Verktyg för skydd av EU-medel Rättsliga förutsättningar för svenska myndigheter att använda Arachne och Edes

• lämna nödvändiga författningsförslag.

Det övergripande syftet med uppdraget är att EU:s finansiella intressen ska skyddas. För skyddet av EU:s finansiella intressen är det centralt att motverka felaktiga utbetalningar, bedrägerier, korruption, intressekonflikter, dubbelfinansiering och andra oegentligheter. De svenska myndigheter som deltar i genomförandet av EU:s budget behöver ha ändamålsenliga system för att säkerställa tillgång till den information som behövs för att göra riskbedömningar av stödsökande och slutliga stödmottagare, och för att i efterhand kontrollera dessa.

Centralt för utredningen är innehållet i den omarbetade budgetförordningen. Huvudsakligen ska de delar av budgetförordningen som är relevanta i denna utredning tillämpas på program som antas eller finansieras från och med den 1 januari 2028.

Budgetförordningen medför krav på medlemsstaterna att tillgängliggöra uppgifter för kommissionen, samt att i vissa fall offentliggöra information.

Arachne är ett datautvinnings- och riskvärderingsverktyg som Europeiska kommissionen (härefter kommissionen) har tagit fram för att hjälpa medlemsstaternas myndigheter att kontrollera hur EU- stöd används och förvaltas. Verktyget är i dag frivilligt att använda och detta gäller även enligt den omarbetade budgetförordningen. De som i dag väljer att använda Arachne behöver lämna vissa uppgifter för att Arachne ska fungera som avsett. Lämnandet av uppgifter som ska tillföras Arachne är avsett att från med 2028 ske genom det ovan nämnda kravet på tillgängliggörande som budgetförordningen medför.

Edes är ett system som kommissionen har utvecklat och som syftar till att göra det lättare att tidigt upptäcka personer eller enheter som är ett hot mot unionens ekonomiska intressen, att utesluta personer eller enheter från att ta del av EU-medel och att ålägga ekonomiska sanktioner mot mottagare av EU-medel som befinner sig i en uteslutningssituation. Systemet har hittills enbart omfattat EU- medel under vissa förvaltningsformer. Det kommer att bli obligatoriskt att använda Edes vid hantering av i princip samtliga EU-stöd när det gäller program som antas eller finansieras från och med den 1 januari 2028. Vid svenska myndigheters användning av Edes kommer det att gälla en partiell tillämpning på så sätt att endast vissa av uteslutningsgrunderna gäller.

Utredningen har inte haft i uppdrag att analysera om svenska

myndigheter bör eller inte bör använda de system som EU tillhandahåller för att skydda EU:s finansiella intressen i de delar ett sådant användande är eller kommer att vara frivilligt. Utredningens uppdrag är begränsat till att undersöka de rättsliga förutsättningarna för svenska myndigheter att använda Arachne och för att uppfylla kraven enligt den omarbetade budgetförordningen, bland annat när det gäller Edes.

Betänkandet innehåller en kartläggningsdel där det huvudsakligen behandlas vilka svenska myndigheter som får vissa skyldigheter eller kan komma att vidta vissa åtgärder på frivillig basis samt vad detta innebär, särskilt när det gäller hanteringen av information av olika slag. Betänkandet innehåller också en del där det analyseras om det behöver vidtas några åtgärder för att svenska myndigheter ska kunna uppfylla dessa skyldigheter eller för att de ska kunna vidta vissa åtgärder på frivillig väg. Kartläggningen och övervägandena om behov av åtgärder fokuserar på följande moment.

• Lämnande av uppgifter vid ett användande av Arachne (före 2028)

• Tillgängliggörande av obligatoriska uppgifter för kommissionen

• Tillgängliggörande av frivilliga uppgifter för kommissionen

• Offentliggörande av uppgifter på kommissionens webbsida

• Användande av Arachne som verktyg

• Användande av Edes som verktyg.

Utredningens kartläggningsarbete

Fonder som omfattas

Utredningen har till att börja med undersökt vad som gäller för EU- medel som hanteras genom så kallad delad förvaltning, det vill säga gemensamt av kommissionen och Sverige. Betänkandet omfattar i denna del främst bedömningar rörande hanteringen av Europeiska garantifonden för jordbruket, Europeiska jordbruksfonden för landsbygdsutveckling, Europeiska regionala utvecklingsfonden, Europeiska socialfonden+, Europeiska havs-, fiskeri- och vattenbruksfonden, Asyl-, migrations- och integrationsfonden, Fonden för inre säkerhet, Fonden för en rättvis omställning samt Instrumentet för ekonomiskt stöd för gränsförvaltning och viseringspolitik.

Utredningen har också i viss utsträckning undersökt vad som gäller för direkt förvaltning tillsammans med medlemsstaterna, en förvaltningsform som för närvarande används endast när det gäller Faciliteten för återhämtning och resiliens (RRF).

Även om förhållandena vid förvaltning av RRF behandlas, läggs i detta betänkande störst fokus på de EU-medel som hanteras genom delad förvaltning. Det regelverk som styr förvaltningen av RRF har i praktiken begränsad tillämplighet i tid genom att reformer och investeringar ska ha genomförts till den 31 augusti 2026 och utbetalningar till den 31 december samma år.

Program med finansiering från EU löper över perioder som normalt varar i sju år. Med nuvarande programperiod avses 2021–2027. Nuvarande programperiod för EU:s jordbruksutgifter avser dock 2023–2027. Det kan komma att ske förändringar för den programperiod som börjar 2028 när det gäller vilka fonder som finns och hur de förvaltas.

Myndigheter som omfattas

Flera svenska myndigheter har roller när det gäller genomförandet av EU:s budget och hanteringen av EU-medel. Myndigheter som hanterar EU-medel genom delad förvaltning i dag är bland annat Statens jordbruksverk (Jordbruksverket), Tillväxtverket, Rådet för Européiska socialfonden i Sverige (Svenska ESF-rådet), Migrationsverket, Polismyndigheten och länsstyrelserna. Även till exempel Skogsstyrelsen, Sametinget och Havs- och vattenmyndigheten har funktioner inom delad förvaltning som är relevanta för detta betänkande.

När det gäller RRF finns det totalt 62 så kallade genomförandemyndigheter. Tio myndigheter har fått ett särskilt ansvar för genomförandet och rapporterar in resultatinformation till Ekonomistyrningsverket (ESV), nämligen Boverket, Myndigheten för digital förvaltning, Myndigheten för yrkeshögskolan, Naturvårdsverket, Post- och telestyrelsen, Skolverket, Socialstyrelsen, Statens energimyndighet, Trafikverket samt Universitetskanslersämbetet. Utöver dessa tio myndigheter är även samtliga länsstyrelser och 31 lärosäten genomförandemyndigheter.

ESV har en roll som revisionsmyndighet med ansvar att granska hanteringen av de medel som Sverige tar emot inom ramen för delad förvaltning samt att granska genomförandet av den svenska återhämtningsplanen inom ramen för RRF.

Ekobrottsmyndigheten ansvarar för samordningen av de nationella åtgärderna mot oegentlig och ineffektiv hantering och användning av EU-medel i Sverige.

Även Regeringskansliet har vissa uppgifter relaterade till hanteringen av EU-medel. Landsbygds- och infrastrukturdepartementet har rollen som behörig myndighet för jordbruksfonderna och ansvarar bland annat för att ackreditera utbetalande organ och utse attesterande organ. Finansdepartementet är samordnande myndighet för genomförandet av Sveriges återhämtningsplan inom ramen för RRF.

Den svenska organisationsstrukturen kan komma att förändras i framtiden, bland annat på grund av tillkomsten av nya fonder på EU- nivå. Förändringar i den svenska organisationsstrukturen har också föreslagits av Utredningen om hantering av EU-medel i betänkandet En ny organisation för förvaltning av EU-medel (SOU 2024:22), förslag som bereds i Regeringskansliet.

Tillgängliggörande av obligatoriska uppgifter

Av budgetförordningen följer från och med 2028 ett krav på svenska myndigheter som deltar i genomförandet av EU:s budget att göra viss information tillgänglig för kommissionen. Avsikten är att denna information ska tillföras Arachne. De uppgifter som ska tillgängliggöras avser mottagare av stöd, insatsen och mottagarens verkliga huvudmän. Skyldigheten gäller dock bara sådan information som myndigheterna ska registrera och lagra enligt sektorsspecifika regler, vilket innebär att kraven varierar mellan olika sektorer. De uppgifter som tillgängliggörs kan komma att få betydande spridning, bland annat genom att användare av Arachne i andra länder får tillgång till dem och genom att uppgifterna också kan komma att offentliggöras på en webbsida.

De myndigheter som omfattas av skyldigheten bedöms vara alla myndigheter som tar emot, förvaltar, övervakar, kontrollerar och reviderar EU-medel, om de har skyldigheter enligt sektorsspecifika regler att registrera och lagra information av aktuellt slag.

Tillgängliggörande av frivilliga uppgifter

Vid sidan av de uppgifter som måste tillgängliggöras för kommissionen möjliggör budgetförordningen ett frivilligt tillgängliggörande av uppgifter. De frivilliga uppgifter som tillgängliggörs kan komma att få betydande spridning, bland annat genom att användare av Arachne i andra länder kan få tillgång till dem. Det finns vissa begränsningar rörande vilka uppgifter som kan lämnas på frivillig basis. Det kan vara bra att vissa uppgifter, som inte är rättsligt obligatoriska, ändå tillgängliggörs och tillförs Arachne, då det kan öka värdet av systemet. Utredningen behandlar vilka uppgifter det kan finnas skäl att tillgängliggöra på frivillig basis men konstaterar att det finns utmaningar när det gäller att identifiera vilka uppgifter det kan vara fråga om.

Offentliggörande av uppgifter

Budgetförordningen innebär en ny skyldighet för svenska myndigheter som hanterar EU-medel inom ramen för förvaltningsformen direkt förvaltning tillsammans med medlemsstaterna. Skyldigheten gäller att säkerställa ett offentliggörande i efterhand av viss information på en centraliserad webbplats. Skyldigheten kommer inte att gälla RRF, som hanteras inom ramen för den förvaltningsformen. Det kan dock inte uteslutas att det under kommande programperioder kommer nya fonder och program som förvaltas på detta sätt. Sverige kommer då att vara skyldigt att uppfylla skyldigheten.

Den information som ska offentliggöras motsvarar vissa av de uppgifter som ska tillgängliggöras för kommissionen. Vidare finns det undantagssituationer då uppgifter inte ska offentliggöras.

Användande av Arachne som verktyg

Utredningen bedömer att följande slags myndigheter kan komma att använda Arachne som verktyg.

• De myndigheter som deltar i genomförandet av budgeten inom ramen för delad förvaltning och därvid har någon roll i tilldelning av medel eller kontroll av utbetalda medel.

• De myndigheter som inom ramen för RRF deltar i genomförandet av budgeten och därvid har någon roll i tilldelning av medel eller kontroll av utbetalda medel, samt de myndigheter som i framtiden eventuellt kommer att på det sättet förvalta EU-fonder med en liknande förvaltningsform, det vill säga genom direkt förvaltning tillsammans med medlemsstaterna.

• De myndigheter som har i uppgift att i efterhand genomföra granskningar eller revisioner av utbetalade stöd, såsom ESV i egenskap av revisionsmyndighet.

Uppgifterna i Arachne består i dagsläget av både så kallade interna data och externa data. Det interna datainnehållet består av uppgifter om program och beviljade stöd från de deltagande medlemsstaterna och uppgifter från kommissionen.

Arachne innehåller också externa data från olika kommersiella databaser, nämligen Orbis och World Compliance. Informationen kan exempelvis avse information om företag och personer. Informationen kan inkludera uppgifter om att personer förekommer på olika listor som andra aktörer har tagit fram med avseende på bland annat politiskt utsatta personer och olika sanktionslistor. Informationen kan även inkludera negativ publicitet om personer och företag.

Arachne genererar automatiskt riskvärderingar rörande stöd som har beviljats. Dessa sparas också i Arachne. Det är också möjligt för en användare att begära att Arachne ska göra en riskvärdering under processen att välja vilka som ska tilldelas EU-medel. Detta sker genom en så kallad förhandsfunktion. Riskvärderingar inom ramen för förhandsfunktionen kan bara göras på begäran av en användare.

Det finns begränsningar när det gäller vilka uppgifter som användare av Arachne får tillgång till. I allmänhet är behörigheten för myndigheter begränsad till uppgifter om de program de själva hanterar.

Användande av Edes som verktyg

Utredningen bedömer att följande slags myndigheter kan komma att använda Edes som verktyg.

• De myndigheter som deltar i genomförandet av budgeten inom ramen för delad förvaltning och därvid har någon roll i tilldelning av medel eller kontroll av utbetalade medel. För de myndigheter som har en roll i tilldening av medel blir det obligatoriskt att tilllämpa Edes-regelverket och därmed också att använda Edes-databasen. Vid delad förvaltning är tillämpningen partiell på det sättet att endast vissa uteslutningsgrunder är aktuella.

• De myndigheter som inom ramen för RRF deltar i genomförandet av budgeten och därvid har någon roll i tilldelning av medel eller kontroll av utbetalda medel – på frivillig basis.

• De myndigheter som eventuellt i framtiden kommer att förvalta EU-fonder genom direkt förvaltning tillsammans med medlemsstaterna och därvid har någon roll i tilldelning av medel eller kontroll av utbetalda medel. För de myndigheter som har en roll i tilldelning av medel kommer det att vara obligatoriskt att tillämpa Edes-regelverket och därmed också att använda Edes-databasen. Tillämpningen är partiell på det sättet att endast vissa uteslutningsgrunder är aktuella.

• De myndigheter som har i uppgift att i efterhand genomföra granskningar eller revisioner av utbetalade stöd, såsom ESV. För dessa myndigheter är det inte obligatoriskt att tillämpa Edesregelverket.

I Edes finns det uppgifter om fall som avser tidig upptäckt, uteslutning och ekonomiska sanktioner. Där finns uppgifter om företag och om personer, och det kan då handla om namn, kontaktuppgifter, identifikationsnummer och födelsedatum. Där finns vidare uppgifter om grunderna bakom en uteslutning eller en sanktion. Grunderna kan exempelvis bestå i vissa allvarliga fel i yrkesutövningen eller av brottsligt beteende av vissa slag.

Utredningen gör bedömningen att svenska myndigheters tillgång till uppgifter i Edes kommer att vara begränsad till uppgifter om uteslutning, och alltså inte omfatta uppgifter om tidig upptäckt och ekonomiska sanktioner. Tillgången kan också komma att vara begränsad till uppgifter om uteslutning på vissa grunder.

Behovet av åtgärder

Utredningen föreslår en ny bestämmelse i offentlighets- och sekretesslagen

Utredningen har bedömt behovet av ny sekretessreglering när det gäller tillgängliggörande av obligatoriska uppgifter, lämnande av uppgifter i situationer där det inte finns någon rättslig skyldighet att lämna uppgifter, offentliggörande av uppgifter samt användande av Arachne respektive Edes som verktyg.

Utredningen har kommit fram till att det inte krävs några författningsändringar på sekretessområdet när det gäller tillgängliggörande av obligatoriska uppgifter. Utredningen gör samma bedömning när det gäller de situationer då svenska myndigheter kan ha anledning att lämna uppgifter utan att det finns en rättslig skyldighet. Inte heller när det gäller kravet på offentliggörande av uppgifter finns det enligt utredningens bedömning något behov av författningsändringar på sekretessområdet.

När det gäller användande av Arachne och Edes som verktyg gör utredningen bedömningen att uppgifter i systemen kan komma att bli allmänna handlingar hos de svenska myndigheter som använder systemen. Det kan vidare beträffande båda systemen inte uteslutas att det finns behov av sekretesskydd för uppgifter som finns i syste- men. Beträffande Edes bedömer utredningen att befintliga sekretessbestämmelser är tillräckliga och i det avseendet finns det inte något behov av författningsändringar.

Beträffande Arachne gör utredningen bedömningen att gällande sekretessregler i stor utsträckning är tillräckliga. Det är enligt utredningens mening ett fullt möjligt alternativ för regeringen att välja att inte gå vidare med något förslag om en ny sekretessbestämmelse. Det kan samtidigt argumenteras för att de oklarheter som finns beträffande möjligheterna att sekretessbelägga uppgifter som härrör från riskvärderingar enligt gällande sekretessbestämmelser kan leda till att viktiga allmänna intressen inte får genomslag. Utredningen lämnar därför ett förslag på hur en sekretessbestämmelse skulle kunna utformas.

Förslaget innebär att sekretess ska gälla för uppgift som härrör från en riskvärdering som har gjorts genom Arachne, om det kan antas att syftet med den förvaltning, övervakning, kontroll och revision som ska ske i enlighet med budgetförordningen motverkas om uppgiften röjs. Den nya bestämmelsen föreslås träda i kraft den 1 januari 2027.

Det krävs inte några författningsändringar på dataskyddsområdet eller ändringar i myndigheternas instruktioner

Utredningen har bedömt behovet av författningsändringar på dataskyddsområdet när det gäller tillgängliggörande av obligatoriska uppgifter, lämnande av uppgifter i situationer där det inte finns någon rättslig skyldighet att lämna uppgifter, offentliggörande av uppgifter samt användande av Arachne respektive Edes som verktyg. Det bedöms inte i något avseende krävas några författningsändringar på dataskyddsområdet. Befintlig dataskyddsreglering ger ett tillräckligt stöd och skydd för den personuppgiftsbehandling som förväntas bli aktuell.

Utredningen har också bedömt behovet av ändringar i myndigheternas instruktioner och har inte funnit något sådant behov utifrån de frågor som utredningen haft att bedöma.