sou · H2B339 · 2014-06-18 00:00:00 — Förslaget har inte mött några invändningar under remissbehandlingen. Bestämmelsen i förevarande paragraf över- ensstämmer med promemorieförslaget. Det ansågs alltså finnas behov av ett integritetsskydd för tekniska behandlingar oavsett om de rörde personuppgifter eller en bland- ning av personuppgifter och uppgifter om juridiska personer. Ett bärande skäl bakom denna sekretess har varit att den personal som biträder vid bearbetningen eller lagringen inte ska behöva tillämpa de skiftande sekretessregler som kan gälla hos de olika myndigheter där uppgifterna hör hemma; jfr hur den sekretess som gäller för personal i en myndighets telefonväxel – se 40 kap. 4 § OSL, tidigare 12 kap. 7 § sekretesslagen (1980:100) – är absolut och att det inte ansetts lämpligt att till växeltelefonisten överlämna att avgöra om en sekretessregel är tillämplig i det enskilda fallet (prop. 1979/80:2 Del A s. 314). Att sekretessen inte kom att omfatta annat än personregister torde ha berott på att definitionen av personregister i datalagen omfattade även digitala behandlingar utanför konventio- nella register. Det bör vidare framhållas att den analys lagstiftaren utförde, i samband med antagande av sekretesslag rörande den bestämmelse vilken inflöt som 9 kap. 7 §, avsåg behovet av skydd för personuppgiftsbehandling med ADB. Mot bl.a. den bak- grunden får de citerade motivuttalandena förstås, om att det inte var aktuellt att generellt sekretessbelägga personuppgifter i data- register. Den avvägning som låg bakom bestämmelsen, mellan behovet av sekretess på den ena sidan och behovet av offentlighet på den andra, framstår därmed inte som heltäckande, i vart fall inte när det beaktas hur it används . Något adekvat skydd finns inte för sådan teknisk bearbetning och lagring för annans räkning som blivit vanlig på myndighetsområdet. Den utkontraktering av it-drift som utgör en central del i myndigheternas sam- Sekretess i it-baserade tjänster verkan inom förvaltningsområdet präglar exempelvis Statens servicecenters uppdrag enligt förordningen (2012:208) med instruktion för Statens servicecenter. Behov av skydd blir som framgått särskilt tydligt när en myndighet tillhandahåller elektro- niskt förvar åt enskilda; jfr vad som redovisats i avsnitt 4.5.1 angå- ende skyddet för privatlivet. Tillhandahålls motsvarande förvar åt enskilda genom ett privaträttsligt subjekt kan emellertid sekretess, innefattande tystnadsplikt, uppnås fullt ut genom avtal. 5.4.2Andra regler om sekretess Delegationens bedömning: Andra regler om sekretess ger inte heller ett tillräckligt skydd för uppgifter i elektroniskt förvar eller vid utkontraktering av it-drift till en myndighet. Även andra bestämmelser i offentlighets- och sekretesslagen kan bli tillämpliga på uppgifter i ett elektroniskt förvar och vid utkon- traktering av it-drift till en myndighet. Vanligtvis föreskrivs emel- lertid begränsningar av sekretessens räckvidd till t.ex. uppgifter i viss verksamhet eller i vissa ärenden. I ärendetjänster uppkommer frågan om den sekretess som enligt 27 kap. 1 § OSL gäller i verksamhet som avser bestämmande av skatt eller faststäl- lande av underlag för bestämmande av skatt, kan anses gälla redan i ett serviceskede när den skattskyldige upprättar ett utkast i ett elektroniskt förvar som verket tillhandahåller. Föreligger verksam- het av där angivet slag när det är fråga endast om uppgifter i utkast till handlingar som inte har getts in i förvaltningsrättslig mening och som verket inte får ta del av – dvs. innan något ärende som rör den handlingen har blivit anhängiggjort hos ? Motsvarande fråga aktualiseras när en ärendetjänst tillhandahålls av . Kan sekretess som enligt 28 kap. 1 § OSL gäller för uppgift som förekommer i ärende enligt viss närmare an- given lagstiftning anses gälla innan något sådant ärende har an- hängiggjorts? En sådan tolkning framstår som extensiv. Det finns vidare regler om sekretess för uppgifter som hanteras inom ramen för uppdrag som bygger på förutsättningen att uppgifter- na inte röjs. I 29 kap. OSL ges regler om sekretess för allmän samfärdsel, för postförsändelse (1 §), hos bl.a. myndighet som bedriver postverksamhet för uppgift om en särskild postförsändelse, Sekretess i it-baserade tjänster elektroniskt meddelande (2 §), hos en myndighet som tillhanda- håller ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst för uppgift om innehållet i ett elektro- niskt meddelande eller annan uppgift som angår ett särskilt elektroniskt meddelande, och annan samfärdsel (3 §), hos myndighet som handhar allmän samfärdsel för sådan uppgift om en enskilds förbindelse med samfärdselverksamheten. Sekretessen för postförsändelse gäller dock endast för traditionell papperspost och skyddet för elektroniskt meddelande gäller endast hos en myndighet som tillhandahåller ett elektroniskt kommunika- tionsnät eller en elektronisk kommunikationstjänst. En myndighet som tillhandahåller ett elektroniskt förvar eller genom utkontrakte- ring hanterar en annan myndighets uppgifter tillhandahåller emel- lertid inte därigenom en sådan elektronisk kommunikationstjänst som omfattas av sekretessregleringen för elektroniskt meddelande. I detta sammanhang bör också nämnas att sekretess gäller enligt 40 kap. 2 § OSL i publicus verksamhet, som följer av lag eller annan författning för uppgift som det kan antas att den rätts- sökande har förutsatt ska bli behandlad förtroligt, och att det enligt 40 kap. 4 § OSL gäller sekretess för personal i en myndighets tele- fonväxel, för uppgift som har inhämtats vid tjänstgöringen och som avser telefonsamtal till eller från någon annan person hos myndig- heten, oberoende av om uppgiften är offentlig i myndighetens verksamhet i övrigt. Avsikten är i dessa fall, liksom vid använd- ningen av ett elektroniskt förvar, att material som avsändare och mottagare har utgått från ska behandlas förtroligt inte får röjas, vare sig det sker muntligen, genom utlämnande av en allmän hand- ling eller på något annat sätt. Enskilda lämnar uppdragen och använder tjänsterna under den förutsättningen. Vad som utmärker elektroniskt förvar hos en myndighet är att innehavaren uppfattar det som sitt – som om det var en del av hans eller hennes egen it-miljö, kanske till och med som om det fanns i användarens egen dator. Detta förvar hade tekniskt lika gärna kunnat tillhandahållas av ett företag eller en annan myndighet än den som tillhandahåller den ärendetjänst där det förvaret används, t.ex. av Statens servicecenter. Information i en användares elektroniska förvar är vidare som framgått av privat natur. Innehavaren av förvaret har uppgifter och Sekretess i it-baserade tjänster handlingar där för sin egen räkning och utgår från att ingen annan ska få bereda sig tillgång till förvaret och läsa eller annars använda det som finns där. Syfte med förvaret är att det ska fungera för an- vändaren på samma sätt som om personen hade haft handlingarna i sin bostad eller på sitt kontor. De handlingar som finns där ska alltså vara skyddade från insyn oberoende av om de innehåller skyddsvärda uppgifter; se vidare avsnitt 4.5.1 angående skyddet för privatlivet. Det förhållandet att utkast, som tas fram i ett sådant förvar, kan komma att ges in till en myndighet, förändrar inte ändamålet med det elektroniska förvaret. Syftet är att ge de uppgifter som den enskilde mottar, förvarar och bearbetar där samt lämnar vidare därifrån ett tillräckligt skydd. På liknande sätt brukar tanken finnas, när en myndighet övervä- ger att utkontraktera t.ex. sin it-drift, att förutsättningarna ska kunna vara desamma oberoende av om uppdraget ges till en myn- dighet eller till ett privaträttsligt subjekt. När en myndighet anlitar en annan myndighet som underleverantör eller när en enskild har ett elektroniskt förvar i en myndighets e-tjänst förutsätts emeller- tid som framgått också att den personal som sköter de tekniska systemen inte röjer de uppgifter som behandlas där. I privaträttslig miljö är en tystnadsplikt grundad på avtal det normala. För myndigheter gäller i stället de förbud mot att röja eller utnyttja en uppgift som föreskrivs i offentlighets- och sekrete- sslagen eller enligt lag eller förordning som offentlighets- och sekretesslagen hänvisar till. Den personkrets för vilken regleringen i offentlighets- och sekretesslagen gäller utgörs inte bara av myndighetens anställda. Den gäller även för personer som har uppdrag där, t.ex. för it-drift, och som har en sådan anknytning till myndigheten att de kan sägas delta i dennas verksamhet (2 kap. 1 § OSL). För denna kategori av personer finns bestämmelser om yttrandefrihet som inte medger att tystnadsplikt införs genom avtal. Delegationens bedömning: Uppdragssekretess kan inte heller ge det skydd som behövs vid teknisk bearbetning eller lagring för annan. Sekretess i it-baserade tjänster Enligt 31 kap 12 § OSL gäller sekretess i samband med uppdrags- verksamhet som myndigheter bedriver för enskildas räkning. Be- stämmelsen föreskriver sekretess för uppgift som avser provning, bestämning av egenskaper eller myckenhet, värdering, vetenskaplig, teknisk, ekonomisk eller statistisk undersökning eller annat sådant uppdrag som myndighet utför för en enskilds räkning om det kan antas att uppdraget lämnats under förutsättning att uppgiften inte röjs. Sekretessen är absolut och meddelarfrihet gäller inte. Att det är en myndighet som utför uppdraget och att det lämnats under förutsättning att uppgifterna inte röjs stämmer väl överens med de utgångspunkter från vilka elektroniskt förvar tillhandahålls och utkontraktering sker till myndighet av it-drift. En begränsning gäller emellertid till s.k. uppdragsverksamhet. Typiska myndigheter att tillämpa bestämmelsen har angetts vara universitet och högskolor, SCB, eller . Myndigheter som tillhandahåller elektroniskt förvar behandlar visserligen de uppgifter som finns där inom ramen för ett uppdrag, men ett uppdrag att utföra sådan teknisk lagring och bearbetning av information synes inte vara att jämställa med undersökning av vetenskaplig, teknisk eller statistisk karaktär eller utgöra annat sådant uppdrag, som det uttrycks i lagtexten. Någon vägledning ges inte i motiven till OSL eller sekretesslagen (1980:100), från vilken bestämmelsen (då i 8 kap 9 §) överförts utan ändring i sak. har övervägt begreppet uppdrag i HFD 2011 not. 28 och konstaterat att det i begreppet måste ligga att det är fråga om en uppgift som kräver vissa arbetsinsatser av inte alltför obetydligt slag. Domstolen uttalade vidare att resultatet skulle redovisas i en rapport eller liknande. Eftersom det är fråga om ett notismål kan knappast några långtgående slutsatser dras. Avgörande torde vara, inte själva formatet för redovisning av upp- draget utan snarare omfattningen av redovisningen och av upp- draget, detta eftersom domstolen från tillämpningsområdet uteslöt fall där det bara är fråga om att svara på en enstaka faktafråga eller att upplysa om innehållet i en rättsregel. I motiven till sekretesslagen (prop. 1979/80:2 s 238) angavs att paragrafen avsågs omfatta situationer där sekretessen var närmast av förtroendekaraktär, där det i situationen ligger att enskilda knap- past skulle anlita myndigheten, om de inte kunde vara säkra på att få samma skydd som hos ett privat företag. I denna del är överens- stämmelsen sannolikt fullständig med användares förväntningar på skyddet för de uppgifter som finns i ett elektroniskt förvar. Sekretess i it-baserade tjänster Den aktuella regelns angivna syfte och Högsta Förvaltnings- domstolens ovan nämnda avgörande talar för att man vid tolkning av denna bestämmelse som avgörande bör se snarare omfattningen och den förtroendefulla karaktären av de uppgifter en enskild låter en myndighet sköta än att det måste vara fråga om vissa analyser och undersökningar som ska rapporteras. Det kan mot denna bak- grund inte helt uteslutas att bestämmelsen i något fall skulle kunna bli tillämplig även på uppgifter som behandlas inom ramen för varaktiga elektroniska förvar. Det synes inte heller vara någon direkt förutsättning för tillämpning av bestämmelsen att varje enskild uppgift har lämnats till myndigheten av den enskilde. I den äldre motsvarigheten till bestämmelsen (27 § sekre- tesslag) fanns en formulering som gjorde att bestämmelsen omfat- tade även införskaffande eller meddelande av upplysningar till en- skildas tjänst. Någon saklig ändring har inte avsetts vare sig i sekretesslagen eller OSL. Men detta uttryck har tagits bort och ersatts av uttrycket annat sådant uppdrag (se prop. 1979/80:2 s. 237 f., Ds Ju 1977:11 s. 507 f. och SOU 1975:22 s. 216 ff.). Någon säker slutsats om huruvida bestämmelsen kan bli tillämplig i anknytning till elektroniskt förvar kan inte dras. Upp- dragssekretessen kan därmed inte – utan en ändring i lag eller ett klarläggande genom rättspraxis – läggas till grund för skyddet av uppgifter i elektroniskt förvar. Något stöd för att tillämpa denna bestämmelse vid t.ex. it-drift och liknande för annan myndighet finns inte heller. De praktiska förutsättningarna påminner emellertid om dagens förhållanden vid utkontraktering där det kan ingå i uppdraget att lämna vissa rapporter, t.ex. vid it-incidenter. 5.4.4Sekretessen bör inte begränsas till personuppgifter Delegationens förslag: Sekretess ska gälla i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning för uppgift om en enskilds personliga eller ekonomiska förhållanden. Utkontraktering av it-drift har som framgått blivit en central del i myndigheters samverkan för en fungerande elektronisk förvaltning. Regeringen har gett vissa myndigheter i uppdrag att ge sådant stöd och för många myndigheter är utkontraktering en central del i Sekretess i it-baserade tjänster hanteringen eftersom it-baserade funktioner kräver specialistkom- petens och avancerade tekniska hjälpmedel som med hänsyn till ut- vecklingstakten knappast kan hanteras av varje myndighet för sig. Regeringen har också i olika sammanhang betonat vikten av att myndigheter samverkar kring gemensamma funktioner och tjänster och delar på resurser och investeringar över myndighetsgränser. Enligt sin instruktion har flera myndigheter också i uppdrag att tillhandahålla it-baserade funktioner och tjänster åt andra; se t.ex. förordningen (2012:208) med instruktion för Statens servicecenter, förordningen (2003:770) om statliga myndigheters elektroniska in- formationsutbyte, förordningen (2010:1497) med instruktion för och förordningen (2009:1078) om tjänster på den inre marknaden.39 Det har vidare blivit en allmänt spridd myndighetspraxis att ut- forma e-tjänster så att myndigheter tillhandahåller elektroniskt för- var åt dem som använder tjänsten. Inte förrän innehavaren av ett sådant förvar har avsänt en handling därifrån så att den nått ett anvisat mottagningsställe avses handlingen finnas hos myndigheten för annat än teknisk bearbetning eller teknisk lagring. Vid sådana förhållanden finns, som framgått av avsnitt 5.2 och 5.3, ett behov av att vidga föremålet för tystnadsplikten. Regering- ens mål för it-politiken är att ska vara bäst i världen på att använda digitaliseringens möjligheter. För att uppnå detta krävs dels en ökad specialisering och samverkan mellan myndigheter så att den tekniska kompetens som finns hos en myndighet kan nyttjas av flera, dels en ökad digital delaktighet i samhället så att fler vill och vågar använda digitala tjänster. En nödvändig del i denna utveckling är att myndigheter inför fler elektroniska tjänster som vanliga användare upplever att de har 39 Här bör också nämnas att det enligt 4 § första stycket 4 förordningen (2007:937) med in- struktion för är en uppgift för myndigheten att genom it-säker- hetsanalyser, efter begäran, ge stöd åt statliga myndigheter som hanterar viss information. Ett sådant uppdrag innebär en utkontraktering till av den drabbade myndighetens granskning av sin informationssäkerhet. Det kan knappast förutses vad tillhö- rande insamling och överlämning av data inom ramen för uppdraget kan komma att innefatta för uppgifter. På motsvarande sätt föreskrivs i 11 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap (MSB) att myndigheten ska svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera IT-incidenter och att MSB i detta arbete ska agera skyndsamt vid inträffade IT-incidenter genom att sprida information samt vid behov arbeta med samord- ning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade. Även här aktualiseras analyser och annan hjälp genom utkontraktering till en myndighet. Sekretess i it-baserade tjänster Sådana tjänster måste vara enkla att bruka och göra det möjligt att påbörja arbetet med t.ex. en ansökan till en myndighet som passar den enskilde. Det behöver också gå att spara underlaget när användaren så önskar för att kunna fortsätta arbetet utan att behöva börja om från bör- jan. Arbetsmaterial och andra handlingar som en enskild förvarar hos en myndighet endast för sin egen räkning måste härvid ges ett skydd som gör att användaren kan känna trygghet och säkerhet. Detta skyddsbehov är starkt uttalat för såväl uppgifter i användares elektroniska förvar som uppgifter vilka en myndighet behandlar för en annan myndighets räkning vid utkontraktering av it-drift. Delegationen föreslår därför att den gjorda in- skränkningen i sekretessen, som blivit följden av vad som i lag- motiven (prop. 1997/98:44 s. 147) beskrivits som endast en justering med anledning av att personuppgiftslagen ersatte data- lagen, tas bort. Ett sådant återinförande av sekretess, och därmed av tystnadsplikt för befattningshavare, kan ske genom att sekre- tessen enligt till 40 kap. 5 § OSL, anges avse även uppgifter som inte är personuppgifter. Med hänsyn till den vida tolkning begreppet personregister gavs i praxis rörande datalagen kan delegationens förslag knappast inne- bära annat än en marginell utvidgning i förhållande till området för 9 kap. 7 § sekretesslagen (1980:100) vid tiden före ikraftträdandet av personuppgiftslagen (1998:204). Det är, och var, ovanligt att uppgifter om juridiska personer blev behandlade utan anknytning till någon personuppgift, t.ex. en uppgift om företrädare för en juridisk person. Ett sådant skydd behövs både för den myndighets- samverkan som i stor omfattning bedrivs genom utkontraktering av it-drift mellan myndigheter och för elektroniskt förvar som myndigheter erbjuder användare. Sekretess bör därmed gälla i verksamhet för enbart teknisk bear- betning eller teknisk lagring för någon annans räkning för uppgift om en enskilds personliga eller ekonomiska förhållanden. När en myndighet utkontrakterar sin it-drift till en annan myn- dighet framstår det med dagens infrastruktur för kommunikation som rimligt att den som vill begära ut en uppgift får vända sig till den myndighet som svarar för den verksamhet där uppgiften hör hemma – inte till den som endast har en teknisk uppgift. Utför en myndighet teknisk bearbetning eller lagring av uppgifter för ett organ som inte omfattas av reglerna om handlingsoffentlighet (se Sekretess i it-baserade tjänster 2 kap. 3-5 §§ OSL) gör sig kraven på insyn enligt reglerna om handlingsoffentlighet inte gällande beträffande de uppgifterna. Delegationens förslag: Får en myndighet i sin verksamhet för enbart teknisk bearbetning eller teknisk lagring för en annan myndighets räkning en uppgift som av hänsyn till ett allmänt intresse är sekretessreglerad där, blir sekretessbestämmelsen til- lämplig på uppgiften även hos den mottagande myndigheten. 5.5.1Mer än personliga eller ekonomiska förhållanden I en myndighets verksamhet för enbart teknisk bearbetning eller lagring för en annan myndighets räkning kan uppgifter komma att behandlas hos den myndighet till vilken utkontraktering skett (i det följande tjänstelevererande myndighet), som visserligen omfattas av tystnadsplikt hos den myndighet som utkontrakterat sin it-drift (i det följande beställande myndighet), men där sekre- tessens föremål är ett annat än enskilds personliga eller ekonomiska förhållanden. Någon tystnadsplikt för befattningshavare hos den tjänstelevererande myndigheten kan under sådana förhållanden inte följa av 40 kap. 5 § OSL och det är som framgått inte möjligt att införa tystnadsplikt genom avtal. Frågan blir därmed om den tystnadsplikt som gäller för uppgif- ten hos den beställande myndigheten kan bli tillämplig även hos den tjänstelevererande myndigheten eller om utkontrakteringen för med sig ett försämrat skydd för uppgifterna, om en myndighet ska leverera tjänsten. Normalt finns det ett behov av en tystnadsplikt för befattningshavare hos tjänstelevererande myndighet när en uppgift är sekretessreglerad hos den myndighet som har beställt tjänsten. Detta kan åskådliggöras med den sekretessreglering som gäller hos regeringen, och för uppgift som rör rikets centrala finanspolitik, penningpolitik eller valutapolitik. Skulle utkontraktering ske av teknisk bearbetning eller teknisk lagring av sådan uppgift till en annan myndighet, hos vilken sekre- tessen enligt 16 kap. 1 § OSL inte gäller, hade en lucka uppstått i sekretessen, om föreskriften i 16 kap. 2 § OSL inte hade funnits. Sekretess i it-baserade tjänster Där föreskrivs att 1 § blir tillämplig även hos den myndighet som får en uppgift som är sekretessreglerad i 1 §. Det finns emellertid andra bestämmelser om sekretess som har begränsats till t.ex. viss verksamhet hos viss myndighet utan att det har föreskrivits att denna sekretess gäller även hos annan myndighet. Som exempel kan nämnas när sekretess, som gäller hos en myndighet inte skulle gälla hos annan myndighet, som fått uppgiften till sig endast till följd av en utkontraktering av it-driften. Utkontraktering till en privaträttslig aktör sker regelmässigt under förutsättning att de uppgifter som behandlas inom ramen för uppdraget inte röjs eller annars utnyttjas för något annat ändamål. Detsamma avses gälla vid utkontraktering av it-drift till en myndighet. Undantaget i 2 kap. 10 § första stycket TF är konstruerat så att resultatet blir detsamma som vid utkontraktering till en privaträtts- lig aktör: Handlingar som förvaras hos den tjänstelevererande myn- digheten endast för teknisk bearbetning och lagring blir inte allmän handling där. Någon sådan likställighet mellan utkontraktering till privaträttsliga respektive offentliga aktörer följer emellertid inte av reglerna om tystnadsplikt för tjänstelevererande myndigheters per- sonal. Föremålet för sekretessen enligt 40 kap. 5 § OSL – i prak- tiken tystnadsplikten – är begränsad till personuppgifter som avses i personuppgiftslagen (1998:204) för uppgift om en enskilds personliga eller ekonomiska förhållanden. Även om delegationens förslag till ändring av 40 kap. 5 § OSL genomförs kvarstår en begränsning till uppgifter om enskildas personliga eller ekonomiska förhållanden. Sekretessregleringen för uppgifter hos en myndighet som be- ställer en outsourcingtjänst kan avse även annat än uppgift om enskilds personliga eller ekonomiska förhållanden. För sådana fall finns risk för att sekretessen – och därmed tystnadsplikten – inte kommer att gälla om en uppgift blir förvarad hos den tjänstelevere- rande myndigheten. En och samma uppgift kan därmed omfattas av tystnadsplikt hos beställande myndighet men sakna sådant skydd med avseende på personal hos den myndighet som tillhandahåller tjänsten. Det kan också vara så att uppgiften är sekretessreglerad hos båda myndigheterna men att olika skyddsnivåer kommer att gälla hos dem, t.ex. att sekretessen är absolut hos den ena myn- digheten medan ett skaderekvisit gäller hos den andra myndig- heten. Sekretess i it-baserade tjänster 5.5.2Sekretess kan följa med till annan myndighet