prop · H403198 · 2017-07-03 00:00:00 — Bestämmelser om överföring av sekretess har därför införts efter bedömning i varje enskilt fall. I samband med prövningar om huruvida uppgifter som lämnats från en myndighet till en annan är offentliga skiljer man mellan primära och sekundära sekretessbestämmelser. Dessa begrepp, och begreppet bestämmelse om överföring av sekretess, definieras i 3 kap. 1 § OSL. En primär sekretessbestämmelse är en bestämmelse om sekretess som en myndighet ska tillämpa på grund av att bestämmelsen a) riktar sig direkt till myndigheten eller b) omfattar en viss verksamhetstyp eller en viss ärendetyp som hanteras hos myndigheten eller c) omfattar vissa uppgifter som finns hos myndigheten. Bestämmelserna i kategori c) är primära sekretessbestämmelser vars räckvidd inte har begränsats och som därför gäller inom hela den offentliga sektorn. Som exempel på sådana bestämmelser kan nämnas regleringen om utrikessekretess i 15 kap. 1 § OSL och minimiskyddsreglerna till skydd för enskildas personliga integritet i 21 kap. OSL. En sekundär sekretessbestämmelse är en bestämmelse om sekretess som ska tillämpas på grund av en bestämmelse om överföring av sekretess. En bestämmelse om överföring av sekretess är en reglering som innebär att en primär sekretessbestämmelse som är tillämplig hos en myndighet ska tillämpas på uppgiften även av en myndighet som uppgiften lämnas till eller som har elektronisk tillgång till uppgiften hos den förstnämnda myndigheten (s.k. direktåtkomst). Om en sekretessreglerad uppgift lämnas från en myndighet till en annan gäller således sekretess hos den mottagande myndigheten, antingen om sekretess följer av en primär sekretessbestämmelse, som är tillämplig hos den mottagande myndigheten, eller om sekretess följer av en bestämmelse om överföring av sekretess. Om ingen av dessa förutsättningar är uppfyllda blir uppgiften offentlig hos den mottagande myndigheten. I 11 kap. 8 § OSL finns en reglering om konkurrens mellan primära och sekundära sekretessbestämmelser. De sekundära sekretessbestämmelser som avses är de som kan bli tillämpliga på grund av reglerna om överföring av sekretess i 11 kap. 1–7 §§ OSL. Av 11 kap. 8 § OSL följer att bestämmelserna om överföring av sekretess inte gäller om en primär sekretessbestämmelse till skydd för samma intresse redan är tillämplig på uppgifterna hos den mottagande myndigheten. Finns det en sådan primär sekretessbestämmelse som är tillämplig hos den mottagande myndigheten är det således den bestämmelsen som ska tillämpas i stället för den överförda sekretessen, oavsett om den primära sekretessen är starkare eller svagare än den sekundära sekretessen. De primära sekretessbestämmelserna i t.ex. 15 kap. 1 och 2 §§ OSL (utrikessekretess och försvarssekretess) har således företräde framför regler om sekretess som överförs med stöd av 11 kap. OSL, under Prop. 2016/17:198 förutsättning att bestämmelserna gäller till skydd för samma intresse. I propositionen Några frågor om offentlighet och sekretess (prop. 2016/17:208) föreslås att definitionen av begreppet bestämmelse om överföring av sekretess i 3 kap. 1 § OSL justeras, så att det blir tydligt att överföring av sekretess kan ske i flera led. 5.3Sekretess vid teknisk bearbetning eller lagring hos myndighet Enligt 40 kap. 5 § OSL gäller sekretess i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning av sådana personuppgifter som avses i personuppgiftslagen (1998:204), förkortad PUL, för uppgift om en enskilds personliga eller ekonomiska förhållanden. Då handlingar som förvaras hos en myndighet för enbart teknisk bearbetning eller lagring enligt 2 kap. 10 § TF inte är allmänna, reglerar bestämmelsen i 40 kap. 5 § OSL i praktiken endast en tystnadsplikt i det allmännas verksamhet. Denna tystnadsplikt är absolut, vilket innebär att uppgifter som omfattas av sekretessen ska hemlighållas utan någon skadeprövning. Av bestämmelsen i 40 kap. 8 § OSL följer vidare att denna tystnadsplikt inskränker rätten att meddela och offentliggöra uppgifter som annars följer av TF och yttrandefrihetsgrundlagen, förkortad YGL (jfr avsnitt 5.4). Bestämmelsen i 40 kap. 5 § OSL motsvarar den reglering som tidigare fanns i 9 kap. 7 § sekretesslagen (1980:100). När sekretesslagen infördes uttalades i förarbetena bl.a. att det inte var godtagbart att sekretess saknades inom en datacentral som drivs av en myndighet, för personuppgifter i ett sådant personregister som bearbetas eller lagras för en enskild kunds räkning. Det ansågs att behovet av särskild sekretess för bearbetning och förvaring av myndighets ADB-register inte var lika framträdande, eftersom en för det berörda förvaltningsområdet gällande sekretessbestämmelse ofta skulle bli tillämplig. Det ansågs dock inte finnas tillräcklig anledning att skilja mellan bearbetning m.m. för enskilds och för myndighets räkning. Vidare bedömdes att det inte var ändamålsenligt att personal som hade rent tekniska uppgifter skulle behöva tillämpa olika sekretessbestämmelser för skilda delar av sitt arbetsmaterial (prop. 1979/80:2 s 272). När en myndighet överlämnar ansvaret för drift och underhåll av sitt itsystem till en annan myndighet (utkontraktering av it-drift) gäller de förbud som föreskrivs i bl.a. OSL mot att röja eller utnyttja en uppgift. Den personkrets som omfattas av OSL:s tillämpningsområde är inte bara myndighetens anställda, utan även personer som har uppdrag där, t.ex. för it-drift, och som har en sådan anknytning till myndigheten att de kan sägas delta i dennas verksamhet (2 kap. 1 § OSL). 2016/17:198 5.4 Rätten att meddela och offentliggöra uppgifter Med rätten att meddela och offentliggöra uppgifter avses de rättigheter som följer av 1 kap. 1 § TF samt 1 kap. 1 och 2 §§ YGL. Enligt 1 kap. 1 § andra stycket TF står det varje svensk medborgare fritt att, med iakttagande av bestämmelserna i , i tryckt skrift yttra sina tankar och åsikter, offentliggöra allmänna handlingar samt meddela uppgifter och underrättelser i vilket ämne som helst. På motsvarande sätt har varje svensk medborgare enligt 1 kap. 1 § YGL rätt att i radio eller TV eller annat medium som omfattas av lagen offentligen uttrycka tankar, åsikter och känslor, och i övrigt lämna uppgifter i vilket ämne som helst. Enligt 1 kap. 1 § tredje stycket TF och 1 kap. 2 § YGL står det vidare envar fritt att lämna uppgifter i vilket ämne som helst till de personkategorier och organ som anges i de sistnämnda bestämmelserna för publicering i de medier som de båda grundlagarna omfattar (den s.k. meddelarfriheten). Rätten att meddela och offentliggöra uppgifter är således ett vidare begrepp än meddelarfrihet och innefattar, förutom rätten att lämna uppgifter till någon annan för publicering eller på något annat sätt medverka till någon annans publicering, också rätten att själv, som ansvarig enligt grundlagarnas bestämmelser om ensamansvar, offentliggöra uppgifter. Den rätt att meddela och offentliggöra uppgifter som följer av TF och YGL har som huvudregel företräde framför tystnadsplikten. Nämnda rätt har dock aldrig företräde framför handlingssekretessen (7 kap. 3 § första stycket 2 och 5 § 1 TF samt 5 kap. 1 § första stycket och 3 § första stycket 2 YGL). Det kan således vara tillåtet att t.ex. muntligen lämna en sekretessbelagd uppgift till en journalist eller att själv publicera uppgiften, men det är aldrig tillåtet att med stöd av rätten att meddela och offentliggöra uppgifter lämna den allmänna handling i vilken den sekretessbelagda uppgiften framgår till en journalist eller att själv publicera denna handling. I ett antal fall har emellertid tystnadsplikten företräde framför rätten att meddela och offentliggöra uppgifter. I dessa fall är alltså rätten att meddela och offentliggöra uppgifter helt inskränkt. Varje gång en ny sekretessbestämmelse införs måste lagstiftaren överväga om den tystnadsplikt som följer av den föreslagna bestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Utgångspunkten är att stor återhållsamhet ska iakttas vid en sådan prövning. För att inte de uppgifter som en användare sparar i sitt egna utrymme hos en myndighet ska bli en allmän handling krävs att myndigheten begränsar den egna personalens tillgång till uppgifterna. Myndighetens personal ska alltså endast hantera den drifts- och säkerhetsrelaterade informationen. Myndigheterna tillämpar därför regler som förbjuder myndighetens personal att bereda sig tillgång till en användares egna utrymme i den digitala tjänst som myndigheten tillhandahåller eller annars ta del av information som finns där. Det blir därmed förbjudet för myndigheten och dess personal att bereda sig tillgång till en användares Prop. 2016/17:198 utrymme eller förvar, eller att annars ta del av information som finns där. I 4 kap. 9 och 9 c §§ BrB finns bestämmelser om intrång i förvar och dataintrång, som kan aktualiseras om myndighetens personal ändå bereder sig tillgång till utrymmet. Straffansvar för dataintrång gäller trots att samma uppgift eller handling finns tillgänglig för befattningshavaren någon annanstans, t.ex. i en myndighets system för ärendehandläggning. 6Utökat sekretesskydd vid teknisk bearbetning eller teknisk lagring 6.1Utvidgning av tystnadsplikten i verksamhet för enbart teknisk bearbetning eller lagring Regeringens förslag: Den tystnadsplikt som gäller i verksamhet för enbart teknisk bearbetning eller lagring för någon annans räkning av personuppgifter som avses i personuppgiftslagen (1998:204) utvidgas till att omfatta uppgifter om en enskilds personliga eller ekonomiska förhållanden i sådan verksamhet. E-delegationens förslag: Överensstämmer med regeringens förslag. Delegationen har dessutom övervägt två alternativa förslag. Remissinstanserna: Nästan samtliga av de remissinstanser som har yttrat sig tillstyrker förslaget. Flera remissinstanser, bl.a. Arbetsförmed- lingen, Statens servicecenter och kommun, förordar dock det mer långtgående alternativ som delegationen övervägt, och som innebär att tystnadsplikt ska gälla för varje uppgift i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning (se vidare Bland de remissinstanser som tillstyrker förslaget anser bl.a. och att de förslag som delegationen lämnat stärker förutsättningarna för en framtida utveckling av digitala () menar att förslagen åt- gärdar brister i sekretesskyddet som kan medföra att myndigheterna avstår från att tillhandahålla digitala tjänster och att enskilda avstår från att använda tjänsterna. framhåller vikten av att integri- tetsskyddet för enskilda är gott och inte försvagas till följd av den tekniska eller administrativa utvecklingen. anser att det är oklart hur många tjänster och användare som kommer omfattas av förslagen och om dessa motiverar ett införande av de föreslagna Myndigheten framhåller också att det är svårt att bedöma om bestämmelserna kan få andra och vidare konsekvenser än de som beskrivs i betänkandet, samt om det krävs ytterligare lagändringar om myndigheterna eller användarna vill att tjänsterna utvecklas. Myndigheten för samhällsskydd och beredskap (MSB) anser att delegationen i sina analyser inte i tillräcklig utsträckning har beaktat behovet av skyddet av den personliga integriteten och informations- säkerhetsaspekter samt att förslagen ger mycket lite ledning för hur bl.a. 2016/17:198 personuppgiftsansvaret ska kunna utövas. MSB har mot denna bakgrund tagit fram ett alternativt förslag, som enligt myndigheten syftar till att säkerställa behovet av sekretess utan att markant utvidga tillämpningsområdet för sekretessregleringen. Förslaget innebär att informationshanteringen i en digital tjänst tydligt kopplas till myndighetens ärendeprocess. MSB föreslår att begreppet eget förberedelseutrymme införs i OSL, samt att information i sådana utrymmen betraktas som allmänna handlingar, men skyddas mot utlämnande genom en ny sekretessregel. Vidare föreslår MSB en ny reglering i förvaltningslagen (1986:223) och arkivlagen (1990:782) för att tydliggöra gränsdragningen mellan användningen av det egna förberedelseutrymmet och ingivandet av en handling till myndigheten. Som andrahandsalternativ föreslår MSB att krypteringslösningar används för att säkerställa att information i en användares egna utrymme inte anses tillgänglig för myndigheten med tekniskt hjälpmedel, och därmed inte förvarad hos myndigheten. Skälen för regeringens förslag Förslagen i delegationens betänkande bygger på antagandet att re- gleringen i 2 kap. 10 § första stycket TF är tillämplig på handlingar som förekommer i egna utrymmen som en myndighet tillhandahåller åt användare av en digital tjänst och vid utkontraktering av it-drift från en myndighet till en annan. Den övervägande majoriteten av remiss- instanserna, bl.a. och , uttrycker stöd för delegationens bedömning i denna fråga. Ett fåtal remissinstanser är dock tveksamma till delegationens tolkning av bestämmelsen. Datainspektionen är rättsläget i frågan oklart och MSB anser att delegationen inte redovisat något direkt stöd i förarbeten, rättspraxis eller doktrin för sin tolkning av regleringen. Myndigheterna väljer som regel att utforma sådana digitala tjänster som tillhandahålls till enskilda så att utkast för senare inlämning av uppgifter till myndigheten enligt 2 kap. 10 § första stycket TF inte ska utgöra allmänna handlingar förrän användaren aktivt och medvetet väljer att färdigställa och skicka in handlingen till myndighetens elektroniska Digitala tjänster för enskilda och interaktion mellan myndigheter kan dock utformas på många olika sätt. information i egna utrymmen och information som en myndighet hanterar åt en annan myndighet till följd av utkontraktering av it-drift omfattas av regleringen i 2 kap. 10 § första stycket TF, och därmed inte utgör allmänna handlingar, kan därför inte besvaras generellt och avgörs ytterst av rättstillämpningen. Regeringen anser därför att en ny sekretess- reglering inte bör bygga på det antagande som delegationen har gjort om att vissa digitala tjänster i allmänhet omfattas av tillämpningsområdet för bestämmelsen i 2 kap. 10 § första stycket TF. Som redogjorts för i avsnitt 5.1 finns det dock stöd i praxis för att myndigheterna tillhandahåller digitala tjänster som uppfyller kraven i den nu aktuella bestämmelsen. Myndigheternas möjlighet att själva be- sluta om utformningen av sina tjänster innebär att de kommer att kunna utveckla och anpassa sina tjänster efter eventuell ytterligare rättspraxis. För de digitala tjänster som tillhandahålls enskilda och vid utkontraktering av it-drift, som uppfyller kraven i 2 kap. 10 § första stycket TF, finns dock anledning att överväga om det finns behov av kompletterande sekretesskydd för att säkerställa att skyddet för den personliga integriteten upprätthålls vid användning av dessa tjänster. Behovet av skydd vid enbart teknisk bearbetning eller lagring Digitaliseringen innebär en möjlighet till utveckling av den offentliga förvaltningen och nya processer, former och sätt att erbjuda service till enskilda. Det är angeläget att utvecklingen sker så att skyddet för den personliga integriteten och enskildas förtroende för den offentliga förvaltningen upprätthålls. Enligt regeringens uppfattning är det rimligt att enskilda ska kunna förvänta sig att uppgifter som de lämnar på ett eget utrymme på en myndighets server via en digital tjänst skyddas såväl mot insyn från allmänheten som mot obehörigt utnyttjande från dem som har teknisk tillgång till uppgifterna. Detta bör myndigheterna beakta vid utformningen av sina digitala tjänster. Det får alltså antas att det finns en berättigad förväntan hos privatpersoner och företag om att uppgifter som behandlas av en myndighet för enbart teknisk bearbetning eller teknisk lagring är skyddade från insyn eller utlämnande med stöd av offentlighetsprincipen. För att uppgifterna ska få ett tillräckligt effektivt skydd mot obehörigt röjande och utnyttjande anser regeringen att det finns behov av att skydda uppgifterna genom en bestämmelse om tystnadsplikt. Om en befattningshavare skulle ha råkat ta del av en uppgift i digital tjänst som tillhandahålls av en myndighet, t.ex. i samband med att han eller hon rättat ett fel i det tekniska systemet, eller vidtagit en åtgärd som är nödvändig från informationssäkerhetssynpunkt, behöver det därför finnas ett förbud mot att röja uppgiften. Det finns även ett behov av ett skydd mot att personal vid en driftmyndighet röjer uppgifter som behandlas för beställarmyndighetens räkning. Behandlingen av uppgifterna i de nu aktuella fallen sker i verksamhet för enbart teknisk bearbetning eller teknisk lagring för annans räkning, dvs. enligt 2 kap. 10 § första stycket TF. Sådana uppgifter är inte allmänna handlingar och det finns därför endast behov av tystnadsplikt för den personal som har tillgång till uppgifterna. Behovet av en ny reglering OSL innehåller vissa sekretessbestämmelser som skulle kunna tänkas skydda uppgifter i de aktuella fallen. Enligt 31 kap. 12 § första stycket OSL gäller sekretess för uppgift som avser provning, bestämning av egenskaper eller myckenhet, värdering, vetenskaplig, teknisk, ekonomisk eller statistisk undersökning eller annat sådant uppdrag som myndighet utför för en enskilds räkning, om det måste antas att uppdraget lämnats under förutsättning att uppgiften inte röjs. Sekretessen är absolut och meddelarfrihet gäller inte. Av förarbetena till bestämmelsen framgår att den avses omfatta situationer då sekretessen är närmast av förtroendekaraktär, där det i situationen ligger att enskilda knappast skulle anlita myndigheten, om de inte kunde vara säkra på att få samma skydd som hos ett privat företag (prop. 2016/17:198 s. 238). Bestämmelsen gäller dock endast s.k. uppdragsverksamhet som en myndighet bedriver för enskilds räkning. Ett uppdrag att utföra teknisk lagring och bearbetning av information torde oftast knappast kunna jämställas med en undersökning av vetenskaplig, teknisk eller statistisk karaktär. har vidare i rättsfallet HFD 2011 not. 28 bedömt att det i begreppet uppdrag måste ligga att det är fråga om en uppgift som kräver vissa arbetsinsatser av inte alltför obetydligt slag. Domstolen uttalade vidare att resultatet av uppdraget borde redovisas i en rapport eller liknande och att fall där det bara är fråga om att svara på en enstaka faktafråga, eller att upplysa om innehållet i en rättsregel, inte omfattas av den aktuella bestämmelsens tillämpningsområde. Det kan visserligen inte uteslutas att bestämmelsen om uppdragssekretess i något fall skulle kunna bli tillämplig även på uppgifter som behandlas inom ramen för varaktiga tjänster för teknisk bearbetning eller lagring. I de allra flesta fall torde dock uppgifterna inte omfattas av den aktuella sekretessbestämmelsen. Som anförts i avsnitt 5.3 finns det i 40 kap. 5 § OSL en bestämmelse om tystnadsplikt vars tillämpningsområde är detsamma som det undantag från allmän handling som föreskrivs i 2 kap. 10 § första stycket TF. Enligt bestämmelsen gäller sekretess i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning av sådana personuppgifter som avses i PUL för uppgift om en enskilds personliga eller ekonomiska förhållanden. Inskränkningen till sådana personuppgifter som avses i PUL var delvis en följd av att PUL ersatte datalagen (1973:289). Den närmare innebörden av bestämmelsen är inte helt klar. Utifrån bestämmelsens ordalydelse ligger det dock närmare till hands att anta att inskränkningen snarare avser bestämmelsens räckvidd än dess föremål. Det skulle i så fall innebära att sekretessen gäller i verksamhet som enbart avser teknisk bearbetning eller teknisk lagring av personuppgifter för någon annans räkning. Bestämmelsen skulle då inte vara tillämplig i alla typer av bearbetnings- eller lagringsverksamhet för annans räkning, utan bara i sådan verksamhet som omfattar bearbetning eller lagring av just personuppgifter. I praktiken skulle bestämmelsen då endast omfatta sådana situationer då en myndighet agerar personuppgiftsbiträde åt ett företag eller en annan myndighet, eller då myndigheten tillhandahåller tjänster för teknisk bearbetning eller lagring som innefattar personuppgifter. Ett stort antal tjänster för teknisk bearbetning eller teknisk lagring omfattar handlingar som upprättats av juridiska personer och som kan innehålla uppgifter som inte utgör personuppgifter, men som inte bör komma till utomståendes kännedom, i vart fall inte innan handlingen har kommit in till en myndighet. De integritetsintressen som motiverade att sekretessen för uppgifter i personregister infördes i sekretesslagen finns enligt regeringen även i fråga om uppgifter som rör företag, ideella föreningar och andra juridiska personer. Tystnadsplikten i 40 kap. 5 § OSL framstår mot denna bakgrund, och med hänsyn till de behov som finns vid utveckling av och samverkan kring den offentliga sektorns digitala tjänster, som alltför snävt avgränsad. Regeringen anser således, till skillnad från , att det är motiverat att stärka sekretesskyddet för denna information. I likhet med anser regeringen att det är mycket angeläget att integritetsskyddet för enskilda är betryggande och inte försvagas till följd av den tekniska eller administrativa utvecklingen. Förslaget innebär att sekretesskyddet utökas i de digitala tjänster som myndigheterna tillhandahåller enskilda inom ramen för den digitala förvaltningen. Regeringen bedömer, i likhet med , och , att förslaget kommer stärka förutsättningarna för utvecklingen av de digitala tjänster som myndigheterna tillhandahåller. Det finns mot denna bakgrund starka skäl för att utvidga sekretessen till att omfatta alla sådana uppgifter om enskilds personliga eller ekonomiska förhållanden som behandlas i verksamhet enbart för teknisk bearbetning eller teknisk lagring för någon annans räkning. Enligt regeringen är en sådan utformning av regleringen mer ändamålsenlig än den som MSB föreslagit. Utgångspunkten vid utformningen av en ny sekretessbestämmelse är att det inte ska gälla mer sekretess än vad som är oundgängligen nödvändigt för att skydda det intresse som har föranlett bestämmelsen. Av detta skäl är de flesta sekretessbestämmelser försedda med skaderekvisit (prop. 1979/80:2 Del A s. 78 f.). En grundläggande princip vid bedömningen av om en ny sekretessreglering ska införas är att behovet av och styrkan i den inte kan bestämmas enbart med hänsyn till sekretessintresset. Behovet av sekretess måste i varje sammanhang vägas mot intresset av insyn i myndigheternas verksamhet. Behovet av sekretess för en uppgift är oftast detsamma oavsett i vilket sammanhang uppgiften förekommer. Allmänintresset av insyn kan dock variera beroende på vilken verksamhet det är fråga om. I enlighet med vad som anförts i avsnitt 5.2 kan offentlighetsintresset kräva att uppgifter som behandlas som hemliga hos en myndighet är offentliga hos en annan myndighet som har inhämtat dem hos den förstnämnda. I samband med utkontraktering av it-drift aktualiseras den omvända situationen, att uppgifter kan vara offentliga hos en beställarmyndighet, medan samma uppgifter kan behöva omfattas av sekretess hos driftmyndigheten. Dagens samverkan mellan myndigheter är av en helt annan karaktär än de begränsade, delvis insatser, som var aktuella när bestämmelsen i 40 kap. 5 § OSL om sekretess vid teknisk lagring och bearbetning kom till. I det lagstiftningsärendet hänvisades till förarbetena till 2 kap. 6 § TF, där det som exempel på vad som utgör teknisk bearbetning och lagring nämns att sända maskinskrivet manuskript till en datacentral för överföring av texten till magnetband, att överlämna manuskript för tryckning eller kopiering samt redigering av ljudupptagningar på magnetband, överföringar av sådana upptagningar till grammofonskiva, framkallning av fotografiskt material och liknande (prop. 1979/80:2 Del A s. 272 och 1975/76:160 s. 137).