sou · H9B397 · 2021-12-15 00:00:00 — Även här kan konstateras att regeln om att en ekonomisk aktör kan begära överprövning visserligen inte har någon omedelbar rele- vans för bedömningen av vad som utgör en upphandlande myndig- het, men att det kan uppstå ur upphandlingsrättsligt hänseende märk- liga konsekvenser om en statlig myndighet kan vara att betrakta som en ekonomisk aktör som myndigheten är en del av den upp- handlande myndigheten staten. Mot bakgrund av ovan redovisad praxis kan det finnas anledning att tolka begreppet upphandlande myndighet i ljuset av bestämmel- serna om rätt till överprövning, storlek på upphandlingsskadeavgift och tröskelvärden. Kan andra åtgärder än befogenhetsöverföringar vara undantagna från tillämpningsområde med stöd av artikel 4.2 FEUF? har i Remondis och det följande avgörandet Porin kaupunki utvecklat en praxis kring åtgärder som är undantagna från tillämpningsområde för att de omfattas av artikel 4.2 FEU. I sina avgöranden har uppställt kriterier för att en åtgärd ska utgöra en s.k. befogenhetsöverföring som omfattas av artikel 4.2 FEU, och därmed inte omfattas av upphandlingsregler- ingens tillämpningsområde. En fråga som inställer sig är om EU-dom- stolen genom denna praxis på ett uttömmande vis tagit ställning till vilka åtgärder som genom att de omfattas av artikel 4.2 ska undantas upphandlingsregleringen. Ett konstaterande att det inte kan uppstå ett upphandlingspliktigt kontrakt vid köp mellan två statliga myndigheter på grund av att det inte uppstår rättsligt bindande rättigheter och skyldigheter myndig- heterna emellan, får i någon utsträckning förstås som att det i slut- ändan är en fråga hänförlig till hur en medlemsstat väljer att internt organisera sig. Det kan å ena sidan konstateras att den åtgärd som Marknadsrättsliga förutsättningar för samordnad it-drift var föremål för prövning i HFD 2021 ref 35 inte uppfyllde de krite- rier som uppställt i sin praxis kring befogenhetsöver- föringar. Å andra sidan så finns det inte något uttalande i Remondis eller Porin kaupunki som indikerar att domstolen i dessa två avgöran- den haft för avsikt att på ett uttömmande vis uttala sig om vilka åtgärder som omfattas av det skyddade området enligt artikel 4.2 FEU. Slutsatser rörande rättsläget avseende köp mellan statliga myndigheter HFD:s avgörande i HFD 2018 ref. 67 ger vid handen att en myndig- het som ingår i en juridisk person kan vara en egen upphandlande myndighet, under förutsättning att myndigheten genomför sina upp- handlingar självständigt. Det kan framstå som motstridigt att en stat- lig myndighet kan vara att betrakta som en egen upphandlande myn- dighet som myndigheten inte är fristående på det sättet som krävs för att kontrakt i upphandlingsrättslig mening ska upp- komma vid ett köp av en annan statlig myndighet. har HFD i HFD 2021 ref. 35 med stor tydlighet uttalat att det inte kan uppkomma ett kontrakt i upphandlingsrättslig mening mellan statliga myndigheter. Domstolen har inte heller bedömt att det förelegat någon sådan oklarhet som gett anledning att inhämta förhandsavgörande från . Rättsläget måste mot denna bakgrund anses klarlagt, i alla fall på ett nationellt plan, på så vis att köp mellan två statliga myndigheter inte omfattas av upphandlings- regleringen. 9Rättsliga förutsättningar för informationshantering inom samordnad it-drift I detta kapitel redogör vi för vissa rättsliga förutsättningar för den informationshantering som aktualiseras vid samordnad it-drift. För det första lämnar vi en redogörelse för begreppet ”endast tek- nisk bearbetning och teknisk lagring för annans räkning” enligt 2 kap. 13 § första stycket tryckfrihetsförordningen (TF). Begreppet före- kommer även i offentlighets- och sekretesslagen (2009:400) (OSL) och lagen (2020:914) om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter (tystnadspliktslagen) samt i den sekretessbrytande bestämmelse som vi föreslagit i delbetänkandet ska införas i OSL. För det andra berör vi vissa bestämmelser i dataskyddsregleringen som har betydelse för samordnad it-drift, bl.a. avseende roller vid per- sonuppgiftsbehandling och personuppgiftsbiträdesavtal. 9.2Teknisk bearbetning och teknisk lagring En handling som förvaras hos en myndighet endast som ett led i en teknisk bearbetning eller teknisk lagring för någon annans räkning är inte allmän (2 kap. 13 § första stycket TF). Det bör noteras att bestämmelsen ska tillämpas oavsett om handlingen förvaras för någon annan myndighets eller för enskilds räkning. En särskild fråga för utredningen att ta ställning till är om denna bestämmelse är tillämplig vid samordnad it-drift. Frågan är med andra Rättsliga förutsättningar för informationshantering inom samordnad it-drift ord om den ovan nämnda undantagsbestämmelsen kan tillämpas när en myndighet vid tillhandahållande av tjänster inom it-drift hanterar en annan myndighets handlingar. Detta har betydelse i flera olika avseenden. Om handlingarna inte är allmänna behöver de exempelvis inte diarieföras hos den myndighet som tillhandahåller it-drift. Det finns även vissa sekretessbestämmelser i som är tillämpliga när det är fråga om informationshantering som är begränsad till enbart teknisk bearbetning och teknisk lagring för annans räkning. Syftet med detta avsnitt är att identifiera den närmare innebörden av vad som avses med formuleringen endast teknisk bearbetning eller teknisk lagring för annans räkning. En åtgärd som någon vidtar endast som ett led i en teknisk bearbet- ning eller teknisk lagring av en handling som en myndighet har till- handahållit ska inte anses leda till att handlingen har kommit in till den myndigheten (2 kap. 9 § andra stycket TF). Bestämmelsen inne- bär alltså att om en myndighet anlitar t.ex. en extern aktör som endast tekniskt lagrar eller tekniskt bearbetar en handling, så ska denna hand- ling inte anses inkommen till myndigheten när den återvänder dit. Får en myndighet i verksamhet för enbart teknisk bearbetning eller teknisk lagring för en annan myndighets räkning en uppgift som hos den senare myndigheten är sekretessreglerad av hänsyn till ett allmänt intresse, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten (11 kap. 4 a § OSL). Sekretessen över- förs endast om uppgiften är sekretessreglerad av hänsyn till ett all- mänt intresse. Av 11 kap. 8 § följer att bestämmelsen inte gäller om en primär sekretessbestämmelse till skydd för samma intresse redan är tillämplig för uppgifterna hos den mottagande myndigheten. I sådant fall ska i stället den primära sekretessbestämmelsen tillämpas, oavsett om den primära sekretessen är starkare eller svagare än sekretess som överförs enligt 11 kap. 4 a § OSL. Enligt 40 kap. 5 § OSL gäller att sekretess gäller i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning för uppgift om en enskilds personliga eller ekonomiska för- hållanden. Rättsliga förutsättningar för informationshantering inom samordnad it-drift Enligt tystnadspliktslagen får den som på grund av anställning eller på något annat sätt deltar i eller har deltagit i en tjänsteleveran- törs verksamhet att på uppdrag av en myndighet endast tekniskt be- arbeta eller tekniskt lagra uppgifter inte obehörigen röja eller ut- nyttja dessa uppgifter (4 §). I det följande kommer bestämmelsen i 2 kap. 13 § första stycket TF stå i fokus. 9.2.3Vad avses med teknisk bearbetning eller teknisk lagring Lagmotiven till tryckfrihetsförordningen, offentlighets- och sekretesslagen och sekretesslag I specialmotiveringen till dåvarande 2 kap. 6 § tredje stycket TF (nu- varande 2 kap. 9 § tredje stycket TF) angavs som exempel på teknisk bearbetning överföring av ett maskinskrivet manuskript till magnet- band, tryckning eller kopiering av manuskript, redigering av ljudupp- tagningar på magnetband, överföring av sådana upptagningar till gram- mofonskiva samt framkallning av fotografiskt material (prop. 1975/ 76:160 s. 137 f.).1 Vidare påpekades att med åtgärder som vidtas en- dast som led i en teknisk lagring skulle förstås sådana former av lag- ring som kräver särskilda tekniska anordningar, t.ex. lagring av infor- mation i skivminne eller på magnetband. De aktuella bestämmelserna i har ändrats sedan de tillkom . Några ytterligare uttalanden om hur for- muleringen teknisk bearbetning eller teknisk lagring ska förstås har inte lämnats av regeringen (prop. 2009/10:58 s. 37 och prop. 2017/ 18:49 s. 193 f.). Inte heller i lagmotiven till bestämmelserna i eller lagmoti- ven till 9 kap. 7 § sekretesslagen (1980:400) som i det närmaste mot- svarar 40 kap. 5 § OSL gjordes några sådana uttalanden (prop. 1979/80:2 Del A s. 272, prop. 1997/98:44 s. 150, prop. 2008/09:150 s. 371 och prop. 2016/17:198 s. 15 ff. och 28 f.). 11Bestämmelserna i 2 kap. 9 § tredje stycket och 13 § första stycket TF erhöll sina nuvarande placeringar . Den förstnämnda bestämmelsen återfanns tidigare i 2 kap. 6 § tredje stycket TF och den senare i 2 kap. 10 § första stycket TF. När vi i det följande hänvisar till 2 kap. 6 § tredje stycket och 10 § TF avses dåvarande bestämmelser. Rättsliga förutsättningar för informationshantering inom samordnad it-drift I den proposition som föregick tystnadspliktslagen uttalas att med uttrycket utkontraktering avses att en myndighet uppdrar åt en privat tjänsteleverantör att tekniskt bearbeta eller lagra myndighetens in- formation inom ramen för myndighetens grundläggande behov av it-driftstjänster och andra it-baserade funktioner (prop. 2019/20:201 s. 6). Som exempel på en utkontraktering angavs uppdrag där en tjänsteleverantör tillhandahåller teknisk infrastruktur eller en teknisk plattform för it-drift och uppdrag där en tjänsteleverantör tillhanda- håller it-baserade funktioner i form av t.ex. applikationer och tjänster. Vilka åtgärder som kan omfattas av teknisk bearbetning eller tek- nisk lagring behöver enligt specialmotiveringen till 1 § tolkas i för- hållande till dagens digitala informationshantering och den fortgående tekniska utvecklingen (s. 22). Vidare sägs följande (med reservation för att värdet av uttalandena i någon mån är begränsat eftersom dessa förarbeten inte rör bestämmelsen i 2 kap. 13 § TF). En tjänsteleverantör kan exempelvis ha i uppdrag att införa, förvalta, ut- veckla och avveckla en tjänst åt en myndighet. Tjänste- leverantören kan under dessa olika faser behöva vidta en mängd olika åtgärder som innefattar teknisk bearbetning eller teknisk lagring av upp- gifter för att upprätthålla den tillgänglighet, funktionalitet och pre- standa i tjänsten som har avtalats mellan parterna. Sådana åtgärder kan röra sig om förändring och tillägg i en befintlig tjänsts funktionalitet, etablering av en tilläggstjänst, integration mot andra tjänster, konfigu- ration, test och utveckling samt tillhandahållande av supporttjänster. Det kan också röra sig om säkerhetshöjande åtgärder som uppgradering, uppdatering, säkerhetskopiering, kryptering, anonymisering, pseudo- nymisering och incidenthantering. Vid avveckling av en tjänst kan myn- dighetens information behöva migreras eller exporteras tillbaka till myn- digheten eller till en annan tjänsteleverantör. () har meddelat fyra domar som rör tolkningen av formuleringen endast teknisk bearbet- ning eller teknisk lagring för annans räkning. Såvitt vi har kunnat finna har kammarrätterna meddelat sammanlagt 14 domar i samma ämne. Sannolikt har det meddelats fler domar som Rättsliga förutsättningar för informationshantering inom samordnad it-drift viinte tagit del av. Det finns härutöver en dom från Förvaltnings- rätten i i vilken tolkningen av nämnda formulering berörs indirekt. Samtliga domar, utom domen från förvaltningsrätten, har inletts med att en sökande begärt ut handlingar från en myndighet eller någon annan organisation som har att tillämpa OSL (se 2 kap. 3 § OSL). Bestämmelsen i 2 kap. 13 § första stycket TF har stått i fokus. I vissa fall har varken den beslutande myndigheten eller kammarrätten läm- nat några materiella skäl för sina bedömningar. Båda instanser har i princip endast citerat lagtexten och konstaterat att myndighetens befattning med handlingarna endast utgjort ett led i teknisk bearbet- ning eller teknisk lagring för annans räkning. Rekvisitet teknisk bearbetning eller teknisk lagring har följaktligen bedömts vara upp- fyllt i dessa fall (liksom övriga rekvisit). Dessa fall har rört en begäran att från få ut ett antal myndigheters ekonomidata som fanns i ett datasystem förvaltat av verket (RÅ 1994 ref. 64), en begäran om att från få ut inloggningsuppgifter och dagboksanteckningar från de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas mål- hanteringssystem (som tillhandahålls av ) (Kammarrätten i dom i mål nr 2692-10), en begäran om att från få ut bl.a. kopior på vissa e-postmeddelanden från tre anställda vid en tingsrätt och listor över samtliga e-postmeddelanden som hade skickats in och ut från dessa tre anställdas e-postbrevlådor (Kammarrätten i dom i mål nr 1929-12) och en begäran att hos en kommunstyrelse som ansvarade för kommungemensam it-verksamhet att få ut uppgifter om vilka av kommunens folkvalda som var gode män eller förvaltare (Kammarrätten i dom i mål nr 428-17). Dessa domar kommer inte behandlas ytterligare. I rättsfallet RÅ 1999 ref. 18 var fråga om undantagsbestämmelsen i2 kap. 10 § första stycket TF var tillämpligt på s.k. cookie-filer som fanns i datorer tillhörande kommunanställda. En cookie-fil är en data- fil som kan översändas till en dator i samband med att datorn via internet får kontakt med en hemsida som lagras på en annan dator. När denna dator tillhandahåller den efterfrågade informationen skickar den med cookie-filen. Det ska också sägas att mottagaren av filen har möjlighet att avstå från att ta emot informationen och Rättsliga förutsättningar för informationshantering inom samordnad it-drift att radera den. Avsändaren saknar däremot möjlighet att förfoga över informationen. HFD kom bl.a. fram till att det inte var fråga om någon teknisk bearbetning av cookie-filen. Enligt domstolens bedömning kunde det inte – även om det skulle vara fråga om teknisk lagring i någon mening – sägas att denna sker för någon annans räkning. Som vi upp- fattar detta håller domstolen öppet för att cookie-filen var föremål för en teknisk lagring. HFD 2011 ref. 52 (Handlingarna från polismyndigheten) En sökande hade hos dåvarande i län begärt ut en tillbudsanmälan som upprättats av myndigheten i rapporter- ingssystemet Lokalt Informationssystem för Sammanställning av Arbetsskador (). I målet var det klarlagt att vissa befattningshavare hos Rikspolis- styrelsen hade rikstäckande administrationsbehörighet till för att kunna bistå polismyndigheterna med hjälp av teknisk natur. Riks- polisstyrelsen hade även till uppgift att framställa nationell statistik och att rapportera till . I en central passus anförde HFD följande. I målet aktuella handlingar består av uppgifter som har förts in i data- basen av polismyndigheten. Vissa befattningshavare hos Rikspolis- styrelsen har därefter i enlighet med behörighetsvillkoren för databasen kunnat ta del av dem i läsbart skick för att bl.a. framställa nationell sta- tistik och rapportera till . har således haft tillgång till uppgifterna. I vart fall den nu beskrivna användningen av uppgifterna kan inte anses hänförlig till sådan teknisk bearbetning eller teknisk lagring som avses i 2 kap. 10 § TF. Domskälen kan tolkas som att det är HFD:s mening att Rikspolis- styrelsens hantering av handlingarna inte ens uppfyllde rekvisitet tek- nisk bearbetning eller teknisk lagring.2 Det bör noteras att sökanden hade begärt ut handlingarna hos Polis- myndigheten i län och inte hos . Frågan i målet var om polismyndigheten hade expedierat handlingarna till Riks- 2I detta sammanhang bör också nämnas att omständigheterna i Kammarrätten i dom av i mål nr 1195-11 i princip var identiska med de som var förelåg i HFD 2011 ref. 52. I målet gjordes emellertid bedömningen att de aktuella handlingarna var föremål för en teknisk bearbetning eller teknisk lagring. Rättsliga förutsättningar för informationshantering inom samordnad it-drift polisstyrelsen med följd att handlingarna hos polismyndigheten skulle betraktas som allmänna. En till synes självklar utgångspunkt vid be- dömningen var att handlingarna inte kunde betraktas som expedie- rade om hantering av handlingarna var att betrakta som endast en teknisk bearbetning eller teknisk lagring för annans räkning enligt 2 kap. 10 § första stycket TF. Något uttryckligt stöd för detta finns inte i TF. Vi kan emellertid konstatera att bestämmel- sen i 2 kap. 9 § tredje stycket TF skulle bli meningslös om handlingarna skulle betraktas som expedierade även i de fall den mottagande myn- dighetens hantering av handlingarna skulle vara att betrakta som endast en teknisk bearbetning eller teknisk lagring för annans räk- ning enligt 2 kap. 10 § första stycket TF. I 2 kap. 9 § tredje stycket och 13 § första stycket TF heter det endast som ett led i en teknisk bearbetning eller teknisk lagring, i 11 kap. 4 a § och 40 kap. 5 § OSL heter det enbart teknisk bearbetning eller teknisk lagring och i 4 § tystnadspliktslagen talas om endast tekniskt bearbeta eller tekniskt lagra. Det är alltså – för att de ovan nämnda bestämmelserna ska vara tillämpliga – inte tillräckligt att handlingarna eller uppgifterna tekniskt bearbetas eller lagras. Vare sig i lagmotiven till TF eller OSL berörs vad som närmare avses med detta. I lagmotiven till tystnadspliktslagen behandlas det fallet att en myndighet rörande uppgifter utkontrakterar uppdrag av olika karaktär till samma tjänsteleverantör, t.ex. ett uppdrag som inne- bär att leverantören endast tekniskt bearbetar eller lagrar uppgifter och ett annat uppdrag som omfattar åtgärder rörande uppgifterna som går utöver detta (prop. 2019/20:201 s. 22). I dessa fall – sägs det –är tystnadspliktslagen endast tillämplig i det förstnämnda fallet och bara på sådana uppgifter som inte dessutom hanteras inom ramen för det andra uppdraget. Det ovan nämnda uttalandet tar sikte på det fallet att en privat tjänsteleverantör som hanterar en myndighets uppgifter. Som saken måste uppfattas omfattas inte en uppgift som – på sätt som ovan be- skrivits – förekommer i två skilda sammanhang av tystnadsplikten. I ett sådant fall kan man alltså inte säga att myndigheten ifråga upp- Rättsliga förutsättningar för informationshantering inom samordnad it-drift dragit åt en tjänsteleverantör att endast tekniskt bearbeta eller tek- niskt lagra uppgifter. Tystnadspliktslagen gäller för uppgifter medan 2 kap. 13 § första stycket TF gäller för handlingar. Som följer av 2 kap. 3 § TF omfattas även upptagningar som endast med tekniska hjälpmedel kan läsas eller avlyssnas eller uppfattas på annat sätt av uttrycket handling. En särskild fråga är hur man ska se på det fallet att en myndighet förva- rar ett exemplar av en handling som ett led i en teknisk bearbetning eller teknisk lagring för annans räkning och ytterligare ett exemplar av handlingen i ett sammanhang som går utöver endast teknisk be- arbetning eller teknisk lagring för annans räkning. Kan undantags- bestämmelsen i 2 kap. 13 § första stycket TF i ett sådant fall tillämpas i det förstnämnda sammanhanget? Kan man säga att myndigheten förvarar handlingen endast som ett led i en teknisk bearbetning eller teknisk lagring? E-samverkansprogrammet (eSam) har i skriften Juridisk vägled- ning för verksamhetsutveckling inom e-förvaltningen 3.0 diskuterat s.k. egna utrymmen. Med eget utrymme förstås enligt eSams defini- tion ett skyddat förvar som tillhandahålls enligt 2 kap. 10 § första stycket TF endast som ett led i en teknisk bearbetning eller teknisk lagring för annans räkning (s. 10). Det är med andra ord fråga om ett digitalt utrymme som tillhandahålls av en myndighet där den enskilde kan spara t.ex. utkast till inlagor m.m. och därifrån skicka in dem till myndigheten. Enligt den bedömning som eSam gör kan en handling befinna sig i ett elektroniskt förvar som en myndighet tillhandahåller utan att utgöra allmän handling där eftersom den omfattas av undan- tagsbestämmelsen i 2 kap. 10 § första stycket TF (s. 16 och not 17). kan – enligt eSam – ett exemplar av samma handling befinna sig i samma myndighets verksamhetssystem och där vara allmän. Information kan alltså – vid tillämpningen av 2 kap. 10 § första stycket TF – förvaras i två olika exemplar som bedöms var för sig. I ett avgörande från Kammarrätten i imål nr 3610-19 berördes en närbesläktad frågeställning. Bakgrun- den i målet kan sammanfattas enligt följande. Handlingar hänförliga till domstolarnas och nämndernas mål- och ärendehantering – t.ex. avgöranden, utkast till avgöranden eller inlagor från parterna – används inte i verk- samhet eller för att lämnas vidare till andra. Det finns emellertid per- Rättsliga förutsättningar för informationshantering inom samordnad it-drift sonal hos s.k. VERA-support som har tillgång till dessa handlingar. är statistikansvarig myndighet för statistik om domstolarnas verksamhet. Viss information från hämtas därför ut till ett datalager. I datalagret hanteras enbart information för att möjliggöra sammanställningar, statistiska analyser och uppföljningar via statistikverktyg. Handlingar hänförliga till mål- och ärendehan- teringen hämtas inte ut från och förvaras alltså inte heller i datalagret. Den personal som arbetar med statistikframställningen har inte själv tillgång till VERA:s databas utan endast till delar av data- lagret. Målet inleddes med att en person begärde ut en dom meddelad av från . Frågan som kammarrätten hade att ta ställning till var om domen från utgjorde en all- män handling hos . Kammarrätten fann att domen utgjorde en allmän handling hos såvida inte undantagsbestämmelsen i 2 kap. 13 § första stycket TF var tillämplig. Som domen måste uppfattas var det kammarrättens bedömning att domen från var föremål för teknisk lagring för annans räkning hos . Den fråga som kammarrätten ställde sig var om domen enbart var föremål för teknisk lagring eller teknisk bearbetning för annans räkning. När det gäller det förhållandet att personalen i VERA-supporten hade tillgång till domen i läsbart skick gjorde kammarrätten bedömningen att infört sådana administrativa och tekniska be- gränsningar ifråga om personalens tillgång som enligt HDF 2018 ref. 48 krävs för att rekvisitet endast i 2 kap. 13 § första stycket TF ska vara uppfyllt (se avsitt 1.4.2). Problemet var emellertid att det hos fanns andra personalkategorier som hade en mera fri tillgång till den del av , som genererade uppgifter som används för att ta fram statistik. Frågan var om detta påverkade be- dömningen av om den aktuella domen är en allmän handling hos eller inte. Enligt den bedömning som kammarrätten gjorde måste – i ett fall likt det som förelåg – varje del av systemet och den information den delen innehåller prövas för sig. I linje med detta menade kammarrät- ten att det förhållandet att vissa av anställda har en mer fri tillgång till den del av som genererar uppgifter som används för att ta fram statistik inte innebar att de handlingar som Rättsliga förutsättningar för informationshantering inom samordnad it-drift fanns i i läsbart skick blev allmänna handlingar hos Dom- stolsverket. Det beror på – enligt kammarrätten – att den personalen inte hade tillgång till de handlingarna. Tekniska och administrativa begränsningar (HFD 2018 ref. 48) I rättsfallet HFD 2018 ref. 48 uppstod frågan om bestämmelsen i 2 kap. 10 § första stycket TF var tillämplig ifråga om rapporter från en privat vårdgivare som förvarades i ett elektroniskt verksamhets- system hos en kommun.3 Enligt domskälen krävs det för att rekvisi- tet endast som ett led i en tekniskt bearbetning eller tekniskt lagring ska vara uppfyllt att myndigheten såväl tekniskt som administrativt begränsat den egna personalens tillgång till uppgifterna så att dessa inte är tillgängliga i läsbart skick.