sou · GTB361 · 2006-01-01 00:00:00 — För att förenkla beskrivningen används beteckningen organisation som har det framtida ansvaret för SPAR. Den framtida försörjningen av personuppgifter kan organiseras på flera olika sätt. Resonemangen i det följande utgår i från att det finns tre huvudaktörer med olika roller. , som förser registerhållare med personinformation genom utdrag ur folkbokförings- och beskattningsregister. Utdragen omfattar den information som får förmedlas enligt gällande lagstiftning. Registerhållare, som ansvarar för och driver det register som innehåller de personuppgifter som får förmedlas. Registerhållaren tillhandahåller personuppgifterna till informationsförmedlare. Informationsförmedlare förmedlar och säljer informationen till kunder eller till andra informationsförmedlare. Med kunder avses de användare som använder personuppgifterna i sina egna verksamheter. För den framtida försörjningen av personuppgifter finns två huvudalternativ. 1.Nämnden är registerhållare och informationsförmedlare. Det innebär att Nämnden har den dubbla rollen att både ansvara för registret och försäljning av uppgifter ur registret till kunder. För detta behövs tekniska och organisatoriska funktioner (informationssystem, försäljning, kundsupport m.m.) som drivs i egen regi av Nämnden eller av upphandlad(e) leverantör(er), som sköter uppgiften för Nämndens räkning. Nämnden har ett direkt och tydligt kundansvar och fastställer de priser som kunder betalar för personuppgifterna. 2.Nämndens uppgift begränsas till att vara registerhållare. Rollen som informationsförmedlare tilldelas ett antal tjänste- leverantörer som vidareutnyttjar de personuppgifter som tillhandahålls av Nämnden. Detta motsvarar den inriktning som beskrivs i det så kallade PSI-direktivet (Europaparla- mentets och rådet direktiv /98/EG om vidareutnyttjande av information från den offentliga sektorn). Tjänste- leverantörerna svarar för all marknadsföring och försäljning och bestämmer själva priserna för personuppgifterna. I detta alternativ finns det två olika lösningar. Alla intresserade leverantörer, som uppfyller lämpliga kvalifikationer, ges möjlighet att vidareförmedla person- uppgifter genom någon form av licensiering eller tilldelning av tjänstekoncessioner. Ett begränsat antal leverantörer utväljs för att vidareförmedla personuppgifterna. Det kan också finnas mellanalternativ, som innebär kombinationer av alternativen 2 a och 2 b. Ett sådant alternativ kan vara att vissa tjänster, t.ex. tillgång till folkbokföringsuppgifter, erbjuds till alla intresserade leverantörer medan andra tjänster, så kallade urvals- dragningar enbart erbjuds till ett begränsat antal leverantörer. I alternativ 2 regleras ansvarsfördelning, ekonomiska villkor m.m. mellan leverantörerna och Nämnden i avtal. Nämnden följer kontinuerligt upp att ställda tekniska, rättsliga och ekonomiska krav uppfylls av leverantörerna och att tillfredsställande servicenivåer erbjuds kunderna. En beställarfunktion finns hos ändamål. Denna PM diskuterar inte vilket försörjningsalternativ, som bör väljas, utan syftar enbart till att vara ett underlag för den pågående utredningens övervägande om hur en framtida upphandling av SPAR-tjänster kan utformas. Alla försörjningsalternativen omfattar upphandlingar men med olika inriktning. Alternativ 1 innebär i princip två upphandlingar; dels upphand- ling av den tekniska driften av registret och dels upphandling av informationsförmedlare. Detta motsvarar i princip dagens lösning även om det finns endast en informations- förmedlare. Det finns dock starka skäl att i en kommande upphandling tydligt skilja på de olika rollerna och genomföra två separata upphandlingar. Alternativ 2 a innebär endast upphandling av driften av registret. Ingen upphandling genomförs för att välja de leverantörer som ska ha rollen som informationsförmedlare. Intresserade leverantörer måste i stället prövas mot i förväg uppställda kvalifikationer. Alla leverantörer som uppfyller kvalifikationerna bör ges möjlighet att uppträda som informationsförmedlare. Alternativ 2 b innebär upphandling av såväl driften av registret som upphandling av ett begränsat antal informationsförmedlare. De leverantörer som bäst uppfyller ställda krav enligt utvärderings- kriterier, som definierats i värderingsmodell, utväljs som informa- tionsförmedlare. För enkelhets skull diskuteras i det följande främst hur upphandlingen av informationsförmedlare i alternativ 2 b kan genomföras. Diskussionen är emellertid även tillämplig för de övriga alternativen. Följande aspekter diskuteras: Upphandlingens utgångspunkter, innehåll och intressenter. Uppföljning efter upphandlingen. Vissa krav på säkerhet m.m. Det kan i och för sig diskuteras om det är nödvändigt att genomföra en upphandling för att välja leverantörer för rollen som informationsförmedlare även i detta alternativ. Ett alternativt sätt kan vara att betrakta valet av leverantörer som tilldelning av en tjänstekoncession. Enligt kommissionens tolkningsmeddelande definieras en sådan koncession av att tjänsteleverantören tar riskerna i samband med den tillhandahållna tjänsten (etablering och nyttjande) och tar ut ersättning av användaren, t.ex. via avgifter i vilken form det än vara må. Tjänstekoncessioner kännetecknas, liksom byggkoncessioner, av att ansvaret för nyttjandet överförs på koncessionshavaren. Enligt faktapromemoria 2003/04:FPM109 om om offentlig-privata partnerskap och EG-rätten om offentlig upphandling och koncessioner omfattas koncessioner av tjänster inte av några regler i direktiven om offentlig upphandling. I de nya direktiven på området offentlig upphandling (2004/18/EG) och upphandling på områdena vatten, energi, transporter och post- tjänster (2004/17/EG) undantas uttryckligen tjänstekoncessioner. Enligt praxis omfattas tjänstekoncessioner av principerna om insyn, likabehandling, proportionalitet och ömsesidigt erkännande. Kommissionen anser att det system som följer av fördragets bestämmelser kan innefattas i följande skyldigheter; fastställande av bestämmelser för val av privat partner, offentliggörande av koncessionens utfärdande och reglerna för urval, upprätthållande av konkurrens mellan potentiella motparter, iakttagande av principen om likabehandling, samt upphandling på grundval av objektiva icke-diskriminerande kriterier. Utöver reglerna i lagen om offentlig upphandling () finns det inga särskilda svenska bestämmelser som reglerar tilldelningen av tjänstekoncessioner. För att fullfölja angivna skyldigheter är det därför lämpligt att genomföra en upphandling enligt för att välja leverantörer. Upphandlingens utgångspunkter, innehåll och intressenter Ett förändrat statligt ansvar Nuvarande ordning innebär att staten genom tillhandahåller personuppgifter till företag, organisationer, myndig- heter m.fl. via en servicebyrå (). Staten är ansvarig för SPAR och har därmed ett ansvar gentemot kunderna för tjänsternas utformning, servicekvalitet m.m. även om själva driften, kundkontakter, försäljning m.m. sköts av servicebyrån. I det följande antas att staten tillhandahåller personuppgifter till ett antal valda leverantörer som i sin tur vidareutnyttjar uppgifterna gentemot sina kunder. Nämnden har då inget direkt kundansvar och ingen direkt kundkontakt. Nämnden har emellertid ansvar för att kontinuerligt följa upp servicekvalitet och kundnöjdhet. Användningen av personuppgifterna regleras genom lagstiftning. För att personuppgifterna skall lämnas ut utan de registrerades samtycke krävs stöd i en särskild registerlag (jämför nuvarande SPAR-lagen och lagen om behandling av personuppgifter i skatteförvaltningens folkbokföringsverksamhet). Det finns skäl att i avtal mellan Nämnden och leverantörerna därutöver reglera vissa förhållanden. Således bör Nämndens insyn i leverantörernas hantering och försäljning av personuppgifter och möjligheter till sanktioner vid felaktigheter i hanteringen regleras i avtal med leverantörerna. Polisens Person- och adressökningssystem Polisens Person- och adressökningssystem (PPA), som används av polisen och tullen, är nära kopplat till SPAR och använder SPAR som informationskälla. Den framtida utformningen av PPA förutsätts hanteras i särskild ordning och berörs inte i denna PM. Det är viktigt att lägga fast utgångspunkterna för upphandlingen. Dessa utgör en grund för de krav som ska ställas i upphandlingen avseende leverantörens organisation, förmåga till support, agerande gentemot kunder, teknisk lösning, ekonomiska och juridiska villkor m.m. Det finns två perspektiv att ta hänsyn till. Staten har intresse av att försörjningen av personuppgifter, som är en viktig samhällsfunktion, sker på ett effektivt sätt och till låg kostnad för användarna som den enskildes integritet värnas. Regeringen har även framhållit vikten av att beakta PSI- direktivet som syftar till att möjliggöra vidareutnyttjande av information från den offentliga sektorn. Nuvarande kunder har berättigade krav på att den framtida tillgången till personuppgifter blir billig, att nuvarande servicenivå inte försämras och att kostsamma omställningar av egna system minimeras vid förändringar av nuvarande SPAR. Detta gäller främst de kunder som använder personuppgifterna för kontroll och uppdatering (se nedan) i de egna affärssystemen. Upphandlingen kan förslagsvis utformas utifrån följande utgångspunkter: Kunder ska – inom ramen för ett tydligt regelverk – kunna få tillgång till personuppgifter via ett brett utbud av tjänster med hög servicenivå. Den enskildes integritet ska värnas genom att tydliga krav ställs på en mycket säker hantering av personuppgifterna hos tjänsteleverantörerna. Kraven bör omfatta både krav på mycket hög IT-säkerhet (skydd mot obehörig åtkomst, förvanskning m.m.) och tydliga regler och villkor om vilka uppgifter som får förmedlas till kunder. Nämnden ska i efterhand följa upp att personuppgifter endast förmedlas enligt regelverket. Personuppgifter ska kunna tillhandhållas av flera leverantörer. Omställningen för befintliga kunder ska vara enkel. Statens kostnader för att tillhandahålla personuppgifterna inklusive kostnaderna för kontroll och uppföljning av verk- samheten ska täckas av avgifter från tjänsteleverantörerna (enligt avgiftsförordningen). 2.3 Leverantörernas tillgång till personuppgifter En vikigt principiell fråga är om de informationsmängder som erfordras för SPAR-tjänsterna, ska finnas tillgängliga hos de utvalda leverantörerna i egna databaser eller om informationen ska hämtas i varje enskilt fall från Nämnden. Det krävs en djupare analys för att bedöma för- och nackdelar med dessa alternativ. En preliminär bedömning är emellertid att leverantören bör självständigt förfoga över de databaser (främst utdrag ur folkbok- föringsregistren), som behövs för kontroll av personuppgifter. För detta talar leverantörens behov av att kunna integrera informationen i användarnas affärssystem samt att anpassa tjänster, informationsinnehåll, format m.m. och kommunikationssätt till olika kunders önskemål. Ett särskilt problem är att kontroll av personuppgifter, som är en viktig del i kunders affärssystem, bygger på effektiv användning av så kallade namnsökningssystem för att identifiera en person. Namnsökningssystemen förutsätter en nära anpassning i form av indexfiler, hjälpfiler m.m. till de sökmotorer som leverantören använder. Filerna organiseras så att sökmotorn arbetar så snabbt och effektivt som möjligt. Filerna måste uppdateras med samma frekvens som databasen och måste omfatta databasens hela population. Det är inte nödvändigt att namnsökningssystemet innehåller alla uppgifter som finns i databasen. Fullständiga uppgifter kan hämtas ut när en person är identifierad. Däremot måste namnsökningen innehålla sökkriterierna för alla personer i databasen. De kriterier som man söker på och som hjälper till att identifiera en person är en eller flera av uppgifterna namn, adress och ålder (födelsetid). Hjälpfilerna blir därmed i lagens mening ett heltäckande person- register även om t.ex. personnumret ersätts med ett löpnummer som pekar på de fullständiga uppgifterna i själva databasen. Om sökmöjligheterna ska kunna utvecklas under konkurrens med t.ex. bättre fonetisk och/eller trunkerad sökning, så bör leverantörerna tillåtas att bygga egna söksystem. Detta kräver då tillgång till så mycket uppgifter att söksystemet i sig blir ett heltäckande personregister. Det skulle bara vara en kosmetisk åtgärd att t.ex. efter en sökning skicka en identitet i form av ett löpnummer eller liknande till för att få den fullständiga personbilden. Det finns således faktorer som talar för att leverantörerna tillåts att skapa egna databaser med den information som behövs för kontroll av personuppgifter. Alternativet att informationen hämtas i varje enskilt fall ställer stora krav på funktionalitet, servicenivå m.m. och på löpande utvecklingsinsatser i Nämndens system. När det gäller den information som behövs för urvalsdrag- ningarna för direktreklam är förhållandet likartat. Dessa informationsmängder innehåller integritetskänslig information om individers ekonomiska förhållanden. Tillgång till informationen i egna register underlättar väsentligt leverantörens utveckling av tjänster för olika kunders behov och stärker förmågan att hålla en hög servicenivå. Detta måste dock vägas mot att krav på att spridningen av sådan information måste begränsas. I det fall att även denna senare typ av information ska finnas tillgänglig hos leverantörer måste stränga villkor ställas på leverantörens sätt att skydda informationen. Villkoren bör omfatta krav på mycket säker och skyddad informationsöverföring mellan Nämnden och leverantörerna. Dessutom måste villkor ställas på hur leverantören hanterar informationen i den egna organisationen, dels hur informationen skyddas och dels vilka bearbetningar/urval som får göras av informationen. De slutsatser som redovisa ovan är preliminära och bygger på en översiktlig analys. Frågan om informationsmängderna ska finnas tillgängliga hos leverantörerna i egna databaser eller om informationen ska hämtas i varje enskilt fall från Nämnden, bör utredas noggrannare innan en upphandling påbörjas. Detaljerade krav på tjänsternas innehåll måste fastläggas senare i samverkan med dem som ska använda tjänsterna. På nuvarande stadium kan endast ett antal överordnade antagande göras. Det kan vara lämpligt att dela upp de tjänster som leverantörerna ska tillhandahålla i tre kategorier. Grundtjänster, som omfattar de grundläggande tjänsterna som behövs för förmedlingen av personuppgifter. Grundtjänsterna bör vara obligatoriska att tillhandahålla. Exempel på grundtjänster är; direktåtkomst till personuppgifter för kontroll m.m., uppdatering av personuppgifter hos olika kunder för kund- register m.m., urvalsdragningar för direktreklam, marknadsundersökningar m.m., enskildas registerutdrag (om sig själva enligt 26 § PuL), Stödtjänster, som är konsulttjänster för att underlätta kunders användning av grundtjänsterna. Stödtjänsterna bör vara obliga- toriska att tillhandahålla. Tänkbara stödtjänster är; kundtjänst för svar på frågor från allmänhet och kunder, rådgivning, utbildning m.m. till kunder avseende bl.a. de lagar som reglerar användning av personuppgifter, rådgivning, utbildning m.m. till kunder m.m. avseende hur grundtjänsterna kan användas i kundernas verksamhet, konsulttjänster omfattande förstudier, design och införande av grundtjänster inklusive anpassning av befintliga kunders system och rutiner, konsulttjänster avseende kommunikation mellan kundernas system och leverantören, konsulttjänster för integration mellan grundtjänsterna och kundernas affärssystem eller e-tjänster, stöd till systemadministratörer och utvecklare. Tilläggstjänster, som avser olika typer av förädlingstjänster för att ge kunder större nytta av personuppgifterna. Tilläggstjänsterna bör inte vara obligatoriska och leverantörerna bör ges stor frihet att både utforma och föreslå olika tilläggstjänster inom de angivna områdena. Tänkbara tilläggstjänster är; avancerade metoder för urval, däribland självbetjänings- metoder, informationsförmedling från andra register i offentlig förvaltning (statliga, kommunala, landstingskommunala), drift av kunders kundregister, tvättning av kunders kundregister, elektronisk distribution av material i samband med direktreklam, efterbehandling, t.ex. kuvertering och postinlämning m.m., mottagning, hantering och analys av svar vid marknadsunder- sökningar. Leverantören bör därutöver ha möjlighet att – efter överens- kommelse med Nämnden – utveckla och introducera nya tilläggs- tjänster som ligger inom ramen för förfrågningsunderlaget. Kunderna till nuvarande SPAR finns inom såväl offentlig som privat verksamhet. Det gäller såväl direktåtkomst till folkbokföringsuppgifter för kontroll som uppdatering av folkbokföringsuppgifter hos olika kunder för kundregister. Det framgår av marknadsbedömningen i avsnitt 3. Många kunder i offentlig förvaltning använder även folkbok- föringsregister, Navet. Det finns knappast praktiska eller rättsliga möjligheter att i upphandlingen ändra detta förhållande genom att begränsa leverantörernas möjlighet att tillhandahålla tjänster åt olika kundkategorier. Det bör dock utredas i vilken omfattning som Navet, med nuvarande och kommande utformning, kommer att överlappa ett nytt SPAR både vad avser kunder och tillgängliga tjänster. En sådan utredning bör även klargöra vilka effektiviseringsmöjligheter – främst för – som är möjliga för att reducera överlappningen. I det följande antas att såväl myndigheter, offentliga organisa- tioner som privata företag m.m. kan utnyttja de tjänster som ett nytt SPAR kommer att erbjuda. En viktig fråga i detta sammanhang är vem som ska avgöra vilka kunder som ska få tillgång till personuppgifter. är det som avgör detta genom att i varje enskilt fall besluta vem som skall få åtkomst till SPAR. Detta gäller med undantag för urval av namn och adress för direktreklam, där servicebyrån själv avgör. Diskussionen om upphandlings- utgångspunkt i en bedömning av både efterfrågan och utbud. Nuvarande användning av SPAR och affärsmodell måste ha sin hur marknaden ser ut avseende SPAR används för tre typer av tjänster. On-linetjänster för kontroll av personuppgifter. Tjänsterna används t.ex. av företag för att identifiera och ta in nya kunder. De personuppgifter som kunden uppger kontrolleras mot SPAR innan kunden accepteras. Majoriteten av SPAR:s frekventa kunder on-line har integrerat SPAR i de egna affärssystemen. Aviseringar av förändringar i personuppgifter. Aviserings- tjänster erbjuds som bruttoavisering (aviseringar av alla förändringar som skett i SPAR) eller som uppdateringar på olika sätt av berörda kunders personregister. Via SPAR uppdateras bl.a. vissa myndigheters och många stora privata organisationers kundregister i landet. Urval för direktreklam, samhällsinformation, opinionsbildning och annan därmed jämförlig verksamhet. Tjänsterna omfattar även olika typer tjänster för att välja ut målgrupper för direktreklam utan att andra individuella uppgifter än namn och adress lämnas ut. SPAR tillhandahåller även slumpmässiga urval för marknads- och vetenskapliga undersökningar. Antalet användare on-line uppgår till ca 100 000. Av dessa är 66 000 registrerade hos SPAR med personlig användaridentitet medan resten är anställda vid organisationer, t.ex. försäkringsbolag, som har egna behörighetssystem. Av användarna on-line tillhör offentlig förvaltning. Användarna finns i ca 500 offentliga och drygt 700 privata verksamheter. Drygt 300 organisationer, företag och några myndigheter med stora kunddatabaser uppdaterar sina register från SPAR regel- bundet. Utöver detta uppdaterar mellan 50 och 100 organisationer och företag sina register intermittent. Aviseringarna ger uppskatt- ningsvis upphov till 70 miljoner förändringstransaktioner . Urvalsverksamheten är uppdelad på prenumerationer och engångsurval. SPAR har ca 300 fasta prenumerationskunder gällande t.ex. adresser till nyinflyttade till olika kommuner, jubilarer, nyblivna föräldrar m.m. skickas ca 400 miljoner direktadresserade försändelser till privatpersoner i . SPAR är källa till ca en fjärdedel dessa. Antalet kunder för engångsurval är ca 1 600. tas 3–5 000 reklamspärrar emot från allmänheten och bekräftas i brev. Antalet registerutdrag som lämnas är 5–7 000 . Totalt finns 130 000 reklamspärrar i SPAR. En genomsnittlig arbetsdag ställs ca 100 000 frågor on-line mot SPAR. Totalt genomförs mer än 200 miljoner transaktioner mot SPAR, dvs. ca 1 miljon per arbetsdag. Den nuvarande verksamheten omsätter 200–. Bedömning av framtida efterfrågan och utbud Användningen av nuvarande SPAR är betydande, både vad avser antalet kunder och antalet transaktioner. Driften av SPAR är en komplicerad uppgift som ställer stora krav på leverantören. Det finns endast ett begränsat antal leverantörer i som har erfarenhet av motsvarande driftuppdrag vad avser storlek, komplexitet m.m. Reglerna som styr SPAR:s användning är omfattande. Utöver SPAR-lagen och SPAR-förordningen ger PuL ett ramverk som innebär avvägningar kring varje behandling av personuppgifter. Regler kring offentlighet och sekretess berör också verksamheten. Vidare krävs ingående kännedom om folkbokföringens regler och sätt att fungera. Personer som säljer personuppgifter måste ha en bred kunskap om reglerna och även känna till hur adresser behandlas även utanför folkbokföringen, t.ex. hos postföretag och teleoperatörer. Kunder och allmänheten ställer mycket frågor kring Leverantören måste således också ha goda kunskaper om de speciella krav som ställs vid förmedling av integritetskänslig information till en bred kundkrets. Det finns en väl fungerande leverantör med ett brett tjänsteutbud och med nöjda kunder. Det handlar således inte om att etablera en helt ny marknad eller helt nya tjänster. Inledningsvis handlare det snarare om att flera leverantörer ska dela på den marknad som den nuvarande leverantören försörjer. Det är tveksamt om det på kort sikt finns en stark tillväxt vad avser volymer (antal kunder, antal transaktioner m.m.). På finns sannolikt ett ökat behov av kontroll av personuppgifter i samband med e-tjänster, e-handel m.m. Men en förändrad prisbild till följd av ökad konkurrens kan förändra läget. En tillväxtpotential kan även finnas i ett växande efterfrågetryck från utländska myndigheter och företag. Den nuvarande leverantören har väsentligt bättre förutsättningar att delta i en upphandling genom sin kunskap om nuvarande tjänster, kunder m.m. än nya leverantörer. Det kan därför behövas särskilda åtgärder för att stimulera nya leverantörer till att delta i en upphandling. En första åtgärd kan vara att tidigt informera leverantörer om en kommande upphandling. Affärsmodellen syftar till att klargöra ansvarsfördelningen och riskfördelningen mellan leverantören och Nämnden samt att lägga fast de grundläggande ekonomiska villkoren. Följande upplägg föreslås gälla: Nämnden upphandlar och tecknar avtal angående informa- tionsförmedling med ett mindre antal leverantörer. Nämnden tillhandhåller personuppgifterna. Nämnden garanterar inte någon försäljningsvolym. Nämnden följer genom en beställarfunktion upp tjänsternas kvalitet och servicenivå. Nämnden följer upp att leverantörerna uppfyller ställda krav på att hantera personuppgifterna på ett säkert och rättsligt korrekt sätt. Leverantörerna svarar för marknadsföring och försäljning av personuppgifterna till kunder. Leverantörens prissättning för tjänsterna gentemot kunderna regleras inte. Leverantörerna tar den ekonomiska risken. Leverantörerna betalar en avgift för att få tillgång till person- uppgifterna. Avgiften beräknas enligt avgiftsförordningen, dvs. avgiften ska täcka Nämndens kostnader för att tillhandahålla personuppgifterna inklusive kostnaderna för uppföljning av verksamheten. Antal leverantörer och avtalslängd ger möjlighet att vid annonseringen ange hur många leverantörer som kommer att få avtal.