat och utbildning för detta.

4.5.9 Lagstöd för att sekretessbelägga uppgifter

Det är oftast den som upprättar handlingen (verksamhetsstället) som fattar beslut om en uppgift ska omfattas av sekretess eller inte. Det är även verksamhetsutövaren som ansvarar för att ta fram det bakgrundsmaterial (till exempel riskanalyser) som ska ligga till grund som en del av beslutet att sekretessbelägga uppgifterna. En grundförutsättning är att det finns lagstöd för att sekretessbelägga i OSL, paragraferna som är aktuella redovisas nedan. Utan lagstöd finns ingen grund för sekretess, oavsett hotbild etc.

Följande text syftar till att förenkla bedömningen om en handling kan omfattas av sekretess genom att ge exempel på uppgifter som eventuellt kan skyddas med stöd av offentlighets- och sekretesslagen. Observera att handlingar även kan vara säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen.

Hur avgörs om en uppgift ska sekretessbeläggas?

För att bedöma om en uppgift ska sekretessbeläggas, behöver man ha kännedom om vilka bestämmelser som kan tillämpas och tillämpa dessa i rådande situation och vilken hotbild som finns mot verksamheten. Sekretessbedömningen kan variera eftersom hotbilden förändras över tid.

När man beskriver varför en handling ska omfattas av sekretess bör man vara noggrann. Dels behöver man skriva hur uppgiften rör området som omfattas av bestämmelsen, dels behöver man klargöra vad ett röjande av uppgiften skulle kunna innebära. En bedömning av innehållet måste göras i varje enskilt fall för uppgifterna i den handling som ska sekretessbeläggas. Det är inte tillåtet att generellt stämpla en handling med sekretess utan att det finns konkreta grunder för sekretess i handlingens uppgifter.

Det går inte heller att motivera beslutet att en handling ska omfattas av sekretess bara med hänvisning till att en viss typ av uppgifter finns som exempel i denna handbok. De sekretessbestämmelser som gås igenom nedan (15:2, 18:8, 18:13 OSL) är begränsade genom så kallat rakt skaderekvisit. Vid raka skaderekvisit är utgångspunkten att uppgifterna är offentliga och att sekretess bara gäller om det kan antas att en viss skada uppkommer om uppgiften röjs.

En och samma handling kan sekretessbeläggas med hänvisning till flera paragrafer och lagrum. Det är viktigt att ha med sig att varje aktör har bäst kunskap om sin egen verksamhet och har kunskap om anledningar till att en viss uppgift behöver beläggas med sekretess. Den kunskapen behöver förmedlas om handlingen delas med en annan myndighet till exempel.

Texten nedan som rör sekretesslagstiftning är till stor del hämtad från SOU 2021:81, En säker tillgång till dricksvatten av god kvalitet.

Olika sekretessbestämmelser

: Enligt 15 kap. 2 § offentlighets- och sekretesslagen gäller sekretess för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. För att en uppgift ska omfattas av försvarssekretess ska den uppnå två krav. Uppgiften ska för det första röra eller handla om viss verksamhet och för det andra ska det kunna antas att ett röjande av uppgiften vållar fara för rikets säkerhet. Båda kraven behöver alltså bedömas och uppnås för att sekretessbeläggning ska vara aktuellt.

VA-försörjningen är en samhällsviktig verksamhet som är en del av Sveriges totalförsvar. För att omfattas av försvarssekretess måste det dock även kunna antas att ett röjande av uppgifter kan ha betydelse för Sveriges säkerhet. Ett röjande av vissa uppgifter skulle kunna innebära en minskad förmåga att försvara landet eller minskade möjligheter att uthärda ett krig (till exempel försörjning med dricksvatten). Det kan handla om uppgifter rörande särskilt stora anläggningar och anläggningar som levererar dricksvatten till vissa försvarsanläggningar, kärnkraftverk eller liknande. Beskrivning av vitala delar och anläggningar i försörjningssystemet och olika planer för VA-försörjningen är sådana uppgifter som kan skyddas med stöd av försvarssekretessen.

Efter bedömning i det enskilda fallet kan följande uppgifter skyddas med stöd av 15 kap. 2 § OSL, om så är fallet är uppgifterna säkerhetsskyddsklassificerade:

Vitala delar av systemet för vatten- och avloppsförsörjning

Beskrivning av anläggningar; läge och utformning, tekniska beskrivningar, ritningar.

Drift av anläggningar; driftinstruktioner och rutiner.

Kapacitet, funktion och roll i försörjningssystemet. Hydrauliska beräkningar.

Säkerhet kring vitala anläggningars styr- och övervakningssystem.

Analyser och planer

Risk- och sårbarhetsanalyser, säkerhetsanalyser, förmågebedömningar.

Beredskapsplaner och handlingsplaner av VA-försörjningen i samband med allvarliga störningar.

Uppgifter som i detalj redogör för planeringen av el-, avlopp- och vattenförsörjningen.

Övrigt

Skyddsåtgärder; skalskydd, larm, bevakningsåtgärder.

Personuppgifter för ett större antal anställda inom totalförsvarsviktig verksamhet.

Beredskapslager.
: En annan sekretessgrund som kan bli aktuell när det gäller dricksvattenförsörjningen är den som rör säkerhets- eller bevakningsåtgärder. En sådan bestämmelse finns i 18 kap. 8 § OSL och gäller för olika brottsförebyggande åtgärder som i huvudsak hänför sig till annan verksamhet än polisens. Vissa av åtgärderna syftar endast mera indirekt till att förebygga brott.

För att sekretessbelägga uppgifter enligt paragrafen ska den uppnå två krav. Uppgiften ska för det första ge upplysning om en säkerhets- eller bevakningsåtgärd och för det andra ska det kunna antas att syftet med åtgärden motverkas om uppgiften röjs. Båda kraven behöver alltså bedömas och uppnås för att sekretessbeläggning ska vara aktuellt.

De åtgärder som aktualiseras i samband med dricksvattenförsörjningen återfinns i paragrafens följande punkter och avser:

Punkt 1, byggnader eller andra anläggningar, lokaler eller inventarier.

Punkt 3, tele-kommunikation eller system för automatiserad behandling av information.

Punkt 4, behörighet att få tillgång till upptagning för automatiserad behandling eller annan handling. Den för dricksvattenförsörjningen mest relevant

Den för dricksvattenförsörjningen mest relevanta punkten är den första. Säkerhets- eller bevakningsåtgärder för byggnader, anläggningar och lokaler avser utformningen av tillträdesbegränsning som ska hindra att obehöriga får tillträde till utrymmen eller att upptäcka obehöriga. Exempel på detta är mekaniskt inbrottsskydd, passerkontroll, övervakningssystem och manuell bevakning.

Med system för automatiserad behandling av information i tredje punkten avses system där datorer, telekommunikation eller annan teknisk utrustning samverkar för att insamla, ordna, bearbeta, söka och distribuera information.

Sekretessen enligt fjärde punkten gäller i första hand uppgifter om behörighetskoder och behörighetsnycklar samt arrangemang och fördelning av dessa, däremot inte generellt program för hemliga upptagningar.

Exempel på uppgifter som ger information om säkerhets- eller bevakningsåtgärd och som skulle kunna skyddas med stöd av 18 kap. 8 §:

Beskrivning av delar och anläggningar i vattenförsörjningssystemet - läge och utformning, tekniska beskrivningar, ritningar.

Driftinstruktioner, rutiner.

Säkerhet kring styr- och övervakningssystem.

Skyddsåtgärder - skalskydd, larm, bevakningsåtgärder.

Upphandlingar av skalskydd, larm, passerkontrollsystem och bevakningstjänster.
: En tredje för dricksvattenförsörjningen relevant sekretessbestämmelse finns i 18 kap. 13 § offentlighets- och sekretesslagen. Av den framgår att sekretess gäller för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför samt hantering av sådana situationer.

För att sekretessbelägga uppgifter enligt paragrafen ska den uppnå två krav. Uppgiften ska för det första röra eller handla om viss verksamhet och för det andra ska det kunna antas att det allmännas möjligheter att förebygga och hantera fredstida kriser motverkas om uppgiften röjs. Båda kraven behöver bedömas och uppnås för att sekretessbeläggning ska vara aktuellt.

Med begreppet fredstida krissituationer avses mycket allvarliga kriser, alltså inte olyckor och andra händelser av mer vardaglig karaktär. Verksamhet i form av risk- och sårbarhetsanalyser syftar till att minska samhällets sårbarhet, bland annat genom att öka myndigheternas förmåga att förutse och hantera fredstida krissituationer. För att uppgifter i denna verksamhet inte ska kunna utnyttjas till angrepp mot myndigheter, enskilda eller samhället i stort är det i viss utsträckning nödvändigt att begränsa insynen i denna verksamhet. Handlingar som utarbetas vid genomförandet av risk- och sårbarhetsanalyserna kan komma att innehålla uppgifter som är känsliga ur säkerhetssynpunkt för verksamheter. Bestämmelsen bör således vara tillämplig på uppgifter som har insamlats eller producerats inom ramen för analys-, planerings- eller förberedelseverksamheten avseende fredstida kriser.

Exempel på uppgifter som skulle kunna skyddas med stöd av 18 kap. 13 § OSL:

Uppgifter om sårbarheter - bristande redundans och gränssättande tekniska faktorer, var reaktionstiden är lång, var möjligheten att upptäcka en incident är låg.

Personallistor över nyckelpersoner.

Uppgifter om beroendeförhållanden till vissa leverantörer.

Risk- och sårbarhetsanalyser, säkerhetsanalyser, förmågebedömningar och stabers uthållighet.

Planering av vattenförsörjningen i samband med allvarliga störningar, som beredskapsplaner, handlingsplaner, delar av nödvattenplaner och uppgifter om beredskapslagers positioner.

Uppgifter som troligen inte kan omfattas av sekretess är:

Uppgifter som snabbt blir inaktuella.

Brister och oförmågor hänförliga till felbedömningar eller oskicklighet.

Reparabla brister som hanteringen av krisen visar måste åtgärdas och som enkelt kan åtgärdas.

4.5.10 Exempel på sekretess inom VA-verksamhet

I nedanstående förteckning listas exempel på handlingar och uppgifter inom VA-verksamheten som kan innehålla skyddsvärda uppgifter och därmed sekretessbeläggas. Av förteckningen framgår även vilken eller vilka av ovan beskrivna paragrafer i OSL som skulle kunna användas som stöd i sekretessbedömningen. Det är dock inte möjligt att generellt hänvisa till ett visst lagrum i offentlighets- och sekretesslagen, varje uppgift och handling måste hanteras specifikt utifrån förutsättningarna i den egna verk- samheten och rådande hotbild.

Stödet i lagparagraferna kan styras av till exempel anläggningarnas storlek och om det finns speciellt sårbara eller viktiga abonnenter anslutna till den specifika anläggningen. Därför hänvisas ofta till mer än en paragraf.

Skyddsvärda uppgifter	Paragraf i OSL
Vattentäkt
Uppgifter angående vattentäkten och dess skyddsområde, till exempel lägesrelaterade uppgifter (ex. observationsrör), beskrivning av vattenflöden, uppgifter angående sårbarhet, kapacitet och uttagsmängd.	15:2, 18:8, 18:13
Uppgifter angående uttagsbrunnens och brunnsöverbyggnadens läge, utformning samt larmfunktion (grundvatten)	15:2, 18:8, 18:13
Uppgifter angående råvattenintaget och råvattenstationens läge, utformning, samt larmfunktion (ytvatten)	15:2, 18:8, 18:13
Vattenverk
Uppgifter angående byggnadens läge (kartor, koordinater)	15:2, 18:8
Uppgifter angående byggnadens utformning och konstruktion - ritningar, tekniska beskrivningar	15:2, 18:8
Uppgifter om maxkapacitet, detaljerad beredningsinformation med sårbarheter, information om processer för provtagning och mätning	15:2, 18:13
Uppgifter angående skalskydd, larmfunktioner, nyckelhantering, passerkontroll, bevakningsåtgärder	18:8
Uppgifter angående drift och övervakning (driftdata, driftinstruktioner, rutiner)	15:2, 18:8
Uppgifter angående styr- och övervakningssystem (SCADA-system)	15:2, 18:8
Distributionssystem (ledningsnät, reservoarer, tryckstegringar, fördelningskammare, brand- och spolposter, ventiler, tunnlar)
Uppgifter angående vitala anläggningsdelars läge (ledningsnätskartor, koordinater) Ledningar där skada skulle ge omfattande negativa konsekvenser och ledningar till skyddsvärda objekt	15:2, 18:8, 18:13
Uppgifter angående vitala anläggningsdelars utformning och konstruktion	15:2, 18:8
Annan information angående ledningsnätet, till exempel datamodeller och hydrauliska beräkningar som beskriver flödet i nätet och utgör säkerhets- eller bevakningsåtgärd	15:2, 18:8
Uppgifter angående skalskydd, larmfunktion, nyckelhantering, passerkontroll och bevakningsåtgärder vid vitala delar i distributionssystemet	15:2, 18:8
Övergripande
Beskrivning av verksamhetens totala skalskydd Bemanningsscheman för anläggningar som ibland är oövervakade	15:2, 18:8
Risk- och sårbarhetsanalyser, säkerhetsanalyser, förmågebedömningar - bedömningar av krishanteringsförmågan, (kapacitet och vid kris och höjd beredskap), personallistor som avslöjar en krisorganisation	15:2, 18:13
Beredskapsplaner, handlingsplaner, delar av nödvattenplaner	15:2, 18:13
Uppgifter angående sårbara abonnenter, stora konsumenter och samhällsviktiga funktioner som försörjs med dricksvatten	15:2, 18:13
Uppgifter angående skyddsobjekt inom vattenförsörjningen	15:2, 18:13
Upphandling av skalskydd, larm, passerkontrollsystem och bevakningstjänster	18:8

Uppgifter som sannolikt är öppna

Namn på vattentäkter (ordinarie och reservtäkter). Olika förbud som gäller inom ett område.

Namn och adress till vattenverk (i undantagsfall kan uppgifter om särskilt skyddsvärda anläggningar omfattas av sekretess). Allmän beredningsinformation och produktionsvolym. Uppgifter om vattenkvalitet på rå- och dricksvatten.

Verksamhetsområde och distributionsområde. Antal anslutna kunder. Begränsade delar av ledningsnätet (för ex. ledningsvisning), ledningsrätter (exakt läge kan ibland omfattas av sekretess). Personallistor med löner.

Övergripande beskrivningar av risker till exempel utmaningar med vattenbrist, kvalitetsproblem eller förnyelsebehov.

Avslag på begäran

När någon begär ut en allmän handling eller en uppgift i en handling ska det alltid göras en sekretessprövning för att avgöra om den kan lämnas ut eller inte. Om den allmänna handlingen är offentlig ska den omedelbart lämnas ut. En handling som innehåller sekretessbelagda uppgifter ska lämnas ut i de delar som är offentliga. Om sekretessbelagda uppgifter behöver döljas i en handling ska dessa maskeras.

Om begärda uppgifter inte kan lämnas ut på grund av sekretess ska den som har begärt uppgifterna meddelas bedömningen och skälen till att handlingen eller delar av den inte kan lämnas ut. I sambandmed detta ska man också meddela den enskilde om att den har rätt till ett skriftligt avslagsbeslut. Av beslutet ska det framgå varför uppgifterna inte kan lämnas ut med motivering och en hänvisning till aktuellt lagrum i OSL. Det ska också framgå hur beslutet kan överklagas. För stöd med formuleringen av beslut kan en jurist tillfrågas. Avslagsbeslut fattas slutgiltigt av VD eller annan chef.

Utlämning med förbehåll

I vissa fall kan det vara aktuellt att lämna ut sekretessbelagd information till enskilda med ett förbehåll för att handlingen ska lämnas ut. Som tidigare nämnts räcker det inte med att uppgiften kan knytas till en paragraf i OSL för att den ska omfattas av sekretess, utan det krävs också att ett röjande kan innebära skada enligt den aktuella paragrafen. Att en uppgift lämnas ut, till exempel ett kartmaterial i samband med grävarbeten, behöver inte innebära någon skada under förutsättning att uppgifterna används som avsett och inte sprids vidare. I förbehållet ställs krav på hanteringsregler som att uppgifterna inte får spridas vidare, att handlingen inte får kopieras, att den ska förvaras på ett sätt så att ingen annan kan ta del av den och så vidare.

Uppmaning eller viktig information

Det är inte tillåtet att ”missbruka” sekretessmarkeringar genom att generellt stämpla en handling med sekretess, utan att det finns några grunder för att det finns sekretess i handlingens uppgifter.

Praktiskt exempel

Uppgifter om VA-ledningars positioner

När det gäller uppgifter om ledningars lägen finns ledningskollen.se som ett hjälpmedel för att minska antalet grävskador på samhällets infrastruktur. Det är Post- och telestyrelsen, PTS, som driver tjänsten som finansieras med offentliga medel. Genom denna tjänst kan ledningsägare anmäla att de äger ledningar inom ett område. Om en entreprenör eller annan aktör vill gräva i området kan denne efterfråga uppgifter och ledningsägaren bedömer då vad som ska lämnas ut och hur.

Fördjupning

Ledningskollen

Regeringen

SOU 2021:81, En säker tillgång till dricksvatten av god kvalitet sid 292 ff.

4.5.11 Delning av information till myndigheter och kontrollfunktioner

Sekretess mellan myndigheter

Som nämndes i avsnitt 4.5.5. om offentlighetsprincipen, får rätten att ta del av allmänna handlingar endast begränsas (genom exempelvis sekretess) enligt de punkter som nämns i 2 kap. 2 § TF. Gäller sekretess enligt OSL för en uppgift är huvudregeln att uppgiften inte får röjas för vare sig enskilda eller andra myndigheter.

Myndigheter har en skyldighet att hjälpa varandra, vilket framgår av bland annat 8 § Förvaltningslagen. Detta gäller dock inte kommunala bolag. En myndighet ska också, på begäran av en annan myndighet, lämna ut uppgifter som den förfogar över – om inte uppgiften är sekretessbelagd eller arbetets gång skulle hindras (6 kap. 5 § OSL).

Ibland kan uppgiftsskyldighet mellan myndigheter följas av särskilda bestämmelser och undantag, eftersom sekretessbelagda uppgifter inte ska nå en större krets än vad som är absolut nödvändigt. Sekretessen gäller som huvudregel även mot utländska myndigheter.

Sekretess inom myndigheter

Den sekretess som gäller mellan olika myndigheter gäller också inom samma myndighet i de fall där de olika verksamheterna inom myndigheten är självständiga i förhållande till varandra.

Dela sekretessbelagd information

För att få lämna en sekretessbelagd uppgift mellan myndigheter måste det finnas en regel som tillåter att sekretessen bryts, exempelvis en lagreglerad uppgiftsskyldighet.

I 10 kap. OSL finns några generella undantag och sekretessbrytande bestämmelser. Det finns även sådana regleringar i andra lagar.
I 10 kap. 2 § OSL finns en generalklausul. Den bestämmelsen innebär att en myndighet får lämna ut uppgift till en enskild eller till en annan myndighet om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Bestämmelsen ska tolkas restriktivt och du behöver göra en bedömning i varje enskilt fall.
Du måste också ta hänsyn till de begränsningar i informationsutbytet som följer av dataskyddsregleringen och bestämmelser om personuppgifter.

Dela uppgifter som bedöms omfattas av sekretess

För att möjliggöra samarbete mellan myndigheter finns, som redan nämnts, flera undantag i lag som underlättar samarbetet genom att sekretessen bryts. När det gäller de paragrafer som avsnittet ovan refererar till, och som kan vara tillämpliga inom VA-sektorn, inleds samtliga paragrafer 15 kap. 2 §, 18 kap. 8 § och 18 kap. 13 § OSL med orden ”Sekretess gäller för uppgift som...”.

Den skrivningen innebär att:

sekretessen för denna typ av uppgifter är ”klistrad” på uppgiften och gäller vart än i myndighetsvärlden som uppgiften befinner sig
sekretessen inte röjs när uppgiften överförs mellan myndigheter
den mottagande myndigheten har samma sekretessbestämmelse att tillämpa som den utfärdande myndigheten.

Det här kan vara problematiskt ibland – och lagstiftaren förespråkar därför samråd mellan myndigheter innan beslut fattas. Den myndighet som mottagit en uppgift som omfattas av sekretess, och som sedan fått begäran om utlämnande av den, bör med andra ord samråda med den myndighet som initialt lämnat ut uppgiften.

För att underlätta, kan den myndighet/aktör som initialt lämnar ut en sekretessbelagd uppgift till en annan myndighet, skicka med ett följebrev som tydligt förklarar varför uppgiften omfattas av en eller flera sekretessbestämmelser. Om den mottagande myndigheten sedan får en begäran om att lämna ut uppgiften, förenklar följebrevet samråd med den myndighet som lämnade ut handlingen och som gjort ursprunglig sekretessbedömning.

Tips

Om en särskild myndighet, till exempel lantmäteriet, ofta tar del av uppgifter kan du prata med myndigheten och förklara att du alltid vill att de samråder med dig om uppgifter de har skickat begärs ut. Då slipper du skriva varje gång.

Tillsyn och revision

Enligt OSL hindrar inte sekretess att en uppgift lämnas till en myndighet om uppgiften behövs för tillsyn över eller revision hos den myndighet där uppgiften förekommer (10 kap 17 § OSL). Om en myndighet, i samband med tillsyn eller revision, får en sekretess- reglerad uppgift från en annan myndighet, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten. Samma sak tillämpas dock inte på en uppgift som ingår i ett beslut hos den mottagande myndigheten (11 kap. 1 § OSL).

Uppgifter som omfattas av sekretess kan dock behöva lämnas ut till sammanslutningar och berörda näringsidkare. Den sekretessbrytande bestämmelse som då kan användas är att uppgiften lämnas ut med förbehåll enligt 10 kap. 14 § OSL. Förbehållet ska meddelas och det är bra att förtydliga att om tystnadsplikten bryts så kan det leda till åtal enligt Brottsbalken.

Dela säkerhetsskyddsklassificerad information

Den som tar emot en säkerhetsskyddsklassificerad handling är inte bunden av den tidigare säkerhetsskyddsklassificeringen av uppgifterna i handlingen. Utgångspunkten bör ändå vara att den ursprungliga säkerhetsskyddsklassificeringen ska godtas, om det inte tillkommit några nya omständigheter. Den som upprättat handlingen har bäst möjlighet att bedöma vilken skada ett röjande skulle medföra för Sveriges säkerhet, särskilt om uppgifterna rör verksamhetsutövarens egen verksamhet, enligt SÄPO:s vägledning Informationssäkerhet.

Tips

Om du får en uppgift som överlämnaren beskriver som ”känslig”, men som inte har någon stämpel – ta inte emot handlingen. Be överlämnaren att klassa och stämpla handlingen så att du vet hur du ska hantera den. Tänk på att du inte alltid behöver överlämna handlingar. Kan personen som ska se över en handling i stället komma på platsbesök?

Tillsyn

Den som står under tillsyn ska på begäran tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen. Tillsynsmyndigheten har rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn.

Geografisk miljöinformation

Lagen (2010:1767) om geografisk miljöinformation syftar till att etablera en infrastruktur med ett sammanhängande elektroniskt system för tillgång till och utbyte av geografisk information. Informationen är användbar för verksamheter och åtgärder som kan påverka människors hälsa eller miljö, det som kallas geografisk miljöinformation.

Systemet som inrättats i Sverige är en del av motsvarande informationssystem inom EU. Följande riktlinjer gäller:

Myndigheter, kommuner och vissa enskilda organ som har geografisk miljöinformation, ska medverka i systemet genom att elektroniskt göra informationen och tjänster tillgängliga för allmänheten (informationsansvar).
De ska också dela information med andra myndigheter, kommuner och enskilda organ som fullgör offentliga förvaltningsuppgifter med betydelse för miljön (samarbete).
Om uppgiften träffas av sekretessbestämmelser ska den inte delas. I 10 kap 5a § OSL anges att sekretess enligt 15 kap, 18 kap 1–3, 8, 11 och 13 §§ hindrar att en uppgift som utgör metadata om geografisk miljöinformation eller informationshanterings- tjänster enligt 6 § lagen om geografisk miljöinformation görs tillgänglig genom en sådan informationshanteringstjänst som avses i lagens 11 § och som tillhandahålls av en myndighet.
När en informationsansvarig myndighet avgör om en sekretessreglerad uppgift ska göras tillgänglig, ska de göra en avvägning mellan sekretessintresset och intresset av allmän kännedom. Uppgiften ska göras tillgänglig i de fall där dess betydelse ur miljösynpunkt har företräde framför det som sekretessen ska skydda.

Lagen om allmänna vattentjänster

Praktisk projektledning för VA-projekt

VA-statistik – VASS

Branschgemensamma kommunikationskoncept

Dricksvatten

Dricksvatten

VA-infrastruktur

VA-infrastruktur

Avlopp och miljö

Avlopp och miljö

Klimat och hållbarhet

Klimat och hållbarhet

Säkerhet och beredskap

Säkerhet och beredskap

Kommunikation och samverkan

Kommunikation och samverkan

Organisation och styrning

Organisation och styrning

Juridik

Juridik

VA-statistik och rapporter

VA-statistik och rapporter

Konferenser och evenemang

Konferenser och evenemang

Utbildningar

Utbildningar

Lagen om allmänna vattentjänster

Praktisk projektledning för VA-projekt

Forskning och utveckling

Forskning och utveckling

Forskningsprojekt

Forskningsprojekt

Nätverk & kommittéer

Nätverk & kommittéer

Medlem & partner

Medlem & partner

VA-statistik – VASS

Branschgemensamma kommunikationskoncept

Verksamhet och strategi

Verksamhet och strategi

Nyheter och press

Nyheter och press

Kontakt och information

Kontakt och information

4.5 Informationssäkerhet

Introduktion

Sammanfattning

Hur tillgängliga ska uppgifterna vara?

Uppmaning eller viktig information

4.5.1 Metoder för arbete med informationssäkerhet

Tips

4.5.2 NIS – Informationssäkerhet för samhällsviktiga och digitala tjänster

Vem omfattas av lagen?

NIS

4.5.3 Informationssäkerhet enligt säkerhetsskyddslagstiftning

Hantering och förvaring av säkerhetsskyddsklassificerade handlingar, märkning av lagringsmedium

Distribution och medförande utanför verksamhetens lokaler

Förstöring av säkerhetsskyddsklassificerade handlingar

4.5.4 Informationssäkerhet enligt dataskyddsförordningen

Personuppgifter

4.5.5 Offentlighet och sekretess

Offentlighetsprincipen

4.5.6 Begreppet handling

Skapande av handling

4.5.7 Sekretess vid utlämnande och delning av allmänna handlingar

Begäran av utlämnande eller delning av allmän handling

Begäran av utlämnande av allmän handling

4.5.8 Skillnad mellan handling och uppgift

Vem ska göra bedömningen?

Rätt nivå av sekretess

Sekretessmarkering

Säkerhetsskyddsklassificering och sekretessbedömning

Uppmaning eller viktig information

4.5.9 Lagstöd för att sekretessbelägga uppgifter

Hur avgörs om en uppgift ska sekretessbeläggas?

4.5.10 Exempel på sekretess inom VA-verksamhet

Uppgifter som sannolikt är öppna

Avslag på begäran

Utlämning med förbehåll

Uppmaning eller viktig information