sou · H3B333 · 2015-03-30 00:00:00 — Utredningens förslag möjliggör för en myndighet att erbjuda en e- tjänst genom vilken ett företag kan lämna sådan information som myndigheten med stöd av lag, förordning eller myndighetsföreskrift har rätt att hämta in. Den som använder en e-tjänst måste kunna styrka på vems uppdrag den används. När det är gjort skapas möjlig- heter att få ett korrekt svar på frågan om vilket eller vilka företag som representeras just , och i vilken funktion – revisor, styrelseledamot etc. – som denna representation sker. Därefter kan e- tjänsten, genom sin tekniska utformning, d.v.s. genom ett API, ställa en fråga till Sammansatta bastjänsten om någon eller några av de uppgifter som är tillgängliga via denna, t.ex. datum för företagets registrering eller SNI-koder för företaget. Den information som på detta sätt kommer att finnas tillgänglig om ett visst företag kallas grundläggande uppgifter, (GU). kartlade och analyserade ett stort antal uppgiftskrav, 1 164 uppgiftskrav och över 94 miljoner ärenden.14 En slutsats var att ca 30 grundläggande uppgifter kunde återanvändas mellan myndigheter. Av tidsskäl kommer inte samtliga att vara möjliga att leverera vid avlämnandet av utredningens betänkande . I möjligaste mån kommer resterande uppgifter att levereras . 14 ärende N 2011/5884/ENT. 6.2.2Vilka är de grundläggande uppgifterna och varifrån kommer de? levereras följande grunduppgifter om företag. Det rör sig om totalt 21 uppgifter. Av dessa levererar nio, tre och övriga nio enligt nedanstående sammanställning. Postadress för juridisk person Datum för företagets registrering Enskild näringsidkares fullständiga namn 15 Av tidsskäl och tekniska skäl kommer de uppgifter som skulle levereras från att inledningsvis levereras från . Ambitionen är att leverans ska kunna ske från som planerat till (samtal med ). Postadress till företagets arbetsställen Belägenhetsadress till företagets arbetsställen –Kommun för arbetsställe (belägenhetsadress) –Län för arbetsställe (belägenhetsadress) Antal anställda, storleksklassindelat SNI-koder för arbetsställe (max tre per arbetsställe) Antal arbetsställen per företag Markering för huvudarbetsställe (arbetsställestyp) 6.2.3Hur ska uppgifterna användas för att minska och förenkla uppgiftslämnandet? I avsnitt 7.6 i det tidigare betänkandet (SOU 2013:80) diskuterade utredningen hur de insamlade uppgifterna ska användas av myndig- heterna. I betänkandet föreslog utredningen att myndigheterna skulle vara skyldiga att anpassa sina e-tjänster så att uppgifter som aviserades genom den då föreslagna Servicetjänsten kunde användas för att minska och förenkla företagens uppgiftslämnande. Utred- ningen bedömde dessutom att myndigheterna regelbundet skulle gå igenom varje uppgiftskrav och noga överväga vilka uppgifter som är nödvändiga och om företagen verkligen måste lämna dem. Vi gör samma bedömning. Myndigheterna ska anpassa sina e- tjänster och använda uppgifterna som finns tillgängliga genom Sam- mansatta bastjänsten samt hålla uppdaterat. Varför ett myndighetsåläggande? De åtgärder som utredningen föreslår ska i första hand underlätta för företagen, inte för myndigheterna. För att uppnå största möj- liga nytta är det angeläget att så många myndigheter som möjligt, , har anpassat sina e-tjänster på det sätt som beskrivs i dessa förslag. Det betyder att det för berörda myndigheter kan komma att uppstå kostnader och medföra resursprioriteringar vid tillfällen som myndigheten inte själv kan välja. Utredningen gör dock den bedöm- ningen att om myndigheterna själva helt fritt kan avgöra tidpunkt för sin anslutning till systemet kommer det förmodligen att råda en situation där vissa myndigheter är anslutna och vissa inte. Resultatet skulle kunna bli att de myndigheter som är anslutna har en viss kunskap om företagets uppgifter och de som inte är anslutna har annan information. Eftersom företag kan tänkas ha kontakter med såväl anslutna som icke-anslutna myndigheter kommer en osäkerhet att uppstå om vilka uppgifter som verkligen är registrerade om företaget och den önskade upplevelsen av ett minskat och förenklat uppgiftslämnande uteblir, helt eller delvis. Utredningens förslag underlättar företagens myndighetskontakter och höjer kvaliteten på de grundläggande uppgifterna, förbättringar som gynnar myndigheterna. Den fulla nyttan av utredningens förslag infinner sig dock inte förrän frågan om en ny svensk e-legitimation får en tillfredsställande lösning som blir vitt spridd (se vidare avsnitt 6.1.1). Tabell 6.1 visar de användningsfall som behandlas i detta avsnitt. Alla användningsfall kommer av tidsskäl inte att kunna realiseras för avlämnandet av betänkandet . Det är också ett av skälen till den vikt som utredningen lägger vid att relevanta delar av de organ i form av utskott och andra nätverk som har skapats under utredningens arbete får finnas kvar. Detta utvecklas mer i kapitel 9, Den framtida organisationen för Uppgiftslämnarservice. De användningsfall som inte omfattas av den första leveransen är markerade med x i tabellen nedan. Fallen kommer emellertid att beskrivas i den följande texten. Beskrivning av ett skede med referens till användningsfallen Detta avsnitt diskuterar Sammansatta bastjänstens funktion, speciellt hur den interagerar med underliggande bastjänster.16 Sammansatta bastjänsten anropas bland annat av myndigheternas e-tjänster, exempelvis när ett företag ska fullgöra ett krav som en myndighet ställer på det, till exempel att lämna inkomstdeklaration. En viss e-tjänst anropar bastjänsten som innehåller kunskap om i vilken eller vilka av de underliggande bastjänsterna som de begärda uppgifterna finns. Genom ett programmeringsgränssnitt, API anropas relevanta bastjänster och svaren som Sammansatta bastjänsten sammanställer skickas tillbaka till e-tjänsten (se även figur 6.1). I det följande ges några konkreta exempel på hur ett använd- ningsfall realiseras i sin samverkan med olika komponenter i systemet. 16 Se även Figur 6.1. Användningsexempel 1 – En företagare vill anmäla en revisor till aktiebolagsregistret En företrädare för ett företag ska anmäla en revisor till aktiebolags- registret. Företagaren använder en e-tjänst hos och inleder med att lämna sitt organisationsnummer. Med organisationsnumret som grund kan e-tjänsten anropa Sammansatta bastjänsten som kan lämna tillbaka relevanta uppgifter om det aktuella företaget. Två användningsfall (AF) som kan anropas av en e-tjänst blir inledningsvis aktuella: AF13 beskriver hur grundläggande uppgifter tillhandahålls från underliggande datakällor. AF45M17 beskriver hur en datakonsumerande e-tjänst hämtar grundläggande uppgifter från Sammansatta bastjänsten. Enligt det syfte som är angivet i kravspecifikationen för AF13 ska Sammansatta bastjänsten för varje begärd grunduppgift hämta och tillhandahålla bästa tillgängliga information för ett företag, dvs. det som med utredningens terminologi har benämnts bästa källa (se avsnitt 6.1.1). Anropet ska vara utformat så att det framgår vilket företag frågan gäller och vilken myndighet som frågar. Ytterligare tre användningsfall, AF42M, AF43M och AF44M är relevanta för detta exempel. De beskriver hur en datakonsumerande tjänst via Sammansatta bastjänsten hämtar uppgifter från bastjänsterna hos , och . Eftersom Sammansatta bastjänsten innehåller information om bästa källa, kommer endast en bastjänst att anropas för varje uppgift. Samman- satta bastjänsten kommer att i sitt svar på anropet ha information om huruvida den bastjänst som anropades har kunnat lämna uppgifter eller inte. 17 Eftersom den som ställer frågan representerar en annan del av systemet, i det här fallet en myndighets e-tjänst, och inte en extern användare läggs bokstaven ”M” till användnings- fallets beteckning. Användningsexempel 2 – Underlag tillhandahålls för statistikbearbetning Användningsfallen AF54 och AF55 som beskrivs i detta avsnitt har leveransen planerad till . Genom dessa användningsfall ges en myndighet möjlighet att anropa Sammansatta bastjänsten för att på det sättet få underlag för en statistisk analys av datautnyttjandet. Den anropande myndig- heten kan antingen vara myndigheten som ansvarar för Samman- satta bastjänsten eller en annan myndighet. Sammansatta bas- tjänsten levererar sin statistik i en obearbetad form och det förutsätts att den anropande myndigheten har nödvändiga verktyg för att kunna göra den önskade analysen. Det ankommer på den anropande myndigheten att precisera vilka statistikuppgifter som man anser sig behöva. 6.2.5Tryckfrihetsförordningen och Sammansatta bastjänsten Vår bedömning: Sammansatta bastjänsten tar endast befattning med uppgifterna om det efterfrågade företaget som ett led i teknisk bearbetning. Dataproducenternas avsikt är att uppgifterna som kommer att förmedlas genom bastjänsten ska lämnas ut på medium för automatiserad behandling när direktåtkomst inte är tillåten. Sammansatta bastjänsten kommer att hämta uppgifter från Bolags- verket, och . Tjänsten kommer sedan att sammanställa uppgifterna och lämna över dem till den myndighet vars e-tjänst initierat hämtningen. Bastjänstens funktion medför att frågan om tillämpningen av 2 kap. 10 § tryckfrihetsförordningen innebär att en handling som förvaras hos en myndighet endast som led i teknisk bearbetning eller teknisk lagring för någon annans räkning inte är en allmän handling hos den myndigheten. Undantaget kom till eftersom offentlighetsprincipen inte kräver att allmänheten ska ha tillgång till en upptagning hos en myndighet som endast har teknisk befattning med den (se ovan). Teknisk bearbetning innebär enligt förarbetena exempelvis att överföra handlingar från tredje man till maskinläsbart medium för myndighetens räkning (prop. 1975/76:160 s. 137). Av rättsfallet HFD 2011 ref. 52 framgår att den behandlande myndigheten inte får använda handlingarna för egen räkning för att bestämmelsen ska vara tillämplig. Sammansatta bastjänsten kommer endast att på begäran hämta uppgifter från datakällorna och sammanställa till ett svar för att sedan leverera svaret till frågeställaren. I bastjänsten sker ingen kontroll av uppgifternas riktighet eller annan bearbetning. Den myndighet som ansvarar för bastjänsten använder inte själv de uppgifter om företaget som förmedlas genom tjänsten i den egna verksamheten. Ansvarig myndighet får exempelvis inte använda flödet i bastjänsten till att uppdatera egna register. Vi bedömer därför att bastjänstens befattning med uppgifterna om företaget bara är ett led i teknisk bearbetning och att 2 kap. 10 § första stycket tryckfrihetsförordningen är tillämplig. De frågor som ställs till bastjänsten, de frågor som bastjänsten ställer till datakällorna, svaren från datakällorna och det sammanställda svaret är därmed inte allmänna handlingar. Att Sammansatta bastjänstens befattning med uppgifterna är begränsad till teknisk bearbetning för någon annans räkning innebär också att bastjänsten (den myndighet som ansvarar för tjänsten) inte har någon självständig rätt att ta del av källornas uppgifter om företagen. Om den som frågar bastjänsten inte har rätt att ta del av uppgifterna om företaget ska källmyndigheten hindra ett utläm- nande. Sammansatta bastjänsten kan inte göra någon prövning av frågeställarens rätt eller möjlighet att ta del av handlingen. När frågeställaren är en myndighet får denna ta ställning till om frågan till bastjänsten och svaret från densamma är en allmän handling enligt 2 kap. tryckfrihetsförordningen. Bastjänsten kommer att vara uppkopplad mot dataproducenterna. Utredningen har uppfattat att det är myndigheternas avsikt att upp- gifterna som kommer förmedlas genom bastjänsten ska lämnas ut på medium för automatiserad behandling när direktåtkomst inte är tillåten. 6.2.6Personuppgiftsbehandling i Sammansatta bastjänsten Grundläggande uppgifter via Sammansatta bastjänsten Sammansatta bastjänsten ska på begäran inhämta, sammanställa samt leverera en samlad bild av ett företags grundläggande uppgifter. Användare av e-tjänst/-er (företagsföreträdare) E-tjänst/-er (Mina sidor på ) Figuren 6.2 illustrerar Sammansatta bastjänstens funktion, dvs. inhämta, sammanställa och leverera grundläggande uppgifter. Grundläggande uppgifter har i sammanhanget definierats som ”uppgifter om ett företag som regelmässigt eller ofta efterfrågas av myndigheter när ett uppgiftskrav ska fullgöras”. Vissa grundläggande uppgifter är personuppgifter i personuppgiftslagens (1998:204) mening,18 exempelvis enskild näringsidkare (personnummer), före- trädares namn etc. De grundläggande uppgifterna kommer att hämtas från olika statliga myndigheters register och databaser. Inledningsvis ska ett tjugotal grundläggande uppgifter finnas tillgängliga via Sammansatta bastjänsten, bland annat person- och organisations- nummer, enskild näringsidkares namn, enskild näringsidkares post- adress, postadress till företaget, registrerat företagsnamn och SNI- kod. ska fler grundläggande uppgifter kunna läggas till och användas. Sammansatta bastjänsten ska användas för att inhämta befintliga myndighetsuppgifter om ett företag och därefter samlat kunna visa dem för en företagare eller företagsföreträdare i myndigheters e- tjänster till stöd för företagens uppgiftslämnande (Mina sidor på och myndigheters e-tjänster för uppgiftslämnande) baserade på författningsreglerade uppgiftskrav.19 Behandling av personuppgifter via Sammansatta bastjänsten Vår bedömning: Personuppgifter kommer att behandlas i Sammansatta bastjänsten. Känsliga personuppgifter, enligt 13 § personuppgiftslagen, kommer inte att behandlas. Mottagaren ska vara personuppgiftsansvarig för behandling av personuppgifter som förmedlas via Sammansatta bastjänsten. ska vara personuppgiftsansvarig för behandling av personuppgifter inom ramen för tillhandahållandet av och i verksamheten kring Sammansatta bastjänsten och som inte avser behandlingen av grundläggande uppgifter som förmedlas via tjänsten. 18Personuppgifter All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet, 3 § personuppgiftslagen. 19Uppgiftsskyldighet för företag som föreskrivs i lag, förordning eller myndighetsföreskrift. Personuppgiftsansvaret för den myndighet som lämnar ut uppgifter om företagen (dataproducenten) sträcker sig fram till att uppgifterna når Sammansatta bastjänsten. Bland de grundläggande uppgifterna finns uppgifter om fysiska personer, exempelvis om enskilda näringsidkare. Bland de grund- läggande uppgifterna finns också uppgifter som enskilt inte är person- uppgifter i personuppgiftslagens mening, men som tillsammans med andra grundläggande uppgifter kan bli det. De aktuella grundläggande uppgifterna omfattar inte känsliga personuppgifter i nämnda lags mening.20 I följande situationer behandlas personuppgifter. Uppräkningen är inte uttömmande. Grundläggande uppgifter som finns hos en eller flera statliga myndigheter efterfrågas från en myndighets e-tjänst via Samman- satta bastjänsten. Grundläggande uppgifter levereras från myndigheters uppgifts- samlingar (exempelvis från Bolagsverkets företagsregister eller från det allmänna företagsregistret hos ) till Sammansatta bastjänsten. Grundläggande uppgifter från en eller flera myndigheter tas emot av och sammanställs i Sammansatta bastjänsten. Grundläggande uppgifter levereras från Sammansatta bas- tjänsten till myndigheters e-tjänster (Mina sidor i och myndigheters e-tjänster för företagens författningsreglerade uppgiftslämnande). 20 ”Det är förbjudet att behandla personuppgifter som avslöjar a) ras eller etniskt ursprung, b) politiska åsikter, c) religiös eller filosofisk övertygelse, eller d) medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv”, 13 § första och andra stycket personuppgiftslagen. Sammansatta bastjänsten är en automatiserad funktion för att inhämta, sammanställa och leverera grundläggande uppgifter för företag som statliga myndigheter redan har samlat in. Inom ramen för Uppgiftslämnarservice ska Sammansatta bastjänsten användas för att samlat kunna visa grundläggande uppgifter om ett företag som har hämtats från en eller flera statliga myndigheters register och databaser. Det innebär bland annat att de myndighetsutvecklade e-tjänster som ett företag kan använda för att få information om och fullgöra sina uppgiftskrav i ska kunna hämta och visa ett företags grundläggande uppgifter som redan finns inom det offentliga. I ett samrådsyttrande om fördelning av personuppgiftsansvar (dnr 195-2014) uttalar sig Datainspektionen om personuppgifts- ansvaret vid myndighetssamverkan. Myndigheten pekar på att det för varje informationsutbyte och i alla skeden i en sammansatt bastjänst måste vara någon av aktörerna som tar och har faktisk möjlighet att ta ansvar för personuppgiftsbehandlingen. Med aktörer menar Datainspektionen de myndigheter och organisa- tioner som hämtar eller lämnar uppgifter genom den sammansatta bastjänsten. Datainspektionens bedömning förutsätter att samtliga aktörer med den valda lösningen och ansvarsfördelningen kan uppfylla alla sina rättsliga skyldigheter. Det är inte bara skyldig- heter enligt persondataskyddslagstiftningen utan också skyldig- heter som åligger aktörerna enligt bland annat tryckfrihetsförord- ningen och offentlighets- och sekretesslagen (2009:400). I dataskyddsdirektivet (direktiv /46/EG21) framgår att när ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den register- ansvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten (artikel 2 [d]). För att tydlig- göra personuppgiftsansvaret för behandlingen av personuppgifter i Sammansatta bastjänsten bedömer vi att personuppgiftsansvaret bör särregleras. Utgångspunkten i det aktuella sammanhanget ska vara vem som har de faktiska förutsättningarna att bestämma över 21 och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. behandlingen av personuppgifter och därmed även möjligheten att ta ansvar för densamma. De myndigheter som tillhandahåller e-tjänster för företagens uppgiftslämnande utformar och tillgängliggör tjänsterna. Ändamål och innehåll baseras på myndigheternas bedömning av vilka legala och verksamhetsmässiga förutsättningar som föreligger för att inhämta och hantera uppgifter om företagen. De uppgifter som behandlas i e- tjänsterna bestäms till stor del av respektive myndighet för varje specifik tjänst. Sammansatta bastjänsten utgör endast ett utförarled i behandlingen av personuppgifterna i myndigheternas e-tjänster. Vi bedömer att den som är personuppgiftsansvarig för e-tjänster som hämtar grundläggande uppgifter från en eller flera myndigheter via Sammansatta bastjänsten även ska vara personuppgiftsansvarig för behandlingen av personuppgifterna i densamma. Personuppgifts- ansvaret omfattar den personuppgiftsbehandling som sker vid såväl förfrågan som vid inhämtandet av de grundläggande uppgifterna. Sammansatta bastjänsten ska tillhandahållas av som enligt utredningens förslag till företagsdataförordning dessutom ska ha föreskriftsrätt avseende exempelvis vilken myndighet som ska tillfrågas om en grundläggande uppgift (bästa källa), formatmässiga villkor, behörighetsvillkor, anslutningsförutsättningar, säkerhets- nivåer etc. Det kommer även att finnas en skyldighet för myndig- heter (inledningsvis 13 statliga myndigheter) att ansluta sig till bastjänsten. I ansvaret att tillhandahålla Sammansatta bastjänsten kan komma att behandla personuppgifter inom ramen för bastjänsten och verksamheten kring densamma. Vår bedömning är att ska vara personuppgiftsansvarig för behandling av personuppgifter som kan komma att behandlas inom ramen för tillhandahållandet av bastjänsten och som inte avser behandlingen av de grundläggande uppgifter som förmedlas i tjänsten. Den myndighet som lämnar ut grundläggande uppgifter (data- producenten) till mottagaren via Sammansatta bastjänsten har ingen möjlighet att bestämma eller påverka hur respektive myndighets e- tjänst kan eller ska behandla de efterfrågade uppgifterna inte heller för uppgiftsbehandlingen i bastjänsten. Vår bedömning är att data- producentens personuppgiftsansvar därmed sträcker sig fram till dess uppgiftsutlämnandet når Sammansatta bastjänsten. Användare av e-tjänst/-er (företagsföreträdare) Mottagare på PUA (1) Mottagare hos myndigheter PUA (1) Sammansatta bastjänsten () PUB (2), PUA (3) PUA (4) PUA (4) PUA (4) Figuren 6.3 illustrerar personuppgiftsansvaret vid förmedlingen av grundläggande uppgifter via Sammansatta bastjänsten. 1.Mottagare i och hos myndigheter är personuppgiftsansvariga för behandling av personuppgifter som förmedlas via Sammansatta bastjänsten. 2.Bolagsverket är personuppgiftsbiträde för behandlingen av personuppgifterna som avser förmedling av grundläggande uppgifter till mottagare. är personuppgiftsansvarig för behandling av personuppgifte r inom ramen för tillhandahållandet av Sammansatta bastjänsten och som inte avser behandlingen av de grund - läggande uppgifterna som förmedlas i bastjänsten. Utlämnande myndighet (dataproducent) är personuppgiftsansvarig för behandlingen av person - uppgifterna fram till att uppgifterna når Sammansatta bastjänsten. Sammansatta bastjänsten utgör ett led i insamlandet av grundläggande uppgifter till myndigheternas e-tjänster inom ramen för ett minskat och förenklat uppgiftslämnande för företagen. bastjänsten inhämtar, sammanställer och levererar grundläggande uppgifter som ett led i ett automatiserat informationsutbyte mellan myndigheter som är anslutna till Uppgiftslämnarservice har bas- tjänsten ingen självständig roll (se avsnittet ovan om personuppgifts- ansvar). Behandlingen av personuppgifter utgör då endast behandling för annans räkning. Det innebär att i detta sammanhang är personuppgiftsbiträde och endast får behandla personuppgifter i enlighet med instruktioner från och inom ramen för den personuppgiftsansvariges legala möjligheter att själv behandla person- uppgifterna. Personuppgiftslagen innehåller bestämmelser om bland annat krav på ett skriftligt avtal för att reglera personuppgiftsbehand- lingen hos personuppgiftsbiträdet samt kraven på informations- säkerhet (30–31 §§). I det aktuella sammanhanget är det viktigt att framhålla betydelsen av att de som är anslutna till Uppgiftslämnarservice ska ges möjlighet till inflytande på ett sådant sätt att informations- säkerhetsbestämmelserna i personuppgiftslagen kan regleras (i personuppgiftsbiträdesavtal) och upprätthållas, exempelvis kraven på ändamål, behörighet och säkerhet. För de fall den myndighet som tillhandahåller Sammansatta bas- tjänsten behandlar personuppgifter inom ramen för sitt ansvar att tillhandahålla bastjänsten måste sådan behandling vara tillåten enligt personuppgiftslagen eller annan lag eller förordning. Det är i sådana fall inte längre fråga om en personuppgiftsbiträdessituation (jfr avsnittet ovan om personuppgiftsansvar). Vid personuppgiftsbehandling finns särskilda bestämmelser om informationssäkerhet. Enligt 31 § personuppgiftslagen ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. I samma bestämmelse framgår också att den personuppgiftsansvarige ska förvissa sig om att ett anlitat personuppgiftsbiträde kan genomföra nödvändiga säkerhetsåtgärder och se till att biträdet faktiskt vidtar åtgärderna. Den som är personuppgiftsansvarig för behandlingen av personuppgifter i Sammansatta bastjänsten ska se till att informations- säkerhetskraven i personuppgiftslagen är uppfyllda. Mer detaljerade beskrivningar av de åtgärder som krävs för att säkerställa personuppgiftslagens krav på informationssäkerhet framgår i avsnittet om informationssäkerhet (se avsnitt 6.1.3.6). 6.2.7Offentlighet och sekretess i Sammansatta bastjänsten