prop · H403198 · 2017-07-03 00:00:00 — Regeringens proposition 2016/17:198 Utökat sekretesskydd i verksamhet för teknisk Regeringen överlämnar denna proposition till . I propositionen föreslås ändringar i offentlighets- och sekretesslagen (2009:400) som syftar till att säkerställa skyddet för uppgifter om enskildas personliga eller ekonomiska förhållanden, liksom skyddet för allmänna intressen, vid användning av digitala tjänster och vid utkontraktering av it-drift mellan myndigheter. Tystnadsplikten i verksamhet som enbart avser teknisk bearbetning eller teknisk lagring för någon annans räkning föreslås utvidgas, från att omfatta sådana personuppgifter som avses i personuppgiftslagen (1998:204) till att omfatta alla uppgifter om en enskilds personliga eller ekonomiska förhållanden i sådan verksamhet. Vidare föreslås att en reglering införs som innebär att om en myndighet, i verksamhet för enbart teknisk bearbetning eller teknisk lagring, för en annan myndighets räkning får en uppgift som hos den senare myndigheten är sekretessreglerad av hänsyn till ett allmänt intresse, ska sekretessbestämmelsen även tillämpas hos den mottagande myndigheten. I propositionen behandlar regeringen även vissa andra förslag som lämnats av E-delegationen i betänkandet Så enkelt som möjligt för så många som möjligt – Bättre juridiska förutsättningar för samverkan och service (SOU 2014:39). Lagändringarna föreslås träda i kraft . 2016/17:198 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. 2Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)......................................................................................... Ärendet och dess beredning.............................................................. Utvecklingen inom e-förvaltning...................................................... Samverkan kring it-drift och gemensamma lösningar........ Tryckfrihetsförordningen och offentlighetsprincipen....... 5.3Sekretess vid teknisk bearbetning eller lagring hos Rätten att meddela och offentliggöra uppgifter................ 6Utökat sekretesskydd vid teknisk bearbetning eller teknisk 6.1Utvidgning av tystnadsplikten i verksamhet för enbart teknisk bearbetning eller lagring ........................... 6.2Överföring av sekretess vid utkontraktering till Sammanfattning av betänkandet Så enkelt som möjligt för så många som möjligt – Bättre juridiska förutsättningar för samverkan och service (SOU 2014:39)................................................................. Lagförslag i betänkandet.................................................. Förteckning över remissinstanserna................................. Utdrag ur protokoll vid regeringssammanträde ........... Regeringen föreslår att antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). 2016/17:198 2 Förslag till lag om ändring i Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 40 kap. 5 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 11 kap. 4 a §, och närmast före 11 kap. 4 a § en ny rubrik av följande lydelse. Teknisk bearbetning och lagring Får en myndighet i verksamhet för enbart teknisk bearbetning eller teknisk lagring för en annan myndighets räkning en uppgift som hos den senare myndigheten är sekretessreglerad av hänsyn till ett allmänt intresse, blir sekretess- bestämmelsen tillämplig även hos den mottagande myndigheten. Sekretess gäller i verksamhet för Sekretess gäller i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans teknisk lagring för någon annans räkning för uppgift om en enskilds personliga eller ekonomiska för- (1998:204) för uppgift om en enskilds personliga eller eko- Denna lag träder i kraft . Ärendet och dess beredning Regeringen gav en delegation i uppdrag att samordna myndigheternas it-baserade utvecklingsprojekt och skapa goda möjligheter för myndighetsövergripande samordning (dir. 2009:19). Delegationen, som antog namnet E-delegationen, överlämnade betänkandet Så enkelt som möjligt för så många som möjligt – Bättre juridiska förutsättningar för samverkan och service (SOU 2014:39) till regeringen. En sammanfattning av betänkandet finns i bilaga 1. Betänkandets förslag till ändringar i offentlighets- och sekretesslagen (2009:400), förkortad OSL, finns i bilaga 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissyttrandena och en sammanställning av remissvaren finns tillgängliga i (N2014/2822/ITP). I denna lagrådsremiss behandlas förslagen i betänkandet. Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet har lämnat förslaget utan erinran. I förhållande till lagrådsremissen har vissa språkliga och redaktionella ändringar gjorts. De samhällsutmaningar som det offentliga möter kräver att digitaliseringens möjligheter tillvaratas på bästa sätt. och tjänster möjliggör nya former och sätt att erbjuda service och välfärdstjänster, men kan också bidra till att effektivisera organisationen och förvaltningen av de offentliga verksamheterna. vecklingen i den offentliga sektorn handlar alltmer om att använda digitaliseringens möjligheter för att möta utvecklingen i omvärlden. Efter att länge ha varit en av de ledande nationerna på e-förvaltnings- området har tappat placeringar och uppvisat ett mer varierat resultat i internationella mätningar. En viktig orsak till detta är bristen på samordning mellan myndigheter och av de e-tjänster som Den svenska förvaltningsmodellen bygger på att respektive myndighet i stor utsträckning själv väljer hur en uppgift ska kräver digitaliseringen allt oftare gemensamma lös- ningar och investeringar. Bristen på samordning mellan myndigheterna leder bl.a. till att privatpersoner och företag i vissa fall måste vända sig till flera olika aktörer för ett och samma ärende, och lämna samma uppgifter till flera olika myndigheter. Regeringens mål för förvaltningspolitiken är en innovativ och sam- verkande statsförvaltning, som är rättssäker och effektiv, har väl ut- vecklad kvalitet, service och tillgänglighet, och som därigenom bidrar till 2016/17:198 utveckling och ett effektivt EU-arbete (prop. 2009/10:175 s. 27). Regeringen har vidare beslutat om en strategi för en digitalt samverkande statsförvaltning, kallad Med medborgaren i centrum (N2012/6402/ITP). I strategin identifieras följande tre målområden: –en enklare vardag för privatpersoner och företag, –en smartare och öppnare förvaltning stödjer innovation och delaktighet, och –en högre kvalitet och effektivitet i den offentliga verksamheten. Regeringen har beslutat att digitala tjänster, så långt det är möjligt och där det är relevant, ska vara förstahandsval i den offentliga sektorns kontakter med medborgare, organisationer och företag (prop. 2015/16:1 utg.omr. 22 avsnitt 4.5.1). Regeringen har vidare i propositionen Offentlig förvaltning för demokrati, delaktighet och tillväxt gjort bedömningen att samverkan mellan myndigheterna måste utvecklas, dels av effektivitetsskäl, dels för att medborgare, företagare och andra förväntar sig att staten uppträder samordnat (prop. 2009/10:175). Behovet av samverkan mellan myndigheter har även uppmärksammats av , som har tillkännagivit för regeringen att den bör dels se till att de statliga myndigheterna på ett bättre sätt samverkar över myndighetsgränserna med e- förvaltningsprojekt, dels säkerställa att myndigheterna lägger ett ökat fokus på att ta fram fler e-tjänster (bet. 2015/16:FiU25, rskr. 2015/16:208). Många myndigheter erbjuder ett stort antal digitala tjänster, även kallade e-tjänster. Som exempel kan nämnas att på sin webbplats erbjuder ett 20-tal olika digitala tjänster för privatpersoner och över 30 digitala tjänster för företag. erbjuder vidare över 50 olika digitala tjänster inom en rad olika områden. Digitala tjänster kan utformas på många olika sätt. Det är den enskilda myndigheten som tar ställning till hur de tjänster som myndigheten erbjuder ska utformas och användas. Vid utformningen av dessa tjänster måste bl.a. behovet av integritet, rättssäkerhet och informationssäkerhet beaktas. I syfte att erbjuda service och uppnå målet om en enklare vardag för privatpersoner och företag finns det i många digitala tjänster möjlighet för användaren att skapa utkast för senare inlämning av uppgifter till myndigheten. Denna möjlighet kan vara en förutsättning för att tjänsterna ska kunna användas, särskilt i de fall där ett stort antal uppgifter ska lämnas in och användaren har behov av stöd och hjälp för att klargöra vilka uppgifter som efterfrågas. Inom ramen för E-delegationens arbete har juridiska vägledningar tagits fram för myndigheternas utformning av dessa tjänster. Även inom e- samverkansprogrammet, som är ett samarbete för digital samverkan mellan ett antal myndigheter och Kommuner och Landsting (SKL), har vägledningar tagits fram som syftar till att stödja myndigheterna vid utformningen av dessa tjänster. E-delegationen har i vägled- ningarna benämnt sådana lagringsutrymmen som myndigheterna till- handahåller åt användarna som användarnas egna utrymmen. I det be- Prop. 2016/17:198 tänkande som behandlas i denna lagrådsremiss kallar delegationen sådana utrymmen för elektroniska förvar. I det följande används begreppet eget utrymme för dessa lagringsutrymmen. 4.3Samverkan kring it-drift och gemensamma lösningar För många myndigheter är gemensamma lösningar och samverkan kring it-drift en förutsättning för att verksamheten ska kunna bedrivas, eftersom it-baserade funktioner ofta kräver specialistkompetens och avancerade tekniska hjälpmedel som inte kan hanteras av varje myndighet för sig. Vissa myndigheter har också i uppdrag att tillhandahålla it-baserade funktioner och tjänster åt andra myndigheter. Exempel på sådana uppdrag finns i –förordningen (2012:208) med instruktion för Statens servicecenter, –förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte, –förordningen (2010:1497) med instruktion för , och –förordningen (2009:1078) om tjänster på den inre marknaden. Ett exempel på samverkan mellan myndigheter är , som är ett samarbete mellan , och för att erbjuda samlad service och information till dem som driver eller vill starta företag. Ett annat exempel är SSBTEK, som är en bastjänst för utlämnande av uppgifter från arbetslöshetskassorna, Arbetsförmedlingen, , , och till , som används vid handläggning av ärenden om ekonomiskt bistånd. Kommunernas socialnämnder behöver information från olika myndigheter och organisationer för att utreda och fatta beslut i ärenden om ekonomiskt bistånd. utfördes detta arbete till stor del manuellt, trots att det fanns rättsliga förutsättningar för att inhämta uppgifterna elektroniskt. SSBTEK innebär en förenklad och säkrare hantering av informationen, och ger förutsättningar för att frigöra arbetstid i handläggningen hos både kommunala och statliga myndigheter. ansvarar för teknisk förvaltning och drift av tjänsten på uppdrag av SKL. De ovan nämnda exemplen på myndighetssamverkan innebär i praktiken en form av utkontraktering, då en myndighet tillhandahåller itbaserade funktioner åt andra myndigheter och behandlar uppgifter för dessa myndigheters räkning. För att sådan samverkan ska kunna ske effektivt, och för att nya gemensamma digitala tjänster som stödjer användarna ska kunna utvecklas, krävs att uppgifterna kan skyddas mot obehörig spridning och obehörigt utnyttjande. När en myndighet anlitar en privat driftleverantör upprättas i regel ett avtal med villkor om tystnadsplikt för leverantörens personal. För myndigheter gäller i stället de förbud mot att röja eller utnyttja en uppgift 2016/17:198 som föreskrivs i OSL eller de lagar eller förordningar som denna lag hänvisar till. Myndighetssamverkan genom utkontraktering av it-drift utformas normalt så att driften enbart avser teknisk bearbetning eller lagring för den beställande myndighetens (beställarmyndigheten) räkning. Det kan emellertid av tekniska skäl krävas att uppgifterna blir tillgängliga för den myndighet som tillhandahåller it-driften (driftmyndigheten), utan att driftmyndigheten ska få ta del av själva informationsinnehållet. Det kan alltså inte uteslutas att en befattningshavare hos driftmyndigheten, för att upprätthålla funktionalitet i tjänsten, kan komma att få tillgång till uppgifter som enbart avses att tekniskt bearbetas eller lagras för beställarmyndighetens räkning. Säkerhetsskyddslagen (1996:627) gäller för alla verksamhetsutövare som bedriver säkerhetskänslig verksamhet. Lagen innebär krav på att det ska finnas det säkerhetsskydd som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter. Säkerhetsskyddet ska t.ex. förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Vid utformningen av informationssäkerheten ska behovet av skydd vid automatisk informationsbehandling särskilt beaktas. Vidare är alla verksamhetsutövare skyldiga att genomföra en säkerhetsanalys som syftar till att undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet, och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. En risk vid samverkan om it-drift och gemensamma lösningar består i att flera myndigheters system och information samlas i samma lagringsmedium, t.ex. en molntjänst, vilket kan innebära en ökad riskexponering för känsliga uppgifter. Det innebär att driftmyndigheten riskerar att bli ett attraktivt mål för bl.a. andra länders underrättelseinhämtning. behöver därför överväga om samverkan om it-drift är lämplig med hänsyn till skyddsvärdet av den information som kommer att omfattas. Vid denna bedömning är myndighetens säkerhetsanalys av stor vikt. och driftmyndigheten behöver dessutom klargöra vilka skyddsåtgärder som behöver vidtas för att skydda den information som ska hanteras hos driftmyndigheten. Det är väsentligt att skyddet för informationen inte försämras på grund av sådan samverkan. Regeringen har gett en särskild utredare i uppdrag att bl.a. kartlägga behovet av att förebygga att känsliga uppgifter utsätts för risker i samband med utkontraktering och föreslå olika förebyggande åtgärder, t.ex. tillståndsprövning (dir. 2017:32). Uppdraget ska redovisas . I takt med att enskilda i allt högre grad använder digitala tjänster i kontakterna med myndigheterna ställs högre krav på myndigheterna att, i enlighet med den allmänna serviceskyldigheten, erbjuda stöd och hjälp till företag och privatpersoner för att de ska kunna använda tjänsterna på ett effektivt sätt. Stödet kan tillhandahållas på olika sätt. Ett exempel är Prop. 2016/17:198 de svar på vanliga frågor som ges på myndigheters webbplatser. används också filmer för att förklara hur digitala tjänster ska användas. Andra funktioner för att ge hjälp och stöd till enskilda bygger på helt automatiserade tjänster, som utan legitimering av användaren interagerar med denne, t.ex. på så sätt att den enskilde fyller i vissa uppgifter och därigenom får ett automatiserat svar på en viss fråga eller hjälp med att beräkna ett belopp enligt ett visst regelverk. Som exempel kan nämnas en tjänst som tillhandahåller, som utan någon inloggning kan hjälpa enskilda med att beräkna reavinsten vid försäljning av en fastighet. I många fall har dock användaren behov av ett mer anpassat stöd kopplat till användningen av en digital tjänst. E-delegationen har kallat sådana stöd för hjälptjänster. Den som exempelvis har problem med att fylla i uppgifter i en digital tjänst kan ringa till en myndighets hjälptjänst för att få hjälp med detta. Liknande kommunikation förekommer även i form av chattar mellan enskilda och personal vid myndigheterna. En hjälptjänst kan också innefatta att användaren lämnar uppgifter per e-post till befattningshavare på myndigheten. En annan företeelse som har blivit allt vanligare är att den hjälpsökande via internet, genom s.k. skärmdelning, delar de uppgifter som finns på den sökandens skärm med personal anställd vid en myndighets hjälptjänst. För att tillhandahålla service åt enskilda finns ett behov av att kunna sammanställa och presentera uppgifter eller handlingar. Det har därför utvecklats digitala tjänster som ger användaren tillgång till uppgifter eller handlingar från flera organ efter att uppgifterna eller handlingarna har kommit in till den som tillhandahåller tjänsten, utan att det som visas blir tillgängligt för någon annan. Syftet med dessa tjänster är att den enskilde på ett enkelt sätt ska kunna ta del av samlad information på ett ställe, i stället för att behöva vända sig till flera olika aktörer. E-delegationen har kallat dessa slags tjänster för presentationstjänster. Exempel på tjänster av dessa slag som har analyserats inom ramen för E-delegationens arbete är Mina fullmakter och Min ärendeöversikt. En myndighet som tillhandahåller en presentationstjänst kan på olika sätt hämta in material som finns hos ett eller flera andra organ, efter en begäran från en användare av tjänsten. Insamlingen kan ske direkt från de organ som har det begärda underlaget eller på förhand, antingen till den myndighet som tillhandahåller presentationstjänsten eller till en annan myndighet som har i uppdrag att förvara dessa handlingar. Ett exempel på en presentationstjänst är Min pension. På Min pensions webbplats kan alla som har tjänat in pension i logga in och se hela sin pension och göra pensionsprognoser. Uppgifter om vilken pension en pensionssparare kan förvänta sig finns hos olika aktörer och omfattar såväl den allmänna pensionen som tjänstepension och privat pension. Pensionssparare utgår från att utomstående inte får del av dessa uppgifter. Även för pensionsbolagen är medverkan beroende av att de uppgifter som bolagen lämnar ut inte blir tillgängliga för någon utom- 2016/17:198 stående. Presentationstjänsten tillhandahålls av Min Pension i (). De olika pensionsbolagen lämnar således information till en aktör som inte omfattas av reglerna om handlingsoffentlighet. har gett i uppdrag att tillhandahålla bolagets kundservice. Inom ramen för denna funktion ges också tillgång till uppgifter som har hämtat in enligt avtal med pensionssparare och förvarar åt dem. Enligt 2 kap. 1 § tryckfrihetsförordningen (TF) ska varje svensk med- borgare ha rätt att ta del av allmänna handlingar. En handling är enligt 2 kap. 3 § TF allmän om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten. handling anses i enlighet med 2 kap. 6 § TF inkommen till myndigheten när någon annan gjort upptagningen tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. handling som förvaras hos en myndighet endast som led i teknisk bearbetning eller teknisk lagring för annans räkning anses emellertid enligt 2 kap. 10 § första stycket TF inte vara någon allmän handling. sådan handling omfattas således inte av bestämmelserna om handlings- Undantagsbestämmelsen i 2 kap. 10 § första stycket TF har prövats i ett mål rörande utlämnande av uppgifter ur centrala ekonomisystem (RÅ 1994 ref. 64). Bakgrunden till rättsfallet var att flera andra myndigheter hade valt att lagra sina ekonomidata i detta system, som tekniskt förvaltades av en extern it-leverantör. revisionsverket disponerade inte över innehållet i de andra myndig- heternas redovisning, utan tillhandahöll endast den tekniska lösningen Regeringsrätten bedömde i det aktuella fallet, med hänvisning till 2 kap. 10 § första stycket TF, att handlingarna hos som innehöll de begärda uppgifterna inte var att anse som allmänna handlingar hos myndigheten. I rättsfallet HFD 2011 ref. 52 prövade huruvida ett webbaserat arbetsskadesystem omfattades av den aktuella Systemet var gemensamt för polismyndig- heterna och administrerades av (). ningshavare vid RPS kunde ta del av handlingarna i systemet för att bl.a. utarbeta statistik och lämna rapporter till . ansåg att i vart fall den användningen av uppgifterna inte kunde anses hänförlig till sådan teknisk bearbetning eller teknisk lagring som avses i 2 kap. 10 § första stycket TF. Det finns inte några vägledande avgöranden som ger tydligt besked om vilka av de egna utrymmen som myndigheter tillhandahåller användarna genom sina digitala tjänster som uppfyller kraven i 2 kap. 10 § första Prop. 2016/17:198 stycket TF, och som därmed inte leder till att allmänna handlingar skapas Kammarrätten i har dock i en dom i mål nr 7369-15 bedömt att handlingar som förvarades i en CV-databas hos Arbetsförmedlingen, fick anses vara förvarade hos myndigheten endast som led i teknisk bearbetning eller teknisk lagring för annans räkning. CV-databasen bestod av konton för arbetssökande och arbetsgivare. De arbetssökande kunde lagra CV och annan information i ett eget utrymme och arbetsgivare söka bland profilerna, läsa dem och skicka förfrågningar. Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § första stycket TF endast begränsas om det är nödvändigt med hänsyn till vissa intressen, bl.a. skyddet för enskilds personliga eller ekonomiska förhållanden eller det allmännas ekonomiska intresse. Sekretess gäller som huvudregel inte bara i förhållande till enskilda, utan också mellan myndigheter och inom en myndighet, om det där finns olika verksamhetsgrenar som är att betrakta som självständiga i förhållande till varandra (8 kap. 1 och 2 §§ OSL). Sekretessen innebär inte bara en begränsning av rätten att ta del av allmänna handlingar, utan även ett förbud att röja en uppgift, genom utlämnande av allmän handling eller på något annat sätt (3 kap. 1 § OSL), dvs. även om det sker muntligen. Det är alltså fråga om både handlingssekretess och tystnadsplikt. Otillåtet röjande av en sekretessbelagd uppgift är straffsanktionerat som brott mot tystnadsplikt (20 kap. 3 § , förkortad BrB). Till den del sekretessbestämmelserna innebär tystnadsplikt medför de även en begränsning av yttrandefriheten enligt regeringsformen (RF) och den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Enligt 2 kap. 21 § RF får begränsningar i yttrandefriheten endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. En begränsning får vidare aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den, och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Inte heller får en begränsning göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. Av 2 kap. 23 § RF följer vidare att yttrandefriheten får begränsas endast med hänsyn till rikets säkerhet, folkförsörjningen, allmän ordning och säkerhet, enskildas anseende, privatlivets helgd eller förebyggandet och beivrandet av brott. Fri- och rättigheter enligt RF får dessutom endast begränsas om särskilt viktiga skäl föranleder det. Regleringen i RF syftar till att nödvändiga begränsningar inte ska träffa yttrande- och informationsfriheternas kärna. Sekretessbestämmelserna i gäller inte bara för uppgifter i allmänna handlingar, utan även för uppgifter som hos en myndighet finns i sådana handlingar som ännu inte har blivit allmänna, t.ex. arbets- 2016/17:198 material, utkast och andra handlingar som varken har expedierats eller på annat sätt kommit att bli upprättade i TF:s mening. En grundläggande princip i OSL är att sekretess som huvudregel inte följer med en uppgift när den lämnas till en annan myndighet. Offentlighetsintresset kan kräva att de uppgifter som behandlas som hemliga hos en myndighet är offentliga hos en annan myndighet som har inhämtat dem hos den förstnämnda (prop. 1979/80:2 Del A s. 75 f.).