Endringer i § 8-9 (Autorisasjon)
UDI støtter JD sitt forslag til endringer i Sikkerhetslovens § 8-9 (Autorisasjon). UDI mener forslaget oppklarer eventuell tvil om hvorvidt det skal foreligge informasjon om hovedpersonen forut for en autorisasjon. UDI vil tilføye at en autorisasjon uten foreliggende opplysninger om risikofaktorer både å behandle og dele slik informasjon, ikke er i tråd med intensjonen for en autorisering. Uten forutgående informasjon som et samtalegrunnlag mister mye av autorisasjonen sitt meningsinnhold. UDI ønsker at praksisen blir tydelig og enhetlig etter bestemmelsenes intensjon, jf. Sikkerhetslovens forarbeide og NOU 2016:19 Samhandling for sikkerhet (Traavik-utvalget).
UDI mener at de personopplysninger som innhentes må kunne anvendes innen en individuell risikobevissthet, jf. Forskrift om sikkerhetsklarering og annen klarering (klareringsforskriften), §6. Sikkerhetsklarering – krav til egenopplysninger . UDI har som utsatt virksomhet mot trusler fra fremmed etterretning erfart at det kan være risikofaktorer i bestemmelsens bokstav a – o som kan ha betydning ikke for egen sikkerhetsmessig skikkethet, men også innsikt i egen risikohåndtering. UDI vil fremheve at bestemmelsens bokstaver er sårbarhetsfaktorer, som Sikkerhetslovens § 8-4 burde vektlegges ved autorisasjon. Dette er informasjon som oppgis av den autoriserte som en tillitsbasert handling, og at det ikke gjennomføres registersøk som ved sikkerhetsklarering. Dette vil være at de opplysningene som normalt sett hovedpersonen oppgir i en personopplysningsblankett (risikofaktorer tilknyttet sikkerhetsmessig skikkethet som personalia, statsborgerskap, opphold utenfor Norge, sivil status og familieforhold, utdanning og arbeidsforhold, vandel, økonomiske interesser i utlandet, nærstående, tilknytning til andre stater eller organisert kriminalitet, økonomi, rus- og dopingmidler, helsetilstand eller andre forhold som kan gi grunn til å frykte at man selv vil kunne opptre i strid med nasjonale sikkerhetsinteresser eller bli presset til sådan).
Som egenopplysninger mener UDI at en forenklet utgave av personopplysningsblankett kan fungere som en hensiktsmessig mal for hvilke opplysninger som bør inngå i en autorisasjon som basis for en samtale. UDI anser ikke disse opplysningene for inngripende, da vi presiserer at det skal foreligge et tydelig tjenstlig behov og være en høy terskel for tilgang til sikkerhetsgradert informasjon.
UDI imøteser også en mulig presisering om at tilgang til informasjon BEGRENSET gjennom gruppeautorisering kun gjelder for spesifikk informasjon (eksempelvis ved orienteringer eller nødautorisasjon) og ikke for generell tilgang til sikkerhetsgradert informasjon ved en virksomhet.
Det bør videre presiseres om varigheten av en autorisasjon. Normalt sett følger denne sikkerhetsklareringens varighet, men dette kan ikke forventes å være tilfelle hvor det kun autoriseres til lavere nivå. En autorisering bør ideelt sett ikke ha en varighet lengre enn en sikkerhetsklarering, normalt fem år.
UDI mener at de personopplysninger som innhentes må kunne anvendes innen en individuell risikobevissthet, jf. Forskrift om sikkerhetsklarering og annen klarering (klareringsforskriften), §6. Sikkerhetsklarering – krav til egenopplysninger . UDI har som utsatt virksomhet mot trusler fra fremmed etterretning erfart at det kan være risikofaktorer i bestemmelsens bokstav a – o som kan ha betydning ikke for egen sikkerhetsmessig skikkethet, men også innsikt i egen risikohåndtering. UDI vil fremheve at bestemmelsens bokstaver er sårbarhetsfaktorer, som Sikkerhetslovens § 8-4 burde vektlegges ved autorisasjon. Dette er informasjon som oppgis av den autoriserte som en tillitsbasert handling, og at det ikke gjennomføres registersøk som ved sikkerhetsklarering. Dette vil være at de opplysningene som normalt sett hovedpersonen oppgir i en personopplysningsblankett (risikofaktorer tilknyttet sikkerhetsmessig skikkethet som personalia, statsborgerskap, opphold utenfor Norge, sivil status og familieforhold, utdanning og arbeidsforhold, vandel, økonomiske interesser i utlandet, nærstående, tilknytning til andre stater eller organisert kriminalitet, økonomi, rus- og dopingmidler, helsetilstand eller andre forhold som kan gi grunn til å frykte at man selv vil kunne opptre i strid med nasjonale sikkerhetsinteresser eller bli presset til sådan).
Som egenopplysninger mener UDI at en forenklet utgave av personopplysningsblankett kan fungere som en hensiktsmessig mal for hvilke opplysninger som bør inngå i en autorisasjon som basis for en samtale. UDI anser ikke disse opplysningene for inngripende, da vi presiserer at det skal foreligge et tydelig tjenstlig behov og være en høy terskel for tilgang til sikkerhetsgradert informasjon.
UDI imøteser også en mulig presisering om at tilgang til informasjon BEGRENSET gjennom gruppeautorisering kun gjelder for spesifikk informasjon (eksempelvis ved orienteringer eller nødautorisasjon) og ikke for generell tilgang til sikkerhetsgradert informasjon ved en virksomhet.
Det bør videre presiseres om varigheten av en autorisasjon. Normalt sett følger denne sikkerhetsklareringens varighet, men dette kan ikke forventes å være tilfelle hvor det kun autoriseres til lavere nivå. En autorisering bør ideelt sett ikke ha en varighet lengre enn en sikkerhetsklarering, normalt fem år.
Endringer i § 8-11 (Varslingsplikt)
UDI støtter videre en tydeliggjøring i bestemmelsen i § 8-11 (Varslingsplikt). Presiseringen "Opplysnings- og varslingsplikt om forhold som kan påvirke sikkerhetsmessig skikkethet" vil bidra til å understreke hensikten med autorisasjon versus sikkerhetsklarering og virksomhetens eget forebyggende og oppfølgende ansvar innen personellsikkerhet.
UDI støtter presiseringen at bestemmelsen vil regulere både forutgående opplysningsplikt (før autorisasjon) og etterfølgende varslingsplikt (etter autorisasjon). Siden autorisasjon på lavere nivå er i stor grad tillitsbasert, er det av betydning at varslingsplikten vektlegges.
Nåværende formulering i Sikkerhetslovens § 8-11 omtaler at opplysningsplikten omfatter at en «En klarert og autorisert person skal umiddelbart varsle den autorisasjonsansvarlige om forhold som kan være av betydning for om personen er sikkerhetsmessig skikk et». Formuleringen kan med fordel forkortes til å omfatte alle som er autoriserte som ikke innehar sikkerhetsklarering. Jamfør kriteriene i Sikkerhetslovens § 8-4, bokstavene a – o, bør det også fremkomme tydelig hva som er kriterier for sikkerhetsmessig skikkethet til autorisasjon og hva som inngår i opplysningsplikten (varsling).
UDI ønsker å påpeke at det bør behandles som innkommende opplysninger til klareringsmyndigheten når noen nektes autorisasjon ved en virksomhet, jf. praksis i Sikkerhetslovens § 8-10. En nektelse bør imidlertid være gjeldende kun ved autoriserende virksomhet på nivå BEGRENSET, men at det i spesielle tilfeller bør kunne benyttes en karantenetid eller merknad med begrenset varighet som kan fastsettes av klareringsmyndigheten. En slik nektelse eller merknad bør inngå i nasjonalt klareringsregister. Ved å tilføye autorisasjon til løsningen innen nasjonalt klareringsregister, vil praksis også kvalitetssikre at autorisasjon følges opp også hos de som er sikkerhetsklarerte. Effekten her vil kunne være todelt. Dersom hovedpersonen er nektet autorisasjon på lavere nivå, vil dette kunne oppfattes ved senere klarering eller autorisasjon ved en annen virksomhet. En slik tilføyelse ved nasjonalt klareringsregister vil kunne avdekke unødig eller inngripende bruk av sikkerhetsklareringer, da bruk av sikkerhetsklarering uten autorisasjon ikke bør forkomme. UDI vil understreke at en nektelse som sendes inn til klareringsmyndigheten skal begrunnes og dokumenteres. Dette vil synliggjøre betydningen av at en autorisasjonssamtale må dokumenteres utover et avkrysningsskjema slik dagens praksis legger opp til, og at dette vil styrke individets rettssikkerhet ved negativ avgjørelse.
UDI støtter presiseringen at bestemmelsen vil regulere både forutgående opplysningsplikt (før autorisasjon) og etterfølgende varslingsplikt (etter autorisasjon). Siden autorisasjon på lavere nivå er i stor grad tillitsbasert, er det av betydning at varslingsplikten vektlegges.
Nåværende formulering i Sikkerhetslovens § 8-11 omtaler at opplysningsplikten omfatter at en «En klarert og autorisert person skal umiddelbart varsle den autorisasjonsansvarlige om forhold som kan være av betydning for om personen er sikkerhetsmessig skikk et». Formuleringen kan med fordel forkortes til å omfatte alle som er autoriserte som ikke innehar sikkerhetsklarering. Jamfør kriteriene i Sikkerhetslovens § 8-4, bokstavene a – o, bør det også fremkomme tydelig hva som er kriterier for sikkerhetsmessig skikkethet til autorisasjon og hva som inngår i opplysningsplikten (varsling).
UDI ønsker å påpeke at det bør behandles som innkommende opplysninger til klareringsmyndigheten når noen nektes autorisasjon ved en virksomhet, jf. praksis i Sikkerhetslovens § 8-10. En nektelse bør imidlertid være gjeldende kun ved autoriserende virksomhet på nivå BEGRENSET, men at det i spesielle tilfeller bør kunne benyttes en karantenetid eller merknad med begrenset varighet som kan fastsettes av klareringsmyndigheten. En slik nektelse eller merknad bør inngå i nasjonalt klareringsregister. Ved å tilføye autorisasjon til løsningen innen nasjonalt klareringsregister, vil praksis også kvalitetssikre at autorisasjon følges opp også hos de som er sikkerhetsklarerte. Effekten her vil kunne være todelt. Dersom hovedpersonen er nektet autorisasjon på lavere nivå, vil dette kunne oppfattes ved senere klarering eller autorisasjon ved en annen virksomhet. En slik tilføyelse ved nasjonalt klareringsregister vil kunne avdekke unødig eller inngripende bruk av sikkerhetsklareringer, da bruk av sikkerhetsklarering uten autorisasjon ikke bør forkomme. UDI vil understreke at en nektelse som sendes inn til klareringsmyndigheten skal begrunnes og dokumenteres. Dette vil synliggjøre betydningen av at en autorisasjonssamtale må dokumenteres utover et avkrysningsskjema slik dagens praksis legger opp til, og at dette vil styrke individets rettssikkerhet ved negativ avgjørelse.
Videre merknader
UDI ønsker i sammenheng med autorisasjon til begrenset å vise til bestemmelsene i Politiregisterforskriften. Det finnes en rekke kategorier innenfor både yrkesgrupper og innen frivillige verv hvor tilganger ikke er utelukkende tillitsbasert. Eksempelvis må tolker innen utlendingsforvaltningen levere uttømmende vandelsattest for å kunne utøve sitt virke, jf. Tolkeloven § 10, første ledd.
UDI bemerker videre at personer som skal ansettes i virksomhet som ivaretar arkivhåndtering og informasjonssikkerhetssystemer for offentlige og private virksomheter når det er nødvendig av sikkerhetsmessige hensyn. Her medfører også endring i en ansatts stilling eller arbeidsoppgaver at det fremlegges ny politiattest av sikkerhetsmessige grunner. Dette er hjemlet i Politiregisterforskriften § 34-9, men lovtolkningen her er ikke entydig på hvilken arkivhåndtering eller informasjonssikkerhetssystemer som omfattes av bestemmelsen.
Her ønsker UDI at det gjøres en spesifisering med henvisning til Politiregisterforskriften for muligheten til å benytte vandelsattest ved første gangs autorisasjon i en stilling. UDI har tall på at så mye som en av ti av førstegangsautoriserte etter dagens bestemmelse har holdt tilbake opplysninger som ellers ville ha kommet frem. Med henvisning til på hvilket grunnlag man etter gjeldende praksis kan innhente vandelsattest og mulig inngripen, vil UDI løfte problemstillingen mot beskyttelse av sikkerhetsgradert informasjon på lavere nivå.
UDI opplever det som problematisk at nasjonale sikkerhetsinteresser ikke er spesifisert og gitt en tydelig grunn for anmodning om vandelsattest i Politiregisterforskriften. I stillinger med akkumulert informasjon eller privilegerte tilganger burde det foreligge mulighet for vandelsattest ved første gangs autorisasjon i ny stilling/hjemmel eller med varighet av autorisasjon (normalt fem år). Nye bestemmelser om autorisasjon bør derfor harmoneres med Politiregisterforskriften § 34-9. Det bør kunne hjemles bruk av utvidet vandelsattest når den autoriserte skal ha permanent tilgang til sikkerhetsgradert informasjon eller inneha funksjoner med privilegert informasjonstilgang tillagt stillingsoppgaver . Dette vil være et enklere tiltak og medføre mindre administrasjon for den enkelte virksomhet enn f.eks. andre tiltak som ikke er direkte rettet mot informasjonsforvaltning, eksempelvis adgangsklarering, jf. Sikkerhetslovens § 8 -2. Det er ikke antatt at utstedelsen av vandelsattester vil øke vesentlig i omfang enn eksempelvis det som benyttes ved andre praksiser.
UDI mener at et slikt hjemmelsgrunnlag vil bedre ivareta kontrollmekanismer i det som er per nå utelukkende en tillitsbasert informasjonsdeling.
UDI bemerker videre at personer som skal ansettes i virksomhet som ivaretar arkivhåndtering og informasjonssikkerhetssystemer for offentlige og private virksomheter når det er nødvendig av sikkerhetsmessige hensyn. Her medfører også endring i en ansatts stilling eller arbeidsoppgaver at det fremlegges ny politiattest av sikkerhetsmessige grunner. Dette er hjemlet i Politiregisterforskriften § 34-9, men lovtolkningen her er ikke entydig på hvilken arkivhåndtering eller informasjonssikkerhetssystemer som omfattes av bestemmelsen.
Her ønsker UDI at det gjøres en spesifisering med henvisning til Politiregisterforskriften for muligheten til å benytte vandelsattest ved første gangs autorisasjon i en stilling. UDI har tall på at så mye som en av ti av førstegangsautoriserte etter dagens bestemmelse har holdt tilbake opplysninger som ellers ville ha kommet frem. Med henvisning til på hvilket grunnlag man etter gjeldende praksis kan innhente vandelsattest og mulig inngripen, vil UDI løfte problemstillingen mot beskyttelse av sikkerhetsgradert informasjon på lavere nivå.
UDI opplever det som problematisk at nasjonale sikkerhetsinteresser ikke er spesifisert og gitt en tydelig grunn for anmodning om vandelsattest i Politiregisterforskriften. I stillinger med akkumulert informasjon eller privilegerte tilganger burde det foreligge mulighet for vandelsattest ved første gangs autorisasjon i ny stilling/hjemmel eller med varighet av autorisasjon (normalt fem år). Nye bestemmelser om autorisasjon bør derfor harmoneres med Politiregisterforskriften § 34-9. Det bør kunne hjemles bruk av utvidet vandelsattest når den autoriserte skal ha permanent tilgang til sikkerhetsgradert informasjon eller inneha funksjoner med privilegert informasjonstilgang tillagt stillingsoppgaver . Dette vil være et enklere tiltak og medføre mindre administrasjon for den enkelte virksomhet enn f.eks. andre tiltak som ikke er direkte rettet mot informasjonsforvaltning, eksempelvis adgangsklarering, jf. Sikkerhetslovens § 8 -2. Det er ikke antatt at utstedelsen av vandelsattester vil øke vesentlig i omfang enn eksempelvis det som benyttes ved andre praksiser.
UDI mener at et slikt hjemmelsgrunnlag vil bedre ivareta kontrollmekanismer i det som er per nå utelukkende en tillitsbasert informasjonsdeling.