frsrdg · H704JO1 · 2019-11-12 00:00:00 — Det finns emellertid begränsningar kring hur och när ett förbehåll får utfärdas. För det första får ett förbehåll inte meddelas i förväg utan ska föregås av en prövning i varje särskilt fall och avse en konkret mängd uppgifter. För det andra ska ett förbehåll meddelas som ett formligt beslut, dvs. det ska doku- menteras. För det tredje ska själva uppgiftsutlämnandet ske till en utpekad fysisk person. Det går inte enligt de uttalanden som gjorts om bestämmel- sen (se t.ex. JK , dnr ) att i avtal reglera generella förbehåll. Förbehållslösningen verkar bara fungera i sådana situationer där leverantören inte har behov av åtkomst till myndighetens information annat än i undantagsfall. Bestämmelsen om sekretessförbehåll har alltså inte an- passats för den senaste tidens digitalisering med upprepade behov av auto- matiserade ADB-utlämnanden till en mottagare som är en juridisk person, eller för den delen direktåtkomst. Det går inte då att i varje enskilt fall fatta ett beslut om sekretessförbehåll. Såvitt förstår avser anmälningarna till JO det datautläm- nande som skedde till BWPO och som uppmärksammades av i ett flertal artiklar . Anmälningarna korrele- rar tidsmässigt med dessa artiklar. Anmälarna har bl.a. ifrågasatt om utlämnandet av ”journalhandlingar” var lagligt, om berörda patienter informerats och om det funnits risker för anmälarnas fri- och rättigheter. Anmälarna menar att det inte har funnits några sekretessavtal eller sekretessförbindelser mellan Region och BWPO. Som framgår av redogörelsen för datautlämningen stämmer det att ut- lämnandet inte uppfyllde i alla delar författningsenliga krav på persondata- skydd. Eftersom mottagarlandet saknar ett adekvat skydd för person- uppgifter, och BWPO för övrigt inte omfattades av Kommissionens genom- förandebeslut om adekvat skydd som säkerställs genom skölden för skydd av privatlivet i EU och (EU-US Privacy Shield), skulle standardklausuler ha tecknats före över- föringen, närmare bestämt standardavtalsklausulerna för personuppgiftsbi- träden (2002/16/EC). Region har förvisso ingått ett samarbetsavtal med BWPO, men det samarbetet har förutsatt enligt beslut att BWPO ska ”Utveckla metoder för att analysera den data som redan finns i Region land” (se ovan). I dessa delar är BWPO i PUL:s mening anlitad av Region i rollen som expert på dataanalyser och vårdflöden och behandlar således uppgifterna för regionens räkning på uppdragsbasis, dvs i rollen som personuppgiftsbiträde. Att BWPO i andra delar av samarbetet har en mer självständig ställning förändrar inte det förhållandet att organisationen ska ses som en utförare av dataanalyser åt Region . Det stämmer emellertid inte såsom anmälarna påstår att det inte fanns några avtal om tystnadsplikt mellan parterna. Av samarbetsavtalet mellan Region och BWPO (punkten 4.5) framgår att parterna är eniga om att all information inom ramen för samarbetet ska betraktas som konfiden- tiell information, vilken information inte får röjas för obehörig part. Samti- digt erkänner BWPO Region skyldighet att iaktta offentlighets- principen. Tystnadsplikten är på en organisatorisk nivå utan några som H Ä L S O - O C H S J U K V Å R D helst förpliktelser eller sanktioner för BWPO:s medarbetare. Givetvis skulle kunnat ha övervägt en individuell avtalad tystnads- plikt vid tillfället med varje medarbetare vid BWPO, men faktum är att BWPO har gett garantier om att iaktta sekretess för uppgifter som regionen röjer för BWPO. Det stämmer inte att Region lämnade ut ”journalhandlingar”. Det var ett begränsat antal specifika uppgifter ur patientjournaler och andra vårdadministrativa system som lämnades ut. Uppgifterna innehöll inte några uppgifter som direkt kunde hänföras till enskilda patienter hos mot- tagaren. Några namn eller personnummer lämnades således inte ut. Med facit på hand kan konstateras dock att det vid utlämnandetillfället rörde sig om personuppgifter i PUL:s mening, dock i pseudonymiserad form. Berörda medarbetare och chefer inom regionkontoret ansåg dock att det var fråga om helt avidentifierade uppgifter på vilka PUL och patientda- talagen inte var tillämpliga. Det betyder dock inte att regionkontoret negli- gerade persondataskyddet. Pseudonymisering betraktas som en godtagbar kompensatorisk mekanism för att minska risken för enskildas fri- och rät- tigheter vid personuppgiftsbehandling. I dataskyddsförordningen finns flera artiklar och skäl som upptar uttryckligen pseudonymisering som en effektiv metod för att skydda enskildas personliga integritet, t.ex. art. 25.1 (inbyggt dataskydd). BWPO har vidare efter genomförda analyser av utlämnade data utplånat desamma, vilket organisationen intygat skriftligen. Konverteringsfilen in- nehållande löpnummer för varje patients data som lämnades ut, och namn och personnummer i regionens eget datalager, är också utplånad. Beträffande den lagliga grunden för utlämnandebehandlingen så äger Region i rollen som sjukvårdshuvudman och vårdgivare laglig rätt med stöd av PDL att behandla patientuppgifter utan registrerades samtycke för bl.a. uppföljning, utveckling och kvalitetssäkring av hälso- och sjukvår- den som bedrivs i länet, förutsatt att behandlingen är nödvändig. Informa- tion om regionens personuppgiftsbehandling förmedlas på olika sätt, bl.a. genom regionens hemsida och anslag i väntrum. Region utnytt- jande i detta fall av ett personuppgiftsbiträde (BWPO) ställer inga särskilda krav på information till de registrerade utöver den informationsplikt som framgår av PDL. Utlämnandebehandlingen har således skett som ett led i Region behandling av personuppgifter för de ändamål som anges i 2 kap. 4 § PDL och har ansetts nödvändig för regionens utvecklingsarbete (Framtidsarbete) och hälso- och sjukvårdsstrategi. Beslutet om att lämna ut uppgifterna har fattats i laga ordning, däremot kan det i efterhand konstateras att delegatens beslut och skäl för beslutet borde ha dokumenterats tydligare än vad som är fallet. Å ena sidan ställs inga författningsenliga krav på dokumentation av ett beslut om utlämnande av uppgifter som omfattas av sekretess. Å andra sidan får det anses viktigt för rättssäkerheten och allmänhetens insyn i den offentliga förvaltningen att större uppgiftsutlämnanden, s.k. massuttag (prop. 1979/80:2 Del A s. 81 f.), som innefattar såpass känsliga uppgifter som uppgifter om enskil- das hälsa dokumenteras på lämpligt sätt av ansvarig tjänsteman eller nämnd. uppfattning är att det inte funnits någon risk alls för enskildas fri- och rättigheter, bl.a. rörande skyddet för privatlivet, genom det utlämnande av data som skedde till BWPO och rådande avtalad tystnadsplikt. Detta varken vid överföringen över internet eller vid BWPO:s databehandling av uppgifterna. BWPO har inte haft en möjlighet att bakåtidentifiera enskilda individer. baserar den uppfatt- ningen bl.a. på de åtgärder som vidtogs vid överföringen av uppgifterna, bl.a. pseudonymiseringen av personuppgifterna. Det bör också i sammanhanget uppmärksammas att BWPO själva driver en välrenommerad hälso- och sjukvårdsverksamhet, och är därför väl för- 2019/20 JO1 2 0 1 9 /2 0 J O1 H Ä L S O - O C H S J U K V Å R D trogna med de krav som ställs inom hälso- och sjukvården på konfidentia- litet för patientuppgifter, liksom att tystnadsplikten utgör en viktig del av en god och säker hälso- och sjukvård. BWPO har också givit skriftliga ga- rantier att uppgifterna är utplånade. Med anledning av den förda diskussionen rörande samarbetet mellan Region och BWPO har bland annat ge- nomfört en juridisk analys avseende persondataskyddet i samarbetet med BWPO. Något utlämnande av det slag som skedde har dessu- tom inte förekommit , och som beskrivits var syftet med utläm- nandet att lägga grunden till . BWPO:s arbete sker under strikt kon- trollerade former och enbart på plats i Region egna lokaler och egen data- och analysmiljö. AA och BB gavs tillfälle att kommentera remissvaret. JO hämtade därefter in och granskade i valda delar det aktuella samarbets- avtalet mellan regionen och Brigham and Women’s . (BWPO). I ett beslut anförde chefsJO följande: Av utredningen får bl.a. följande anses utrett. Region tecknade ett samarbetsavtal med BWPO, med säte i , gällande forskning och utveckling. I avtalet fanns en klausul om att all information inom ramen för samarbetet var konfidentiell och inte fick röjas för någon obehörig part. Det tecknades dock inte några avtal om individuell tystnadsplikt för BWPO:s medarbetare. Ett syfte med samarbetet var att utveckla metoder för att analysera de data som redan fanns inom regionens hälso- och sjukvård. Som ett led i detta lämnade regionen ut uppgifter ur patientjournaler – bl.a. diagnoser, labbsvar, läkemedelsanvändning och födelseår – till BWPO. Uppgifterna lämnades ut utan patienternas namn och personnummer, men med angivande av ett löpnummer för varje patient. Patienternas personnummer och löpnummer bevarades i en separat referensfil som inte lämnandes ut till BWPO. De aktuella uppgifterna fördes över till BWPO i en krypterad fil över internet på en krypterad förbindelse. Såvitt framkommit har såväl de data som lämnades ut till BWPO som referensfilen numera utplånats. Uppgifter ur patientjournaler är typiskt sett information som är mycket käns- lig ur integritetssynpunkt. Inom hälso- och sjukvården skyddas sådana uppgif- ter genom dels bestämmelser om hur personuppgifter får behandlas, dels be- stämmelser om sekretess och tystnadsplikt. Utgångspunkten är att sekretess gäller för sådana uppgifter. Regler om behandling av personuppgifter inom hälso- och sjukvården fanns –då data lämnades ut till BWPO – framför allt i patientdata- lagen (2008:355) och personuppgiftslagen (1998:204). Personuppgiftslagen upphävdes när dataskyddsförordningen (GDPR, Protection Regulation) trädde i kraft. I samband med det ändrades även vissa bestämmelser i patientdatalagen. Nedan hänvisas till de bestämmelser i H Ä L S O - O C H S J U K V Å R D 2019/20 JO1 personuppgiftslagen och patientdatalagen som gällde om inte annat anges. De båda ärendena aktualiserar ett flertal komplexa integritetsfrågor. Jag har dock inte haft möjlighet att fördjupa mig i samtliga dessa frågor inom ramen för denna utredning. Min granskning kommer därför främst att rikta in sig på frågorna om det aktuella utlämnandet av uppgifter var förenligt med dels reg- lerna om behandling av personuppgifter, dels sekretesslagstiftningen. Jag kom- mer även att kort beröra frågan om dokumentation. I sammanhanget vill jag även framhålla att utvecklingsarbete som utförs på vetenskaplig grund och innefattar behandling av känsliga personuppgifter krä- ver etikgodkännande (se vidare lagen [2003:460] om etikprövning av forskning som avser människor). Jag har i min granskning valt att inte närmare undersöka syftet med det aktuella samarbetet mellan regionen och BWPO utan utgått från att det enbart har innefattat annat kvalitets- och utvecklingsarbete på det sätt som regionen har angett. Vid min bedömning har jag vidare utgått från att BWPO i förhållande till regionen agerar i egenskap av personuppgiftsbiträde och behandlar personuppgifter för den personuppgiftsansvariges (dvs. region- ens) räkning (jfr 3 § personuppgiftslagen). Regler om hantering av personuppgifter inom hälso- och sjukvården Patientdatalagen innehåller särskilda regler om behandling av personuppgifter inom hälso- och sjukvården, medan det i personuppgiftslagen fanns allmänna regler om behandling av personuppgifter. Den dåvarande regleringen innebar att personuppgiftslagen skulle tillämpas om frågan inte var reglerad i patient- datalagen eller i en annan lag eller förordning (se 2 § personuppgiftslagen och 1 kap. 4 § patientdatalagen). Med personuppgift avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 § personuppgiftslagen). Även krypterade uppgifter omfattas av lagen så länge någon kan göra uppgifterna läsbara och därmed identifiera individer (se bl.a. SOU 1997:39 s. 341). Också sådana i sig anonyma uppgifter som gör det möjligt att utföra en s.k. bakvägs- identifikation av en fysisk person omfattas. Det krävs bara att en fysisk person kan identifieras med hjälp av uppgifterna, inte att den personuppgiftsansvarige själv ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Personuppgifter får behandlas inom hälso- och sjukvården om det behövs bl.a. för att systematiskt och fortlöpande utveckla och säkra kvaliteten i verk- samheten samt för administration, planering, uppföljning, utvärdering och till- syn av verksamheten (2 kap. 4 § första stycket 3 och 4 patientdatalagen). Det är vårdgivaren som är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför (2 kap. 6 § patientdatalagen). Den per- sonuppgiftsansvarige skulle bl.a. se till att personuppgifter bara behandlades om det var lagligt samt på ett korrekt sätt och i enlighet med god sed (9 § första stycket a och b personuppgiftslagen). Vårdgivare måste även bl.a. beakta föreskrifter (t.ex. SOSFS 2008:14 om informationshantering och journalföring i hälso- och sjuk- 2 0 1 9 /2 0 J O1 H Ä L S O - O C H S J U K V Å R D vården, ersatt av HSLF-FS 2016:40 om journalföring och be- handling av personuppgifter i hälso- och sjukvården). Överföring av personuppgifter till tredjeland I patientdatalagen saknas bestämmelser om överföring av personuppgifter till tredjeland. I personuppgiftslagen reglerades frågan i 33–35 §§. Huvudregeln var att tredjelandsöverföring var förbjuden till länder som inte hade en adekvat nivå för skyddet av personuppgifter (33 §). Frågan om huruvida en skyddsnivå var adekvat skulle bedömas med hänsyn till samtliga omständigheter som hade samband med överföringen. Särskild vikt skulle läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skulle pågå, ursprungs- landet, det slutliga bestämmandelandet och de regler som fanns för behand- lingen i det tredje landet. Med tredjeland avses en stat som inte ingår i EU eller är ansluten till EES (3 § personuppgiftslagen). Regeringen kunde meddela föreskrifter om generella undantag från förbudet (35 §). Överföring kunde vara tillåtet till exempelvis bolag i som var an- slutna till de s.k. Safe Harbor-principerna eller om parterna använde sig av EU- kommissionens standardavtalsklausuler (se vidare 13 § personuppgiftsförord- ningen [1998:1191] och bilaga 1–2 till förordningen). Regler om sekretess m.m. inom den allmänna hälso- och sjukvården Inom hälso- och sjukvården gäller sekretess för en uppgift om en enskilds häl- sotillstånd eller andra personliga förhållanden, om det inte står klart att uppgif- ten kan röjas utan att den enskilde eller någon närstående till honom eller henne lider men (25 kap. 1 § offentlighets- och sekretesslagen [2009:400], OSL). Det innebär att det råder presumtion för sekretess och i vilka fall uppgifter kan läm- nas ut måste avgöras efter en skadeprövning från fall till fall (se Lenberg m.fl., Offentlighets- och sekretesslagen, , Zeteo, kommentaren till 25 kap. 1 §). Sekretess gällde även tidigare för personuppgift, om det kunde antas att ett utlämnande skulle medföra att uppgiften behandlades i strid med personupp- giftslagen (21 kap. 7 § OSL i dess lydelse före ). En uppgift för vilken sekretess gäller enligt OSL får inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förord- ning som OSL hänvisar till (8 kap. 1 § OSL). Det är förbjudet för såväl myn- digheter som vissa personer (som har tystnadsplikt) att röja uppgifter som är sekretessbelagda (2 kap. 1 § OSL). Förbudet gäller för personer som har fått kännedom om uppgiften genom att för det allmännas räkning delta i en myn- dighets verksamhet på grund av anställning eller uppdrag hos myndigheten, på grund av tjänsteplikt, eller på annan liknande grund (2 kap. 1 § andra stycket OSL). Bestämmelsen gäller i princip inte den som är anställd hos ett privat rättssubjekt (se prop. 1979/80:2 Del A s. 128). JO har tidigare uttalat att perso- nalen hos ett personuppgiftsbiträde som journalförde patientuppgifter inte om- fattades av någon straffsanktionerad tystnadsplikt som följer av 2 kap. 1 § andra stycket OSL (se JO 2015/16 s. 606). H Ä L S O - O C H S J U K V Å R D 2019/20 JO1 Ett flertal sekretessbrytande bestämmelser finns i OSL. Sekretess hindrar som regel inte att en uppgift lämnas till en annan enskild eller till en myndighet om den enskilde samtycker till det (10 kap. 1 § och 12 kap. OSL). Sekretess hindrar inte heller att en uppgift lämnas till en enskild eller till en annan myn- dighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet (10 kap. 2 § OSL). Av förarbetena framgår att bestäm- melsen i 10 kap. 2 § OSL ska tillämpas restriktivt, och det räcker t.ex. inte att myndighetens verksamhet blir mindre effektiv om uppgiften inte lämnas ut (propositionen s. 465 och 494). JO har i flera ärenden resonerat om bestämmel- sens räckvidd och ansett att det handlar om situationer av undantagskaraktär (se bl.a. JO 2015/16 s. 606). En sekretessbelagd uppgift kan i vissa fall även lämnas ut om myndigheten ställer upp ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den (10 kap. 14 § OSL). Ett sådant förbehåll ska dock stäl- las upp i förhållande till en enskild mottagare, föregås av en prövning i varje enskilt fall och avse en konkret mängd uppgifter (se bl.a. JO 1992/93 s. 197 och 1994/95 s. 574). Ett röjande av en uppgift kan ske muntligen, genom utlämnande av en all- män handling eller på något annat sätt (3 kap. 1 § OSL). Den som omfattas av tystnadsplikt och felaktigt röjer en uppgift kan i vissa fall dömas för brott mot tystnadsplikten (20 kap. 3 § ). Bedömningen i det aktuella fallet Utlämnandets förenlighet med reglerna om överföring av personuppgifter till tredjeland Utifrån de omständigheter som framgår av remissvaret har jag inte några prin- cipiella synpunkter på att regionen har ansett det nödvändigt att behandla per- sonuppgifter i sitt arbete med kvalitetssäkring av verksamheten (jfr 2 kap. 4 § patientdatalagen). Vidare delar jag regionens uppfattning att användandet av ett personuppgiftsbiträde i sig inte medförde några särskilda krav på informa- tion till patienterna. När det gäller de data som lämnades ut till BWPO kan jag konstatera att uppgifterna inte var helt avidentifierade eftersom det med hjälp av referensfilen fortfarande var möjligt att identifiera enskilda individer. Uppgifterna var där- med att anse som personuppgifter, även om de lämnades ut i pseudonymiserad form. Jag noterar att regionen vid utlämnandet av uppgifterna således hade en felaktig uppfattning i den frågan. Såvitt har framkommit i ärendena saknade mottagarlandet vid utläm- nandet av uppgifterna ett adekvat skydd för personuppgifter, BWPO var inte ansluten till de s.k. Safe Harbor-principerna och parterna hade inte heller teck- nat standardavtalsklausuler. Mot den bakgrunden delar jag regionens bedömning att utlämnandet inte var förenligt med då gällande lag- stiftning om behandling av personuppgifter. För detta förtjänar regionen kritik. 2 0 1 9 /2 0 J O1 H Ä L S O - O C H S J U K V Å R D Utlämnandets förenlighet med sekretesslagstiftningen Som framgått ovan är huvudregeln inom hälso- och sjukvården att sekretess råder för uppgifter i t.ex. en patientjournal. Utifrån den information som jag har tagit del av kan BWPO:s medarbetare inte anses omfattas av bestämmelserna om tystnadsplikt i 2 kap. 1 § OSL (jfr bl.a. JO 2015/16 s. 606). Sekretess enligt 25 kap. 1 § OSL gällde alltså i förhållande till BWPO och dess medarbetare. Vid utlämnandet hade de aktuella journaluppgifterna pseudonymiserats, och BWPO fick inte tillgång till den referensfil som innehöll patienternas löpnum- mer och personnummer. I förarbetena till den tidigare sekretesslagen (1980:100) anges bl.a. följande (se prop. 1979/80:2 Del A s. 84): För att enskild person ska lida skada eller men krävs givetvis att uppgifterna är hänförliga till en viss individ. Det innebär att man i allmänhet bör kunna lämna ut s.k. avidentifierade uppgifter utan att risk för skada eller men upp- kommer. I enstaka fall kan det emellertid tänkas att en avidentifiering inte är tillräcklig för att hindra att sambandet mellan individen och uppgiften spåras. Huruvida en sådan risk föreligger får givetvis bedömas efter om- ständigheterna i det enskilda fallet. Begreppet ”avidentifierade uppgifter” definieras såvitt jag har kunnat se inte i den ovan angivna propositionen. Jag vill därför framhålla att tillämpningen av begreppet har blivit mer restriktiv och att det som avsågs i för- arbetena till den tidigare sekretesslagen torde ha varit det som kallas pseudonymiserade uppgifter, dvs. information utan direktidentifierande upp- gifter (jfr definitionen i artikel 4 punkten 5, GDPR). Att lämna ut uppgifter i pseudonymiserad form kan alltså medföra att det saknas risk för att en enskild person ska lida skada eller men, och att uppgif- terna då kan lämnas ut. Det är emellertid viktigt att den utlämnande myndig- heten gör en noggrann prövning av vilka uppgifter som kan lämnas ut, och hur utlämnandet bör ske, för att inte riskera att röja enskilda individer. Vid bedöm- ningen anser jag att myndigheten bör beakta bl.a. vilken typ av uppgifter som omfattas, vem som är mottagare, vilken spridning uppgifterna kommer att få, hur uppgifterna kommer att hanteras av mottagaren, vilka som har tillgång till referensuppgifterna och vilka risker som finns för ytterligare spridning av upp- gifterna. I det här fallet anser jag att det finns flera omständigheter som borde ha manat till försiktighet. Utlämnandet har omfattat ett stort antal olika variabler, bl.a. uppgifter om diagnos, läkemedelsanvändning, vårdgivare, födelseår och bosättningskommun. Det rör sig enligt min mening om uppgifter som dels är av mycket integritetskänsligt slag, dels rent generellt kan underlätta identifie- ring av enskilda individer. Utredningen har inte gett svar på hur många medar- betare hos BWPO som hade tillgång till de aktuella personuppgifterna. Jag kan dock konstatera att dessa personer såvitt kommit fram i ärendena inte omfatta- des av någon individuell tystnadsplikt, vare sig lagreglerad eller avtalad, i för- hållande till dessa uppgifter. Vidare tycks den aktuella referensfilen ha varit en elektronisk fil som ett flertal medarbetare inom regionen hade teknisk tillgång till i sina datorer. Jag noterar att det enligt remissvaret har rört sig om i vart fall åtta medarbetare, varav tre konsulter. H Ä L S O - O C H S J U K V Å R D 2019/20 JO1 Det har genom utredningen inte gått att klarlägga i vilken utsträckning det i detta fall var möjligt att trots pseudonymiseringen identifiera enskilda individer utifrån de uppgifter som lämnades ut. Såväl de utlämnade uppgifterna som re- ferensfilen är enligt uppgift i remissvaret numera utplånade. Det framstår dock enligt min mening inte som osannolikt att s.k. bakvägsidentifiering i vissa fall skulle ha varit möjlig. Det framgår inte av remissvar att utläm- nandet föregåtts av någon egentlig prövning av risken för att enskilda skulle lida men. Jag är kritisk till hanteringen och vill erinra om vikten av att en myn- dighet även vid utlämnande av personuppgifter i pseudonymiserad form gör en noggrann sekretessprövning utifrån omständigheterna i varje enskilt fall. Särskilt om tillämpningen av 10 kap. 2 § OSL och avtalsreglerad tystnadsplikt har i sitt remissvar anfört att rättsläget är oklart vad gäller till- lämpningen av bestämmelsen i 10 kap. 2 § OSL om nödvändigt utlämnande för att kunna fullgöra myndighetens verksamhet samt att det finns en otydlighet i fråga om i vilken utsträckning en avtalsreglerad tystnadsplikt är tillräcklig för att skydda sekretessbelagda uppgifter som lämnas ut till en privat tjänsteleve- rantör.