sou · H6B325 · 2018-03-27 00:00:00 — Regleringen i regerings- formen syftar till att nödvändiga begränsningar inte ska träffa yttrande- och informationsfriheternas kärna. Vid bedömningen av behovet av tystnadsplikt bör den enskildes intresse av att uppgifterna skyddas mot obehörigt röjande och nyttjande från leverantörens personal därför vägas mot intresset av yttrandefrihet för personalen. När leverantörens personal behandlar Tystnadsplikt för privata leverantörer uppgifter för enbart teknisk bearbetning eller lagring för en myndig- hets räkning är avsikten att de i normalfallet inte ska ta del av själva informationsinnehållet i uppgifterna. Det är endast i undantagsfall som personalen behöver ta del av uppgifterna för att upprätthålla funk- tionalitet i tjänsten. De privatanställda tjänstemännens intresse av yttrandefrihet när det gäller uppgifter av aktuellt slag torde därför enligt vår bedömning vara ytterst begränsat. Motsvarande bedöm- ning har gjorts av regeringen vid den utvidgning av tystnadsplikten som gäller i det allmännas verksamhet för enbart teknisk bearbetning eller lagring som genomfördes.83 En begränsning i form av en tillkommande tystnadsplikt med förbud att avslöja uppgifter av det aktuella slaget skulle vidare inte träffa yttrandefrihetens kärna. För att it-drift och andra it-baserade funktioner ska kunna ut- kontrakteras till privata leverantörer utan ett bristande sekretess- skydd, är en tystnadsplikt inte mer långtgående än vad som behövs med hänsyn till regleringens ändamål. För enskilda är det däremot av mycket stor betydelse att uppgifter om deras personliga förhållanden, som kan vara väldigt integritetskänsliga, skyddas vid en utkontraktering. Vår bedömning är därför att behovet av en bestämmelse om tystnadsplikt för privata leverantörer väger tyngre än intresset av yttrandefrihet för personalen hos den privata leveran- tören. Det finns därför inte skäl av denna anledning att avstå från att införa en bestämmelse om tystnadsplikt för anställda och upp- dragstagare hos privata leverantörer. Sammanfattningsvis menar vi att det bör införas en reglerad tystnadsplikt för de som är verksamma hos privata leverantörer för uppgifter som omfattas av sekretess och som lämnas ut till leveran- tören i samband med utkontraktering av it-drift eller andra it- baserade funktioner. Bestämmelsen bör införas i lag, eftersom en inskränkning av yttrandefriheten endast får ske genom lag.84 83Utökat sekretesskydd i verksamhet för teknisk bearbetning och lagring, prop. 2016/17:198, s. 20. 842 kap. 20 § regeringsformen. Tystnadsplikt för privata leverantörer 10.6.3Utformning av bestämmelsen om tystnadsplikt Utredningens förslag: Den som på grund av anställning eller uppdrag hos en privat leverantör tekniskt bearbetar eller tekniskt lagrar uppgifter för en myndighets räkning, får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet ska i stället bestämmelserna i offentlighets- och sekretesslagen tillämpas. Skälen för utredningens förslag Teknisk bearbetning och lagring Tystnadsplikten bör enligt vår mening gälla i samband med att pri- vata leverantörer utför tjänster som endast innebär teknisk bear- betning eller teknisk lagring för myndighetens räkning. Detta med ut- gångspunkt i utredningens uppdrag att lämna förslag till författnings- ändringar som har störst potential att stödja den fortsatta digitali- seringen av hela, eller stora delar, av den offentliga förvaltningen. Begreppet teknisk bearbetning eller teknisk lagring härrör från 2 kap. 10 § tryckfrihetsförordningen och 9 kap. 7 § sekretesslagen (numera 40 kap. 5 § offentlighets- och sekretesslagen). I förarbetena till dessa bestämmelser nämns som exempel på teknisk bearbetning överlämnande av maskinskrivet manuskript till en datacentral för överföring av texten till magnetband eller överlämnande av manu- skript för tryckning eller kopiering. Vidare nämns redigering av ljudupptagningar på magnetband och överföringar av sådana upp- tagningar till grammofonskiva. Med teknisk lagring avses enligt för- arbetena sådana former av lagring som kräver särskilda tekniska anord- ningar, t.ex. lagring av information i skivminne eller på magnetband.85 Innebörden av begreppet teknisk bearbetning eller teknisk lag- ring har dock förändrats på grund av den omfattande tekniska ut- veckling som skett sedan begreppet infördes. Under kartläggningen har vi också uppfattat en problematik i att relatera detta begrepp till nutida teknikanvändning. I det förslag som vi nu lämnar innefattar vi i begreppet åtgärder såsom utveckling, införande, drift, förvalt- ning eller avveckling av en it-relaterad tjänst där tjänsten kan avse 85 Regeringens proposition 1975/76:160 om nya grundlagsbestämmelser angående allmänna handlingars offentlighet, s. 137 och prop. 1979/80: 2 Del A s. 272. Tystnadsplikt för privata leverantörer både teknisk funktionalitet och arbete utfört av personal som är hänförligt till den tekniska bearbetningen eller lagringen, t.ex. sup- port. Exempel på tjänster som omfattas av nämnda begrepp är bearbetning eller lagring av uppgifter i ett datacenter eller av upp- gifter i e-arkiv, molntjänster eller andra it-baserade funktioner. Även storskalig skanning av dokument är exempel på en tjänst som enligt vår mening faller in under begreppet. Någon uttömmande beskriv- ning är emellertid svår att lämna, inte minst mot bakgrund av den snabba tekniska utvecklingen. Avgränsningen till tjänster eller funktioner som enbart innebär teknisk bearbetning eller teknisk lagring för myndighetens räkning innebär att tjänster som visserligen innefattar moment av teknisk bearbetning eller teknisk lagring, men som inte enbart avser sådan bearbetning eller lagring inte omfattas av bestämmelsen. Exempelvis ansåg regeringen att en myndighets tillhandahållande av hjälp- tjänster86 till enskilda inte endast utgjorde teknisk bearbetning eller teknisk lagring för annans räkning.87 Det sagda innebär vidare att utkontraktering av arbetsuppgifter som är hänförliga till vård- och omsorgssektorns behandling av personuppgifter vid t.ex. journalföring, bedömning av röntgenbilder eller patientrådgivning, faller utanför tillämpningsområdet. Vi anser att eventuella behov av tystnadsplikt för personer som behandlar uppgifter för vårdgivares räkning utöver den som redan finns i t.ex. patientsäkerhetslagen och socialtjänstlagen lämpligen bör omhänder- tas i den sektorslagstiftning som redan finns på området. Den nu föreslagna regleringen medför inte några nya hinder för utkontraktering avseende sådana arbetsuppgifter som faller utanför tillämpningsområdet. De rättsliga bedömningarna avseende när sekretessreglerade uppgifter kan lämnas till privata leverantörer vid sådan utkontraktering kommer dock inte heller att förenklas på det sätt som blir fallet för den utkontraktering som faller inom till- lämpningsområdet. 86En hjälptjänst är när en myndighet erbjuder ett anpassat stöd till företag och privatpersoner för att de på ett effektivt sätt ska kunna använda en viss digital tjänst i kontakt med myndigheten, se vidare prop. 2016/17:198 s. 8 f. Tystnadsplikt för privata leverantörer Tystnadsplikten bör inte begränsas till personuppgifter Utredningens kartläggning har visat att det inte bara är personupp- gifter som behöver skyddas vid utkontraktering till en privat leve- rantör, utan även uppgifter om juridiska personer. Uppgifter om juridiska personer behandlas ofta med anknytning till någon per- sonuppgift, t.ex. uppgift om företrädare för en juridisk person. Det förekommer emellertid även att uppgifter som rör företag, ideella föreningar och andra juridiska personer behandlas utan anknytning till någon personuppgift. Det finns enligt utredningens bedömning ett betydande skydds- intresse i samband med utkontraktering av it-drift och andra it- baserade funktioner även för vissa uppgifter om juridiska personer, t.ex. uppgifter som omfattas av skattesekretess eller förundersök- ningssekretess.88 Ett liknande resonemang fördes i lagstiftnings- ärendet som ledde till att bestämmelsen om tystnadsplikt i det all- männas verksamhet som avser teknisk bearbetning eller teknisk lagring för någon annans räkning utvidgades från att omfatta endast personuppgifter till att omfatta alla uppgifter om en enskilds personliga eller ekonomiska förhållanden i sådan verk- samhet.89 Vi anser därför att omfattningen av den föreslagna tystnads- plikten inte bör begränsas till att enbart avse personuppgifter, utan även uppgifter om juridiska personer. Tystnadsplikten bör inte begränsas till uppgifter om enskildas personliga eller ekonomiska förhållanden En annan fråga att ta ställning till är om bestämmelsen om tystnads- plikt bör omfatta alla myndighetens sekretessreglerade uppgifter eller enbart uppgifter om enskilds personliga eller ekonomiska för- hållanden. Utgångspunkten vid utformningen av en ny bestämmelse om sekretess är att det inte ska gälla mer sekretess än vad som är nödvändigt för att skydda det intresse som har föranlett bestäm- melsen.90 Ett alternativ som vi har övervägt är en reglering som begränsas till att avse enbart uppgifter om enskilds personliga eller 8827 kap. respektive 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen. 89Utökat sekretesskydd i verksamhet för teknisk bearbetning och lagring, prop. 2016/17:198. 1979/80:2 Del A s. 78. Tystnadsplikt för privata leverantörer Begreppet enskild omfattar både fysiska och juridiska personer. En sådan begränsning innebär emellertid att uppgifter som omfattas av sekretess till skydd för ett allmänt intresse faller utanför tystnadsplikten. Mot bakgrund av kartläggningen ser vi att myndigheter även har behov av att lämna ut uppgifter som är sekretessreglerade med hänsyn till ett allmänt intresse i samband med utkontraktering. Utkontraktering av it-drift har som framgått blivit en central del för den digitala förvaltningen. Vid sådan utkon- traktering, dvs. när alla eller stora delar av en myndighets verksam- hetssystem omfattas, kan systemen innehålla uppgifter av känslig beskaffenhet som hos myndigheten omfattas av sekretess till skydd för ett allmänt intresse. Det kan vid en sådan utkontraktering vara mycket svårt att särskilja de delar av verksamhetsstödet där känsliga uppgifter förekommer för att själv bearbeta och lagra dessa upp- gifter. Den sekretess och tystnadsplikt som gäller för utkontraktering av it-drift till en annan myndighet är absolut för uppgift om enskilds personliga eller ekonomiska förhållanden för driftmyndigheten.91 När det gäller uppgifter som är sekretessreglerade på grund av ett allmänt intresse gäller sekundär sekretess för driftmyndigheten såvida denna inte omfattas av en egen primär sekretessbestämmelse som i så fall ska tillämpas.92 Regeringen fann i lagstiftningsärendet att det fanns behov av en reglering för att skydda uppgifter som är sekretessreglerade av hänsyn till ett allmänt intresse vid utkontraktering av enbart teknisk bearbetning eller teknisk lagring från en myndighet till en annan myndighet. På grund därav övervägdes en reglering med absolut sekretess även för uppgifter som skyddas på grund av ett allmänt intresse, dvs. sekretessens föremål i 40 kap. 5 § offentlighets- och sekretesslagen skulle vidgas till att omfatta alla uppgifter och inte bara uppgifter om personliga och ekonomiska förhållanden. Konsekvenserna av en sådan bestämmelse ansågs emellertid vara svåra att överblicka och det var inte heller klarlagt om regleringen var förenlig med be- stämmelserna i 2 kap. 21 och 23 §§ regeringsformen om inskränk- ningar i yttrandefriheten.93 9140 kap. 5 § offentlighets- och sekretesslagen. 9211 kap. 4 a och 8 §§ offentlighets- och sekretesslagen. 2016/17:198 s. 22 f. Tystnadsplikt för privata leverantörer Uppgifter som är sekretesskyddade till följd av ett allmänt in- tresse omfattas i viss utsträckning av regleringen i säkerhetsskydds- lagstiftningen där särskilda hanteringsregler gäller för utkontrak- tering. Som tidigare nämnts är utkontraktering av säkerhetskänslig verksamhet föremål för översyn, (se kapitel 10.2.4). Alla uppgifter som omfattas av sekretess till skydd för ett allmänt intresse faller emellertid inte under säkerhetsskyddslagstiftningen. Det finns därför enligt oss en risk för bristfälligt sekretesskydd vid utkontraktering av it-drift eller andra it-baserade funktioner till en privat leverantör om inte alla sekretessreglerade uppgifter i myndighetens verksamhet skyddas av tystnadsplikt. En bestämmelse om tystnadsplikt som avgränsas till personliga och ekonomiska förhållanden kan också leda till svåra avvägningar i fråga om vad som omfattas av den privata leverantörens tystnadsplikt. I avsnitt 10.6.2 har vi kommit fram till att begränsningen av ytt- randefriheten för de privatanställda tjänstemännen inte är av sådan karaktär att den träffar kärnan i rättigheten. Vi menar därför att även ett skydd för uppgifter som omfattas av sekretess av hänsyn till ett allmänt intresse och som lämnas ut till en privat leverantör enbart för teknisk bearbetning eller lagring för en myndighets räkning, är berättigat för att skydda känslig information i den offentliga verk- samheten. Begränsningen är inte heller mer långtgående än vad som är nödvändigt med hänsyn till regleringens ändamål.94 Mot denna bakgrund finner vi att omfattningen av den föreslagna tystnads- plikten inte bör begränsas till att avse enbart uppgifter som är sekre- tessreglerade hos myndigheten till skydd för enskilds personliga eller ekonomiska förhållanden, utan även uppgifter som är sekretess- reglerade till skydd för ett allmänt intresse. Bestämmelsen bör innehålla en upplysning om att vid utkon- traktering i det allmännas verksamhet gäller förbuden mot att röja eller utnyttja en uppgift som finns i offentlighets- och sekretess- lagen, eller lag eller förordning som offentlighets- och sekretess- lagen hänvisar till. 94 Jfr 2 kap. 21 § regeringsformen. Tystnadsplikt för privata leverantörer Vem omfattas av tystnadsplikten? Tystnadsplikten bör gälla för de personer som på grund av anställ- ning hos den privata leverantören tekniskt bearbetar eller tekniskt lagrar uppgifter för en myndighets räkning. Även de som har upp- drag hos leverantören, t.ex. inhyrda konsulter, bör omfattas av tystnadsplikten. En anställd eller en uppdragstagare hos en under- leverantör till leverantören bör också omfattas av tystnadsplikten om denne tekniskt bearbetar eller lagrar uppgifter, eftersom det görs för den utkontrakterande myndighetens räkning. Tystnadsplikten är förenad med straffansvar En författningsreglerad tystnadsplikt är förenad med straffansvar för brott mot tystnadsplikt enligt 20 kap. 3 § . Eventu- ella negativa konsekvenser av att införa en straffsanktionerad tyst- nadsplikt måste ställas mot de intressen som förbudet avser att skydda. I det här fallet anser vi att skyddet för sekretessintressena väger tungt. En enskild person vars uppgifter lämnas ut inom ramen för utkontraktering till en privat leverantör har en berättigad för- väntan på att uppgifterna inte obehörigen röjs eller utnyttjas, oavsett om uppgifterna finns i en verksamhet som omfattas av offentlighets- och sekretesslagen eller i en verksamhet som inte omfattas av den lagen. Även intresset av att vid utkontraktering skydda de uppgifter som omfattas av sekretess till skydd för ett allmänt intresse väger enligt utredningen tungt. Krav måste också ställas på precision och förutsebarhet avseende det straffbara området, även i det enskilda fallet. Det är därför lämpligt att den utkontrakterande parten (dvs. myndigheten) tydligt redogör för den utförande parten (dvs. den privata leverantören) vilka typer av uppgifter som omfattas av sekretess hos myndigheten och därmed av tystnadsplikten. I begreppet obehörigen ligger att det enbart är uppgifter som vid en prövning skulle bedömas vara sekretessbelagda som omfattas av den straffsanktionerade tystnadsplikten. Som ett obehörigt röjande räknas därmed inte när uppgifter lämnas ut med samtycke eller som en följd av skyldighet i lag eller förordning t.ex. utlämnande av upp- gifter till en tillsynsmyndighet. Tystnadsplikt för privata leverantörer 10.6.4En ny sekretessbrytande bestämmelse Utredningens bedömning: Det finns behov av en sekretess- brytande bestämmelse för att myndigheter i samband med ut- kontraktering av it-drift eller andra it-baserade funktioner ska kunna lämna ut vissa sekretessbelagda uppgifter till privata eller offentliga leverantörer. Utredningens förslag: En sådan sekretessbrytande bestämmelse ska införas i offentlighets- och sekretesslagen. Skälen för utredningens bedömning och förslag Behov av en sekretessbrytande bestämmelse Nästa fråga att överväga är om det finns behov av att också införa en sekretessbrytande regel för att myndigheter, när det är lämpligt, ska kunna lämna ut uppgifter som omfattas av sekretess till privata leverantörer. Utredningen har i kapitel 10.6.2 konstaterat behov av en för- fattningsreglerad tystnadsplikt för privata leverantörer för att bl.a. möjliggöra utlämnande av sekretessreglerade uppgifter i vissa fall. Enligt vår bedömning är en lagreglerad tystnadsplikt i de flesta fall tillräcklig för att lämna ut integritetskänsliga uppgifter som omfattas av stark sekretess till en privat leverantör vid utkontraktering, utan att det innebär men för den enskilde. En bestämmelse som, under vissa förutsättningar, uttalat bryter sekretessen om uppgifterna lämnas ut i samband med utkontraktering till en privat aktör skulle emellertid vara lättare att tillämpa, eftersom det då inte krävs någon skadeprövning i varje enskilt fall. Uppgifter som omfattas av absolut sekretess kan bara lämnas ut med stöd av en sekretessbrytande bestämmelse. Absolut sekretess gäller t.ex. för anbud i offentlig upphandling, för omhändertagande av patientjournal, för familjerådgivning eller inom be- skattningsverksamheten för uppgift om en enskilds personliga eller ekonomiska förhållanden.95 Även statistiksekretessen är absolut, 95 19 kap. 3 §, 25 kap. 5 §, 26 kap. 3 § och 27 kap. 1 § offentlighets- och sekretesslagen. Tystnadsplikt för privata leverantörer men det finns vissa undantag för att möjliggöra utlämnande t.ex. för forsknings- eller statistikändamål.96 I kartläggningsarbetet har vi funnit att myndigheter även har behov av att utkontraktera uppgifter som omfattas av absolut sek- retess. Sådana uppgifter kan finnas i en myndighets verksamhets- system, vilket medför att det vid utkontraktering av it-drift i prak- tiken kan vara svårt eller närmast omöjligt att skilja ut uppgifterna. Som precis nämnts gäller absolut sekretess för anbud i samband med offentlig upphandling. För upphandlande myndigheter finns sär- skilda digitala upphandlings- och avtalsstöd som tillhandahålls av privata leverantörer. Det finns emellertid en osäkerhet hos vissa myndigheter under vilka förutsättningar det är förenligt med sekre- tesslagstiftningen att hantera anbud i ett sådant stöd, när absolut sekretess gäller för uppgift som rör anbud till dess att alla anbud offentliggörs eller beslut om leverantör och anbud fattats eller ärendet har slutförts.97 Det rättsliga stöd som främst aktualiseras vid ett utlämnande av uppgifter som omfattas av absolut sekretess till en privat leverantör är bestämmelsen om nödvändigt utlämnande i 10 kap. 2 § offent- lighets- och sekretesslagen. Som tidigare anförts upplevs emellertid bestämmelsens tillämpningsområde som oklar av myndigheter och andra aktörer, särskilt i ljuset av att bestämmelsen ska tillämpas restriktivt enligt förarbetena. Utlämnande av sekretessbelagda uppgifter ska ha stöd i en klar och tydlig rättslig grund. Vi anser därför att det finns behov av en sekretessbrytande bestämmelse för att myndigheter, när det är lämpligt, ska kunna lämna ut uppgifter som omfattas av absolut sekretess till privata leverantörer. En sådan bestämmelse skulle även klargöra under vilka förutsättningar myndigheter kan lämna ut uppgifter som omfattas av stark sekretess, eftersom en bedömning om huruvida skaderekvisitet är uppfyllt i det enskilda fallet inte behöver göras. Den sekretessbrytande bestämmelsen bör även omfatta utläm- nande av uppgifter till myndigheter. Samma skäl som anförts ovan gör sig även gällande när en myndighet utkontrakterar it-drift eller andra it-baserade funktioner till en annan myndighet. 9624 kap. 8 § offentlighets- och sekretesslagen. 9719 kap. 3 § andra stycket offentlighets- och sekretesslagen. Tystnadsplikt för privata leverantörer När sekretessgenombrott övervägs måste stor hänsyn tas till rätten till skydd för den personliga integriteten och övriga intressen som sekretessbestämmelserna avser att skydda. Enligt förarbetena från den tidigare sekretesslagens tillkomst är en utgångspunkt att infor- mation om enskilda som omfattas av sekretess inte ska vidare- befordras utanför den verksamhet i vilken den har hämtats in. Det anförs, när frågan om utbyte av information mellan myndigheter diskuteras, att den omständigheten att ett större antal tjänstemän får kunskap om ett känsligt förhållande kan upplevas som menligt av den som uppgiften rör. Vidare anförs att även om de funktionärer hos den andra myndigheten som får del av informationen i sin tur har tystnadsplikt, ökar risken för obehörig vidarespridning.98 I vissa fall är det ofrånkomligt att myndigheter eller enskilda kan ta del av sekretessbelagda uppgifter hos en myndighet. I sådana fall kan det finnas skäl för en sekretessbrytande regel. Här avses i första hand intresset av att offentlig sektor kan bedriva den ändamålsenliga och kostnadseffektiva verksamhet som förväntas, men också vikten av att främja digitala förfaranden som möjliggör nya processer, funk- tioner och tjänster till privatpersoner och företag (se kapitel 10.1.2). Mot detta intresse ska ställas graden av integritetstrång för enskilda vid utlämnandet av uppgifterna, ändamålet för utlämnandet och hur uppgifterna skyddas efter utlämnandet. Avsikten med det utlämnande som här diskuteras är att mot- tagaren endast ska tekniskt bearbeta eller tekniskt lagra uppgifterna. Det innebär att mottagarens personal i normalfallet inte ska ta del av uppgifterna, utan det är endast i undantagsfall som det görs i syfte att upprätthålla funktionalitet i tjänsten. Häri ligger en avsevärd begränsning i fråga om vilken personkrets och antalet personer som tar faktisk del av uppgifterna. Uppgifterna ska inte användas i leverantörens egna verksamhet. Till detta kommer att vi avseende de privata leverantörerna föreslår en straffsanktionerad tystnadsplikt, utöver den tillämpade avtalsbaserade tystnadsplikten, för de personer som tar faktisk del av uppgifterna. Den straffsanktionerade tystnadsplikten motsvarar också det skydd som uppgifterna har hos myndigheten. För de myndigheter som utför teknisk bearbetning 1979/80:2 Del A s. 90. Tystnadsplikt för privata leverantörer eller lagring för en annan myndighets räkning finns bestämmelser om sekretess och tystnadsplikt i offentlighets- och sekretesslagen.99 Uppgifterna som lämnas ut kommer därför ha ett sekretesskydd hos mottagaren, dvs. Sammantaget menar vi att det finns förutsättningar för att nu föreslå en sekretessbrytande bestämmelse. Bestämmelsen bör in- föras i 10 kap. i offentlighets- och sekretesslagen. Finns behov av undantag från tystnadsplikt i privat verksamhet? Vissa privata utförare av offentligt finansierad verksamhet omfattas av tystnadsplikt i sektorslagstiftningen, (se kapitel 10.3.3). Vid tolk- ning av bestämmelserna om tystnadsplikt i speciallagstiftningen kan som tidigare nämnts ledning sökas i bestämmelserna i offentlighets- och sekretesslagen. Utgångspunkten är att det ska vara en nära över- ensstämmelse vad gäller innebörden av de olika bestämmelserna om tystnadsplikt för offentlig respektive enskild verksamhet.