prop · H703201 · 2020-09-07 00:00:00 — Utgångspunkten vid utkontraktering av itdriftstjänster och andra it-baserade funktioner som svarar mot en myndighets grundläggande behov är att leverantören inte ska behöva ta del av informationen som hanteras inom ramen för uppdraget i någon större utsträckning (jfr JO 2015/16 s. 606). En självklar utgångspunkt för sådan uppgiftshantering som utförs för att tillgodose en myndighets grundläggande behov av it-drift och it-baserade funktioner bör vara att uppgifterna så långt som möjligt ska ha samma skydd oavsett om de hanteras av myndigheten själv eller av en tjänsteleverantör. Den osäkerhet som finns hos myndigheterna när det gäller vilket skydd uppgifterna har hos en tjänsteleverantör är otillfredsställande. Som utredningen lyfter fram bör denna osäkerhet undanröjas och de rättsliga förutsättningarna för utkontraktering klargöras. Regeringen anser att ett klargörande av de rättsliga förutsättningarna bör göras genom att det införs en långsiktigt hållbar reglering som i första hand syftar till att säkerställa ett ökat sekretesskydd för uppgifter som hanteras av en privat tjänsteleverantör. 2019/20:201 7 En ny lag om tystnadsplikt införs Regeringens förslag: Det ska införas en ny lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Majoriteten av de remissinstanser som yttrar sig, däribland Föreningen , , Polis- myndigheten och , tillstyrker eller invänder inte mot Datainspektionen poängterar att en lagstadgad tystnadsplikt är nödvändig för att behandling av personuppgifter inom hälso- och sjukvård och social omsorg som utförs av personuppgiftsbiträden ska vara förenlig med och rådets förordning (EU) 2016/679 av den 27 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning). makten framhåller att lagregler om tystnadsplikt inte alltid minimerar risker- na vid utkontraktering av it-drift. påpekar att även med en lagreglerad tystnadsplikt är det fortsatt viktigt att vidta åtgärder för att begränsa tjänsteleverantörens åtkomst till informa- menar att lagen kommer att få en begränsad praktisk betydelse med hänsyn till det stora antalet utländska tillhandahållare av it- , tidigare läns landsting, anser att det är otydligt hur tystnadsplikt i svensk lag förhåller sig till den allmänna data- skyddsförordningen och användningen av personuppgiftsbiträden inom EU. Skälen för regeringens förslag: Regeringen anser att det i allt ökande grad kan ifrågasättas om det är tillräckligt att reglera tystnadsplikt för en tjänsteleverantör enbart genom avtal. Det finns ett behov av att öka sekre- tesskyddet för uppgifter som hanteras av en tjänsteleverantör i samband med att en myndighet utkontrakterar sitt grundläggande behov av it- driftstjänster eller andra it-baserade funktioner. Sekretesskyddet bör så långt möjligt överensstämma med det som gäller för en myndighet som tillhan- dahåller motsvarande tjänster till en annan myndighet. för uppgifter som motsvarar det som gäller för det allmänna kan uppnås genom att en straffsanktionerad tystnadsplikt för privata tjänsteleverantö- rer införs (jfr tystnadsplikten i 5 kap. 2 § säkerhetsskyddslagen [2018:585], som kompletterar OSL). Eftersom tystnadsplikt utgör en begränsning av den grundlagsfästa yttrandefriheten, ska en sådan reglering ske i lag. stämmelserna kan inte på ett naturligt sätt inarbetas i befintlig lagstiftning. Tystnadsplikten bör därför regleras i en ny lag om tystnadsplikt vid utkon- traktering av teknisk bearbetning eller lagring av uppgifter. En lagreglerad tystnadsplikt innebär emellertid inte, som Försvarsmak- ten framhåller, att riskerna med en utkontraktering alltid elimineras eller En myndighet behöver därför alltid göra en övergripande bedömning av om en utkontraktering är lämplig i det enskilda fallet. att kunna göra en sådan bedömning krävs att myndigheten genomför regel- bundna och systematiska analyser av sin informationshantering. analyser behöver verksamhetens behov i kombination med informations- säkerhet och sekretess- och integritetsfrågor beaktas parallellt. het som genomfört grundliga analyser och informationssäkerhetsklassat sina informationstillgångar kan ställas inför det faktum att viss verksamhet Prop. 2019/20:201 inte lämpar sig för utkontraktering, av säkerhetsskäl eller av andra skäl. All utkontraktering som innebär att en myndighet överför uppgifter till en utomstående aktör bör ske med förtänksamhet och med beaktande av samtliga kända och potentiella risker. Även med en lagreglerad tystnadsplikt är det, som och påpekar, fortsatt viktigt för en utkontrakterande myndighet att vidta åtgärder för att begränsa tjänsteleverantörens åtkomst till informationen. Det kan exempelvis röra sig om att avtalsreglera behörighetsstyrning och kryptering. Vidare bör en myndighet alltid överväga om det finns skäl att komplettera med en avtalsreglerad tystnadsplikt för sådana uppgifter som inte omfattas av tystnadsplikten, se vidare avsnitt 9. Det är inte ovanligt att en tjänsteleverantör, eller en underleverantör anlitad av tjänsteleverantören, är etablerad eller bedriver sin verksamhet utanför gränser. Var en uppgiftshantering sker rent geografiskt kan, som framhåller, påverka lagens räckvidd, se vidare avsnitt 9. Det kan dock framhållas att den nya lagen inte påverkar befintliga möjligheter att anlita en tjänsteleverantör som är etablerad eller driver sin verksamhet utanför gränser. Det gäller även när tjänsteleverantören agerar i rollen som personuppgiftsbiträde enligt den allmänna dataskyddsförordningen. Någon risk för konflikt mellan regleringen i den allmänna dataskyddsförordningen och den här föreslagna lagen, som möjligen befarar, uppkommer därmed inte. Regeringens förslag: Lagen ska tillämpas när en myndighet, eller en aktör som är jämställd med en myndighet, uppdrar åt ett företag eller en annan enskild (tjänsteleverantör) att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Utredningens förslag överensstämmer i sak med regeringens förslag. Utredningens lagförslag har dock en annan utformning. Remissinstanserna: Majoriteten av de remissinstanser som yttrar sig tillstyrker eller invänder inte mot förslaget. Flera remissinstanser, däribland , och , är dock tveksamma till användningen av begreppet teknisk bearbetning och lagring, eftersom det saknas en tydlig definition av begreppets innebörd. Ytterligare ett antal remissinstanser, bl.a. , Region , tidigare läns landsting, , Kommuner och Regioner, tidigare Kommuner och Landsting, samt menar att behovet av tystnadsplikt för tjänsteleverantörer är större än att enbart avse teknisk bearbetning och lagring. förordar, liksom Kommuner och Regioner, att tystnadsplikten utsträcks till att omfatta alla former av utkontraktering till privata aktörer av en myndighet. Skälen för regeringens förslag Lagen ska tillämpas på myndigheter och på aktörer som jämställs med en myndighet Alltmer offentligt finansierad verksamhet bedrivs i privat regi. Behovet av uppgiftsskydd gör sig gällande på samma sätt oavsett om uppgifter hanteras av en myndighet eller av en annan aktör som har i uppdrag att utföra offentligt finansierad verksamhet. Förutsättningarna för utkontraktering av grundläggande it-driftstjänster och it-baserade funktioner bör vara likartade för myndigheter och för andra aktörer som utför offentligt finansierad verksamhet. Lagen bör därför gälla för vissa aktörer som trätt i stället för en myndighet, när en sådan aktör uppdrar åt en tjänsteleverantör att tekniskt bearbeta eller tekniskt lagra uppgifter i samband med utkontraktering. Vid tillämpningen av lagen bör därför aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, regioner eller kommunalförbund utövar ett rättsligt bestämmande inflytande enligt 2 kap. 3 § OSL jämställas med en myndighet. Samma sak ska gälla för de organ som anges i bilagan till OSL i fråga om de verksamheter som anges där. Utredningen föreslår också att yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad och som anges i 2 § första stycket lagen (2017:151) om meddelarskydd i vissa enskilda verksamheter ska jämställas med en myndighet vid tillämpningen av lagen. Avgränsningen tar sikte på följande enskilda verksamheter inom skola, vård och omsorg: 1.skolväsendet, de särskilda utbildningsformerna eller annan pedagogisk verksamhet enligt skollagen (2010:800), 2.hälso- och sjukvård eller tandvård enligt hälso- och sjukvårdslagen (1982:763) eller tandvårdslagen (1985:125), och 3.verksamhet som bedrivs enligt socialtjänstlagen (2001:453), lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1993:387) om stöd och service till vissa funktionshindrade eller utgör personlig assistans som utförs med assistansersättning enligt 51 kap. socialförsäkringsbalken. Enskilda bör kunna förvänta sig ett likvärdigt skydd för sina uppgifter vid utkontraktering av it-drift oavsett om utkontrakteringen görs av en privat eller av en offentlig aktör inom något av de aktuella verksamhetsområdena. Regeringen instämmer därför i utredningens bedömning att de angivna verksamheterna bör omfattas av lagens tillämpningsområde. Eftersom tystnadsplikten är straffsanktionerad, bör verksamheterna anges i lagen av förutsebarhetsskäl. Med offentlig finansiering avses ett direkt stöd eller en betalning från det allmänna för att driva en viss verksamhet. Ett krav bör vara att finansieringen är kopplad till själva driften av verksamheten. Ett krav på att den enskilda verksamheten är helt offentligt finansierad kan emellertid leda till att många verksamheter, t.ex. fristående skolor och privata läkarmottagningar, inte omfattas av lagen eftersom de sällan är helt offentligt finansierade. Dessutom riskerar ett sådant krav att leda till bristande förutsebarhet för enskilda vars uppgifter hanteras inom verksamheten, eftersom det kan kräva viss efterforskning för att ta reda på om en verksamhet är helt eller bara delvis offentligt finansierad. Det vore inte heller tillfredsställande med skillnader i uppgiftsskyddet beroende på i vilken utsträckning en verksamhet är offentligt finansierad. Lagen ska därför vara tillämplig i alla enskilda verksamheter inom skola, vård och omsorg som till någon del är offentligt finansierade. Skola, vård och omsorg bedrivs huvudsakligen inom relativt klart definierbara enheter. Som uppmärksammar kan det dock förekomma situationer där viss gränsdragning behöver göras, t.ex. när ett större företag bedriver även annan verksamhet. Det kan röra sig om ett företag som driver fristående skolor och även producerar läromedel. I ett sådant fall bör lagen omfatta endast sådan utkontraktering som sker i själva skolverksamheten. Lagen ska gälla vid utkontraktering till en tjänsteleverantör Utredningen föreslår att lagens tillämpningsområde avgränsas till privata leverantörer till vilka utkontraktering sker för en myndighets räkning. Med privat leverantör avses en utomstående enskild aktör som levererar en tjänst eller funktion på uppdrag av en myndighet. , Förvaltningsrätten i och har synpunkter på det valda begreppet. Lagen bör omfatta utkontraktering till ett företag eller en annan enskild. Vilken civilrättslig verksamhetsform aktören i fråga har bör sakna betydelse och det bör inte heller finnas något krav på att ekonomisk ersättning ska lämnas för det uppdrag som utförs. Regeringen anser att det framstår som lämpligt att i lagen använda ordet tjänsteleverantör för att beskriva de företag och enskilda som avses, eftersom denna benämning är relativt vanligt förekommande för de aktörer som tillhandahåller it-tjänster. I sak innebär inte denna ändring någon skillnad i förhållande till utredningens förslag. Med en tjänsteleverantör ska jämställas en underleverantör som medverkar till att fullgöra det utkontrakterade uppdraget Det är vanligt att en tjänsteleverantör anlitar en eller flera underleverantörer som medverkar till att fullgöra tjänsteleverantörens uppdrag. Underleverantörer kan också finnas i flera led genom att en underleverantör anlitar egna underleverantörer, som i sin tur bidrar till att fullgöra tjänsteleverantörens uppdrag. Under uppdragets löptid kan underleverantörer bytas ut och nya kan tillkomma. En underleverantör som medverkar till att fullgöra tjänsteleverantörens uppdrag att endast tekniskt bearbeta eller tekniskt lagra myndighetens uppgifter ska vid tillämpningen av lagen jämställas med en tjänsteleverantör. Lagen ska gälla när tjänsteleverantörens uppdrag är att endast tekniskt bearbeta eller tekniskt lagra uppgifter Utredningen föreslår att tystnadsplikten ska gälla när en tjänsteleverantör utför tjänster som innebär endast teknisk bearbetning eller teknisk lagring av uppgifter för en myndighets räkning. Uttrycket teknisk lagring eller teknisk bearbetning härrör från bestämmelser om allmänna handlingar, se 2 kap. 9 och 13 §§ TF. Som framgår av avsnitt 5 innebär TF:s reglering att en handling som inte är allmän hos en myndighet inte heller ska anses inkommen till myndigheten när handlingen återvänder dit efter att någon annan har vidtagit åtgärder endast som ett led i en teknisk bearbetning eller teknisk lagring med 2019/20:201 den. Därmed är handlingen efter återvändandet alltjämt inte att anse som allmän. Dessa bestämmelser i gör ingen åtskillnad på allmänna handlingar i fysisk form, dvs. papper, och upptagningar. har bestämmelserna stor praktisk betydelse just vid hanteringen av tekniska upptagningar. Flera remissinstanser, däribland , och , anser att uttrycket teknisk bearbetning eller teknisk lagring är otydligt och att avsaknaden av en legal definition medför tillämpningssvårigheter vid dagens teknikanvändning. Regeringen kan konstatera att uttrycket teknisk bearbetning eller teknisk lagring är både teknikneutralt och etablerat. Även om tillämpningen kan orsaka vissa svårigheter i ljuset av dagens, och framtidens, teknikanvändning och teknikutveckling bedömer regeringen, när det gäller myndigheters grundläggande behov av it-drifts- tjänster och andra it-baserade funktioner, att uttrycket är tillräckligt tydligt. Det bör därför inte vålla några större tillämpningssvårigheter i praktiken. Ett antal remissinstanser, bl.a. och Kommuner och Regioner, påpekar att behovet av tystnadsplikt är större och därför bör utsträckas till att omfatta alla former av utkontraktering till privata aktörer av en myndighet. Regeringen ifrågasätter inte att det kan finnas behov av tystnadsplikt även vid utkontraktering som omfattar andra moment än endast teknisk bearbetning eller teknisk lagring men anser, i likhet med utredningen, att ytterligare behov av tystnadsplikt främst bör tillgodoses inom ramen för sektorsspecifik lagstiftning. Regeringens förslag: Tystnadsplikt ska införas för den som på grund av anställning eller på något annat sätt deltar i eller har deltagit i en tjänsteleverantörs verksamhet att på uppdrag av en myndighet endast tekniskt bearbeta eller tekniskt lagra uppgifter. gälla för anställda m.fl. hos underleverantörer till tjänsteleverantören, som medverkar till att fullgöra dennes uppdrag. I det allmännas verksamhet ska offentlighets- och sekretesslagen Utredningens förslag överensstämmer i sak med regeringens förslag. Utredningens lagförslag har dock en annan utformning. Remissinstanserna: Majoriteten av de remissinstanser som yttrar sig tillstyrker eller invänder inte mot förslaget. Försvarsmakten kan dock inte tillstyrka förslaget innan en utförlig konsekvensanalys har genomförts av- seende uppgifter som är belagda med sekretess till skydd för det allmänna. Försvarsmakten framhåller också, liksom , att även and- ra anställda än de som har i uppdrag att tekniskt bearbeta eller tekniskt lagra uppgifter för en myndighets räkning bör omfattas av tystnadsplikten. och Statens servicecenter anser att den tekniska bearbetningen och lagringen inte bör kopplas direkt till en fysisk person. och ombudsmän anser att det uttryckligen bör framgå av lag- texten att tystnadsplikten ska gälla även när en anställd eller uppdrags- tagare har lämnat sin befattning. pekar på att det fortsatt kommer finnas en osäkerhet kring gränsdragningen för s.k. osjälvständiga Förvaltningsrätten i anser att det bör över- vägas att komplettera lagen med ett bemyndigande att meddela föreskrifter på vissa områden, t.ex. upplysningsplikt. nen och lyfter frågan om hur lagföring ska kunna ske när brott mot tystnadsplikten begås utomlands. Skälen för regeringens förslag Vilka personkategorier bör omfattas av tystnadsplikten? Enligt utredningens förslag ska tystnadsplikt gälla för den som på grund av anställning eller uppdrag hos en tjänsteleverantör tekniskt bearbetar eller tekniskt lagrar uppgifter för en myndighets räkning. missinstanser påpekar, däribland Försvarsmakten och , inne- bär en sådan avgränsning att det inte är självklart att andra personer än de som har teknisk bearbetning eller lagring som faktisk arbetsuppgift har Även andra personkategorier kan ha eller ta sig åtkomst till uppgifter som hanteras inom ramen för uppdraget. plikten till de personkategorier som i praktiken utför den tekniska bearbet- ningen eller lagringen av uppgifter riskerar att medföra avsevärda tillämp- ningssvårigheter inte minst i bevishänseende, där det t.ex. kan uppstå en fråga om huruvida en teknisk bearbetning har utförts av en människa eller av en maskin. Eftersom åtkomst till uppgifter kan ske på flera olika sätt, även obehö- rigen, och för att undvika onödiga gränsdragningsproblem och tillämp- ningssvårigheter, bör tystnadsplikten omfatta samtliga personkategorier som på grund av anställning eller på något annat sätt deltar i eller har del- tagit i en tjänsteleverantörs verksamhet att på uppdrag av en myndighet tekniskt bearbeta eller tekniskt lagra uppgifter. Genom en sådan utform- ning tydliggörs att även andra personkategorier hos tjänsteleverantören som kan bereda sig tillgång till myndighetens uppgifter lyder under tyst- I linje med vad Justitiekanslern och ombudsmän anför tydliggörs också att tystnadsplikten även gäller efter att en anställ- ning eller ett uppdrag har upphört. För en underleverantör som omfattas av lagens tillämpningsområde gäller samma räckvidd och avgränsning av den personkrets som omfattas av tystnadsplikten. För anställda m.fl. hos en enskild aktör som bedriver säkerhetskänslig verksamhet och hanterar säkerhetsskyddsklassificerade uppgifter enligt säker- hetsskyddslagen (2018:585) gäller tystnadsplikten i den lagen (se 5 kap. 2 §). Tystnadsplikt enligt den nu föreslagna lagen kan dock komplettera säker- hetsskyddslagen i den utsträckning som den senare lagen inte är tillämplig. Så kan exempelvis vara fallet för en tjänsteleverantör som inte bedriver säkerhetskänslig verksamhet men som hanterar säkerhetsskyddsklassifice- rade uppgifter med stöd av ett säkerhetsskyddsavtal. ring om förhållandet till säkerhetsskyddslagen bedöms dock inte behövlig. För anställda i det allmännas verksamhet tillämpas i stället OSL. framför att det fortsatt kommer att finnas en stor osäkerhet om gränsdragningen för s.k. osjälvständiga uppdragstagare. någon inte omfattas av OSL:s tillämpningsområde kan en tystnadsplikt som motsvarar den enligt OSL finnas enligt den nu föreslagna lagen. vis kompletterar de båda regelverken varandra. Vilka uppgifter bör omfattas av tystnadsplikten? En utgångspunkt är att tystnadsplikten enligt den nya lagen så långt som möjligt ska överensstämma med den tystnadsplikt som gäller enligt OSL vid teknisk bearbetning och teknisk lagring hos det allmänna. Vid en utkontraktering kan en myndighet ha behov av att lämna vidare uppgifter som är sekretessreglerade både till skydd för allmänna intressen och till skydd för enskilds personliga eller ekonomiska förhållanden. En sekretessreglerad uppgift bör ha samma skydd hos tjänsteleverantören som hos det allmänna, oavsett vilken typ av sekretess som uppgiften omfattas av. Tystnadsplikten bör därför avse både uppgifter som skyddas av sekretess till skydd för allmänna intressen och uppgifter som skyddas av sekretess till skydd för enskilds personliga eller ekonomiska förhållanden. Regeringen vill dock betona vikten av att en myndighet noga prövar om det finns rättsligt stöd att lämna ut sekretessreglerade uppgifter till en tjänsteleverantör utan att det finns risk för skada eller men för de intressen som sekretessen ska skydda. Dessutom bör en myndighet grundligt analysera övriga risker som kan uppkomma vid en utkontraktering och ta ställning till lämpligheten i förfarandet. Det går inte dra några generella slutsatser i fråga om vilken typ av uppgifter som lämpar sig eller inte lämpar sig att hantera inom ramen för utkontraktering. Det kan finnas uppgifter som är sekretessreglerade till skydd för allmänna intressen eller till skydd för enskilds personliga eller ekonomiska förhållanden som av olika omständigheter inte bör lämnas ut till en tjänsteleverantör även om en myndighet bedömer att det inte finns några lagliga hinder mot utkontraktering. Varje myndighet behöver alltså ta ställning till lämpligheten i en utkontraktering innan avtal ingås med en tjänsteleverantör. En myndighet som lämnar ut sekretessreglerade uppgifter till en tjänsteleverantör bör också upplysa tjänsteleverantören om tystnadspliktens räckvidd. För det fall tjänsteleverantören, efter myndighetens godkännande, anlitar en underleverantör, bör myndigheten också försäkra sig om att tjänsteleverantören i sin tur informerar underleverantören om tystnadspliktens räckvidd. Någon författningsreglerad upplysningsplikt, som Förvaltningsrätten i föreslår, bedöms dock inte behövas. Den nya lagen innebär ett förbud mot att obehörigen röja eller utnyttja uppgifter. Som obehörigt röjande anses inte sådant behörigt utlämnande av uppgifter som kan ske t.ex. med stöd av lag eller med stöd av den uppdragsgivande myndighetens samtycke. Vid bedömningen av behovet av tystnadsplikt ska intresset av att uppgifterna skyddas mot obehörigt röjande och utnyttjande av tjänsteleverantörens personal vägas mot personalens intresse av yttrandefrihet. När en tjänsteleverantörs uppdrag innebär att myndighetens uppgifter endast tekniskt bearbetas eller tekniskt lagras är avsikten att tjänsteleverantörens personal inte ska ta del av själva informationsinnehållet i större utsträckning än vad som kan anses vara absolut nödvändigt för att tillhandahålla tjänsterna i fråga. Tystnadsplikt för anställda hos en tjänsteleverantör är inte heller något nytt utan regleras ofta genom sekretessförbindelser i samband med en utkontraktering. De privatanställda tjänstemännens intresse av yttrandefrihet när det gäller uppgifter av aktuellt slag bör vara Motsvarande bedömning gjordes vid den utvidgning av Prop. 2019/20:201 tystnadsplikten som gäller i det allmännas verksamhet för enbart teknisk bearbetning eller lagring (prop. 2016/17:198 s. 20). För enskilda är det av stor betydelse att uppgifter om deras personliga förhållanden, som kan vara väldigt integritetskänsliga, skyddas vid en utkontraktering. På samma sätt är det av vikt att uppgifter som är sekretessreglerade till skydd för allmänna intressen får ett ändamålsenligt skydd. För att teknisk bearbetning eller teknisk lagring av uppgifter ska kunna utkontrakteras till en tjänsteleverantör utan ett bristande sekretesskydd, kan därför tystnadsplikt inte anses mer långtgående än vad som behövs med hänsyn till regleringens ändamål. Regeringen bedömer alltså att behovet av tystnadsplikt för den som är anställd eller på något annat sätt deltar eller har deltagit i en tjänsteleverantörs verksamhet att endast tekniskt bearbeta eller tekniskt lagra uppgifter väger tyngre än intresset av yttrandefrihet för dessa personer.