sou · H6B325 · 2018-03-27 00:00:00 — Vi ser också en tydlig utveckling, både på EU-nivå och nationellt, att i allt större utsträckning ställa rättsliga krav på informationssäkerhet. Här kan exempelvis nämnas NIS- direktivet1 och dataskyddsförordningens2 uttalade krav på säkerhet och förslaget till en reformerad säkerhetsskyddslag.3 Ett mer sammanhållet arbete med informationssäkerhet i den offentliga förvaltningen har potential att effektivisera den digitala utvecklingen utan att säkerheten åsidosätts. Det gäller inte minst när myndigheter samarbetar i gemensamma utvecklingsarbeten som innefattar informationsutbyten. Mot den bakgrunden bedömer vi att det även efter genomförandet av bl.a. NIS-direktivet och ikraft- trädandet av en ny säkerhetsskyddslag, kommer att vara angeläget att utforma en generell informationssäkerhetsreglering som omfattar hela förvaltningen, dvs. också kommuner och landsting. I syfte att stärka informationssäkerheten i hela den offentliga förvaltningen föreslår vi därför att regeringen låter utreda förut- sättningarna för att ta fram en kompletterande reglering om infor- mationssäkerhet som omfattar hela den offentliga förvaltningen. 1Europaparlamentets och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. 2Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 3Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag, prop. 2017/18:89. Tystnadsplikt för privata leverantörer Ur olika perspektiv står frågor om samverkan i fokus för vårt uppdrag. Samverkan i förhållande till privata leverantörer av it-drift och andra it-baserade funktioner har också kommit att utkristallisera sig som ett centralt område. En förklaring till detta är att myndig- heter inte alltid har möjlighet att med egna resurser effektivt utveckla de digitala förfaranden som används eller kommer att behöva användas för fortsatt digitalisering i förvaltningen. Frågan om sekretessregleringen utgör hinder för att i vissa fall lämna ut uppgifter som omfattas av sekretess till privata leverantörer i samband med utkontraktering har diskuterats . Diskussionen har lyfts fram även under vår kartläggning, eftersom osäkerheten kring rättsliga förutsättningar för att utkontraktera särskilt it-drift och andra it-baserade funktioner kan hindra eller hämma digitaliseringen i den offentliga sektorn. En myndighets utlämnande av sekretessreglerade uppgifter vid utkontraktering måste baseras på klara och tydliga regler och skyddet för uppgifter som omfattas av sekretess behöver vara starkt. Vi föreslår därför en i lag reglerad tystnadsplikt för uppgifter som omfattas av sekretess och som lämnas ut till en privat leverantör i samband med utkontraktering när det är fråga om enbart teknisk bearbetning eller lagring. Tystnadsplikten ska gälla för anställda och uppdragstagare hos en privat leverantör som tekniskt bearbetar eller lagrar uppgifter för en myndighets räkning. Bestämmelsen om tystnadsplikt föreslås införas i en ny lag som ska benämnas lag om tystnadsplikt vid utkontraktering av teknisk bearbetning och lagring. Lagen, som är subsidiär i förhållande till säkerhetsskydds- lagstiftningen, ska tillämpas när myndigheter, eller vissa organ eller verksamheter som trätt i stället för en myndighet, uppdrar åt en privat leverantör att behandla uppgifter för enbart teknisk bearbet- ning eller lagring för myndighetens, organets eller verksamhetens räkning. Den föreslagna bestämmelsen om tystnadsplikt är straff- sanktionerad. Vi föreslår också en ny sekretessbrytande bestämmelse för att myndigheter i samband med utkontraktering av enbart teknisk bearbetning eller lagring ska kunna lämna ut sekretessbelagda upp- gifter till privata eller offentliga leverantörer. Ett sådant sekretess- genombrott får emellertid bara ske om uppgiften behövs för att leverantören ska kunna utföra uppdraget. En uppgift får inte heller lämnas ut om övervägande skäl talar för att det intresse som sekretessen ska skydda har företräde framför intresset av att upp- giften lämnas ut eller det av andra skäl är olämpligt. Bestämmelsen föreslås införas i 10 kap. offentlighets- och sekretesslagen. Mot bakgrund av vår kartläggning har vi funnit anledning att också belysa förvaltningens it-avtal med anknytande personuppgifts- biträdesavtal. I syfte att skapa bättre förutsättningar för att hantera rättsliga utmaningar med anledning av den fortsatta digitaliseringen bedömer vi att myndigheter allmänt sett bör tillhandahållas utökat stöd i arbetet med att formulera juridiskt hållbara och affärsmässigt gynnsamma villkor i it-avtal. Vi föreslår därför att den nya Myndigheten för digital förvaltning får i uppdrag att främja den offentliga förvaltningens digitala investe- ringar genom att stödja myndigheters inköps- och avtalsprocesser och bidra till spridning av goda exempel i fråga om it-avtal. Vidare föreslår vi ett särskilt uppdrag till vissa myndigheter om ett gemensamt organiserat arbete med att utforma standardavtals- klausuler för personuppgiftsbiträdesavtal. Förslaget gäller sådana personuppgiftsbiträdesavtal som tecknas mellan en myndighet och en privat leverantör i fråga om myndigheters köp av it-drift eller andra it-baserade funktioner. Rättsutveckling för den digitala förvaltningen Åtgärder och ställningstaganden från såväl riksdag som regering pekar mot att förvaltningens arbete med digitalisering nu ska genomdrivas med ökat fokus. De förslag till författningsändringar och andra åtgärder som vi lämnar i detta betänkande för att ge en stabil och förvaltningsgemensam bas där juridiken stödjer fortsatt digitalisering kommer inte att vara tillräckliga för att möta de kom- mande årens behov av förändringar i lagstiftningen. Det finns ett väsentligt större förändringsbehov i lagstiftningen än vad vi inom ramen för denna utredning har haft i uppdrag att ta omhand. Våra analyser i flera av de frågeställningar som förts fram under kartläggningen redovisas i betänkandet. Fortsatta rättsliga över- väganden och ställningstaganden kommer emellertid att behöva göras för att möjliggöra eller stödja digitaliseringen av förvaltningen, som teknikutvecklingen fortsätter. Det kommer att krävas prioriteringar och avvägningar kring hur de rättsliga resurserna används på bästa sätt för att så resurseffektivt som möjligt åstadkomma den rättsutveckling som önskas. Vi bedömer att formerna för samordning av arbetet med författnings- ändringar kan förbättras så att ändringar kan åstadkommas i rätt tid och i lämplig omfattning för att inte hindra eller hämma önskad digital utveckling inom förvaltningen. Vi föreslår därför att regeringen tillsätter ett rättsligt bered- ningsorgan i form av en kommitté eller särskild utredare som under får i uppdrag att löpande ta fram bered- ningsunderlag för anpassning av gällande rätt vid ärendehandlägg- ning som stöds av såväl befintliga som nya former för digital infor- mationsförsörjning. I förlängningen ser vi behov av ytterligare insatser för att säker- ställa att kan ligga i framkant vad gäller rättsliga förut- sättningar för digitalisering. Här kan den nya Myndigheten för digital förvaltning få en roll att spela. Vi lämnar i denna del inte något förslag, med anledning av att myndigheten är under bildande, men bedömer att regeringen bör överväga att i den nya myndigheten också inrätta en funktion med juridisk expertis. Rapportering av arbete med it och digitalisering I vårt uppdrag ska vi vidare analysera och lämna förslag på hur en utvidgad rapportering av hela den offentliga förvaltningens löpande arbete med it och digitalisering kan åstadkommas och utformas. It- kostnader utgör det andra största utgiftsslaget i statsförvaltningens verksamhetskostnader och uppgår till uppskattningsvis . För kommuner, landsting och regioner saknas motsvarande uppgifter om it-kostnadernas storlek. En rapportering av den offentliga förvaltningens löpande arbete med it och digitalisering syftar enligt vår uppfattning bl.a. till att skapa förutsättningar för bättre uppföljning, styrning, samordning och kostnadskontroll av hela den offentliga förvaltningens digitala utveckling. Det krävs en god kontroll över de kostnader som digitaliseringen för med sig och en styrning mot digitalisering av de förfaranden där störst mervärde kan skapas. Vi har mot den bakgrunden bedömt att den offentliga förvalt- ningen i författning bör åläggas en skyldighet att lämna uppgifter om it-kostnader. Vi har också bedömt att regelverket kring den officiella statistiken kan utgöra en lämplig rättslig infrastruktur för en sådan uppgiftsskyldighet. Vi föreslår att det i förordningen (2001:100) om den officiella statistiken föreskrivs att kommuner, landsting och kommunalför- bund ska lämna uppgifter om it-kostnader för den officiella statis- tiken. Vi föreslår vidare att Myndigheten för digital förvaltning ska vara ansvarig myndighet för den officiella statistiken för statistik- området it-kostnader, och att it-kostnader ska vara ett statistikområde under ämnesområdet offentlig ekonomi. Statliga myndigheters upp- giftsskyldighet är mer vidsträckt och det krävs ingen ytterligare reglering för att även uppgifter om it-kostnader ska kunna samlas in från dessa myndigheter. Det framgår av befintlig reglering att det ankommer på varje statistikansvarig myndighet att hitta metoder som kan minska uppgiftslämnarbördan. Vi föreslår vidare att regeringen i förordning med instruktion för Myndigheten för digital förvaltning ska utfärda nödvändiga föreskrifter för uppdraget. Using the law to support digitalisation of public administration The Inquiry’s remit has focused on the legal considerations for public administration that is digitally interoperable. The remit included surveying and analysing the extent to which there is legislation that unnecessarily obstructs digital transformation and interoperability in public administration. The remit also included presenting proposals for the legislative amendments considered to offer the greatest potential to support continued digitalisation of public administration. We also present certain other measures aimed at creating better conditions for handling legal challenges resulting from the digitalisation of public administration. We present proposed amendments to Chapter 4 of the Public Access to Information and Secrecy Act (2009:400) aimed at making it easier for public authorities to maintain a good structure for public access to information in certain automated procedures, while safe- guarding the principle of public access to official documents and strengthening legal certainty. This means ensuring the ability to provide insight into certain automated procedures when algorithms or computer programmes are used in connection with selection or decision-making processes. The Inquiry also presents proposals that promote the possibilities for public administration to collect decision-making data by means other than directly from individuals, at the same time as public administration safeguards good order regarding decision-making data collected or read from digital sources. We also present proposals for continued organised work to ensure legally certain procedures when public administration uses AI systems with learning algorithms, while promoting both innovation and interoperability. In our report, we further propose introducing new and adapted regulations on digital communication in the Administrative Procedure Act (2017:900). The aim is to strengthen requirements on public administration to meet the public’s expectations of digital accessi- bility, at the same time as clear rules on how this communication is expected to take place strengthen confidence in digital procedures. The proposals contain a new general rule stipulating that public authorities will be required to provide and, in an appropriate , allocate one or more digital reception functions to which documents can be delivered. Certain exceptions to the general rule are proposed to guarantee a good balance between the interests of e.g. efficiency and security. Additional adjustments are also proposed when it comes to communication by public administration in order to create confidence in public administration’s digital procedures concerning adjustment of rules on the date of arrival for documents sent digitally to a public administration body and on notifications. To strengthen the legal conditions for the provision of digital services where cases can be opened, we have also proposed tasking a public authority with drafting general advice or other support material regarding the design of such services. We also propose a new general rule stating that public administration communications to individuals must be digital. Digital administration must be legally certain as well as being secure in other aspects. Therefore, in addition to the proposals presented above, the Inquiry also presents some proposals aimed at creating a stable legal basis for the continued development of a digital administration that is interoperable both internally and in relation to private actors. We propose that the Government appoint an inquiry to examine the need to strengthen regulations on information security for public administration as a whole. We also propose a new act on confidentiality when outsourcing to private suppliers who handle public authority information solely for technical processing or storage purposes. In addition, we propose a new provision that overrides secrecy in Chapter 10 of the Public Access to Information and Secrecy Act to allow public authorities to provide certain classified information to private or public suppliers in connection with outsourcing of technical processing or storage. Furthermore, we propose strengthening the conditions for handling legal challenges resulting from digitalisation by means of the Government tasking certain public authorities with providing increased support in authorities’ IT agreement processes and with regard to personal data processor agreements. Measures and positions from both the Riksdag and the Government indicate that even greater focus will now be given to digitalisation work carried out by public administration. Our remit also included presenting proposals on how all actors in public administration can collaborate on the need for new or amended legislation to promote digitalisation. We propose that the Govern- ment appoint a legal preparatory body that, over the next few years, is tasked with regularly providing preparatory material for adapting current legislation on digitalisation of case processing in public administration, supported by digital information exchanges and new forms of digital information supply. In addition, the Inquiry was tasked with providing proposals on possible designs for augmented reporting of the entire public administration’s regular work on IT and digitalisation. In this part of its remit, the Inquiry proposes that, in the Official Statistics Ordinance (2001:100), an obligation be imposed on public admini- stration to provide information on IT costs. 1.1Förslag till lag (2019:000) om tystnadsplikt vid utkontraktering av teknisk bearbetning och lagring Härigenom föreskrivs följande. 1 § Denna lag gäller när en myndighet uppdrar åt en privat leveran- tör att behandla uppgifter för enbart teknisk bearbetning eller tek- nisk lagring för myndighetens räkning. 2 § Vid tillämpningen av denna lag ska följande organ och verk- samheter jämställas med en myndighet 1.aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, landsting eller kommunalförbund utövar ett rättsligt bestämmande inflytande enligt 2 kap. 3 § offentlighets- och sekretess- lagen (2009:400), 2.de organ som anges i bilagan till offentlighets- och sekretess- lagen beträffande den verksamhet som anges där, eller 3.en yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad och som anges i 2 § första stycket lag (2017:151) om meddelarskydd i vissa enskilda verksamheter. 3 § Om det i säkerhetsskyddslagen (2018:000) eller i säkerhets- skyddsförordningen (1996:633) finns bestämmelser som avviker från denna lag ska de bestämmelserna gälla. 4 § Den som på grund av anställning eller uppdrag hos en privat leverantör tekniskt bearbetar eller tekniskt lagrar uppgifter för en myndighets räkning, får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400). Denna lag träder i kraft . Om en myndighet för hand- läggning av ett mål eller ärende använder sig av ett underlag i en databas eller annan digital källa, ska underlaget tillföras handling- arna i målet eller ärendet i läsbar form. En myndighet behöver inte tillföra underlaget till handlingarna i målet eller ärendet enligt första meningen om det finns särskilda skäl mot det.När en myndighet tillämpar första stycket andra meningen ska myndigheten se till att informa- tion kan lämnas om vilken eller vilka databaser eller andra digi- tala källor som innehåller ett underlag för handläggningen av målet eller ärendet.33 1.2Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 4 kap. 3 § och rubriken före 4 kap. 3 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 4 kap. 3 a § och 10 kap. 2 a §, och en ny rubrik före 10 kap. 2 a § av följande lydelse. Överföring av upptagning för God offentlighetsstruktur vid vissa automatiserad behandling i läsbar automatiserade förfaranden form i vissa fall Om en myndighet för hand- läggning av ett mål eller ärende använder sig av en upptagning för automatiserad behandling, ska upptagningen tillföras hand- lingarna i målet eller ärendet i läsbar form, om det inte finns särskilda skäl mot det. En myndighet ska se till att information kan lämnas om hur myndigheten vid handläggning av mål eller ärenden använder algo- ritmer eller datorprogram som, helt eller delvis, påverkar utfallet eller beslutet vid automatiserade urval eller beslut. Teknisk bearbetning och lagring Sekretess hindrar inte att en uppgift lämnas ut till en enskild eller till en annan myndighet som utför uppdrag för enbart teknisk bearbet- ning eller teknisk lagring för den utlämnande myndighetens räkning, om uppgiften behövs för att utföra uppdraget. En uppgift ska inte lämnas ut om 1. övervägande skäl talar för att det intresse som sekretessen ska skydda har företräde framför intres- set av att uppgiften lämnas ut, eller 2. det av andra skäl är olämpligt. Denna lag träder i kraft . 1.3Förslag till lag om ändring i förvaltningslagen (2017:900) Härigenom föreskrivs i fråga om förvaltningslagen (2017:900) dels att 22, 25 och 33 §§ ska ha följande lydelse, dels att det ska införas tre nya paragrafer, 7 a, 8 a, och 22 a §§, två nya rubriker före 8 a § och en ny rubrik före 22 a § av följande lydelse. Lydelse enligt SFS 2017:900 En myndighet ska tillhandahålla och på lämpligt sätt anvisa en eller dit handlingar kan förmedlas, om det inte är olämpligt av säkerhetsskäl eller av andra skäl. Hur handlingar översänds till En myndighets skriftliga un- derrättelser eller andra handlingar till enskilda ska förmedlas digitalt, om det inte är olämpligt av säker- hetsskäl eller av andra skäl. Enskilda kan meddela att de inte önskar ta emot skriftliga under- rättelser eller andra handlingar från En handling har kommit in till en myndighet den dag som handlingen når myndigheten eller en behörig befattningshavare. Om en handling genom en postförsändelse eller en avi om en betald postförsändelse som innehåller handlingen har nått en myndighet eller behörig befattningshavare en viss dag, ska hand- lingen dock anses ha kommit in närmast , om det inte framstår som osannolikt att handlingen eller avin redan den skilts av för myndigheten på ett postkontor. En handling som finns i en myndighets postlåda när myndigheten tömmer den första gången en viss dag ska anses ha kommit in närmast . En handling som förmedlats till en anvisad digital mottag- ningsfunktion ska anses ha kom- mit in när den tagits emot där. När en handling har anlänt till en anvisad digital mottagnings- funktion ska myndigheten digitalt förmedla underrättelse till avsän- daren om detta. Myndigheten behöver inte för- medla underrättelse till avsändaren enligt första stycket om 1. det på annat sätt framgår för avsändaren att handlingen har tagits emot, 2. handlingen utan onödigt dröjs- mål besvaras med ett helt eller delvis automatiserat beslut, eller 3. det är olämpligt. Myndigheten bestämmer om underrättelse ska ske muntligen eller skriftligen. En underrättelse ska dock alltid vara skriftlig om en part begär det. Underrättelse får ske genom delgivning. Innan en myndighet fattar ett beslut i ett ärende ska den, om det inte är uppenbart obehövligt, underrätta den som är part om allt material av betydelse för beslutet och ge parten tillfälle att inom en bestämd tid yttra sig över materialet. Myndigheten får dock avstå från sådan kommunikation, om 1.ärendet gäller anställning av någon och det inte är fråga om prövning i högre instans efter överklagande, 2.det kan befaras att det annars skulle bli avsevärt svårare att genomföra beslutet, eller 3.ett väsentligt allmänt eller enskilt intresse kräver att beslutet meddelas . underrättelse ska ske. underrättelse ska ske muntligen telse får ske genom delgivning. ske genom delgivning. Underrättelseskyldigheten gäller med de begränsningar som följer av 10 kap. 3 § offentlighets- och sekretesslagen (2009:400). En myndighet som meddelar ett beslut i ett ärende ska underrätta den som är part om det fullständiga innehållet i beslutet, om det inte är uppenbart obehövligt. Om parten får överklaga beslutet ska han eller hon även under- rättas om hur det går till. Myndigheten ska upplysa parten om avvikande meningar som har antecknats enligt 30 § eller enligt särskilda bestämmelser i någon annan författning. En underrättelse om hur man överklagar ska innehålla information om vilka krav som ställs på överklagandets form och innehåll och vad som gäller i fråga om ingivande och överklagandetid. Myndigheten bestämmer hur underrättelsen ska ske. En under- rättelse ska dock alltid vara skrift- lig om en part begär det. Under- rättelse får ske genom delgivning. Denna lag träder i kraft . 1.4Förslag till förordning om ändring i förordningen (2001:100) om den officiella statistiken Härigenom föreskrivs i fråga om förordningen (2001:100) om den officiella statistiken att 5 c och 5 d §§ och bilagan ska ha följande lydelse. Kommuner och landsting ska för den officiella statistiken lämna de uppgifter som avses i 5 § 1–7, samt uppgifter om 1.preliminära och definitiva årliga bokslut, 2.budget och plan för resultat- och balansräkning enligt 5 kap. 1och 2 §§ lagen (1997:614) om redovisning, 3.utfall av kommunernas och landstingens resultaträkning för räkenskapsårets första tertial samt årsprognoser vid utgången av samma tertial, 4. kommun- och landstings- 4. kommun- och landstings- ägda företag, och 5. alternativa utförare av kom- 5. alternativa utförare av kom- 6. it-kostnader. Kommuner och landsting ska för den officiella statistiken dess- utom lämna kvartalsvisa uppgifter om intäkter och kostnader, finan- siella tillgångar och skulder, balansräkningsposter, investerings- utgifter samt kvartalsvisa årsprognoser för dessa. officiella statistiken lämna de upp- officiella statistiken lämna de upp- gifter som avses i 5 § 1–7 och upp- gifter som avses i 5 § 1–7, uppgifter gifter från de årliga boksluten. från de årliga boksluten och upp- gifter om it-kostnader. ska för den officiella statistiken dessutom lämna kvartalsvisa uppgifter om intäkter och kostnader, finansiella