prop · H703201 · 2020-09-07 00:00:00 — Regeringen anser att de förslag som läggs fram är proportionerliga och även i övrigt uppfyller de krav som gäller för begränsningar i yttrandefriheten enligt RF och . Rätten att meddela och offentliggöra uppgifter Rätten att meddela och offentliggöra uppgifter (meddelarfrihet) som framgår av 1 kap. 1 § andra stycket och 7 § första stycket TF samt 1 kap. 1 § första stycket och 10 § första stycket YGL innebär en rätt att lämna uppgifter, även sådana som omfattas av sekretess eller tystnadsplikt, för offentliggörande i tryckt skrift, program eller genom tekniska upptagningar. Rätten att meddela eller offentliggöra uppgifter som följer av TF och YGL har som huvudregel företräde framför tystnadsplikten. Som grundprincip gäller att stor återhållsamhet bör iakttas vid prövningen av om undantag från meddelarfrihet ska göras i ett enskilt fall. Den berörda sekretessbestämmelsens konstruktion kan ge viss vägledning. När det är fråga om bestämmelser om absolut sekretess kan det finnas större anledning att överväga undantag från meddelarfriheten än i andra fall. Det bör också beaktas om uppgiften har lämnats av en enskild i en förtroendesituation eller om uppgiften hänför sig till myndighetsutövning. I det förra fallet bör rätten att meddela och offentliggöra uppgifter normalt sett inskränkas, medan denna rätt normalt sett bör ha företräde när det är fråga om uppgifter som hänför sig till myndighetsutövning (se prop. 1979/80:2 del A s. 104 f.). Offentliga funktionärers tystnadsplikt för uppgift om enskilds personliga eller ekonomiska förhållanden som hanteras i verksamhet för endast teknisk bearbetning eller teknisk lagring inskränker meddelarfriheten (40 kap. 5 och 8 §§ OSL). Meddelarfriheten är även inskränkt för uppgift som är sekretessreglerad av hänsyn till ett allmänt intresse enligt en bestämmelse som har företräde framför meddelarfriheten och som hanteras i verksamhet för endast teknisk bearbetning eller teknisk lagring för en annan myndighets räkning. Det gäller dock inte om en annan primär sekretessbestämmelse till skydd för samma intresse, som inte har företräde framför meddelarfriheten, är tillämplig hos den uppgiftsmottagande myndigheten (jfr 11 kap. 4 a och 8 §§ OSL). 2019/20:201 Utredningen analyserar inte frågan närmare. Regeringen anser att det inte nu finns anledning att föreslå en inskränkning av meddelarfriheten men att det vid behov kan finnas anledning att på nytt överväga frågan. Internationell räckvidd av straffbestämmelsen om brott mot tystnadsplikt Frågan om huruvida ett brott mot tystnadsplikt som begås utanför gränser kan bedömas av svensk domstol avgörs utifrån den generella regleringen av tillämpligheten av svensk lag i 2 kap. . Det innebär normalt, för sådana brott mot tystnadsplikten som begås utomlands, att svensk domsrätt kommer att finnas om brottet begås av en svensk medborgare eller av en utlänning med hemvist i (se 2 kap. 2 § första stycket 1 ). Som ett ytterligare krav gäller att gärningen ska vara straffbar även på gärningsorten, s.k. dubbel straffbarhet. Enligt 2 kap. 3 § första stycket 4 är svensk domstol behörig att döma över ett brott som har begåtts utomlands trots att det inte föreligger dubbel straffbarhet, om brottet har förövats mot , svensk kommun eller annan menighet eller en svensk allmän inrättning. Som anför kan det finnas många situationer där det kan sättas i fråga om ett röjande av uppgifter är att anse som ett brott riktat mot svenska intressen, exempelvis röjande av enstaka namn eller adressuppgifter. Det är därför viktigt att fortsatt reglera tystnadsplikt i avtal för de fall där brott mot tystnadsplikten i den nya lagen inte kan beivras. Regeringens förslag: Lagen ska träda i kraft . Utredningens förslag överensstämmer inte med regeringens förslag. Utredningen föreslår ett tidigare ikraftträdande. Remissinstanserna yttrar sig inte i denna del. Skälen för regeringens förslag: Det är angeläget att lagförslaget träder i kraft , vilket bedöms vara . Regeringens bedömning: Förslagen väntas öka skyddet för uppgifter som hanteras av en tjänsteleverantör vid utkontraktering av en myndighets grundläggande behov av it-driftstjänster och andra it-baserade funktioner. Förslagen bedöms i enstaka fall medföra en ökad möjlighet för myndigheter att utkontraktera. Som en följd av detta kan positiva ekonomiska konsekvenser för enskilda myndigheter uppstå. Tjänsteleverantörernas verksamhet bedöms inte påverkas ekonomiskt eller organisatoriskt i någon större grad. Förslagen bedöms inte ha några budgetära konsekvenser i övrigt. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte i denna del. Skälen för regeringens bedömning: Den nya lagen innebär att uppgifter som en myndighet lämnar till en tjänsteleverantör vid utkontraktering av ett uppdrag som är begränsat till endast teknisk bearbetning eller teknisk lagring kommer att ha samma sekretesskydd hos tjänsteleverantören som hos en myndighet som tillhandahåller motsvarande verksamhet. Det ökade uppgiftsskyddet kan få viss positiv effekt för skyddet av den personliga integriteten. Förslaget väntas ge mer stabila rättsliga förutsättningar för utkontraktering av myndigheternas grundläggande behov av it-drifts- tjänster och andra it-baserade funktioner. Någon avsevärd ökning av myndigheters utkontraktering väntas inte ske. För en enskild myndighet kan förslaget medföra kostnadsbesparingar om en viss utkontraktering möjliggörs till följd av det ökade uppgiftsskyddet hos tjänsteleverantören. När det gäller yrkesmässigt bedrivna enskilda verksamheter inom skola, vård och omsorg kan det finnas behov av vissa informationsinsatser för att upplysa om den nya lagen innan den träder i kraft. Förslaget bedöms inte påverka tjänsteleverantörers verksamhet i någon större grad vare sig ekonomiskt eller organisatoriskt. Avtal om tystnadsplikt är allmänt förekommande vid utkontraktering till en tjänsteleverantör. Den nya lagen bör därför i praktiken inte medföra några särskilda omställningsbehov för de företag och enskilda som omfattas av lagens tillämpningsområde. De brottsbekämpande myndigheternas verksamhet liksom domstolarnas måltillströmning kan väntas öka ytterst marginellt, vilket bedöms kunna finansieras inom befintliga anslag. 2019/20:201 12 Förslaget till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter 1 § Denna lag tillämpas när en myndighet uppdrar åt ett företag eller en annan enskild (tjänsteleverantör) att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Paragrafen anger lagens tillämpningsområde. Övervägandena finns i avsnitt 8. Lagen gäller när en myndighet uppdrar åt ett företag eller en annan enskild, dvs. en tjänsteleverantör, att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Ett sådant uppdrag kan utföras inom ramen för en tjänsteleverantörs tillhandahållande av en it-driftstjänst, t.ex. en teknisk infrastruktur eller en teknisk plattform, eller tillhandahållande av en it-baserad funktion, t.ex. en applikation eller en standardiserad eller anpassad digital tjänst. Det finns inte något krav på att ekonomisk ersättning ska utgå för uppdraget och det saknar betydelse vilken juridisk verksamhetsform tjänsteleverantören i fråga har. Genom uttrycket ett företag eller en annan enskild utesluts emellertid offentliga aktörer från kretsen tjänsteleverantörer som omfattas av lagen. Att lagen är tillämplig när en tjänsteleverantörs uppdrag är att endast tekniskt bearbeta eller tekniskt lagra uppgifter innebär att ett uppdrag som innehåller annat än enbart sådana tekniska moment faller utanför tillämpningsområdet. I situationer där en myndighet rörande uppgifter utkontrakterar uppdrag av olika karaktär till samma tjänsteleverantör, t.ex. ett uppdrag som innebär att leverantören endast tekniskt bearbetar eller tekniskt lagrar uppgifter och ett annat uppdrag som omfattar åtgärder rörande uppgifterna som går utöver detta, är lagen bara tillämplig i det förstnämnda fallet och bara på sådana uppgifter som inte dessutom hanteras inom ramen för det andra uppdraget. Innebörden av teknisk bearbetning eller teknisk lagring är densamma som i 2 kap. 9 § tredje stycket tryckfrihetsförordningen (jfr 2 kap. 13 § första stycket tryckfrihetsförordningen). Vilka slag av åtgärder som kan omfattas av teknisk bearbetning eller teknisk lagring behöver tolkas i förhållande till dagens digitala informationshantering och den fortgående tekniska utvecklingen. En tjänsteleverantör kan exempelvis ha i uppdrag att införa, förvalta, utveckla och avveckla en tjänst åt en myndighet. Tjänsteleverantören kan under dessa olika faser behöva vidta en mängd olika åtgärder som innefattar teknisk bearbetning eller teknisk lagring av uppgifter för att upprätthålla den tillgänglighet, funktionalitet och prestanda i tjänsten som har avtalats mellan parterna. Sådana åtgärder kan röra sig om förändring och tillägg i en befintlig tjänsts funktionalitet, etablering av en tilläggstjänst, integration mot andra tjänster, konfiguration, test och utveckling samt tillhandahållande av supporttjänster. Det kan också röra sig om säkerhetshöjande åtgärder som uppgradering, uppdatering, säkerhetskopiering, kryptering, anonymisering, pseudonymisering och incidenthantering. Vid avveckling av en tjänst kan myndighetens information behöva migreras eller exporteras tillbaka till myndigheten eller till en annan tjänsteleverantör. Under samtliga moment av teknisk bearbetning eller teknisk lagring kan det förekomma att personal hos tjänsteleverantören tar del av de uppgifter som hanteras för den uppdragsgivande myndighetens räkning. Detta kan vara nödvändigt för att de ska kunna utföra sina arbetsuppgifter som ett led i den tekniska bearbetningen eller tekniska lagringen. Det torde normalt röra sig om drifts- och säkerhetsrelaterad information, t.ex. uppgifter om användarkonton, loggar, krypteringsnycklar, lösenord och säkerhetsinställningar. Men det kan också röra sig om uppgifter i läsbar form (jfr prop. 1975/76:160 s. 87). För den som tar del av eller på annat sätt förfogar över en uppgift som hanteras som ett led i en teknisk bearbetning eller teknisk lagring gäller tystnadsplikt enligt 4 §. 2 § Vid tillämpningen av denna lag ska med myndigheter jämställas 1.sådana aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, regioner eller kommunalförbund utövar ett rättsligt bestämmande inflytande enligt 2 kap. 3 § offentlighets- och sekretesslagen (2009:400), och 2.de organ som anges i bilagan till offentlighets- och sekretesslagen i fråga om de verksamheter som anges där. Med en myndighet ska också jämställas yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad och som 1.tillhör skolväsendet, de särskilda utbildningsformerna eller annan pedagogisk verksamhet enligt 1 kap., 24 kap. eller 25 kap. skollagen (2010:800), 2.utgör hälso- och sjukvård eller tandvård enligt hälso- och sjukvårdslagen (2017:30) eller tandvårdslagen (1985:125), eller 3.bedrivs enligt socialtjänstlagen (2001:453), lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1993:387) om stöd och service till vissa funktionshindrade eller utgör personlig assistans som utförs med assistansersättning enligt 51 kap. socialförsäkringsbalken. Paragrafen anger vilka aktörer som vid tillämpningen av lagen ska jämställas med en myndighet. Övervägandena finns i avsnitt 8. Lagen gäller därmed även när en aktör som anges i paragrafen uppdrar åt en tjänsteleverantör att endast tekniskt bearbeta eller tekniskt lagra uppgifter. I första stycket första punkten anges att vissa juridiska personer där kommuner, regioner eller kommunalförbund utövar ett rättsligt bestämmande inflytande ska jämställas med en myndighet. Vad som avses med rättsligt bestämmande inflytande för kommuner och regioner regleras i 2 kap. 3 § andra och tredje styckena offentlighets- och sekretesslagen. I första stycket andra punkten regleras att även de organ som anges i bilagan till offentlighets- och sekretesslagen, i fråga om de verksamheter som nämns där, ska jämställas med en myndighet vid tillämpningen av lagen. I andra stycket anges att viss yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad ska jämställas med en myndighet. De verksamheter som avses tillhör skola, vård och omsorg. Stycket motsvarar 2 § första stycket lagen (2017:151) om meddelarskydd i vissa 2019/20:201 enskilda verksamheter och är avsedd att ha samma innebörd som den be- stämmelsen (se prop. 2016/17:31 s. 21 f. och 55 f.). 3 § Vid tillämpningen av denna lag ska med en tjänsteleverantör jämställas en underleverantör som medverkar till att fullgöra tjänsteleverantörens upp- Paragrafen anger att med en tjänsteleverantör ska jämställas en underleve- rantör som medverkar till att fullgöra tjänsteleverantörens uppdrag. vägandena finns i avsnitt 8. Det förekommer att en tjänsteleverantör anlitar en eller flera underleve- rantörer som medverkar till att fullgöra det uppdrag som en myndighet har utkontrakterat till tjänsteleverantören. På samma sätt kan en underleveran- tör i sin tur anlita ytterligare en eller flera underleverantörer som också bidrar till uppdragets fullgörande. En underleverantör vars uppdrag inne- bär att underleverantören direkt eller indirekt medverkar till att fullgöra den utkontrakterande myndighetens uppdrag ska jämställas med en tjänste- leverantör vid tillämpningen av lagen. 4 § Den som på grund av anställning eller på något annat sätt deltar i eller har deltagit i en tjänsteleverantörs verksamhet att på uppdrag av en myndighet endast tekniskt bearbeta eller tekniskt lagra uppgifter får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400). Paragrafen anger tystnadspliktens närmare innebörd. i avsnitt 9. I första stycket regleras att tystnadsplikt gäller för den som på grund av anställning eller på något annat sätt deltar i eller har deltagit i en tjänste- leverantörs verksamhet att på en myndighets uppdrag endast tekniskt be- arbeta eller tekniskt lagra uppgifter. Exempel på personer som på ”något annat sätt” deltar i en tjänsteleverantörs verksamhet är inhyrda konsulter eller andra uppdragstagare. Det kan även vara fråga om styrelseledamöter, ägare och andra personer i tjänsteleverantörens verksamhet som kan be- reda sig tillgång till eller på annat sätt förfoga över de uppgifter som tjänste- På samma sätt gäller tystnadsplikt även för personal m.fl. hos en underleverantör som omfattas av lagens tillämpningsområde (se 3 §). Tystnadsplikten, som gäller även efter det att en anställning eller ett uppdrag upphört, motsvarar den som gäller för offentliga funktionärer som deltar i en myndighets verksamhet att endast tekniskt bearbeta eller tekniskt lagra uppgifter för en annan myndighets räkning. tystnadsplikt gäller för en uppgift som hos en myndighet skulle ha om- fattats av sekretess till skydd för allmänna intressen enligt 11 kap. 4 a § eller till skydd för enskilds personliga eller ekonomiska förhållanden en- ligt 40 kap. 5 § offentlighets- och sekretesslagen. Tystnadsplikten kan i vissa fall komplettera den tystnadsplikt som följer av 5 kap. 2 § säkerhetsskyddslagen (2018:585). Det gäller bl.a. personal m.fl. hos en tjänsteleverantör som inte bedriver säkerhetskänslig verksam- het men som hanterar säkerhetsskyddsklassificerade uppgifter med stöd av Tystnadsplikten innebär ett förbud mot att obehörigen röja eller utnyttja uppgifter. Som obehörigt röjande eller utnyttjande anses inte sådant behörigt utlämnande av uppgifter som sker med stöd av lag eller med den uppdragsgivande myndighetens godkännande. Innan ett uppdrag överlämnas bör myndigheten upplysa den uppgiftsmottagande tjänsteleverantören om tystnadspliktens räckvidd. Myndigheten bör också säkerställa att tjänsteleverantören informerar eventuella underleverantörer om tystnadsplikten. Tystnadsplikten är straffsanktionerad i 20 kap. 3 § . I andra stycket finns en upplysning om att i det allmännas verksamhet tillämpas bestämmelserna i offentlighets- och sekretesslagen. 2019/20:201 Bilaga 1 Sammanfattning av betänkandet Juridik som stöd för förvaltningens digitalisering (SOU 2018:25) i relevanta delar I betänkandet föreslås en ny lag om tystnadsplikt vid utkontraktering av teknisk bearbetning och lagring. Lagen föreslås gälla för uppgifter som omfattas av sekretess och som lämnas ut till en privat leverantör i samband med utkontraktering när det är fråga om enbart teknisk bearbetning eller lagring. Tystnadsplikten ska gälla för anställda och uppdragstagare hos en privat leverantör som tekniskt bearbetar eller lagrar uppgifter för en myndighets räkning. Lagen som föreslås vara subsidiär i förhållande till säkerhetsskyddslagstiftningen, ska tillämpas när myndigheter, eller vissa organ eller verksamheter som trätt i stället för en myndighet, uppdrar åt en privat leverantör att behandla uppgifter för enbart teknisk bearbetning eller lagring för myndighetens, organets eller verksamhetens räkning. Den föreslagna bestämmelsen om tystnadsplikt ska vara straffsanktionerad. Betänkandets lagförslag i relevanta delar Förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning och lagring Härigenom föreskrivs följande. 2019/20:201 Bilaga 2 1 § Denna lag gäller när en myndighet uppdrar åt en privat leverantör att behandla uppgifter för enbart teknisk bearbetning eller teknisk lagring för myndighetens räkning. 2 § Vid tillämpningen av denna lag ska följande organ och verksamheter jämställas med en myndighet 1.aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, landsting eller kommunalförbund utövar ett rättsligt bestämmande inflytande enligt 2 kap. 3 § offentlighets- och sekretesslagen (2009:400), 2.de organ som anges i bilagan till offentlighets- och sekretesslagen beträffande den verksamhet som anges där, eller 3.en yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad och som anges i 2 § första stycket lag (2017:151) om meddelarskydd i vissa enskilda verksamheter. 3 § Om det i säkerhetsskyddslagen (2018:000) eller i säkerhetsskyddsförordningen (1996:633) finns bestämmelser som avviker från denna lag ska de bestämmelserna gälla. 4 § Den som på grund av anställning eller uppdrag hos en privat leverantör tekniskt bearbetar eller tekniskt lagrar uppgifter för en myndighets räkning, får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400). Denna lag träder i kraft . Följande remissinstanser har yttrat sig över kap. 10 i betänkandet: Arbetsför- medlingen, , , , Centrala studiestöds- nämnden, Datainspektionen, , Försvarsmakten, Försäk- ringskassan, Förvaltningsrätten i , Förvaltningsrätten i , , , , , Inspek- tionen för socialförsäkring, Justitiekanslern, i , Ka- trineholms kommun, , Kriminalvården, Kronofogde- myndigheten, , , Lantmä- teriet, kommun, kommun, , i , i län, kommun, kommun, , Myndigheten för samhällsskydd och beredskap, kommun, , , , Riks- dagens ombudsmän, , , läns landsting, So- cialstyrelsen, , Statens servicecenter, , , Statskontoret, , Stock- holms läns landsting, (och systemvetenskap), , Kommuner och Landsting, hetspolisen, , , Total- försvarets rekryteringsmyndighet, , Transportstyrelsen, Tull- verket, , kommun, , Väster- bottens läns landsting, , läns landsting, universitet, (, psykologi, och socialt arbete) Öster- götlands läns landsting och . Följande remissinstanser har inte svarat eller specifikt yttrat sig över kap. 10 i betänkandet: kommun, , Attunda tingsrätt, , , , , DGC Access Aktiebolag, , , , , , Funktionsrätt , Försvarets mate- rielverk, , , läns landsting, , , kommun, , , IT & Telekomföretagen, IT- mästaren , kommun, Kammarkollegiet, kom- mun, , kommun, kommun, Micro- soft AB, kommun, Myndigheten för delaktighet, kommun, kommun, (), Managed , , , kommun, kom- mun, kommun, , kommun, , Akademikers , Swedish Medtech, Säkerhets- och försvarsföretagen, , Tieto , kommun, , läns landsting, kommun, Verket för innovationssystem, , , , Åre kommun, kom- mun och kommun. Därutöver har yttranden inkommit från i län, Myndigheten för vård- och omsorgsanalys, och 2019/20:201 Bilaga 4 Förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter Härigenom föreskrivs följande. 1 § Denna lag tillämpas när en myndighet uppdrar åt ett bolag eller en annan enskild (tjänsteleverantör) att endast tekniskt bearbeta eller tekniskt lagra uppgifter. 2 § Vid tillämpningen av denna lag ska med myndigheter jämställas 1.sådana aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, regioner eller kommunalförbund utövar ett rättsligt bestämmande inflytande enligt 2 kap. 3 § offentlighets- och sekretesslagen (2009:400), och 2.de organ som anges i bilagan till offentlighets- och sekretesslagen i fråga om de verksamheter som anges där. Med en myndighet ska också jämställas yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad och som 1.tillhör skolväsendet, de särskilda utbildningsformerna eller annan pedagogisk verksamhet enligt 1 kap., 24 kap. eller 25 kap. skollagen (2010:800), 2.utgör hälso- och sjukvård eller tandvård enligt hälso- och sjukvårdslagen (2017:30) eller tandvårdslagen (1985:125), eller 3.bedrivs enligt socialtjänstlagen (2001:453), lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1993:387) om stöd och service till vissa funktionshindrade eller utgör personlig assistans som utförs med assistansersättning enligt 51 kap. socialförsäkringsbalken. 3 § Vid tillämpningen av denna lag ska med en tjänsteleverantör jämställas en underleverantör som medverkar till att fullgöra tjänsteleverantörens uppdrag. 4 § Den som på grund av anställning eller på något annat sätt deltar i eller har deltagit i en tjänsteleverantörs verksamhet att på uppdrag av en myndighet endast tekniskt bearbeta eller tekniskt lagra uppgifter får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400). Denna lag träder i kraft . 2019/20:201 Bilaga 5 Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitierådet samt justitieråden Per och Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter Enligt en lagrådsremiss har regeringen (Infrastrukturdepartementet) beslutat inhämta Lagrådets yttrande över förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. Förslaget har inför Lagrådet föredragits av departementssekreteraren . Lagrådet lämnar förslaget utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsrådet , ordförande, och statsråden , , , , , , , Shekarabi, Ygeman, , , , , , , , , , , Regeringen beslutar proposition 2019/20:201 Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter