sou · H3B333 · 2015-03-30 00:00:00 — De allmänna handlingar som uppkommer inom ramen för administrationsfunktionen torde inte vara föremål för bevarande och ska därför gallras. Bevarandefrågorna bör kunna hanteras utifrån befintligt regelverk och föranleder inga författningsändringar. Uppgiftskravstjänsten består av ett register för författningsreglerade uppgiftskrav () och administrationsfunktioner för bland annat uppdatering och kvalitets- säkring av registret. kommer att omfatta det som i 2 kap. tryckfrihetsförordningen definieras som allmänna handlingar hos den myndighet som ansvarar för registret. Vid samråd med Riksarkivet29 har konstaterats att registret och dess innehåll ska bevaras och blir därmed föremål för arkivering. Registret kommer att uppdateras kontinuerligt. Det innebär att förändringarna i registret ska bevaras, vilket lämpligast hanteras genom att förändringarna förs över till en så kallad arkivdatabas. Bevarandefrågorna bör kunna hanteras utifrån gällande regler och förutsätter därmed inga författningsändringar. 29 Samrådsmöten med och . att tydliggöra hur författningskraven ska uppfyllas bör den ansvariga myndigheten ha dokumenterade rutiner för hur registrets olika versioner arkiveras. Eftersom registret inte ska innehålla person- uppgifter uppstår heller inget behov av gallring med hänvisning till bestämmelserna till skydd för den personliga integriteten i person- uppgiftslagen (1998:204) eller andra författningar. Administrationsfunktionerna kommer att kunna generera allmänna handlingar när myndighetshandläggare loggar in och utför uppgifter i Uppgiftskravstjänsten, exempelvis uppdatering och kvalitetssäkring av registret och dess innehåll. Även här aktualiseras således bevarandefrågor. I motsats till registret och registerinnehållet finns inget behov av att bevara inloggnings- och aktivitetsuppgifter , vilket innebär att sådana uppgifter i stället bör bli föremål för gallring. Gallring förutsätter författningsstöd, vilket innebär att tillämpliga gallringsbestämmelser ska identifieras, exempelvis föreskrifter (RA-FS och RA-MS) eller gallringsbestäm- melser i registerförfattningar, alternativt att nya nödvändiga och för ändamålet relevanta gallringsbestämmelser beslutas. De exempel som framgår i bilagan till föreskrifter (RA-FS 1991:6) och allmänna råd om gallring av handlingar av tillfällig eller ringa betydelse omfattar inte de handlingar som uppkommer i administrations- funktionerna i Uppgiftskravstjänsten. Det ankommer på respektive myndighet som använder administrationsfunktionerna att uppfylla arkiverings- och gallringskraven. Som tidigare beskrivits var utredningens uppdrag enligt tilläggs- direktiven (dir. 2013:111) bland annat att ta fram en teknisk lösning för ett system för företagens uppgiftslämnande. Detta uppdrag har genom senare rundabordssamtal och regeringsuppdrag till myndig- heter som ansvarar för preciserats till att leverera den i tidigare betänkandet (SOU 2013:80) föreslagna slutanvändar- funktionaliteten så att den kan införas som en del av . Vad gäller aviseringsfunktionen (se vidare avsnitt 6.5) har utred- ningen i samarbete med tagit fram en genomförande- plan för hur funktionen ska realiseras som en del av framtida Mina meddelanden. 6.4.1Allmänt om och utredningens förslag Att samordna utredningens föreslagna funktioner med har medfört ett behov av att anpassa förslaget till det nya samman- hang där slutanvändarfunktionaliteten kommer att levereras och det förvaltningsansvar som redan finns för . En påtaglig fördel med att inordna funktionerna under är att det inte finns samma behov att lösa frågor om autentisering och behörighetskontroll som för en ny fristående tjänst. har redan en lösning för e-legitimationsinloggning och behörighetskont- roll för vilka fysiska personer som har rätt att företräda ett företag. En utmaning har däremot varit att dagens delvis har samma funktionalitet som utredningens förslag. Överlappningen blir ännu större om man dessutom beaktar den framtida utveckling av som har planerats. Överlappningar har framför allt kunnat konstateras kring utredningens föreslagna funktioner ”Visa företagets grundläggande uppgifter” och Ansök/anmäl. I samordningen har vi hanterat dessa överlappningar. Visa företagets grundläggande uppgifter (AF25) och hur de kan ändras (AF39) En inloggad person med rätt att företräda ett visst företag ska kunna se en lista med de grundläggande uppgifter om företaget som man kan få fram genom Sammansatta bastjänsten. Det finns en liknande funktion (Mina sidor) i där användaren kan se vissa grundläggande uppgifter om företaget som lagras hos respektive . Vissa uppgifter kan förekomma i båda uppgiftssammanställningarna. I den nya funktionen hämtas i stället uppgifterna från Sammansatta bas- tjänsten. Varje uppgift presenteras därför bara en gång, och den över- gripande presentationen utgår från uppgifter om företaget, inte myndigheternas bild av företaget. För varje uppgift presenteras dessutom en länk till den e-tjänst där uppgiften kan ändras eller en beskrivning i text om hur användaren kan få uppgiften ändrad. Visa uppgiftskrav för ett företag (AF26) och gå till motsvarande e-tjänst (AF28) En företagare ska kunna se de uppgiftskrav som gäller för ett företag, dvs. företagsinitierade ansökningar och anmälningar samt myndighetsinitierade rapporteringskrav. Bara de uppgiftskrav som är relevanta för användaren hämtas. Uppgifter om vilka uppgiftskrav som är relevanta för användaren baseras på olika attribut (t.ex. företagsform, redovisningsperiod och typ av verksamhet) för det företag som användaren väljer att företräda. Användaren kan se vilka uppgiftskrav som gäller för det aktuella företaget. När användaren vill läsa mer om ett specifikt uppgiftskrav ska beskrivningen innehålla uppgifter som gör det möjligt för användaren att använda den myndighetens e-tjänst eller annan tjänst. Funktionen för att visa uppgiftskrav ska innehålla stödfunktioner som exempelvis hjälper en användare att söka, filtrera och sortera. När användaren har valt ett uppgiftskrav ska han eller hon kunna gå till den e-tjänst som motsvarar detta krav. E-tjänsten ska kunna hämta de företagsuppgifter som behövs från Sammansatta bastjänsten. Vid anslutningen till e-tjänsten ska de uppgifterna som användaren identifierade sig med på föras med till den anropade myndigheten. Utöver de uppgifter som identifierar användaren kan anropet till myndigheten innehålla information om vilket uppgiftskrav som ska hanteras, dvs. med vilken avsikt användaren har vänt sig till myndigheten. Autentisering hos myndigheten bör ske med så kallad single sign- on enligt ramverket för Svensk e-legitimation,30 dvs. företrädaren ska inte behöva logga in på nytt hos myndigheten. 30 Se generellt om svensk e-legitimation: . Sök uppgiftskrav och tillstånd (AF58) Även en icke inloggad användare ska kunna söka bland uppgifts- krav och tillstånd. Det ska vara möjligt att se vilka uppgiftskrav som kan gälla utifrån olika sökkriterier samt när, hur och var dessa kan utföras. söka uppgiftskrav och tillstånd, och filtrera urvalet utifrån exempelvis kategori, företagsform och bransch. När användaren valt visst uppgiftskrav eller tillstånd ska användaren kunna se detaljerad information om uppgiftskravet eller tillståndet, se vilken myndighet som ansvarar för det, länkas till eller på annat sätt ta del av myndighetens information, och ta del av att uppgifter för att kunna använda myndighetens e- tjänst eller en annan tjänst. Funktionen behöver inte kunna användas för att ge en prognos om kommande uppgiftskrav, varken med eller utan funktionalitet för viktiga datum. Funktionen kommer att realiseras på i tjänsten Hitta tillstånd. ”Att göra”-lista Funktionen ”Att göra”-lista ska ge företag en översikt över vilka uppgiftskrav som olika myndigheter har aviserat (funktionen är beskriven i avsnitt 8.2 och 10.2.2 i utredningens betänkande SOU 2013:80). Varje enskilt företag ska kunna få överblick över vilka uppgiftskrav som företaget är skyldigt att uppfylla men som ännu inte uppfyllts, exempelvis att ett aktiebolag är skyldig att lämna in årsredovisning till senast ett visst datum. Varje avisering visas som en rad i en översiktslista. Alla uppgifts- krav kan inte uppfyllas genom en e-tjänst, men för de krav där detta är möjligt finns en länk till motsvarande e-tjänst. krav, där det finns allmänna informationssidor, en pdf-blankett, eller annan information på webben, kan en länk gå till sådan information. Denna funktion kommer inte att levereras som en del i eftersom den bygger på Mina meddelanden som transportkanal (läs mer i avsnitt 6.5). I stället kommer den att realiseras genom den planerade utökningen med ärendeöversikter som just nu genomförs inom Mina meddelanden.31 Funktionerna som realiseras på är att företagen genom en utveckling av den befintliga tjänsten Hitta tillstånd på får en överblick över vilka uppgiftskrav som angår den egna verksam- heten. Företagen får även på en presentation av företagets grundläggande uppgifter som hämtats från olika myndigheter samt information om hur uppgifter kan ändras. Utvecklingen av Hitta tillstånd och tjänsten som presenterar företagets grundläggande uppgifter väcker inte några nya frågor i relation till tryckfrihetsförordningen än de som redan hanteras inom ramen för . Bedömningen av om det uppstår allmänna handlingar i dessa funktioner får avgöras i enlighet med de ställningstaganden som , och Tillväxt- verket gjort gällande i stort. 31 Se tjanster/Min-arendeoversikt/. Vår bedömning: Personuppgiftsbehandling i funktioner och funktionalitet på aktualiseras vid inloggning till olika e- tjänster, i användandet och hanteringen av grundläggande uppgifter och vid eventuell loggning av en slutanvändares aktiviteter. Det finns ingen särreglering för behandling av personuppgifter i e-tjänsterna på . Enligt personuppgiftslagens (1998:204) definition är således den myndighet som tillhandahåller en eller flera e-tjänster med tillhörande funktionalitet inom ramen för Uppgiftslämnarservice personuppgiftsansvarig för behand- lingen av personuppgifter i en sådan tjänst. Service för slutanvändare i Uppgiftslämnarservice Funktioner och funktionalitet på (Slutanvändar- funktionaliteter) inom ramen för Uppgiftslämnarservice är följande. En e-tjänst som visar ett företags grundläggande uppgifter, en e-tjänst som visar en sammanställning av de uppgiftskrav som är aktuella för ett företag med möjlighet att länka sig vidare till en myndighets e-tjänst (eller motsvarande) för ett specifikt uppgiftskrav, och en e-tjänst för att administrera uppgiftskrav. Behandling av personuppgifter i användarfunktionerna på Av de grundläggande uppgifter som ska hanteras (bland annat presenteras) finns uppgifter om fysiska personer, exempelvis enskilda näringsidkare. Det finns också grundläggande uppgifter som var för sig inte utgör personuppgifter i personuppgiftslagens (1998:204) mening men som tillsammans med andra grundläggande uppgifter kan bli det. De aktuella grundläggande uppgifterna omfattar inte känsliga personuppgifter (13 § personuppgiftslagen). Förutom de grundläggande uppgifterna utgör även uppgifter kopplade till den personliga inloggningen personuppgifter i lagens mening. Presentationen av företagens uppgiftskrav ska däremot inte innehålla personuppgifter. I följande situationer behandlas personuppgifter. Uppräkningen är inte uttömmande. Användarens inloggning till e-tjänster på . Hantering (allt från mottagande och presentation till bevarande och gallring) av uppgifter inom ramen för den e-tjänst som ska visa företagets grundläggande uppgifter. Loggning av en företagares aktiviteter, exempelvis när en användare länkar sig vidare till en myndighets e-tjänst för att få information om och möjlighet att fullgöra ett uppgiftskrav eller när en användare länkar sig vidare för att ändra sina grund- läggande uppgifter. Loggning av en handläggares aktiviteter i administrations- funktionen inom ramen för Uppgiftskravstjänsten. Personuppgiftsbehandling på aktualiseras således vid inloggning till olika e-tjänster, i användandet och hanteringen av grundläggande uppgifter och vid eventuell loggning av en slut- användares aktiviteter. Det finns ingen särreglering för behandlingen av personupp- gifter i e-tjänsterna på . Myndigheterna som står bakom verksamt.se32 har bedömt att personuppgiftslagen är tillräcklig för en tillåten personuppgiftsbehandling. 32 , och . Den som har bestämt ändamålen med och medlen för behandling av personuppgifter är enligt personuppgiftslagens definition33 person- uppgiftsansvarig. När en myndighet tillhandahåller en e-tjänst är det myndigheten som har bestämt ändamålen med och medlen för den personupp- giftsbehandling som aktualiseras i en sådan tjänst. Den som använder en sådan e-tjänst, exempelvis en företagare, förfogar inte över vare sig ändamål eller medel och kan inte vara personuppgiftsansvarig utifrån lagens definition. Det innebär att det är den myndighet som tillhanda- håller en e-tjänst i som är personuppgiftsansvarig. Behandlingen av personuppgifter inom ramen för myndigheters e-tjänster för att fullgöra författningsreglerade uppgiftskrav ligger utanför . För denna personuppgiftsbehandling ansvarar givetvis respektive myndighet. Behandlingen i sådana e-tjänster sker i enlighet med personuppgiftslagen eller registerförfattningar. Om den myndighet som är personuppgiftsansvarig för en e-tjänst på väljer att anlita en utförare blir bestämmelserna om personuppgiftsbiträde tillämpliga (se även om personuppgifts- biträde i avsnitt 6.2.6). Den personuppgiftsansvarige ska då hantera biträdessituationen enligt bestämmelserna i personuppgiftslagen, bland annat kravet på skriftligt avtal med tydliga instruktioner om personuppgiftsbehandlingen samt skyldigheten att garantera och kontrollera att personuppgiftsbiträdet vidtar och genomför nöd- vändiga tekniska och organisatoriska säkerhetsåtgärder. Vid personuppgiftsbehandling finns särskilda bestämmelser om informationssäkerhet. Enligt 31 § personuppgiftslagen ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska 33 Personuppgiftsansvarig Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter, 3 § personuppgiftslagen. åtgärder för att skydda de personuppgifter som behandlas. I samma bestämmelse framgår också att den personuppgiftsansvarige ska för- vissa sig om att ett anlitat personuppgiftsbiträde kan genomföra nöd- vändiga säkerhetsåtgärder och se till att biträdet faktiskt vidtar åtgärderna. Det är alltså respektive personuppgiftsansvarig för person- uppgiftsbehandlingen i de olika slutanvändarfunktionerna på som ska se till att informationssäkerhetskraven är uppfyllda. Mer detaljerade beskrivningar av de åtgärder som krävs för att säkerställa personuppgiftslagens krav på informationssäkerhet framgår i avsnittet om informationssäkerhet (se avsnitt 6.1.3.6). 6.4.5Offentlighet och sekretess i servicefunktionen Vår bedömning: Vi ser inte något behov av särskild sekretess- reglering för de grundläggande uppgifterna när de visas för före- tagaren på . På Mina sidor i kan företaget se alla de uppgifter som kan hämtas genom Sammansatta bastjänsten. Inledningsvis är det 20 grundläggande uppgifter men ambitionen är att antalet ska öka. I Servicetjänsten skulle motsvarande grundläggande uppgifter hämtas från det allmänna företagsregistret. Vi fann att det inte ens var aktuellt att överväga sekretess för uppgifterna inom ramen för Servicetjänsten. Det förhållandet att de grundläggande uppgifterna nu kommer sammanställas från register hos tre myndigheter föranleder inte något annat ställningstagande eftersom det allmänna företagsregistret också hämtade sin information från dessa register. I förlängningen möjliggör Sammansatta bastjänsten att även annan information om företagen delas mellan myndigheterna. Om utgångs- punkten är att all information som Sammansatta bastjänsten kan hämta och förmedla även ska visas för företagaren på Mina sidor kan sammanställningen bli allmän handling eller utgöra risk för röjande. 6.4.6Arkivering och gallring i servicefunktionen Vår bedömning: För allmänna handlingar som uppkommer inom ramen för e-tjänsten Mina sidor ansvarar den myndighet som tillhandahåller tjänsten. I e-tjänsten Hitta tillstånd presenteras uppgifter från tillståndsdatabas som likt Uppgifts- kravsregistret ska bevaras. Även de redaktionella texter som Till- växtverket upprättar inom ramen för e-tjänsten Hitta tillstånd ska bevaras. Slutanvändarfunktionerna i Uppgiftslämnarservice kommer att vara en del av Mina sidor och Hitta tillstånd på . I e-tjänsten Mina sidor kommer grundläggande uppgifter att presenteras för företagsföreträdaren. Allmänna handlingar som upp- kommer i tjänsten ska tas om hand av den myndighet där de allmänna handlingarna uppkommer. ansvarar för driften av den server som tillhandahåller användargränssnittet för Mina sidor till vilket respektive myndighets uppgifter levereras. I e-tjänsten Hitta tillstånd presenteras uppgiftskrav från en databas (den så kallad Tillståndsdatabasen hos ) som innehåller dels uppgifter och information om författningsreglerade uppgiftskrav kopplade till företag, dels redaktionell text som handläggare på skriver. Tillståndsdatabasen utgör allmänna handlingar, så den myndighet som ansvarar för databasen har ansvar för arkivering och gallring. I likhet med ska databasen bevaras (se avsnitt 6.3.11) och blir därmed föremål för arkivering. Databasen kommer att uppdateras och förändringarna ska bevaras, vilket lämpligast hanteras genom att förändringarna förs över till en så kallad arkivdatabas. Om databasen kommer att innehålla personuppgifter behöver befintliga gallringsbestämmelser, exempelvis föreskrifter (RA-FS och RA-MS) eller gallringsbestämmelser i registerförfattningar, identifieras alternativt att nya nödvändiga och för ändamålet relevanta gallringsbestämmelser föreslås. De redaktionella texterna omfattas också av det som enligt 2 kap. tryckfrihetsförordningen utgör allmänna handlingar. Själva presentationen av uppgiftskraven (en sammanställning av uppgifter från Tillståndsdatabasen) blir också allmänna handlingar hos den för e-tjänsten ansvariga myndigheten. Uppgifterna i sådana samman- ställningar torde däremot inte behöva bevaras eftersom det är fråga om tillfälliga sammanställningar av databaslagrad myndighetsinforma- tion som omfattas av bevarandekrav. Gallring kräver författningsstöd. Befintliga gallringsbestämmelser ska tillämpas alternativt ska nya nödvändiga och för ändamålet relevanta gallringsbestämmelser beslutas. 6.5.1Syftet med en aviseringsfunktion Utredningen föreslog i tidigare betänkande (SOU 2013:80) att Upp- giftslämnarservice skulle innehålla ”att göra”-listor, som skulle visa vilka myndighetsinitierade uppgiftsinlämningar som varje företag var ålagt. Innehållet i dessa listor skulle styras av myndigheterna genom att dessa skickade elektroniska aviseringar, motsvarande dagens pappers- blanketter, när de kunde initiera uppgiftslämningsprocesser, exempel- vis inför ett visst datum. Aviseringen hamnade då som en ny rad i företagets lista. Utöver aviseringar om att en uppgiftsinlämning skulle inledas skulle myndigheterna även kunna skicka en avisering om att en upp- giftsinlämning var avslutad, exempelvis när ärendet var slutbehandlat. Effekten av en sådan avisering skulle vara att motsvarande rad i listan markerades som slutförd. Sammantaget skulle översikten förenkla företagens uppgifts- lämnande. 6.5.2Funktionella krav på en aviseringsfunktion För att funktionen ”Att göra”-lista som utredningen föreslagit ska fungera fullt ut ställs följande krav på en aviseringsfunktion: Myndigheterna ska kunna skicka meddelanden riktade till ett företag (identifierat med organisationsnummer eller, för enskilda firmor, personnummer). Meddelandets innehåll ska vara maskinläsbart och innehålla ett fåtal uppgifter, i första hand – en identifierare för det aktuella inlämningstillfället –en kort textsträng som identifierar ett definierat uppgiftskrav (samma identifierare som används i ), exempelvis SKV016. –status för aviseringen, exempelvis ”ska lämnas” eller ”inlämnat” –ett datum som anger när uppgifterna senast ska ha lämnats in –hänvisning till tidigare identifierare för ett inlämningstillfälle. Används när status har värdet ”inlämnat”, och hänvisar till ett tidigare id, med betydelsen att myndigheten registrerat att uppgifter för detta inlämningstillfälle nu inkommit (används för att markera något som avbockat i ”att göra”-listan).34 Meddelandena ska kunna göras åtkomliga för slutanvändartjänsten på ett sådant sätt att denna kan se samtliga meddelanden som är riktade till ett visst företag. Det bör vara möjligt att gallra meddelanden som antingen är gamla eller där ett kompletterande meddelande med ny status har kommit in. Remissinstanserna uttryckte i svar till utredningens tidigare betänkande (SOU 2013:80) att den föreslagna lösningen bör använda den myndighetsgemensamma infrastrukturen Mina meddelanden. Utredningen hade därför förnyad kontakt med framför allt ansvariga personer på och beskrev kravbilden, vilket ledde fram till några olika lösningsförslag som motsvarade det mesta av ovanstående kravbild. Dessa lösningsförslag redovisas nedan. Enligt den så kallade progressrapporten (se avsnitt 5.3.3) efter första rundabordssamtalet är det ”sannolikt att Mina meddelanden kan fungera som aviseringskanal”. Utgångspunkten för arbetet efter detta har varit att försöka använda Mina meddelanden om det inte visar sig omöjligt. Med anledning av progressrapporten genomförde en förstudie i syfte att få samsyn mellan Mina meddelanden och utredningen i vilka krav som utredningens förslag ställer på en aviseringstjänst och vad som kan bli möjligt med Mina meddelanden. 34 Se vidare avsnitt 7.5.4 i utredningens delredovisning dnr 2013/4. 6.5.3Möjliga vägar att uppfylla de funktionella kraven genom Mina meddelanden Mina meddelanden är en myndighetsgemensam infrastruktur och tjänst som gör det möjligt för myndigheter, kommuner och lands- ting att skicka post digitalt till privatpersoner och företag.35 Förmedlare är samlingsnamnet på en eller flera tekniska tjänster för att förmedla meddelanden via Mina meddelanden. Dessa tjänster kan utvecklas internt hos en statlig myndighet eller kommun. De kan också köpas helt eller delvis av en extern IT-leverantör, för eget bruk eller tillsammans med andra myndigheter. För att kunna ta emot myndighetspost digitalt behöver mot- tagaren en säker e-brevlåda. Den e-brevlåda staten tillhandahåller för tjänsten heter Min myndighetspost. Den förvaltas av Skatte- verket, är gratis och tillgänglig för alla med personnummer och e- legitimation och de flesta företag med organisationsnummer. Även den privata sektorn ska kunna ansluta till Mina meddelanden i rollen som brevlådeoperatör. Privata brevlådeoperatörer kan erbjuda olika tilläggstjänster från exempelvis privata organisationer och företag i en och samma e-brevlåda. Och mottagaren kan då välja den e-brev- låda som passar bäst. När ett meddelande skickas gör avsändaren själv eller via sin förmedlare en kontrollsökning i det gemensamma förmedlingsadress- registret för att se 1.om mottagaren finns registrerad, 2.om mottagaren tackat ja till att ta emot post digitalt från den aktuella myndigheten, och 3.vilken registrerad e-brevlåda mottagaren valt för sin digitala myndighetspost. Nedan beskrivs de lösningsförslag som togs fram i samråd med och ansvariga för Mina meddelanden. Efter att ha gjort en samlad bedömning utifrån målsättningen att få ett system på plats valdes det första alternativet. 35 Se vidare och . Alternativ 1: ”Att göra”-vyn i den elektroniska brevlådan I alternativ ett skulle funktionen ”Att göra”-lista inte vara en del av Servicetjänsten.