sou · H2B339 · 2014-06-18 00:00:00 — På motsvarande sätt torde det vara mest förenligt med ända- målen bakom regleringen i 2 kap. 10 § TF att betrakta en handling som finns i ett elektroniskt förvar som användarens egen – skild från en handling som användaren har gett in och som därmed blivit en del av myndighetens informationstillgångar – eftersom det är så förhållandena naturligen uppfattas. En förutsättning är härvid att det elektroniska förvaret och den nyttoinformation som finns där visas via tydliga användargränssnitt och i övrigt så att det som finns där inte kan förväxlas med myndighetens informationstillgångar. 4.6Gällande rätt eller ny reglering? Delegationens bedömning: En helt ny rättslig reglering kan inte införas utan ett omfattande och tidskrävande lagstiftnings- arbete. En sådan skulle dessutom skapa en parallell reglering i stället för ett enhetligt och samordnat synsätt. En anpassning bör i stället ske till vedertagna synsätt och gränser i gällande rätt. Arbetet för att utveckla nya former för elektronisk infrastruktur på myndighetsområdet har varit intensivt. Ett sätt att återskapa tydliga gränser i digital miljö skulle därför kunna vara att se e-för- valtningen som något helt nytt, som följer sina egna förutsättningar, och därmed skulle behöva regleras på ett nytt sätt. En sådan särskild reglering för elektronisk miljö, parallell med den författningsregle- ring som gäller för traditionella pappersbaserade förfaranden, skulle följa sin egen logik och sannolikt helt förändra utvecklingen av både organisationer och informationssystem. Tydliga gränser kan emellertid också återskapas genom att in- ordna e-förvaltningen under dagens system, strukturer och ansvarsgränser – genom att utforma denna miljö så att den i allt väsentligt kan förenas med gällande rätt och de synsätt i övrigt som författningsregleringen bygger på. En helt ny rättslig reglering kan inte införas utan ett omfattande och tidskrävande lagstiftnings- arbete. Ett sådant tillvägagångssätt skulle därmed stå i vägen för införandet av moderna e-tjänster . Myndigheter har i stället valt att anpassa sina e-tjänster och till- hörande tekniska och administrativa säkerhetsåtgärder till veder- tagna synsätt och gränsdragningar i gällande rätt; bl.a. till digitala motsvarigheter till hus, rum, förvar och brevlådor. Denna anpass- ning har till betydande del byggt på analogier med motsvarande företeelser i fysisk miljö för att det ska bli möjligt att ta tillvara vedertagna synsätt som gällande rätt bygger på. I det följande utgår delegationen från att den av sin redovisade tolkning av 2 kap. 10 § första stycket TF är förenlig med gällande rätt. Denna bedömning blir av central betydelse när frågor om sekretess ska bedömas med avseende på information som en myndighet behandlar endast tekniskt. 5 Sekretess i it-baserade tjänster Enligt 2 kap. 2 § första stycket TF får rätten att ta del av allmänna handlingar begränsas endast om det är påkallat med hänsyn till vissa angivna intressen, t.ex. skyddet för enskilds personliga och ekonomiska förhållanden eller det allmännas ekonomiska intresse. En sådan begränsning ska enligt 2 kap. 2 § andra stycket TF anges noga i en bestämmelse i en särskild lag eller, om det i visst fall är lämpligare, i en annan lag vartill den särskilda lagen hänvisar. Efter bemyndigande i en sådan bestämmelse får regeringen genom för- ordning meddela närmare föreskrifter om bestämmelsens tillämp- lighet. Den särskilda lagen är offentlighets- och sekretesslagen (2009:400), förkortad OSL, och regeringen har meddelat föreskrif- ter om bestämmelsernas tillämplighet i offentlighets- och sekre- tessförordningen (2009:641).35 Sekretess innebär inte bara en begränsning av rätten att ta del av allmänna handlingar utan även ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av allmän handling eller på något annat sätt (3 kap. 1 § OSL). Sekretess innebär således både handlingssekretess och tystnadsplikt. Till den del sekretessbestäm- melserna innebär tystnadsplikt medför de en begränsning av yttrandefriheten enligt regeringsformen eller enligt den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna.36 35Jfr beträffande den beskrivning som ges här prop. 2012/13:192 s. 7 ff. 36Vid konkurrens mellan flera tillämpliga sekretessbestämmelser i ett enskilt fall är huvud- regeln att den eller de bestämmelser enligt vilka uppgiften är sekretessbelagd har företräde framför bestämmelser enligt vilka uppgiften ska lämnas ut (7 kap. 3 § OSL). Sekretess i it-baserade tjänster Sekretess gäller som huvudregel inte bara i förhållande till en- skilda utan också mellan myndigheter samt inom en myndighet, om där finns olika verksamhetsgrenar som är att betrakta som själv- ständiga i förhållande till varandra (8 kap. 1 och 2 §§ OSL). I vissa fall måste dock myndigheter kunna utbyta information för att kunna utföra sina uppgifter. Sekretessregleringen innehåller därför särskilda sekretessbrytande bestämmelser. Dessa har utformats efter en intresseavvägning mellan myndigheternas behov av att utbyta uppgifter och det intresse som den aktuella sekretess- bestämmelsen avser att skydda. En begäran att få ta del av en allmän handling ska göras hos den myndighet som förvarar handlingen (2 kap. 14 § första stycket TF). Det är också denna myndighet som enligt huvudregeln ska pröva begäran (2 kap. 14 § andra stycket TF och 6 kap. 2 § OSL). Utför en myndighet en teknisk uppgift så att en handling blir förvarad där och är den att anse som allmän kan en begäran om att få ta del av handlingen alltså göras hos den myndigheten. En sekretessbestämmelses tillämplighet begränsas i regel av tre rekvisit. Dessa tre rekvisit anger sekretessens föremål, dess räck- vidd och dess styrka. Sekretessens föremål är den information som kan hemlighållas och anges i lagen genom ordet uppgift tillsammans med en mer eller mindre långtgående precisering av uppgiftens art, t.ex. uppgift om enskilds personliga förhållanden. En sekretessbestämmelses räckvidd bestäms normalt genom att det i bestämmelsen preciseras att sekretessen för de angivna uppgifterna bara gäller i en viss typ av ärende, i en viss typ av verksamhet eller hos en viss myndighet. Vissa sekretessbestämmelser har emellertid en obegränsad räck- vidd. Uppgiften kan då hemlighållas oavsett var den förekommer. Som exempel kan nämnas de s.k. minimiskyddsbestämmelserna i 21 kap. till skydd för enskildas personliga förhållanden. Sekretessens styrka bestäms i regel med hjälp av s.k. skaderekvi- sit. Man skiljer mellan raka och omvända skaderekvisit. Vid raka skaderekvisit är utgångspunkten att uppgifterna är offentliga och att sekretess bara gäller om det kan antas att en viss skada upp- kommer om uppgiften röjs. När skälen för sekretess väger särskilt tungt i förhållande till insynsintresset används i stället omvända Sekretess i it-baserade tjänster I ett sådant fall är utgångspunkten att uppgifterna omfattas av sekretess och att en uppgift får lämnas ut endast om det står klart att uppgiften kan röjas utan att viss skada uppstår. Sekretessen enligt en bestämmelse kan även vara absolut. I ett sådant fall ska de uppgifter som omfattas av bestämmelsen hemlig- hållas utan någon skadeprövning om uppgifterna begärs ut. Det förekommer också bestämmelser som inte innehåller skaderekvisit, men som i stället innehåller andra typer av rekvisit som beskriver under vilka förutsättningar sekretess gäller. 5.1.3Rätten att meddela och offentliggöra uppgifter Som nämns i avsnitt 5.1.1 innebär sekretess såväl handlingssekre- tess som tystnadsplikt. Den rätt att meddela och offentliggöra upp- gifter som följer av 1 kap. 1 § TF och 1 kap. 1 och 2 §§ yttrande- frihetsgrundlagen (YGL) har som huvudregel företräde framför den tystnadsplikt som följer av en sekretessbestämmelse. Nämnda rätt har dock aldrig företräde framför den handlingssekretess som följer av samma bestämmelse (7 kap. 3 § första stycket 2 och 5 § TF och 5 kap. 1 § första stycket och 3 § 2 YGL). Det kan således vara tillåtet att muntligen lämna en uppgift till en journalist eller att själv publicera uppgiften, men det är aldrig tillåtet att med stöd av rätten att meddela och offentliggöra uppgiften lämna den allmänna handling som den sekretessbelagda uppgiften framgår av till en journalist eller att själv publicera handlingen. I ett antal fall har emellertid även tystnadsplikten företräde framför rätten att meddela och offentliggöra uppgifter. I dessa fall är således rätten att meddela och offentliggöra uppgifter helt in- skränkt. Vissa av dessa situationer är reglerade direkt i tryckfrihets- förordningen och yttrandefrihetsgrundlagen. Av 7 kap. 3 § 3 TF respektive 5 kap. 3 § 3 YGL följer vidare att det inte är tillåtet att med stöd av rätten att meddela och offentliggöra uppgifter uppsåt- ligen åsidosätta en tystnadsplikt i de fall som anges i en särskild lag. Den särskilda lag som avses är offentlighets- och sekretesslagen (13 kap. OSL, slutet av varje kapitel i lagens fjärde-sjätte avdel- ningar samt lagens sjunde avdelning). Varje gång en ny sekretessbestämmelse införs måste lagstiftaren överväga om den tystnadsplikt som följer av den föreslagna sekre- tessbestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Utgångspunkten är att stor återhållsamhet Sekretess i it-baserade tjänster ska iakttas vid prövningen av om undantag från rätten att meddela och offentliggöra uppgifter bör göras i ett särskilt fall. Den enskilda sekretessbestämmelsens konstruktion kan ge viss vägled- ning. När det är fråga om bestämmelser om absolut sekretess kan det finnas större anledning att överväga undantag från rätten att med- dela och offentliggöra uppgifter än i andra fall. Detsamma gäller i viss mån sekretessbestämmelser med ett omvänt skaderekvisit (prop. 1979/80:2 Del A s. 111 f.). 5.2Tystnadsplikt för vissa tjänster Delegationens bedömning: Det behövs endast en tystnadsplikt i det allmännas verksamhet för att tillhandahålla it-drift och elektroniska förvar för någon annans räkning. Det är som framgått av avsnitt 3.3 numera ett vedertaget juridiskt synsätt och en utbredd praxis inom offentlig förvaltning att tillhan- dahålla elektroniskt förvar åt användare av myndigheters elektron- iska tjänster. Användaren utgår närmast självklart från att ingen annan får bereda sig tillgång till den nyttoinformation som finns där och att en myndighet och dess personal inte heller på annat sätt får röja dessa uppgifter. har det som beskrivits i avsnitt 3.4 blivit en utbredd myndighetspraxis att utkontraktera hela eller delar av it-driften. När sådan teknisk bearbetning och lagring utförs av ett privaträttsligt subjekt kan en tystnadsplikt säkerställas genom avtal. När en myndighet utför teknisk bearbetning och lagring för en annans räkning kan myndighetens personal emellertid inte genom avtal förbjudas att röja uppgifter. Sådana regler för offentliga funk- tionärer ges i stället i lag genom bestämmelser om sekretess. När det ska bedömas vilket behov som finns av sekretess blir det avgö- rande om berörda handlingar är att anse som allmänna i en myndig- hets verksamhet, för att tillhandahålla it-drift för annans räkning, elektroniskt förvar för användare av it-baserade tjänster, och hjälptjänster eller presentationstjänster. Sekretess i it-baserade tjänster Begärs en handling utlämnad med stöd av reglerna om handlings- offentlighet behöver myndigheten ta ställning till om handlingen är förvarad och inkommen till eller upprättad hos myndigheten samt om något undantag enligt 2 kap. TF från handlingsoffentlighet är tillämpligt. Skulle en handling vara allmän behöver myndigheten bedöma om den innehåller någon sekretessreglerad uppgift. Kan detta inte slås fast utan en närmare granskning och är inget undantag från allmän handling tillämpligt behöver myndigheten ta del av informa- tionen i användarens elektroniska förvar37, dels för att avgöra huru- vida ett påstående om att en begärd handling finns där är riktigt, dels för att bedöma om sekretess gäller för den. En sådan genom- gång av information i en användares elektroniska förvar kan emel- lertid varken förenas med förvarets ändamål eller med skyddet för innehavarens privatliv. En liknande utmaning uppkommer vid utkontraktering av it- drift till en myndighet, om det inte utan närmare granskning kan slås fast att ett undantag enligt 2 kap. TF är tillämpligt. Begärs en handling utlämnad, under påstående att handlingen är allmän, hos den myndighet som tillhandahåller tjänsten, behöver den tjänste- levererande myndigheten behandla uppgifterna för att bedöma frågan om handlingsoffentlighet. Om sådana åtgärder skulle visa sig bli nödvändiga vid utkontraktering av it-drift till en myndighet torde valet mellan en offentlig respektive en privat leverantör för driften utfalla så att myndigheternas samverkan på området blir be- gränsad. Frågan om tillämpningsområdet för 2 kap. 10 § första stycket TF vid utkontraktering av it-drift och tillhandahållande av elektro- niskt förvar har redan behandlats i avsnitt 4.4.2 och 4.5.6. Enligt delegationens bedömning får detta undantag från allmän handling anses gälla både för sådan endast teknisk bearbetning och teknisk lagring som utförs vid utkontraktering av it-drift till en myndighet och för handling i ett elektroniskt förvar som en myndighet till- handahåller åt annan. En sekretessreglering för utkontrakterad it-drift och för elektroniskt förvar behövs därmed endast i form av en tystnads- plikt i det allmännas verksamhet för att tillhandahålla sådana tjänster. 37 Se vidare avsnitt 3.2 angående s.k. nyttoinformation. Sekretess i it-baserade tjänster Som redovisats i avsnitt 4.4.3 är situationen en annan när en myndighet förvarar en handling för att tillhandahålla en presenta- tions- eller en hjälptjänst. Det blir då inte fråga om endast teknisk bearbetning eller lagring för annans räkning utan det centrala är antingen information som myndigheten ställer samman och visar i en presentationstjänst eller den – ofta muntliga – information som myndigheten ger om hur ett problem kan avhjälpas eller hur vissa uppgifter kan förstås. En sekretessreglering behövs därmed, för uppgifter i hjälp- tjänster och presentationstjänster, såväl i form av handlingssekre- tess som tystnadsplikt; se vidare avsnitt 6. 5.3Tystnadspliktens föremål bör vidgas Delegationens bedömning: Tystnadspliktens föremål i verk- samhet för att tillhandahålla it-drift och elektroniskt förvar ska vidgas så att uppgift om en enskilds personliga eller ekonomiska förhållanden skyddas även om uppgiften inte är en person- uppgift. Det är en förutsättning för att myndigheter ska kunna tillhanda- hålla elektroniskt förvar – i vart fall – att innehavaren av förvaret kan veta att de uppgifter som finns där inte får röjas, vare sig det sker muntligen, genom utlämnande av en handling eller på något annat sätt. Detta behov av skydd föreligger även om samma handling, efter att ha getts in, skulle finnas också i myndighetens verksamhetssystem38 och där anses vara allmän handling. Det är förvaret som innehavaren ska ha för sig själv, vilket kan jämföras med att information i en bostad är privat. På samma sätt behöver ett företag kunna ha ett elektroniskt för- var för sig själv. Detta gäller oberoende av om det är fråga om en arbetsyta på en server eller ett tjänsterum på ett företags kontor. En handling hos ett företag blir inte tillgänglig för utomstående för att den finns på ett kontor i en fastighet som ägs av en myndighet. Dessutom gäller skyddet för handlingen oberoende av om den innehåller någon integritetskänslig uppgift. 38 Jfr avsnitt 3.2, not 4. Sekretess i it-baserade tjänster finns ett behov av skydd mot att en myndighet eller dess personal bereder sig tillgång till ett företags elektroniska förvar. Skulle en befattningshavare ha råka ta del av en uppgift i ett elektroniskt förvar, t.ex. råkat se en uppgift i samband med att han eller hon rättat ett fel i det tekniska systemet eller vidtagit en åtgärd som är nödvändig från informationssäkerhetssynpunkt, behöver det finnas ett förbud mot att röja uppgiften, oavsett om röjandet sker muntligen, genom utlämnande av handling eller på något annat sätt. På motsvarande sätt behöver det finnas en tystnadsplikt för per- sonalen hos myndighet som sköter it-drift åt någon annan så att de inte får röja de uppgifter som behandlas. Sådan utkontraktering av it-drift till myndighet är omfattande; jfr vad som sagts i av- snitt 3.4 om Statens servicecenter och projektet . Enligt 40 kap. 5 § OSL gäller sekretess i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning av personuppgifter som avses i personuppgiftslagen (1998:204) för uppgift om en enskilds personliga eller ekonomiska förhållanden. Denna tystnadsplikt är absolut, vilket innebär att uppgifter som omfattas av sekretessen ska hemlighållas utan någon skadepröv- ning. Det kan därmed inte råda någon tvekan om att sekretessens styrka är tillräcklig för elektroniskt förvar och för utkontraktering av it-drift. Frågan är emellertid om sekretessens räckvidd kan anses tillräcklig när den enligt 40 kap. 5 § OSL begränsats till enbart teknisk bearbetning eller lagring för annans räkning. Vi har i avsnitt 4.4.2 och 4.5.6. gjort den bedömningen att undantaget i 2 kap. 10 § första stycket TF för handling som förva- ras hos en myndighet endast som led i teknisk bearbetning eller teknisk lagring för annans räkning är tillämpligt även på uppgifter i ett elektroniskt förvar och uppgifter som en myndighet behandlar genom att tillhandahålla tjänster för it-drift. Det för 2 kap. 10 § första stycket TF centrala rekvisitet endast avses ha samma inne- börd som begreppet enbart i 40 kap. 5 § OSL. Därmed får även sekretessens räckvidd anses tillräcklig för de behov som elektron- iskt förvar och utkontraktering av it-drift aktualiserar. Sekretessens föremål – dvs. den information som kan hemlighål- las – har emellertid begränsats, inte bara till uppgifter om enskildas personliga eller ekonomiska förhållanden utan också till personupp- gifter som avses i personuppgiftslagen (1998:204), förkortad PuL. Den i 40 kap. 5 § OSL föreskrivna tystnadsplikten är därmed alltför begränsad. Ett stort antal elektroniska förvar tillhandahålls redan åt Sekretess i it-baserade tjänster juridiska personer där de bl.a. upprätta inlagor med uppgifter som inte får komma till utomståendes kännedom, i vart fall inte före det att handlingen har kommit in till myndighet. Delegationen föreslår därför att tystnadspliktens föremål enligt 40 kap. 5 § OSL utvidgas så att uppgifter om enskildas personliga eller ekonomiska förhållanden skyddas, även om de inte utgör personuppgifter enligt personuppgiftslagen. Bestämmelsen i 40 kap. 5 § OSL hade sin motsvarighet i 9 kap. 7 § sekretesslagen (1980:100). Även där gällde regleringen – efter änd- ringar i samband med personuppgiftslagens införande – endast för personuppgifter. gällde bestämmelsen emellertid för personregister enligt datalagen. Ett sådant register kunde också innehålla uppgifter om juridiska personer eftersom det med personregister enligt 1 § datalagen menades register, förteckning eller andra anteckningar som föres med hjälp av automatisk databe- handling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Denna definition träffade alla former av strukturerade behandlingar som till någon del innehöll uppgifter om enskilda personer. Eftersom även bolag omfattas av definitionen enskild i sekretesslagen gav sekretessregleringen i sin ursprungliga lydelse alltså ett skydd även för uppgifter om juri- diska personer – så snart uppgifterna förekom i ett register tillsam- mans med personuppgifter. Den inskränkning i tystnadsplikten som blev följden av vad som i lagmotiven beskrevs endast som en justering med anledning av att personuppgiftslagen skulle ersätta datalagen synes inte ha uppmärksammats. uppgifter om juridiska personer föll därmed utanför sekretessregleringen. När sekretesslagen infördes utfördes så gott som all behandling med hjälp av ADB hos myndigheter i register som innehöll vissa på förhand definierade faktauppgifter om enskilda. Som exempel kan nämnas ersättnings- nivåer, inkomster, adress och fattade beslut. Någon digital behand- ling av uppgifter i löpande text förekom knappast. I stället skrevs domar och beslut på skrivmaskin. Meddelanden expedierades i brevform med vanlig post. Den som ville kontakta en myndighet Sekretess i it-baserade tjänster skriftligen sände brev med . Vid muntlig kommunika- tion förde tjänstemannen tjänsteanteckningar i pappersjournaler eller direkt på aktkappor. Inom förvaltningsmyndigheter förekom vanligen att enklare beslut sattes upp i form av s.k. tergalresolution, dvs. att beslut tecknades med penna på den handling som innehöll ansökan. Efter sekretesslagens tillkomst har utvecklingen gått snabbt och sker så gått som all behandling av uppgifter om enskilda i digi- tal miljö. Myndigheterna kommunicerar också vanligtvis elektron- iskt med enskilda. Information finns på myndigheternas webbplat- ser och nära nog alla myndigheter som har omfattande kontakter med enskilda tillhandahåller elektroniska tjänster där enskilda kan utföra sina ärenden. Myndigheter använder i betydande omfattning också digitaliserad akthantering där beslut, skrivelser och andra handlingar bevaras digitalt. Detta gäller även för tjänsteanteckning- ar. Det säger sig själv att behovet av integritetsskydd i denna miljö inte kan begränsas till den information som råkar befinna sig i vad som kan kallas ett register. När sekretesslagen infördes uttalades bl.a. följande angående sekretess för registerbehandlingar (prop. 1979/80:2 s 272): Också i fråga om andra myndigheter än datainspektionen finns behov av sekretessbestämmelser i samband med personregistrering med hjälp av ADB. Någon regel som generellt skulle föreskriva sekretess för personuppgifter i dataregister kan dock naturligen inte införas. En sådan bestämmelse skulle ju på viktiga områden försätta offentlighets- principen ur spel. I 13 § första stycket datalagen föreskrivs att registeransvarig eller annan som har tagit befattning med personregister inte obehörigen får yppa vad han till följd härav har fått veta om enskilds personliga för- hållanden. Regeln är i och för sig tillämplig också på myndighet. Den har därvid dock den begränsningen att tystnadsplikten inte kan anses sträcka sig längre än de inskränkningar som gäller i fråga om rätten att skriftligen lämna ut uppgift ur registret. Detta innebär med andra ord att tystnadsplikten inte gäller registeruppgift som ingår i en offentlig ADB-upptagning. Det finns skäl att på ett begränsat område införa en sekretess- bestämmelse i den nya sekretesslagen som kan sägas i viss mån svara mot den berörda bestämmelsen i datalagen. Sålunda är det inte godtag- bart att sekretess skulle saknas inom en datacentral med ställning av myndighet, för personuppgifter i sådant personregister som bearbetas eller lagras för enskild kunds räkning. För bearbetning och förvaring av myndighets ADB-register är behovet av särskild sekretess inte lika framträdande, eftersom ofta en för det berörda förvaltningsområdet gällande sekretessbestämmelse skulle bli tillämplig. Sekretess i it-baserade tjänster ning att skilja mellan bearbetning m.m. för enskilds och för myndig- hets räkning synes dock inte föreligga. Det kan inte heller vara ända- målsenligt att personal som har rent tekniska uppgifter skall behöva tillämpa olika sekretessbestämmelser för skilda delar av sitt arbets- material. Med hänvisning till det anförda har i promemorian föreslagits att sekretess skall gälla i myndighets verksamhet som endast avser teknisk bearbetning eller teknisk lagring för annans räkning, för uppgift om enskilds personliga eller ekonomiska förhållanden. Sekretessen har föreslagits bli absolut, d.v.s. något skaderekvisit ställs inte upp som villkor för sekretessen.