frsrdg · H704JO1 · 2019-11-12 00:00:00 — –bedrevs inom regionkontoret ett förberedande arbete att sammanställa data för BWPO:s analys. En central fråga under beredningen utgjorde skyddet för enskilda individers uppgifter om hälsa och personliga förhållanden och de rättsliga förutsättningarna för att kunna lämna ut uppgifterna. Eftersom känsliga uppgifter skulle överföras till en mottagare i ett annat land och regionen skulle få en sämre kontroll över uppgifterna, fördes dis- kussioner bland berörda medarbetare på regionkontoret vilka variabler (uppgifter) som skulle kunna lämnas ut för att uppnå tillräcklig kvalitet i analysarbetet utan att röja enskilda individer. Det bestämdes att uppgifterna skulle lämnas utan angivande av namn och personnummer, men med ett löpnummer för varje grupp om uppgifter per individ för att särskilja data mellan individer. Därmed var bedömningen att varken offent- lighets- och sekretesslagstiftningen eller persondataskyddsregleringen blir tillämplig på utlämnandet. Det bestämdes att datauttaget skulle omfatta 18 variabler. Förutom vari- abler om bl.a. diagnos, labbsvar, läkemedelsanvändning och vårdenhet på individnivå fanns även uppgift om födelseår och bosättningskommun. Inga namn eller personnummer förekom. Varje patients data åsattes ett löpnum- mer (1, 2, 3 osv.) för att särskilja individer i datauttaget. Varje patients löp- nummer och personnummer bevarades i en fil som enbart tre medarbetare på Region och tre konsulter i Region upphandlade kon- sultavtal (som arbetar med analysmiljön) samt Region anställda databasadministratörer på it-service hade teknisk tillgång till via sina admi- nistratörsrättigheter. Denna ”nyckel” lämnades inte ut till BWPO. Filen var en referenspunkt vid eventuella behov av kontroll av dataanalyser, eventu- ella uppdateringar av data till analysmiljön från källsystemen. I efterhand kan konstateras att diskussionerna och ställningstaganden internt om ute- lämnandet borde ha dokumenterats i form av minnesanteckningar o dyl. beslutade dåvarande chefen för enheten för uppdrag och analys, att lämna ut data till BWPO. Uppgifterna överfördes till BWPO i en krypterad fil över internet på en krypterad förbindelse. Detta beslut fattades med utgångspunkt i ovan beskrivna rutin. Beslutet skedde enligt gällande delegationsordning för . Vilket säger att ”beslut om utlämnande av patientuppgifter från vårdin- formationssystem eller databaser för verksamhetsuppföljning, kvalitetssäk- ring och forskning kan beslutas av chefen för forskning och utvecklingsen- heten”. Då ordinarie beslutsfattare vid tillfället var frånvarande fattades be- slutet av dennes ersättare, dvs. chefen vid uppdrag och analys. Region är rättsligt sett ett landsting. Bestämmelser om landsting finns bl.a. i kommunallagen (1991:900). Landstingen har enligt hälso- och sjukvårdslagen (2017:30; HSL) ett omfattande ansvar på hälso- och sjuk- vårdens område och ska på ett övergripande plan erbjuda en god hälso- och sjukvård åt dem som är bosatta inom länet samt verka för en god hälsa hos hela befolkningen. I landstingens planeringsansvar ingår enligt HSL bl.a. att planera hälso- och sjukvården med utgångspunkt i befolkningens behov av sådan vård (7 kap. 2 §). Planeringen ska även avse den hälso- och sjukvård som bedrivs av privata och andra vårdgivare. Det är fråga om ett ”totalansvar”.1 Det ansvaret inkluderar också i samhällsekonomiska lägen med begränsad Kommentar till hälso- och sjukvårdslagen. 2 § HSL. H Ä L S O - O C H S J U K V Å R D 2019/20 JO1 resurstillväxt att planeringen i den offentliga hälso- och sjukvården inriktas mot att kostnaderna ska kunna hållas nere.2 Bestämmelser om behandling av personuppgifter finns i personuppgifts- lagen (1998:204; PUL). Syftet med lagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Personuppgiftslagen är ett genomförande i svensk rätt av EU:s dataskydds- direktiv. upphör PUL och dataskyddsdirektivet och er- sätts av en ny europeisk dataskyddsförordning samt en ny dataskyddslag och brottsdatalag. Begreppet ”personuppgifter” är hämtat från PUL. Med personuppgift avses i PUL all information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). Det uppställs således inga kvalitetskrav på informationen för att lagen ska bli tillämplig, t.ex. att det ska vara fråga om vissa särskilt privata eller känsliga uppgifter. Det är tillräckligt att det är fråga om information som kan hänföras till en viss identifierbar individ. För att avgöra om en person är identifierbar ska alla hjälpmedel beaktas som i syfte att identifiera vederbörande rimligen kan komma att användas av antingen den som är ansvarig för behandlingen (den personuppgiftsan- svarige) eller av någon annan person. Begreppet personuppgift omfattar vi- dare all information om individer, oavsett deras ställning eller kapacitet. Även pseudonymiserade personuppgifter, t.ex. krypterade personupp- gifter eller andra liknande elektroniska identifikationsinstrument, kan ut- göra personuppgifter. Om de kan ”dekrypteras” med en kodnyckel, över- sättningstabell eller andra medel utgör de personuppgifter. Det är inte nöd- vändigt att en identifikation har skett för att det ska kunna vara fråga om en personuppgift. Det är fullt tillräckligt att så kan komma att ske. Det finns ett flertal situationer där PUL inte är tillämplig. T.ex. gäller inte lagen för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). Som exempel kan nämnas privatpersoners ord- och textbehandling, privat korrespondens med e-post och privat inspelning med digitalkamera i hemmet. Lagen är inte heller tillämplig på hantering av uppgifter som är helt avidentifierade, dvs. som inte kan bakåtspåras eller indirekt hänföras till en fysisk levande person. Utgångspunkten i PUL är att alla former av behandlingar av personupp- gifter som på något sätt är strukturerade är förbjudna. Lagen tillåter emel- lertid en juridisk eller fysisk person, en personuppgiftsansvarig, att i vissa fall få behandla personuppgifter. Sådana lagliga grunder för personupp- giftsbehandling finns i 10 § PUL. Samtycke är en sådan laglig grund, lik- som t.ex. avtal med den registrerade eller arbetsuppgifter av allmänt in- tresse för att nämna några exempel. Behandling av personuppgifter i en ostrukturerad form som inte påtag- ligt underlättar sammanställning eller sökning av personuppgifter, t.ex. i e-post eller på en Facebooksida, är också tillåten enligt PUL, oavsett ända- mål, förutsatt att behandlingen inte är kränkande för de personer vars per- sonuppgifter behandlas (5 a §). Beträffande känsliga personuppgifter finns också bestämmelser i . Som känsliga personuppgifter betraktas bl.a. uppgifter om ras, etnicitet, re- ligionstillhörighet och hälsa (13 §). Utgångspunkten är att det råder ett för- bud för att behandla känsliga personuppgifter, såvida inte det finns en laglig grund. Vilka dessa lagliga grunder är framgår av 15–19 §§ PUL. En sådan laglig grund är hälso- och sjukvård (18 §). Därutöver får den som är yrkes- mässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt behandla känsliga personuppgifter som omfattas av tystnadsplikten. PUL innehåller också bestämmelser om grundläggande krav på behand- ling av personuppgifter (9 §) som alltid måste vara uppfyllda, oavsett om 1981/82:97 s. 61 f. 2 0 1 9 /2 0 J O1 H Ä L S O - O C H S J U K V Å R D behandlingen grundas på den registrerades samtycke eller en annan laglig grund. Som exempel kan nämnas kraven på att behandlingen är laglig, att den sker i enlighet med god sed samt att ändamålen är särskilda, uttryckligt angivna och berättigade. Enligt 31 § ska den personuppgiftsansvarige också vidta lämpliga tek- niska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Om den personuppgiftsansvarige anlitar ett personuppgiftsbi- träde, dvs. osjälvständig aktör utanför den personuppgiftsansvariges orga- nisation som behandlar personuppgifter för den personuppgiftsansvariges räkning enligt instruktion, ska ett avtal tecknas härom. PUL är emellertid subsidiär i förhållande till annan författning, dvs. om det i en annan lag eller i en förordning finns bestämmelser som avviker från lagen, ska de bestämmelserna gälla (2 §). En sådan lag är patientdatalagen (2008:355). När vårdgivare behandlar personuppgifter inom hälso- och sjukvården gäller patientdatalagen (PDL). Med vårdgivare avses enligt 1 kap. 3 § PDL statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjuk- vård som myndigheten, eller kommunen har ansvar för (offent- lig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat vårdgivare). Region är i grund och botten ett landsting som bedriver bl.a. hälso- och sjukvård. Region land är således en vårdgivare. PDL tar dock inte helt över PUL. PDL är en specialreglering, och om inte annat framgår av PDL så gäller PUL. Åtskilliga bestämmelser i kan alltså bli tillämpliga vid personuppgiftsbehandling i hälso- och sjuk- vården. Vidare gäller t.ex. om säkerhet i 30–32 §§ och om överföring av personuppgifter till tredje land i 33–35 §§. [I]sammanhanget kan även nämnas att , med stöd av pa- tientdataförordningen (2008:360), meddelat föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården som på en rad områden preciserar och fyller ut be- stämmelserna i PDL och PUL. [I]2 kap. PDL finns grundläggande bestämmelser. Där framgår för vilka ändamål en vårdgivare får behandla personuppgifter utan patientens sam- tycke (4 §). Förutom individuell vård och behandling får en vårdgivare be- handla känsliga personuppgifter om hälsa för bl.a. ändamålen systematisk och fortlöpande utvärdering, uppföljning och kvalitetssäkring. Som redovi- sas ovan har en vårdgivare en skyldighet enligt HSL att följa upp och för- bättra kvaliteten i vården. Vidare får en vårdgivare behandla personuppgif- ter för statistiska ändamål. En patient får enligt PDL spärra sina uppgifter vid en vårdenhet eller en vårdprocess inom en vårdgivares verksamhet så att de inte är elektroniskt åtkomliga för personal vid andra vårdenheter eller vårdprocesser (4 kap.). Sådana spärrar behöver dock inte beaktas av en vårdgivare om uppgifterna behövs för systematisk utvärdering, uppföljning eller kvalitetssäkring. Bestämmelser om patientjournaler är samlade i 3 kap. Med patientjour- nal avses enligt lagen en eller flera journalhandlingar, som rör samma pati- ent, och med journalhandling avses framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel och som upprättas eller inkommer i samband med vården av en patient och som innehåller uppgifter om patientens hälsotill- stånd eller andra personliga förhållanden eller om vidtagna eller planerade vårdåtgärder (1 kap. 3 §). Syftet med att föra en patientjournal är, enligt PDL, i första hand att bi- dra till en god och säker vård av patienten (3 kap. 2 §). Journalen är ett stöd för den eller de personer som ansvarar för vården av patienten, men den är även en informationskälla för patienten. Av förarbetena till lagen framgår vidare att journalen också är ett viktigt instrument för vårdgivarens egen- H Ä L S O - O C H S J U K V Å R D kontroll samt i kvalitets-, säkerhets-, uppföljnings- och utvärderingsarbete. Inte sällan har patientjournalen även betydelse i olika juridiska samman- hang, exempelvis i samband med Inspektionen för vård och omsorgs () verksamhets- och individtillsyn och ärenden i Hälso- och sjukvårdens an- svarsnämnd (). [I]6 kap. PDL finns bestämmelser om s.k. sammanhållen journalföring. Regleringen innebär att vårdgivare under vissa förutsättningar kan få di- rektåtkomst till varandras elektroniska journalhandlingar och andra person- uppgifter. En väsentlig förutsättning för direktåtkomst är dock att uppgif- terna behövs för individuell vård och behandling eller utfärdande av intyg. Direktåtkomst för andra ändamål, t.ex. systematisk uppföljning eller utvär- dering, är inte tillåtet enligt lagen. PDL innehåller inte någon särskild reglering om överföring av person- uppgifter till tredje land utan i dessa delar gäller för en vårdgivare. Med tredje land avses enligt PUL en stat som inte ingår i Europeiska unionen eller är ansluten till . Eftersom det inte finns några universella generella regler som ger motsvarande garantier för persondataskyddet för européer utanför EU/EES-området begränsar data- skyddsdirektivet överföring av européers personuppgifter till tredje länder. Dessa begränsningar finns i 33–35 §§ PUL. En vårdgivare som avser att överföra patientuppgifter till en mottagare i utlandet måste således först avgöra huruvida den behandling som överfö- ringen innebär (utlämnandebehandlingen) är laglig i sig, och därefter be- döma vad som krävs för en överföring till ett specifikt tredje land. Vid lag- lighetsbedömningen ska även sekretess- och tystnadspliktsbestämmelser beaktas. Som huvudregel gäller ett förbud mot att lämna ut personuppgifter till länder utanför EU eller EES (33 § PUL). Förbudet får dock sättas åt sidan av den personuppgiftsansvarige i vissa fall som framgår närmare av 33 § andra stycket, 34 § och 35 § PUL. Personuppgifter får överföras till tredje land om mottagarlandet har en adekvat skyddsnivå. Frågan om en skydds- nivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ur- sprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Regeringen får emellertid meddela före- skrifter om undantag från förbudet i 33 § för överföring av personuppgifter till vissa stater. Regeringen får också meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättig- heter. Vilka dessa stater är framgår av bilaga 1 till personuppgiftsförord- ningen (1998:1191). Vidare får överföring ske till tredje land om den registrerade gett sitt samtycke till överföringen, om det är nödvändigt i vissa fallsituationer som finns uppräknade i 34 § PUL, t.ex. för att fullgöra ett avtal mellan den per- sonuppgiftsansvarige och den registrerade, eller om det i annat fall är tillåtet enligt föreskrifter av regeringen eller Datainspektionen som behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garan- tier till skydd för de registrerades rättigheter. Sådana garantier har ställts bl.a. genom standardavtalsklausuler som godkänt (13 § första stycket 2 personuppgiftsförordningen). Standardavtalsklausulerna är avtalsklausuler med skyldigheter för både personuppgiftsansvariga som vill överföra uppgifter till tredje land och per- sonuppgiftsansvariga eller personuppgiftsbiträdena som tar emot uppgif- terna. Klausulerna reglerar även andra frågor, t.ex. de registrerades rättig- heter och hur tvister med anledning av avtalet ska lösas. Syftet med avtals- klausulerna är att ge tillräckliga garantier så att enskildas rättigheter skyd- das vid överföring av personuppgifter till länder som inte har en adekvat 2019/20 JO1 2 0 1 9 /2 0 J O1 H Ä L S O - O C H S J U K V Å R D har för övrigt på begäran av den irländska dataskyddsombudsmannen beslutat att inhämta ett förhandsavgörande från huruvida kommissionens stan- dardavtalsklausuler ger tillräckliga garantier för européers fri- och rättig- heter vid överföring av personuppgifter till (mål nr 2016 No. 4809 P). Oaktat möjligheten att överföra personuppgifter till ett tredje land enligt PUL måste en personuppgiftsansvarig, t.ex. en vårdgivare, i alltid följa alla de övriga krav som följer av PUL, t.ex. de grundläggande kraven för all personuppgiftsbehandling (9 §) och reglerna om när sådan behand- ling över huvud taget är tillåten. Som framhållits ingår i den personuppgiftsansvariges laglighetspröv- ning att bedöma huruvida behandlingen av personuppgifter är laglig (9 § PUL). Det innebär indirekt ett krav på att beakta tillämpliga sekretess- och tystnadspliktsbestämmelser. Bestämmelser om sekretess och tystnadsplikt i den offentliga förvalt- ningen finns i huvudsak i offentlighets- och sekretesslagen (2009:400; OSL). Bestämmelser om tystnadsplikt hos privata rättssubjekt regleras nor- malt i annan lagstiftning. Sekretess definieras enligt OSL som ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 §). En bestämmelse om sekretess medför således både tystnadsplikt för de personer som har en skyldighet att följa bestäm- melsen och handlingssekretess för de handlingar som omfattas av bestäm- melsen. När det gäller sekretessens styrka är det normala att den bestäms med hjälp av s.k. skaderekvisit. Man skiljer i detta avseende mellan rakt och omvänt skaderekvisit. Vid rakt skaderekvisit är utgångspunkten att uppgif- terna är offentliga och att sekretess endast gäller om det kan antas att viss skada uppstår om uppgifterna lämnas ut. Vid omvänt skaderekvisit är ut- gångspunkten den motsatta, dvs. att uppgifterna omfattas av sekretess. Vid omvänt skaderekvisit får uppgifterna således bara lämnas ut om det står klart att detta kan ske utan att viss skada uppstår. Sekretessen enligt en be- stämmelse kan även vara absolut, vilket innebär att de uppgifter som om- fattas av bestämmelsen ska hemlighållas utan någon skadeprövning. Bestämmelser om sekretess och tystnadsplikt ska inte bara iakttas av myndighet när uppgifter begärs utlämnade av enskilda utan även när en myndighet, t.ex. en hälso- och sjukvårdsnämnd inom ett landsting, själv- mant eller på begäran av en annan vårdgivare överväger att lämna ut pati- entuppgifter. Sekretess inom den offentliga hälso- och sjukvården finns reglerad i 25 kap. 1 § OSL. Sekretessen har ett omvänt skaderekvisit, dvs. utgångspunk- ten är att det råder sekretess för uppgifter om enskilds personliga förhållan- den och hälsa. Ett utlämnande till enskild eller myndighet får därmed enbart ske med patientens medgivande, efter en skadeprövning (menprövning) el- ler med stöd av en sekretessbrytande bestämmelse. Det finns inte utrymme i detta yttrande för att gå igenom alla sekretess- brytande bestämmelser som finns spridda i OSL och andra författningar, t.ex. patientsäkerhetslagen. Av intresse är 10 kap. 2 § OSL. Enligt bestäm- melsen hindrar sekretess inte att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndig- heten ska kunna fullgöra sin verksamhet. Syftet med bestämmelsen är att förhindra att sekretessregleringen gör det omöjligt för en myndighet och dess personal att sköta sina uppgifter, dvs. att fullgöra det uppdrag som föl- jer av myndighetens instruktion, andra författningar, regleringsbrevet och särskilda regeringsbeslut. I förarbetena nämns flera exempel på situationer när bestämmelsen aktualiseras (prop. 1979/80:2 Del A s. 121). Även om bestämmelsen ska tillämpas restriktivt är avsikten inte att den ska tillämpas endast i situationer av undantagskaraktär. H Ä L S O - O C H S J U K V Å R D 2019/20 JO1 tionen och eSam anser efter en utförlig genomgång av förarbeten och praxis att tillgängliggörande av uppgifter i samband med sådan outsourcing som sker i syfte att dra nytta av utförarens expertkompetens eller tekniska ut- rustning i särskilda fall bör anses utgöra ett nödvändigt utlämnande som bryter sekretess (se E-delegationen, Sekretess vid outsourcing – en förstu- die, Fi 2009:01/2015/4 respektive eSam, Outsourcing – en vägledning om sekretess och persondataskydd). I det s.k. Conscriptorbeslutet har emeller- tid JO givit uttryck för en mer restriktiv syn på tillämpningsområdet för 10:2 OSL (beslut ). Rättsläget är således oklart för 10:2 OSL. Av betydelse vid röjande av sekretessbelagda uppgifter med stöd av en sekretessbrytande bestämmelse är att uppgifterna alltjämt har ett godtagbart skydd hos mottagaren. Om mottagaren är en myndighet kan sekretess råda för uppgifterna hos den myndigheten. Om mottagaren är en privat aktör, t.ex. en expert eller en leverantör av digitala tjänster som myndighet anlitar, är det inte självklart att dessa omfattas av en lagstadgad tystnadsplikt. Lag- stiftaren har i vissa fall sett till att auktoriserade tolkar och chaufförer som bedriver färdtjänst omfattas av en lagstadgad tystnadsplikt (se förordning [1985:613] om auktorisation av tolkar och översättare samt lagen [1997:736] om färdtjänst). Företag som levererar digitala tjänster åt myn- digheter omfattas däremot inte av en lagstadgad tystnadsplikt. (Det fanns emellertid en sådan lagstadgad tystnadsplikt för leverantörer i den äldre da- talagen, 13 §, men den fördes inte över till PUL av okänd anledning.) l förarbetena till den numera upphävda sekretesslagen förordas för en sådan situation, nämligen då en ”skrivbyrå” anlitas för utskrift av hand- lingar som innehåller sekretessbelagda uppgifter, att myndigheter ställer krav på att det utförande företaget ska sluta avtal om tystnadsplikt med sin personal.3 Huruvida ett sådant krav är tillräckligt för att en myndighet ska kunna lämna ut sekretessbelagda uppgifter i samband med outsourcing rå- der det delade meningar om. Förvisso kan en sådan mottagare inte åtalas för brott mot tystnadsplikt (20 kap. 3 § ) eftersom tystnadsplik- ten enbart är avtalsreglerad och inte lagstadgad, men det utesluter inte att andra brott kan aktualiseras, t.ex. brotten dataintrång eller trolöshet mot hu- vudman (se E-delegationen, Sekretess vid outsourcing – en förstudie), vil- ket skulle tala för att avtalsreglerad tystnadsplikt ger samma skydd som en lagstadgad tystnadsplikt. Sammanfattningsvis finns enligt mening en påtaglig otydlighet i lagstiftningen i vilken utsträckning en av- talsreglerad tystnadsplikt är tillräcklig för att skydda sekretessbelagda upp- gifter som lämnas ut till en privat tjänsteleverantör. Frågan har fått ny aktualitet genom den nya dataskyddsförordningen. Datainspektionen har i en skrivelse till (Datainspektionens dnr 1704-2017) bl.a. angett att det skyndsamt bör utre- das huruvida den omfattande behandling av personuppgifter som sker inom bl.a. hälso- och sjukvården, genom outsourcing, är förenlig med art. 9.2 h och 9.3 i dataskyddsförordningen eller om det behöver införas en lagstad- gad tystnadsplikt för de personuppgiftsbiträden som inte omfattas av en sådan. Om tveksamhet råder huruvida en överlåtelse av arbetsuppgifter som in- nefattar sekretessbelagda uppgifter till en privat tjänsteleverantör, t.ex. med stöd av 10 kap. 2 § OSL, får samma skydd hos leverantören med ett avtal om tystnadsplikt, står ett annat alternativ till buds – sekretessförbehåll. Be- stämmelsen finns i 10 kap. 14 § OSL. Denna sekretessbrytande bestäm- melse möjliggör för myndigheter att i förhållande till en privat aktör lämna ut uppgifter som är sekretessbelagda enligt en sekretessbestämmelse som har ett skaderekvisit. Utlämnande kan ske under förutsättning att den risk för skada, men eller annan olägenhet som hindrar att uppgifterna lämnas 1981/82:186 s. 41–42. 2 0 1 9 /2 0 J O1 H Ä L S O - O C H S J U K V Å R D till den enskilde kan undanröjas genom att uppställa ett förbehåll. Det sagda innebär att uppgifter som omfattas av absolut sekretess inte kan lämnas ut med förbehåll. Ett förbehåll kan t.ex. avse ett förbud mot att lämna uppgif- terna vidare eller utnyttja dem. Den tystnadsplikt som uppkommer genom förbehållet inskränker i vissa fall rätten att meddela och offentliggöra upp- gifterna (meddelarfrihet). Fördelen med sekretessförbehåll är att mottagarens röjande av uppgif- terna kan medföra straffansvar för brott mot tystnadsplikten.