prop · H703201 · 2020-09-07 00:00:00 — Regeringens proposition 2019/20:201 Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter Regeringen överlämnar denna proposition till . I propositionen föreslås en ny lag om tystnadsplikt för privata tjänsteleverantörer. Lagen ska gälla när en myndighet, eller ett organ eller en verksamhet som jämställs med en myndighet, genom utkontraktering uppdrar åt en tjänsteleverantör att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Lagen syftar till att uppgifter från en myndighet som hanteras av en tjänsteleverantör ska få ett sekretesskydd som är likvärdigt med det som gäller när en annan myndighet tillhandahåller en motsvarande tjänst. Lagen föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter................................... Ärendet och dess beredning .............................................................. Myndigheters behov av en säker och effektiv it-drift ....................... Behovet av att öka uppgiftsskyddet vid utkontraktering................. En ny lag om tystnadsplikt införs ................................................... Sammanfattning av betänkandet Juridik som stöd för förvaltningens digitalisering (SOU 2018:25) i Betänkandets lagförslag i relevanta delar......................... Förteckning över remissinstanserna ................................. Utdrag ur protokoll vid regeringssammanträde ...... antar regeringens förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. 2019/20:201 2 Förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter Härigenom föreskrivs följande. 1 § Denna lag tillämpas när en myndighet uppdrar åt ett företag eller en annan enskild (tjänsteleverantör) att endast tekniskt bearbeta eller tekniskt lagra uppgifter. 2 § Vid tillämpningen av denna lag ska med myndigheter jämställas 1.sådana aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, regioner eller kommunalförbund utövar ett rättsligt bestämmande inflytande enligt 2 kap. 3 § offentlighets- och sekretesslagen (2009:400), och 2.de organ som anges i bilagan till offentlighets- och sekretesslagen i fråga om de verksamheter som anges där. Med en myndighet ska också jämställas yrkesmässigt bedriven enskild verksamhet som till någon del är offentligt finansierad och som 1.tillhör skolväsendet, de särskilda utbildningsformerna eller annan pedagogisk verksamhet enligt 1 kap., 24 kap. eller 25 kap. skollagen (2010:800), 2.utgör hälso- och sjukvård eller tandvård enligt hälso- och sjukvårdslagen (2017:30) eller tandvårdslagen (1985:125), eller 3.bedrivs enligt socialtjänstlagen (2001:453), lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1993:387) om stöd och service till vissa funktionshindrade eller utgör personlig assistans som utförs med assistansersättning enligt 51 kap. socialförsäkringsbalken. 3 § Vid tillämpningen av denna lag ska med en tjänsteleverantör jämställas en underleverantör som medverkar till att fullgöra tjänsteleverantörens uppdrag. 4 § Den som på grund av anställning eller på något annat sätt deltar i eller har deltagit i en tjänsteleverantörs verksamhet att på uppdrag av en myndighet endast tekniskt bearbeta eller tekniskt lagra uppgifter får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400). Denna lag träder i kraft . Ärendet och dess beredning Regeringen gav en särskild utredare i uppdrag att dels kartlägga och analysera i vilken utsträckning det förekommer lagstiftning som i onödan försvårar digital utveckling och samverkan inom den offentliga förvaltningen, dels lämna förslag till de författningsändringar som bedöms ha störst potential att stödja den fortsatta digitaliseringen av den offentliga förvaltningen. Utredningen antog namnet . Utredningen lämnade betänkandet Juridik som stöd för förvaltningens digitalisering (SOU 2018:25). En sammanfattning av betänkandet i relevanta delar finns i bilaga 1. Utredningens lagförslag i relevanta delar finns i bilaga 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissyttrandena finns tillgängliga i (I2019/01021/DF). I denna proposition behandlas utredningens förslag till en ny lag om tystnadsplikt vid utkontraktering av teknisk bearbetning och lagring (avsnitt 10 i betänkandet). Utredningens förslag till en ny sekretessbrytande bestämmelse i offentlighets- och sekretesslagen (2009:400), förkortad OSL, liksom utredningens förslag i övrigt, bereds vidare i . Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet lämnar förslaget utan erinran. I förhållande till lagrådsremissen har en redaktionell ändring gjorts. Myndigheters behov av en säker och Tillgång till säker och effektiv it-drift och it-baserade funktioner är i många fall en grundläggande förutsättning för att en statlig eller myn- dighet ska kunna bedriva en ändamålsenlig verksamhet. it kan också bidra till en rättssäker och effektiv offentlig förvaltning och leverans av god service till enskilda. Eftersom myndigheter ofta hanterar uppgifter som omfattas av sekretess eller är integritetskänsliga, ställs sär- skilda krav på myndigheternas it-verksamheter. ning och utveckling av it-drift och it-baserade funktioner ofta specialist- kompetens och avancerade tekniska hjälpmedel som inte alltid kan hante- ras av varje myndighet för sig. För en del myndigheter är därför utkontrak- tering till en privat tjänsteleverantör eller anslutning till en samordnad myndighetsgemensam lösning för it-drift en förutsättning för att kunna be- Oavsett hur en myndighet väljer att anordna sitt be- hov av it-driftstjänster och it-baserade funktioner är det alltid myndigheten själv som är ytterst ansvarig för att den information som hanteras, av myn- digheten eller av någon annan, får ett ändamålsenligt skydd och i övrigt hanteras i enlighet med gällande rätt. För utkontraktering som omfattas av 2019/20:201 regelverket om säkerhetsskydd gäller särskilda förfaranderegler, se 2 kap. 6 § säkerhetsskyddsförordningen (2018:658). Ett exempel på samordnad statlig it-drift är tidsbegränsade uppdrag att erbjuda samordnad och säker statlig it-drift (I2019/ 02515/DF och Fi2017/03257/DF). Syftet med uppdraget är att pröva och utvärdera former för samordnad it-drift inom staten. Intresset för att ansluta till tjänster har varit stort bland de statliga myndigheterna. Av bl.a. den anledningen har regeringen gett en särskild utredare i uppdrag att analysera och lämna förslag på mer varaktiga former för samordnad statlig it-drift (dir. 2019:64). Uppgifter som behandlas inom ramen för samordnad it-drift mellan myndigheter omfattas av tystnadsplikt enligt OSL under förutsättning att den mottagande myndigheten endast behandlar uppgifterna som ett led i en teknisk bearbetning eller teknisk lagring, se 11 kap. 4 a § och 40 kap. 5 § OSL och 2 kap. 13 § första stycket tryckfrihetsförordningen (TF). Utkontraktering används ofta för att beskriva att en verksamhetsutövare genom upphandling, eller på annat sätt, uppdrar åt en utomstående leverantör att sköta drift, underhåll, skötsel eller liknande av en viss del av verksamheten. Termen utkontraktering har ingen legal definition och innebär inte heller någon tydlig avgränsning mellan olika organisatoriska enheter. Utkontraktering har därför olika innebörd i olika sammanhang. Med utkontraktering avses i denna proposition att en myndighet uppdrar åt en privat tjänsteleverantör att tekniskt bearbeta eller lagra myndighetens information inom ramen för myndighetens grundläggande behov av itdriftstjänster och andra it-baserade funktioner. Det kan exempelvis röra sig om uppdrag där en tjänsteleverantör tillhandahåller teknisk infrastruktur eller en teknisk plattform för it-drift och uppdrag där en tjänsteleverantör tillhandahåller it-baserade funktioner i form av t.ex. applikationer och tjänster. Vid utkontraktering av uppdrag till en privat tjänsteleverantör att tekniskt bearbeta eller tekniskt lagra uppgifter finns ingen författningsreglerad tystnadsplikt motsvarande den som finns för det allmännas verksamhet i OSL. Författningsreglerad tystnadsplikt, oavsett om den följer av OSL eller av särskilda bestämmelser om tystnadsplikt för den privata sektorn, är i regel förenad med straffansvar, se 20 kap. 3 § . För att tillgodose behovet av tystnadsplikt vid utkontraktering till en privat tjänsteleverantör upprättas vanligen ett civilrättsligt avtal om tystnadsplikt. En avtalsreglerad tystnadsplikt är dock inte straffsanktionerad. Även om ett visst uppgiftsskydd uppnås genom en avtalsreglerad tystnadsplikt, är alltså skyddet svagare än om personal som har tystnadsplikt enligt OSL eller någon annan författning hanterar uppgifterna i fråga. Var och en har rätt att ta del av allmänna handlingar, se 2 kap. 1 § TF. En handling är allmän, om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos en myndighet, se 2 kap. 4 § TF. En elek- Prop. 2019/20:201 tronisk handling anses inkommen till myndigheten när någon annan har gjort upptagningen tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas eller avlyssnas eller uppfattas på annat sätt, se 2 kap. 9 § första stycket TF. Offentlighetsprincipen har inte ansetts kräva att allmänheten ska ha tillgång till en upptagning hos en myndighet som endast tar teknisk befattning med den (prop. 1975/76:160 s. 87). Enligt 2 kap. 13 § första stycket TF anses en handling som förvaras hos en myndighet endast som ett led i en teknisk bearbetning eller teknisk lagring för någon annans räkning inte som allmän handling hos den myndigheten. En handling som är allmän hos den utlämnande myndigheten blir alltså inte allmän hos den mottagande myndigheten. I 2 kap. 9 § tredje stycket TF regleras situationen när en icke allmän handling, som någon tekniskt bearbetat eller lagrat, återkommer till den myndighet som tillhandahöll den för bearbetning eller lagring. Den bearbetade handlingen anses vid återkomsten inte vara inkommen. Bestämmelsen syftar till att förhindra att en handling endast på grund av att den skickats för teknisk bearbetning ändrar karaktär och blir allmän. I sådana fall är i stället det naturliga att se saken så att upptagningen aldrig har befunnit sig utanför myndigheten (prop. 1975/76:160 s. 137). Det finns viss rättspraxis i fråga om tillämpningen av 2 kap. 13 § första stycket TF, som gäller när en myndighet är den part som tekniskt bearbetar eller tekniskt lagrar uppgifter för någon annans räkning (se t.ex. RÅ 1994 ref. 64, HFD 2011 ref. 52 och HFD 2018 ref. 48). Det är emellertid oklart i vilken utsträckning dessa avgöranden kan tjäna som vägledning när en privat aktör har i uppdrag att tekniskt bearbeta eller tekniskt lagra handlingar för en myndighets räkning, eftersom inte samma insynsintresse gör sig gällande som när en myndighet utför motsvarande uppdrag. Sekretess hos det allmänna Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § första stycket TF begränsas endast om det är nödvändigt med hänsyn till vissa intressen, bl.a. det allmännas ekonomiska intresse och skyddet för enskilds personliga eller ekonomiska förhållanden. Sekretess innebär inte bara en begränsning av rätten att ta del av allmänna handlingar, utan även ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 § OSL). Otillåtet röjande av en sekretessbelagd uppgift är straffsanktionerat som brott mot tystnadsplikt (20 kap. 3 § ). Till den del sekretessbestämmelserna innebär tystnadsplikt medför de även en begränsning av yttrandefriheten enligt 2 kap. 1 § regeringsformen (RF) och artikel 10 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Enligt 2 kap. 20–21 §§ RF får begränsningar i yttrandefriheten endast göras i lag under vissa förutsättningar. En begränsning får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det 2019/20:201 ändamål som har föranlett den. Begränsningen får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Av 2 kap. 23 § RF framgår vidare att yttrandefriheten endast får begränsas av vissa särskilda angivna ändamål bl.a. med hänsyn till rikets säkerhet, enskildas anseende, privatlivets helgd eller om särskilt viktiga skäl föranleder det. Regleringen i RF syftar till att nödvändiga begränsningar inte ska träffa yttrande- och informationsfriheternas kärna. Även enligt , som gäller som svensk lag (lagen [1994:1219] om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna), får yttrandefriheten inskränkas under vissa förutsättningar. Sådana begränsningar måste vara föreskrivna i lag och nödvändiga i ett demokratiskt samhälle med hänsyn till statens säkerhet, till den territoriella integriteten eller den allmänna säkerheten, till förebyggande av oordning eller brott, till skydd för hälsa eller moral eller för annans goda namn och rykte eller rättigheter, för att förhindra att förtroliga underrättelser sprids eller för att upprätthålla domstolarnas auktoritet och opartiskhet. Enligt 2 kap. 19 § RF får lag eller annan föreskrift inte meddelas i strid med åtaganden på grund av . Sekretessbestämmelserna i gäller inte bara för uppgifter i allmänna handlingar. De gäller även för uppgifter som hos en myndighet finns i sådana handlingar som ännu inte har blivit allmänna, t.ex. arbetsmaterial, utkast och andra handlingar som varken har expedierats eller på annat sätt kommit att bli upprättade i TF:s mening. Förbud att röja eller utnyttja en uppgift enligt OSL eller enligt lag eller förordning som OSL hänvisar till gäller för myndigheter (2 kap. 1 § första stycket OSL). Förbudet gäller också för en person som fått kännedom om uppgiften genom att för det allmännas räkning delta i en myndighets verksamhet på grund av anställning eller uppdrag hos myndigheten, tjänsteplikt eller på annan liknande grund (2 kap. 1 § andra stycket OSL). Sekretess vid teknisk bearbetning eller teknisk lagring hos en myndighet Enligt 40 kap. 5 § OSL gäller sekretess i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning för uppgift om enskilds personliga eller ekonomiska förhållanden. Eftersom handlingar som förvaras hos en myndighet endast som ett led i en teknisk bearbetning eller teknisk lagring inte är allmänna enligt 2 kap. 13 § första stycket TF, reglerar 40 kap. 5 § OSL i praktiken endast en tystnadsplikt i det allmännas verksamhet. Denna tystnadsplikt innebär ett förbud att röja en uppgift muntligen eller på annat sätt, t.ex. genom att handlingar som inte är allmänna lämnas ut. Tystnadsplikten är absolut, vilket innebär att uppgifter som omfattas av sekretessen ska hemlighållas utan någon skadeprövning. Bestämmelsens tillämpningsområde är detsamma som för undantaget från vad som är en allmän handling i 2 kap. 13 § första stycket TF. Enligt 40 kap. 8 § OSL inskränker tystnadsplikten rätten att meddela och offentliggöra uppgifter som annars följer av TF och yttrandefrihetsgrundlagen (YGL). I 11 kap. 4 a § OSL anges att om en myndighet, i verksamhet för enbart Prop. 2019/20:201 teknisk bearbetning eller teknisk lagring, för en annan myndighets räkning får en uppgift som hos den senare myndigheten är sekretessreglerad av hänsyn till ett allmänt intresse, ska sekretessbestämmelsen även tillämpas hos den mottagande myndigheten. Har den sekretess som överförs företräde framför rätten att meddela och offentliggöra uppgifter, gäller detta även hos den mottagande myndigheten. Genom att sekretessen överförs hindras att uppgifter i en upptagning som är sekretessreglerad av hänsyn till ett allmänt intresse hos den utlämnande myndigheten blir offentliga hos den mottagande myndigheten. Skälet till detta är bl.a. den ökade myndighetssamverkan inom it-driftsområdet, både i fråga om drift av it-system och tjänster som elektroniska arkiv (se prop. 2016/17:198 s. 22). Tystnadsplikt i privat verksamhet Bestämmelser om tystnadsplikt för funktionärer inom den privata sektorn finns i allmänhet i de författningar som reglerar den verksamhet där tystnadsplikten gäller. En föreskrift om tystnadsplikt är i regel förenad med straffansvar enligt 20 kap. 3 § , förutsatt att det inte i författningen eller på annat håll finns en särskild straffbestämmelse som reglerar brott mot tystnadsplikten. I flera författningar regleras tystnadsplikt specifikt för privata utförare av offentligt finansierade tjänster. Här kan bl.a. nämnas tystnadsplikt för den som är eller har varit verksam i enskilt bedriven förskola, fritidshem eller förskoleklass enligt 29 kap. 14 § skollagen (2010:800), tystnadsplikt för den som är eller har varit verksam inom yrkesmässigt bedriven enskild verksamhet som avser insatser enligt socialtjänstlagen enligt 15 kap. 1 § socialtjänstlagen (2001:453) och tystnadsplikt inom den privata hälso- och sjukvården enligt 6 kap. 12–14 och 16 §§ patientsäkerhetslagen (2010:659). Enligt säkerhetsskyddslagen (2018:585) gäller att den som på grund av anställning eller på annat sätt deltar eller har deltagit i säkerhetskänslig verksamhet inte obehörigen får röja eller utnyttja säkerhetsskyddsklassificerade uppgifter (5 kap. 2 §). Syftet med tystnadspliktsbestämmelserna är bl.a. att uppgifter som behandlas inte ska få ett sämre skydd när de hanteras i enskild verksamhet än när motsvarande hantering sker hos en myndighet. Det finns ingen anledning att göra skillnad på tystnadspliktsförhållandena för privatanställda och offentliganställda (prop. 2017/18:89 s. 120). Vid tolkningen av bestämmelserna om tystnadsplikt kan ledning sökas i OSL:s motsvarande bestämmelser. Utgångspunkten är att det ska vara en nära överensstämmelse när det gäller innebörden av de olika bestämmelserna om tystnadsplikt för offentlig respektive enskild verksamhet. Rätten att meddela och offentliggöra uppgifter Med rätten att meddela och offentliggöra uppgifter avses de rättigheter som följer av 1 kap. 1 och 7 §§ TF och 1 kap. 1 och 10 §§ YGL. meddela och offentliggöra uppgifter har som huvudregel företräde framför 2019/20:201 tystnadsplikten men aldrig företräde framför handlingssekretessen (7 kap. 20 § 1 och 22 § första stycket 2 TF samt 5 kap. 1 § och 4 § första stycket 2 YGL). Det kan alltså vara tillåtet att t.ex. muntligen lämna en sekretessbelagd uppgift till en journalist eller att själv publicera uppgiften, men det är aldrig tillåtet att med stöd av rätten att meddela och offentliggöra uppgifter lämna den allmänna handling där den sekretessbelagda uppgiften finns till en journalist eller att själv publicera denna handling. I ett antal fall har emellertid även tystnadsplikten företräde framför rätten att meddela och offentliggöra uppgifter. I dessa fall är alltså rätten att meddela och offentliggöra uppgifter helt inskränkt. Varje gång en ny sekretessbestämmelse införs måste det övervägas om den tystnadsplikt som följer av den föreslagna bestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Utgångspunkten är att stor återhållsamhet ska iakttas vid en sådan bedömning. 6Behovet av att öka uppgiftsskyddet vid utkontraktering För vissa statliga och kommunala myndigheter kan möjligheten att utkontraktera hela eller delar av it-driften eller de it-baserade funktionerna till en privat tjänsteleverantör vara en förutsättning för att verksamheten ska kunna bedrivas ändamålsenligt och kostnadseffektivt. Grundläggande vid sådan utkontraktering är att myndigheten alltid är ytterst ansvarig för att den information som lämnas ut får ett effektivt och ändamålsenligt skydd och i övrigt hanteras i enlighet med gällande rätt. Det innebär bl.a. att uppgifter som lämnas ut till en tjänsteleverantör inte får vara belagda med sekretess enligt OSL eller omfattas av tystnadsplikt enligt någon annan reglering. I en utkontrakteringssituation är det inte ovanligt att tjänsteleverantören hanterar en stor mängd av myndighetens uppgifter inom ramen för uppdraget. Så kan exempelvis vara fallet vid utkontraktering av diarie- och ärendehanteringssystem eller system för kontorsstöd som omfattar t.ex. e-post, kalender och dokumenthanteringsstöd. Utmärkande för den här typen av tjänster är att det pågår ett uppgiftsflöde. När det exempelvis gäller e-postsystem har en myndighet typiskt sett dessutom begränsad möjlighet att styra över vilka uppgifter som tillförs av enskilda som kommunicerar digitalt med myndigheten. Detta innebär att en myndighet som står inför en utkontraktering inte alltid har exakt kännedom om vilka uppgifter som kan komma att lämnas ut till den uppgiftsmottagande leverantören. Vid utlämnande av en omfattande uppgiftsmängd kan det också vara svårt att bilda sig en uppfattning om huruvida det finns enskilda uppgifter som är förknippade med särskild skaderisk i sekretesshänseende (jfr prop. 1979/80:2 Del A s. 81). Utredningen beskriver att flera myndigheter upplever att rättsläget är oklart när det gäller de rättsliga förutsättningarna för att lämna ut sekretessreglerade uppgifter till en privat tjänsteleverantör i samband med utkontraktering. Ytterligare komplexitet följer av att en tjänsteleverantörs affärsmodell kan vara svår att överblicka. Det är exempelvis inte ovanligt att en tjänsteleverantör anlitar en eller flera underleverantörer som har i uppdrag att bidra till att leverantören uppfyller sina förpliktelser gentemot den uppdragsgivande myndigheten. Myndigheten måste alltså i sin prövning av om utkontraktering kan ske även beakta att en eller flera underleverantörer kan komma att ges tillgång till myndighetens uppgifter. I syfte att uppnå ett högre uppgiftsskydd hos en uppgiftsmottagande tjänsteleverantör är det vanligt att en myndighet tecknar en sekretessförbindelse med tjänsteleverantören. En sådan lösning förespråkas också i förarbetena till den tidigare sekretesslagen (1980:100) när det finns behov av tystnadsplikt för andra personkategorier än de som omfattas av en författningsreglerad tystnadsplikt (prop. 1979/80:2 Del A s. 128). En avtalsreglerad tystnadsplikt innebär dock inte att straffansvar för brott mot tystnadsplikten kan uppkomma om tystnadsplikten bryts. Det är inte heller tydligt i vilken utsträckning en avtalsreglerad tystnadsplikt möjliggör utlämnande av annars sekretessbelagda uppgifter till en tjänsteleverantör. En sekretessförbindelse för en tjänsteleverantörs medarbetare gäller dessutom endast i förhållande till arbetsgivaren, dvs. En medarbetare som bryter mot sitt sekretessåtagande kan drabbas av sanktioner bara om det följer av avtalet, vilket i första hand är en fråga mellan avtalsparterna, dvs. arbetsgivaren och arbetstagaren. De sanktioner som kan komma i fråga är exempelvis skyldighet att betala skadestånd eller uppsägning. Även om en avtalsreglerad tystnadsplikt inte innebär att straffansvar för brott mot tystnadsplikt kan uppkomma, medför en sådan tystnadsplikt att de uppgifter som hanteras av leverantören får ett visst högre skydd i dennes verksamhet. Förekomsten av en avtalsreglerad tystnadsplikt kan därmed vägas in i den sekretessprövning en myndighet ska göra innan en utkontraktering inleds. Även tjänsteleverantörens uppdrag är en omständighet som kan vägas in i prövningen.