sou · H6B325 · 2018-03-27 00:00:00 — Regeringen har i ett tidigare lagstiftningsärende anfört att nya sekretessbrytande regler på områdena socialtjänst och hälso- och sjukvård i sekretess- lagen, bör medföra att obehörighetsrekvisitet i tystnadspliktsreglerna i socialtjänstlagen och lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område100 tolkas på motsvarande sätt.101 Mot denna bakgrund anser vi att det inte finns behov av en särskild bestämmelse som medger undantag från tystnadsplikt i speciallagstiftning, för att den som omfattas av denna ska kunna lämna ut uppgifter till privata leverantörer i samma utsträckning som myndigheter i samband med utkontraktering av it-drift eller andra it-baserade funktioner. Om ett sådant behov skulle komma fram anser vi att det lämpligen bör omhändertas i aktuell sektorslagstiftning. 9911 kap. 4 a och 40 kap. 5 § offentlighets- och sekretesslagen. 100Lagen är upphävd och har ersatts av patientsäkerhetslagen. 2005/06:161, s. 82 och 93. Tystnadsplikt för privata leverantörer 10.6.5Utformning av en sekretessbrytande bestämmelse Utredningens förslag: Sekretess ska inte hindra att en uppgift lämnas ut till en enskild eller till en annan myndighet som utför uppdrag för enbart teknisk bearbetning eller teknisk lagring för den utlämnande myndighetens räkning, om uppgiften behövs för att utföra uppdraget. En uppgift ska inte lämnas ut om 1.övervägande skäl talar för att det intresse som sekretessen ska skydda har företräde framför intresset av att uppgiften lämnas ut, eller 2.det av andra skäl är olämpligt. Skälen för utredningens förslag En förutsättning för att en sekretessbelagd uppgift ska kunna lämnas ut med stöd av den sekretessbrytande bestämmelsen är att leve- rantören har behov av uppgiften för att utföra uppdraget som denne har fått av myndigheten. Behovet ska vara konkret. Det är den ut- lämnande myndigheten som ytterst avgör om leverantören behöver uppgifterna. Enligt vår mening krävs inte att det görs en behovs- prövning i varje enskilt fall utan en bedömning kan göras utifrån de behov som typiskt sett finns för en kategori av uppgifter.102 För att en sekretessbrytande bestämmelse av aktuellt slag inte ska få ett för vidsträckt tillämpningsområde krävs emellertid begräns- ningar av när en uppgift får lämnas ut. Sådana begränsningar syftar till att skydda enskilda och allmänna intressen och att se till att upp- giftsutlämnandet i övrigt inte är olämpligt. Skydd för sekretessintressen genom en intresseavvägning Uppgifter som omfattas av sekretess kan vara mycket känsliga och en bestämmelse om sekretessgenombrott bör därför utformas så att det finns möjlighet att beakta starka integritetsintressen rörande 102 Jfr prop. 1979/80:2 Del A s. 80 f. och 326 f. Tystnadsplikt för privata leverantörer enskilda, men även intressen av skydd för det allmänna. En uppgift bör därför inte lämnas ut om övervägande skäl talar för att det in- tresse som sekretessen ska skydda har företräde framför intresset av att uppgiften lämnas ut. Precis som vid behovsprövningen så krävs inte att det görs en prövning i varje enskilt fall utan en bedömning kan göras utifrån de behov av sekretess som typiskt sett finns för en kategori av uppgif- ter.103 Vid intresseavvägningen bör sekretesskyddet hos mottagaren vägas in i bedömningen. Uppgifterna skyddas hos en enskild leve- rantör genom den föreslagna tystnadsplikten och hos en offentlig leverantör genom sekretessbestämmelserna i 11 kap. 4 a § och 40 kap. 5 § offentlighets- och sekretesslagen. De samhällsutmaningar som det offentliga möter kräver att digitaliseringens möjligheter tillvaratas på bästa sätt så förvalt- ningens resurser används effektivt och förtroendet för förvaltningen upprätthålls. I linje med vad som tidigare framförts i förvaltnings- politiska uttalanden om inslag av utkontraktering av it-drift och andra it-baserade funktioner är det påkallat att myndigheterna utkontrak- terar en del sådan verksamhet för att åstadkomma en ändamålsenlig, kostnadseffektiv och tillgänglig förvaltning som erbjuder digitala förfaranden som möjliggör nya former och sätt att erbjuda service och tjänster till privatpersoner och företag (se kapitel 10.1.2). Även om ett utlämnande av uppgifter endast görs till ett mindre antal personer för att enbart tekniskt bearbeta eller lagra dem och avsikten är att de i normalfallet inte ska ta del av uppgifterna, kan emellertid vissa kate- gorier av uppgifter vara särskilt känsliga till sin natur och det kan därför finnas starka skäl till att inte lämna ut dem. Bestämmelsen innebär att en avvägning ska göras mellan nämnda intressen. Om sekretess- intresset väger tyngre än intresset av att lämna ut uppgiften för teknisk bearbetning eller lagring får uppgiften inte lämnas ut. Ett utlämnande av uppgifter bör inte heller få göras om det är olämpligt. Det kan finnas flera olika anledningar till att det är olämp- ligt att lämna ut vissa uppgifter i samband med utkontraktering. Det kan t.ex. röra sig om en mycket stor mängd uppgifter där de flesta 103 Jfr prop. 1979/80:2 Del A s. 80 f. och 326 f. Tystnadsplikt för privata leverantörer enskilda uppgifterna inte är känsliga, men den totala informations- mängden i sig är så skyddsvärd att ett utlämnande av uppgifterna bedöms vara olämpligt. Med en oinskränkt tillgång till stora infor- mationsmängder kan det finnas risk för åtgärder och analyser som av säkerhetsskäl inte bör få förekomma. Ett utlämnande av uppgifter kan också vara olämpligt om flera myndigheters system och infor- mation samlas i samma lagringsmedium, t.ex. en molntjänst, vilket kan innebära en ökad riskexponering för känsliga uppgifter. Även en tänkt geografisk lokalisering av uppgifterna kan medföra att ett utlämnande av vissa känsliga uppgifter till leverantören bedöms vara olämpligt. En del av de sekretessbelagda uppgifter som kan vara aktuella att lämna ut till leverantörer omfattas av säkerhetsskyddslagen. Förslaget till ny säkerhetsskyddslag innebär att tillämpningsområdet för lagen kommer att utökas och framöver kommer därför ännu fler uppgifter att omfattas av de krav som ställs i denna lag. Utan att här föregripa kommande lagstiftning kan konstateras att det vore olämpligt att, med stöd av aktuell sekretessbrytande bestämmelse, lämna ut uppgifter som även omfattas av säkerhetsskyddslagstiftningen, om det skulle vara oförenligt med de krav som ställs i den lagstiftningen. 10.6.6En särskild lag om tystnadsplikt införs Utredningens förslag: Det ska införas en ny lag som gäller när en myndighet uppdrar åt en privat leverantör att behandla upp- gifter för enbart teknisk bearbetning eller teknisk lagring för myndighetens räkning. Lagen ska även gälla för vissa organ och verksamheter som trätt i stället för en myndighet. Lagen ska be- nämnas lag om tystnadsplikt vid utkontraktering av teknisk be- arbetning och lagring. Bestämmelsen om tystnadsplikt för de som är verksamma hos den privata leverantören ska införas i lagen. Tystnadsplikt för privata leverantörer Skälen för utredningens förslag Bestämmelsen om tystnadsplikt för de som är verksamma hos en privat leverantör bör införas i en ny lag. Lagen bör gälla när en myndighet uppdrar åt en privat leverantör att behandla uppgifter för enbart teknisk bearbetning eller teknisk lagring för myndighetens räkning. Vad begreppet teknisk bearbetning eller teknisk lagring innebär och avgränsningen till enbart sådan bearbetning eller lagring, har behandlats i kapitel 10.6.3. Lagen bör benämnas lag om tystnads- plikt vid utkontraktering av teknisk bearbetning och lagring. Lagen bör vara subsidiär till den nya säkerhetsskyddslagen som föreslås träda i kraft och säkerhetsskyddsförord- ningen (1996:633). Finns det bestämmelser i nämnda lag eller för- ordning som avviker från den lag vi nu föreslår, ska de bestäm- melserna tillämpas i stället. Lagens tillämpningsområde för vissa organ och verksamheter Lagen bör även gälla för vissa organ eller verksamheter som trätt i stället för en myndighet, när ett sådant organ eller en sådan verk- samhet uppdrar åt en privat leverantör att behandla uppgifter för enbart teknisk bearbetning eller teknisk lagring för organets eller verksamhetens räkning. Vid tillämpningen av lagen bör därför aktie- bolag, handelsbolag, ekonomiska föreningar och stiftelser där kom- muner, landsting eller kommunalförbund utövar ett rättsligt bestäm- mande inflytande enligt 2 kap. 3 § offentlighets- och sekretesslagen och de organ som anges i bilagan till offentlighets- och sekretesslagen beträffande den verksamhet som anges där, jämställas med en myn- dighet. Även en yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad och som anges i 2 § första stycket lagen (2017:151) om meddelarskydd i vissa enskilda verksamheter, bör jämställas med en myndighet vid tillämpningen av lagen. Hänvisningen till nämnda bestämmelse innebär att enskilda verk- samheter som finns inom skolväsendet, hälso- och sjukvård, tand- vård eller social omsorg, kommer att omfattas av den av oss före- slagna lagen. Den nämnda bestämmelsen i lagen om meddelarskydd Tystnadsplikt för privata leverantörer i vissa enskilda verksamheter är emellertid föremål för översyn. Utredningen om ett stärkt meddelarskydd för privatanställda i verk- samheter som är helt eller delvis offentligt finansierade har lämnat förslag på en utvidgning av bestämmelsens tillämp- ningsområde så att den även omfattar kollektivtrafik, färdtjänst, riksfärdtjänst och skolskjuts.104 Enligt vår uppfattning bör tillämp- ningsområdet för den av oss föreslagna lagen vara tillämplig för de verksamheter som kommer att omfattas av lagen om meddelarskydd i vissa enskilda verksamheter. En dynamisk hänvisning till den lagens tillämpningsområde bör därför göras. För att en enskild verksamhet ska omfattas av den av oss före- slagna lagen krävs vidare att den är offentligt finansierad. Med offentlig finansiering bör avses ett direkt stöd eller betalning från det allmänna för att driva verksamheten inom de aktuella verksam- hetsområdena som nämns ovan. Ett krav bör vara att finansieringen är kopplad till själva driften av verksamheten. Vi har övervägt om den utkontrakterande verksamheten bör vara helt offentligt finansierad eller om det är tillräckligt att den delvis är det för att omfattas av lagen. Enligt vår mening skulle ett krav på att den enskilda verksamheten är helt offentligt finansierad leda till att många verksamheter, t.ex. fristående skolor och privata läkarmot- tagningar, inte omfattas av lagen eftersom de sällan är helt offentligt finansierade. Det är inte heller enligt vår bedömning lämpligt att ställa upp ett krav på att endast sådan teknisk bearbetning eller lagring som rör uppgifter som enbart finansieras av allmänna medel bör omfattas av lagen, eftersom denna behandling eller lagring inte går att särskilja i en verksamhet som finansieras av såväl allmänna som privata medel. Ett sådant krav skulle riskera att medföra svårig- heter avseende gränsdragningen för lagens tillämpningsområde. Vi anser därför att lagen bör tillämpas i alla verksamheter inom skola, vård och omsorg som till någon del är offentligt finansierad. 104 Meddelarskyddslagen – fler verksamheter med stärkt meddelarskydd (SOU 2017:41). Tystnadsplikt för privata leverantörer Ett förstärkt skydd och en klar rättslig grund för utlämnande Den föreslagna författningsreglerade tystnadsplikten för de som är verksamma hos en privat leverantör innebär ett förstärkt skydd för sekretessreglerade uppgifter som lämnas ut i samband med utkon- traktering av teknisk bearbetning eller lagring, eftersom uppgifterna får samma sekretesskydd hos leverantören som hos den utkontrak- terande myndigheten. En straffsanktionerad tystnadsplikt är ett starkt incitament för leverantören och dess anställda att hantera myndighetens information med varsamhet. Regleringen är därför av väsentlig betydelse för att säkerställa att uppgifterna skyddas mot obehörigt röjande och nyttjande av den privata leverantörens per- sonal. Enskilda har ett betydande intresse av att integritetskänsliga uppgifter inte blir åtkomliga för obehöriga. Det skulle riskera ett sviktande förtroende för myndigheten och i förlängningen även för hela den offentliga sektorn. Regleringen är också av vikt för att upprätthålla sekretessen för uppgifter som omfattas av ett allmänt intresse. En brist i sekretesskyddet när sådana uppgifter utkontrak- teras skulle kunna skada centrala samhälleliga intressen. Den föreslagna sekretessbrytande bestämmelsen innebär att myndigheter får en klar och tydlig rättslig grund för att lämna ut uppgifter som omfattas av sekretess till privata eller offentliga leve- rantörer och därmed undanröjs den rättsliga osäkerhet som råder vid viss utkontraktering. Förslagen innebär sammantaget ett främjande av digitala förfa- randen i den offentliga sektorn genom att undanröja den osäkerhet som finns hos myndigheter kring de rättsliga förutsättningarna för utkontraktering av vissa digitala förfaranden till privata leverantörer. Vidare innebär förslagen en mer effektiv och innovativ offentlig förvaltning eftersom det ger stabila rättsliga förutsättningar för att it-drift och andra it-baserade funktioner utförs av privata företag, med expertkompetens på området. Det är resurskrävande för en myndighet att själv inneha sådan kompetens och förslagen kan där- med förväntas medföra besparingar för det allmänna. Tystnadsplikt för privata leverantörer Internationell räckvidd av brott mot tystnadsplikt Som nämnts under kapitel 10.1.3 kan såväl leverantörer som under- leverantörer ha sitt säte utomlands och även delar av leverantörernas personal kan vara placerade utomlands. En konsekvens av detta är att det är relevant att undersöka om personer som har hemvist utanför och inte är svenska medborgare omfattas av den straffsanktion som tystnadsplikten för med sig. Straffbudet i 20 kap. 3 § utgår från att gärningen är ett åsidosättande av en tystnadsplikt som är grundad på svensk för- fattning. Om gärningen begåtts utom riket måste den enligt 2 kap. 2 § som regel begåtts av svensk medborgare eller av utlänning med hemvist i Sverige105 och det ska dessutom föreligga s.k. dubbel straffbarhet106 för att det ska föreligga svensk straff- rättslig jurisdiktion. Från kraven i 2 kap. 2 § görs emellertid i 2 kap. 3 § 4 undantag för det fall att brottet har förövats mot , svensk kommun eller annan menighet eller svensk allmän inrättning.107 Uttrycket brott mot innefattar enligt kommentaren brott som riktar sig mot ett sådant intresse beträffande vilket den svenska staten uppfattas som bärare. Dit hör brott mot svenska statens yttre eller inre säkerhet eller dess offentliga myndigheter. Med brott mot svensk kommun eller annan menighet avses enligt kommentaren brott mot kommuner, men också mot landsting, kommunalförbund, och andra kommunala bildningar. Även brott mot en svensk allmän inrättning omfattas av undantaget. För att bedöma om en inrättning är allmän ska enligt kommentaren flera skilda omständigheter beaktas. Av betydelse är om inrättningen utövar en offentlig funktion eller om inrättningen tjänar ett allmän- nyttigt ändamål och inte drivs för att bereda affärsvinst. Betydelse ska dessutom tillmätas frågan om hur inrättningen finansieras t.ex. 105Gärningen kan också begåtts av utlänning utan hemvist i , som efter brottet blivit svensk medborgare eller tagit hemvist här i riket eller som är dansk, finsk, isländsk eller norsk medborgare och finns här eller av annan utlänning som finns här i riket och på brottet enligt svensk lag kan följa fängelse . 106Med dubbel straffbarhet avses att gärningen även är straffbar enligt lagen i det land där den begicks. (, Zeteo), kommentaren till 20 kap. Tystnadsplikt för privata leverantörer om inrättningen har grundats med hjälp av allmänna medel eller om den åtnjuter understöd av sådana medel.108 Med det ovan anförda i beaktande kan, enligt vår bedömning, en svensk medborgare eller en utlänning enligt reglering dömas för brott mot tystnadsplikt som har begåtts utomlands men som utövats mot svenska offentliga myndigheter, kommuner och landsting, trots att det inte föreligger dubbel straffbarhet. Detta gäller även om brottet har utövats mot en svensk privat aktör som utför offentligt finansierad verksamhet under förutsättning att aktören omfattas av begreppet svensk allmän inrättning i ovan nämnda bestämmelse. Det offentligas utkontraktering av it-drift och andra it-baserade funktioner som tillhandahålls av den privata marknaden sätter, för- utom sekretessfrågorna, också ljuset på behovet av ett stabilt in- formationssäkerhetsarbete som ett fundament i myndigheternas informationshantering. En författningsreglerad tystnadsplikt med en anknytande sekre- tessbrytande bestämmelse syftar inte till att bli ett frikort för utkontraktering av känslig informationshantering. Även om sekre- tesslagstiftningen medger ett utlämnande av uppgifter kan ett sådant utlämnande i vissa fall betraktas som olämpligt ur informations- säkerhetssynpunkt. En utkontraktering får aldrig innebära att upp- gifterna får ett sämre skydd ur informationssäkerhetssynpunkt än om de hade hanterats internt hos myndigheten. Framför allt behöver enskilda känna sig trygga med att uppgifter som rör deras privata förhållanden behandlas på ett rättsenligt och säkert sätt oavsett var och av vem uppgifterna hanteras. Därför bör det särskilt framhållas att myndigheters utkontraktering av informationshantering inte bara ska vara tillåten enligt sekretessregleringen. Den måste också i varje enskilt fall vara säker och i övrigt lämplig enligt regleringen om informationssäkerhet (se kapitel 9). (, Zeteo), kommentaren till 2 kap. 3 § . Tystnadsplikt för privata leverantörer Med informationssäkerheten i åtanke krävs att myndigheten har ändamålsenliga och etablerade rutiner för ett systematiskt infor- mationssäkerhetsarbete och skydd för personuppgifter. Information som utkontrakteras ska skyddas utefter vad dess känslighet kräver. En myndighet som har säkerhetsklassat sina informationstillgångar samt kontinuerligt genomfört riskanalyser har goda förutsättningar för att antingen kravställa lämplig nivå av teknisk och administrativ säkerhet vid upphandling av leverantör eller att fatta ett välgrundat beslut om att informationen inte är lämplig att utkontraktera. Ett argument som ibland framhålls är att myndigheter bör vara försiktiga med att utkontraktera informationshantering till privata leverantörer, eftersom myndigheterna riskerar att förlora den abso- luta kontrollen över sina informationstillgångar. En myndighet som bedriver ett systematiskt och riskbaserat informationssäkerhets- arbete har emellertid goda förutsättningar att i upphandlingsunder- laget, och sedermera i form av avtalsvillkor, specificera såväl skydds- krav som krav på insyn, kontroll och uppföljning av leverantörens informationshantering. Enligt vår bedömning kan utkontraktering i vissa fall också inne- bära att en myndighets informationstillgångar får ett bättre tekniskt och administrativt skydd än om myndigheten själv hade hanterat informationen, eftersom det i regel ingår i privata leverantörers affärs- modell att tillhandahålla hög kompetens inom säkerhetsområdet. Vi bedömer sammanfattningsvis att det finns förutsättningar för myndigheter att med bibehållen god informationssäkerhet utkon- traktera viss informationshantering till privata leverantörer, och att förutsättningarna därtill stärks av förslaget om en tystnadsplikt. 11.1Avtal – en central komponent i den digitala förvaltningen 11.1.1Kartläggningsresultatet och vårt uppdrag Utkontraktering av it-drift och andra it-baserade funktioner har, som beskrivits i kapitel 10, kommit att bli allt mer centralt för en kostnadseffektiv och även i övrigt väl fungerande digital förvaltning. En konsekvens av detta är att avtal har blivit en allt mer väsentlig komponent i den offentliga förvaltningen. Avtal med särskild relevans för den digitala utvecklingen inom offentlig förvaltning är de avtal som reglerar köp av it-drift eller andra it-baserade funktioner, dvs. Sådana avtal kan en myn- dighet ingå med företag i det privata näringslivet men också med en annan offentlig aktör.1 Vid myndigheters köp av it2 finns dessutom, under vissa förutsättningar, en laglig skyldighet att teckna person- uppgiftsbiträdesavtal och säkerhetsskyddsavtal med den anlitade leverantören. Dessa typer av avtal möjliggör för en myndighet att efterleva gällande lagkrav även när viss verksamhet utkontrakteras (outsourcing). I förhållande till en utomstående aktör är alltså avtal den rättshandling som ska säkerställa att myndigheten fortsatt efterlever regelverket. Både i vår kartläggning och genom vår samlade erfarenhet har det emellertid visat sig att ett antal myndigheter, i synnerhet små och medelstora, upplever uppenbara osäkerhetsfaktorer i sitt arbete med it-avtal. Bland annat har ett antal myndighetsrepresentanter betonat 1Statliga myndigheter träffar överenskommelser sinsemellan, snarare än avtal, se vidare kapitel 11.2.2. 2Med begreppet it avses här it-drift och andra it-baserade funktioner. Se närmare om begreppsanvändningen i kapitel 11.1.3. komplexiteten i att dels omsätta de legala krav som åvilar myndig- heten till juridiskt hållbara avtalsvillkor, dels att på ett övergripande plan teckna affärsmässigt gynnsamma it-avtal. Vid köp av it kan det röra sig om komplexa tjänster som är under snabb teknisk utveckling i kombination med svåröverblickbara affärsförhållanden hos leve- rantören. Detta kan sammantaget leda till att leverantören, som normalt har god kännedom om den tekniska utvecklingen och de tjänster marknaden erbjuder, har ett kunskapsövertag i förhållande till den upphandlande myndigheten. Avtalshanteringen inom den offentliga förvaltningen är inte reglerad särskilt och vi har inte heller för avsikt att lämna författ- ningsförslag på området. Författningsreglering riskerar att begränsa myndigheternas manöverutrymme i sitt avtalsarbete på ett sätt som inte är önskvärt. Genom kartläggningen har vi emellertid förstått att det finns ett angeläget behov, framför allt hos små och medelstora myndigheter (såväl statliga som kommunala) av utbyggt stöd i arbetet med it-avtal för att främja en trygg effektiv och innovativ utveckling av den digitala förvaltningen. Det stöd som efterfrågas omfattar vägledning kring vad som ska regleras i avtal och hur det ska regleras. Hjälp efterfrågas inte bara när det gäller generella it- avtal utan även, och kanske särskilt, när det är fråga om person- uppgiftsbiträdesavtal. Därtill uppfattar vi att det finns en generell efterfrågan på kunskapshöjande åtgärder vid offentlig förvaltnings köp av it av privata leverantörer. De tjänstemän som deltar i eller ansvarar för en myndighets köp av it vill ha överblick av, och för- ståelse för, den privata marknadens utbud, affärsmodeller och -förhållanden för att bl.a. kunna förbättra sin förmåga att formulera juridiskt hållbara och affärsmässigt gynnsamma it-avtal. I syfte att skapa bättre förutsättningar för att hantera rättsliga utmaningar med anledning av den fortsatta digitaliseringen av den offentliga förvaltningen är vår ansats i detta kapitel att på ett över- gripande plan analysera myndigheters arbete med it-avtal och när- liggande frågor. Vi kommer i det följande åskådliggöra vissa avtals- relaterade frågor som har fångats upp i samband med vårt kartlägg- ningsarbete och presentera den problematik som har beskrivits för oss. Därefter följer våra överväganden och förslag som vi ser har potential att skapa bättre förutsättningar för myndigheter att hantera dels rättsliga utmaningar i sitt avtalsarbete, dels utmaningar av mer metodmässig och administrativ karaktär. 11.1.2Offentligt möter privat – upphandling och it-avtal It-kostnader är det andra största utgiftsslaget i den offentliga förvaltningens verksamhetskostnader. För statsförvaltningen beräk- nas it-kostnaderna uppgå till .