Vägledning om skyddade data

Vissa kategorier av data som du som offentlig aktör har, så kallade skyddade data, kan tillgängliggöras för vidareutnyttjande under särskilda villkor. Reglerna för hur tillgängliggörandet får gå till finns i EU:s dataförvaltningsförordning och i öppna datalagen. Reglerna innehåller inga krav på att du som offentlig aktör måste tillgängliggöra skyddade data för vidareutnyttjande. I stället ska reglerna användas när du ger tillgång till skyddade data, antingen på frivillig grund eller på grund av skyldigheter i annan lagstiftning.

De flesta offentliga aktörer omfattas

Dataförvaltningsförordningens och öppna datalagens regler om vidareutnyttjande av skyddade data ska tillämpas av alla myndigheter, kommuner och regioner. Undantaget är kulturinstitutioner som exempelvis bibliotek, arkiv och museer samt orkestrar, operor, baletter och teatrar. Även utbildningsinstitutioner är undantagna från reglerna.

Reglerna ska också tillämpas av offentligt styrda organ när det gäller data som har samband med en tjänst av allmänt intresse som organet tillhandahåller.

Det här är skyddade data

Öppna datalagen definierar data som information i digitalt format oberoende av medium. Dataförvaltningsförordningens och öppna datalagens regler om tillgängliggörande av skyddade data ska tillämpas på data som innehas av myndigheter eller offentligt styrda organ och som av vissa anledningar är skyddade.

Insynsskydd för kommersiella uppgifter, inklusive affärs-, yrkes- och företagshemligheter och statistiska uppgifter

Att det finns insynsskydd för viss information kan betyda att det är fråga om uppgifter som är sekretessbelagda enligt offentlighets- och sekretesslagen. Dataförvaltningsförordningens och öppna datalagens regler om tillgängliggörande av skyddade data gäller för data som är sekretessbelagda på grund av att de innehåller kommersiella uppgifter, inklusive affärs-, yrkes- och företagshemligheter, eller statistiska uppgifter. Reglerna gäller däremot inte för annan information som är sekretessbelagd.

Skydd av tredje parts immateriella rättigheter

Dataförvaltningsförordningens och öppna datalagens regler om tillgängliggörande av skyddade data gäller även för data som är skyddade på grund av tredje parts immateriella rättigheter. Det kan exempelvis vara fråga om att någon har upphovsrätt till informationen. Den immateriella rättigheten ska tillhöra någon annan än den som tillgängliggör den skyddade informationen.

Skydd av personuppgifter

Skydd av personuppgifter innebär att det finns rättsliga begränsningar i hur personuppgifter i data får behandlas. Om en viss datamängd inte kan tillgängliggöras för vidareutnyttjande enligt öppna datalagens generella regler på grund av att skyddet av personuppgifter inte kan upprätthållas, så utgör datamängden skyddade data.

När du som offentlig aktör tillgängliggör data som innehåller personuppgifter för vidareutnyttjande, behöver du följa dataskyddsförordningens och andra regler om behandling av personuppgifter. Läs mer om vad du behöver tänka på kring behandling av personuppgifter när du tillgängliggör data för vidareutnyttjande på sidan Skydd av personuppgifter

När reglerna ska tillämpas

Dataförvaltningsförordningens och öppna datalagens regler om tillgängliggörande av skyddade data för vidareutnyttjande ska tillämpas

1. när någon som har rätt att få tillgång till skyddade data enligt någon annan lag eller förordning framställer en begäran om tillgängliggörande av data för vidareutnyttjande
2. när en offentlig aktör på eget initiativ tillgängliggör skyddade data som omfattas av lagen med syfte att de ska kunna vidareutnyttjas.

Som offentlig aktör kan du ge tillgång till skyddade data av olika anledningar. Du kan

• tillgängliggöra skyddade data helt på frivillig grund
  
• ha en lagstadgad skyldighet att ge tillgång till vissa typer av data
  
• ha ett allmänt formulerat ansvar att se till att viss information finns tillgänglig för vidareutnyttjande.

Mer information om hur en begäran om tillgängliggörande av data för vidareutnyttjande ska hanteras finns på sidan Begäran om tillgängliggörande av data för vidareutnyttjande.

Reglerna beskriver hur skyddade data får användas

Dataförvaltningsförordningen reglerar vilka villkor du som offentlig aktör kan sätta för själva vidareutnyttjandet – det vill säga användningen av – skyddade data. Reglerna om tillgängliggörande av skyddade data för vidareutnyttjande innebär inte att du som offentlig aktör har några skyldigheter att ge tillgång till skyddade data eller att du måste tillåta vidareutnyttjande av dem. För att du som offentlig aktör ska vara skyldig att ge tillgång till skyddade data för vidareutnyttjande behöver det framgå av annan lagstiftning.

Dataförvaltningsförordningen är direkt tillämplig i EU:s medlemsstater, vilket innebär att du som offentlig aktör ska tillämpa förordningens regler om villkor för tillgång till skyddade data för vidareutnyttjande.

Vad tillgängliggörande för vidareutnyttjande innebär

Att ge tillgång till skyddade data innebär att data kan användas i enlighet med särskilda tekniska, rättsliga eller organisatoriska krav. Det behöver inte nödvändigtvis innebära att data överförs eller laddas ner. Att skyddade data vidareutnyttjas innebär att någon använder dem till ett annat ändamål än det som de ursprungligen framställdes för. Som offentlig aktör ger du tillgång till skyddade data för vidareutnyttjande både om någon laddar ner dina skyddade data, och om någon använder dem i enlighet med särskilda tekniska, rättsliga eller organisatoriska krav, om syftet är att använda dina skyddade data till ett annat ändamål än det som de framställdes för.

Utbyte av skyddade data mellan offentliga aktörer som enbart sker i samband med deras offentliga verksamhet innebär inte ett vidareutnyttjande av skyddade data.

Villkor för vidareutnyttjande av skyddade data

Som offentlig aktör ska du sätta villkor som den som använder dina skyddade data måste följa. Villkoren ska vara

• icke-diskriminerande
  
• transparenta
• proportionerliga
  
• objektivt motiverade med hänsyn till kategorierna av data, vidareutnyttjandets syfte och typerna av data för vilka vidareutnyttjande tillåts.

Villkoren får inte användas för att begränsa konkurrensen.

Anonymisering av data som innehåller personuppgifter

Innan du som offentlig aktör tillgängliggör data som innehåller personuppgifter för vidareutnyttjande kan du välja att anonymisera datamängden.

Du bör bara tillgängliggöra data där personuppgifter har anonymiserats om det saknas skäl att tro att de registrerade kan återidentifieras genom att datamängden kombineras med andra datamängder.

Behandling av data som innehåller affärshemligheter eller information som skyddas av immateriella rättigheter

Innan du som offentlig aktör tillgängliggör data som innehåller affärshemligheter eller information som skyddas av immateriella rättigheter, kan du välja att ändra, aggregera eller på något annat sätt behandla datamängden så att den kan tillgängliggöras utan att den känsliga informationen röjs.

Tillgängliggörande i en säker behandlingsmiljö

Du som offentlig aktör kan också välja att tillgängliggöra datamängden i en säker behandlingsmiljö. Som utgångspunkt ska tillgången till datamängden i så fall ges på distans. Men om det inte kan ske utan att tredje parters intressen och rättigheter hotas, kan tillgången till och vidareutnyttjandet av datamängden i stället ske i de fysiska lokaler där den säkra behandlingsmiljön finns.

När du som offentlig aktör ger tillgång till skyddade data i en säker behandlingsmiljö, behöver du sätta villkor som säkerställer att miljön används på ett sätt som inte avslöjar hur den fungerar. Du ska förbehålla dig rätten att verifiera processen, metoderna och alla resultat från databehandlingen. Du ska också förbjuda användningen av resultat som innehåller information som hotar tredje parters rättigheter och intressen.

Skyddade data som innehåller personuppgifter bör bara tillgängliggöras i en säker behandlingsmiljö om riskerna för de registrerades rättigheter och intressen är mycket små. Innan datamängden tillgängliggörs bör personuppgifterna därför först pseudonymiseras. Du kan dessutom behöva göra en konsekvensanalys enligt dataskyddsförordningens regler eller samråda med Integritetsskyddsmyndigheten innan du tillgängliggör datamängden.

Skyldigheter för den som vidareutnyttjar data

Du som offentlig aktör ska sätta som villkor att den som vidareutnyttjar dina skyddade data åtar sig att inte lämna ut information i datamängden som äventyrar tredje parts rättigheter och intressen. Det gäller om sådan information finns kvar i datamängden trots att du vidtog skyddsåtgärder när du tillgängliggjorde den.

När det gäller data som innehåller personuppgifter behöver du sätta villkor som innebär att den som vidareutnyttjar din data inte får återidentifiera personer vars personuppgifter behandlas genom vidareutnyttjandet. Du ska också sätta villkor som innebär en skyldighet att vidta tekniska och operativa åtgärder för att förhindra återidentifiering. Den som vidareutnyttjar din data måste dessutom underrätta dig om alla uppgiftsincidenter som leder till att personer återidentifieras.

När det gäller andra uppgifter än personuppgifter behöver du sätta villkor som innebär att om uppgifterna används på ett otillåtet sätt, måste den som vidareutnyttjar din data informera de juridiska personer vars rättigheter och intressen kan påverkas. Om det är lämpligt ska du hjälpa dens om vidareutnyttjar din data att kontakta de juridiska personerna.

Inhämtande av samtycke och tillstånd

Det kan finnas situationer när du som offentlig aktör av någon anledning inte kan tillåta att dina skyddade data vidareutnyttjas under de villkor som nämns ovan. I sådana situationer är du skyldig att hjälpa den som vill använda dina skyddade data att få tillåtelse att göra det. Det kan handla om att få samtycke till användningen från personer vars personuppgifter behandlas genom ett vidareutnyttjande. Eller att få tillstånd till användningen från datainnehavare vars rättigheter och intressen kan påverkas av ett vidareutnyttjande. Du behöver hjälpa den som vill använda dina skyddade data så länge det inte innebär en oproportionell börda för dig. Om det behövs har du även rätt att be om hjälp från oss på Myndigheten för digital förvaltning.