Sekretessbelagda uppgifter är känsliga uppgifter som enligt lag eller annan författning endast är tillgängliga för vissa grupper av personer. För att hantera sekretessbelagda handlingar eller få tillgång till sekretessbelagda uppgifter krävs en formell säkerhetsprövning. För att få ett säkerhetsgodkännande krävs en tillfredsställande bakgrundsutredning. Det finns vanligtvis flera olika nivåer av känslighet, med olika krav på säkerhetsprövning. Denna typ av hierarkiskt system för att dela information mellan en grupp människor används nästan av alla nationella regeringar. Att tilldela uppgifter en känslighetsnivå kallas dataklassificering.

Syftet med klassificering är att skydda information från att användas för att skada eller äventyra den nationella säkerheten. Klassificering formaliserar vad som utgör en "statshemlighet" och behandlar olika skyddsnivåer utifrån den förväntade skada som informationen kan orsaka om den hamnar i fel händer.

Vissa icke-statliga organisationer och företag har också sin egen hemliga information, som vanligtvis kallas affärshemligheter.

Vad som omfattas av sekretessbelagda uppgifter

Sekretessbelagda uppgifter kan röra bland annat:

  • militär och försvarsrelaterad information, planer och tekniska detaljer;
  • uppgifter om rikets säkerhet eller internationella förbindelser;
  • operativa polisiära och underrättelseuppgifter;
  • personuppgifter som kräver högt skydd (t.ex. skyddade identiteter);
  • kritisk infrastruktur och säkerhetskänsliga IT-system;
  • affärshemligheter och känslig ekonomisk information i privat sektor.

Klassificeringsnivåer och principer

Det finns flera sätt att dela in känsliga uppgifter i nivåer. I praktiken används ofta en hierarki där högre nivåer kräver strängare skydd och mer omfattande säkerhetsprövning. Vanliga begrepp (på både internationella och nationella system) innefattar nivåer som kan översättas till svenska termer som:

  • Högsta hemlig (Top Secret) – uppgifter vars obehöriga spridning kan orsaka mycket allvarlig skada;
  • Hemlig (Secret) – uppgifter som kan orsaka allvarlig skada vid obehörig åtkomst;
  • Konfidentiell (Confidential) – uppgifter som kan orsaka skada;
  • Begränsad eller internt klassificerade uppgifter – lägre känslighet, men ändå skyddsvärda.

Principer som styr klassificering är bland annat need-to-know (åtkomst endast för dem som behöver informationen för sina arbetsuppgifter), proportionellt skydd utifrån skaderisk och regelbunden översyn av klassificeringen.

Rättsligt ramverk i Sverige

I Sverige regleras sekretess och hantering av skyddsvärda uppgifter i flera lagar och författningar, bland annat offentlighets- och sekretesslagen (OSL) som styr statliga myndigheters sekretess, samt säkerhetsskyddslagen som reglerar säkerhetsskydd för att motverka skada mot Sveriges säkerhet. Dessutom påverkar regelverk som GDPR hanteringen av personuppgifter. Offentlighetsprincipen står parallellt med sekretessbestämmelserna och innebär att allmänheten som huvudregel har rätt att ta del av allmänna handlingar, men sekretessbestämmelser kan inskränka denna rätt när skydd krävs.

Säkerhetsprövning och säkerhetsklassning

Säkerhetsprövning är den formella processen för att bedöma huruvida en person är lämplig att få tillgång till sekretessbelagda uppgifter. Vanliga steg i en säkerhetsprövning är:

  • identitets- och bakgrundskontroller;
  • registerkontroller (t.ex. belastningsregistret) och ibland ekonomiska upplysningar;
  • referenskontroller och intervjuer;
  • bedömning av lojalitet, pålitlighet och sårbarhet för otillbörlig påverkan;
  • beslut om säkerhetsklassning och eventuellt utfärdande av ett säkerhetsbesked eller behörighet.

Säkerhetsprövningar kan vara inledande vid anställning och återkommande under anställningen (periodisk återprövning). Behörigheten utfärdas av ansvarig myndighet eller av arbetsgivaren i enlighet med gällande regelverk.

Tekniska och organisatoriska skyddsåtgärder

För att skydda sekretessbelagda uppgifter används både organisatoriska och tekniska åtgärder:

  • fysisk säkerhet: låsta rum, säkerhetsklassade arkiv, passerkontroll;
  • IT-säkerhet: kryptering, säkra kommunikationskanaler, åtkomstkontroller och loggning;
  • administrativa rutiner: tydliga behörighetsregler, målgruppsmärkning och dokumenthanteringsrutiner;
  • utbildning och säkerhetsmedvetande för anställda samt regelbundna övningar;
  • säker destruktion av dokument och media (t.ex. makulering eller säker rensning).

Hantering i privat sektor: affärshemligheter

Företag skyddar känslig företagsinformation genom sekretessavtal (NDA), intern klassificering och tekniska skydd. Affärshemligheter omfattas inte nödvändigtvis av offentlighetslagstiftning men kan skyddas både civilt och straffrättsligt vid obehörigt röjande.

Incidenter, läckor och påföljder

Obehörigt avslöjande av sekretessbelagda uppgifter kan leda till allvarliga konsekvenser, exempelvis skada för rikets säkerhet, ekonomiska förluster eller personrisker. Myndigheter och arbetsgivare har rutiner för incidentrapportering, utredning och åtgärder för att begränsa skador. Brott mot bestämmelser om skydd för hemliga uppgifter kan leda till disciplinära åtgärder, återkallande av behörighet och i vissa fall straffrättsliga påföljder enligt relevant lagstiftning.

Deklassificering och arkivering

Sekretess är inte alltid permanent. Information kan deklassificeras när skyddsskäl inte längre föreligger, efter särskilda tidsfrister eller efter omprövning. Samtidigt gäller särskilda regler för arkivering av handlingar med sekretess, där ansvariga myndigheter eller organisationer måste säkerställa fortsatt skydd eller ordnad överlämning till arkivmyndighet enligt lagstiftningens krav.

Praktiska råd för den som hanterar sekretessbelagd information

  • Följ alltid din organisations säkerhetspolicy och märkning av handlingar.
  • Dela information endast med personer som har korrekt behörighet och ett tydligt behov.
  • Använd godkända tekniska lösningar för kommunikation och lagring.
  • Anmäl misstänkta incidenter omedelbart till säkerhetsansvarig.
  • Håll säkerhetsprövning och utbildning uppdaterad.

Sammanfattningsvis är sekretessbelagda uppgifter ett centralt verktyg för att skydda både nationell säkerhet och känslig information i offentliga och privata verksamheter. Ett effektivt skydd bygger på tydliga regler för klassificering, robusta tekniska och organisatoriska åtgärder samt kontinuerlig säkerhetsprövning och utbildning.