sou · H9B397 · 2021-12-15 00:00:00 — Europeiska data- skyddsstyrelsen har gjort tolkningen att så inte är fallet, utan att den nationella rätten kan kompletteras med ett avtal eller annan nationell rätt som inkluderar resten av de obligatoriska villkoren.7 Regeringen gjorde i samband med översynen av behovet av författ- ningsändringar på de fastighetsrättsliga, associationsrättsliga, transport- rättsliga och immaterialrättsliga områdena i anledning av dataskydds- 7Europeiska dataskyddsstyrelsen (2021), Guidelines 07/2020 on the concepts of controller and processor in the GDPR version 2.0, antagna , s. 32, p. Rättsliga förutsättningar för informationshantering inom samordnad it-drift förordningen bedömningen att kraven på personuppgiftsbiträdens behandling av personuppgifter i fastighetsregistret lämpligen regleras i en författning i stället för i ett avtal. Regeringen föreslog därför en rätt för Lantmäteriet att (i egenskap av personuppgiftsansvarig) med- dela föreskrifter i anledning av artikel 28.3 i dataskyddsförordningen.8 Av 83 § förordningen (2000:308) om fastighetsregister framgår bl.a. att Lantmäteriet får meddela sådana föreskrifter om personupp- giftsbiträdens hantering av personuppgifter som avses i artikel 28.3 i dataskyddsförordningen. Sådana föreskrifter har meddelats av Lant- mäteriet i Lantmäteriets föreskrifter om kommuners och kommu- nala lantmäterimyndigheters personuppgiftsbehandling vid registrer- ingsåtgärder i fastighetsregistret (LMFS 2018:3). Vi kan sammanfattningsvis konstatera att dataskyddsförord- ningen lämnar ett utrymme för medlemsstaterna att reglera villkoren för ett personuppgiftsbiträdes behandling av personuppgifter i natio- nell rätt. Det enda exempel som vi kunnat finna på en sådan reglering i är ovan nämnda föreskrifter från Lantmäteriet. Vi kan också konstatera att med den tolkning av dataskyddsförordningen som EDPB gör så måste inte samtliga villkor för personuppgiftsbiträdets behandling framgå av den nationella rätten, utan delar av villkoren kan regleras i ett avtal som kompletterar den nationella rätten. 8Ds 2017:19 Anpassningar av de fastighetsrättsliga, associationsrättsliga, transporträttsliga och immaterialrättsliga författningarna till dataskyddsförordningen, s. 128 f. 10Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift I detta kapitel redogör vi för våra överväganden och förslag när det gäller utgångspunkter och principer för varaktiga former för samord- nad och säker statlig it-drift, dvs. sådant som bör gälla oavsett hur en samordnad statlig it-drift närmare organiseras. Det handlar om for- mer för organisering och styrning, inriktning för tjänsteutbud liksom principer för anslutning, säkerhet och finansiering. 10.1Regeringen bör inrätta varaktiga former för samordnad statlig it-drift Utredningens bedömning: Många myndigheter saknar vik- tiga förutsättningar för att kunna välja säkra och kostnadseffek- tiva it-driftslösningar i sin verksamhet. För att kunna välja rätt it- driftslösning finns det därför behov av stöd. Våra kartläggningar visar också att det finns ett brett intresse av it-driftstjänster som tillhandahålls av en annan myndighet, även om myndigheternas behov och förutsättningar varierar. Regeringen bör därför skapa bättre förutsättningar för myndigheter att få stöd i val av it-drifts- form. Utredningens förslag: Regeringen ska inrätta varaktiga former för en samordnad statlig it-drift. Den samordnade statliga it-driften ska bidra till att lösa gemensamma behov och problem. Den sam- ordnade statliga it-driften ska också stödja myndigheterna i arbetet med att välja säkra och kostnadseffektiva lösningar för it-drift – från informationskartläggning och -klassificering till val av it-drifts- Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift form: egen regi, samordnad statlig regi eller genom utkontrak- tering till en privat leverantör. I detta ingår att regeringen skapar varaktiga former för ett samordnat statligt tjänsteutbud. som globalisering och digitalisering bidrar till förutsätt- ningar för välstånd, tillväxt och utveckling så ökar sårbarheten och risken för hot och påverkan. Detta ställer stora krav på myndigheterna att klargöra vilka krav på säkerhet deras verksamhet och uppgifter omfattas av. Från våra direktiv och av vår kartläggning vet vi att myndigheter- nas befintliga it-driftslösningar inte alltid är tillräckligt säkra eller kostnadseffektiva. Myndigheterna upplever att det är oklart vilka it- driftslösningar som är lämpliga och vilka alternativ som finns att tillgå. Det framgår även brister i myndigheternas informationssäkerhets- arbete, vilket påverkar förutsättningarna för myndigheterna att välja rätt lösningar för sin it-drift. Därutöver vet vi att det råder kompetens- brist inom områdena it, säkerhet och juridik. Beställarkompetens lyfts fram som ett särskilt problem. En grundläggande utgångspunkt för organiseringen av den svenska statsförvaltningen är att statliga myndigheter är fristående och an- svarar för sin egen verksamhet. Det ansvar som en myndighet har för sin egen verksamhet kan inte överlåtas. Varje myndighet ansvarar därmed för att säkerställa säkra och kostnadseffektiva lösningar för sin it-drift. Myndigheter kommer även att ha behov av olika driftsalternativ, där ett samordnat statligt tjänsteutbud utgör ett driftsalternativ vid sidan av utkontraktering till privata leverantörer och drift i egen regi. En viktig förutsättning för att kunna säkerställa säkra och kostnadseffektiva lösningar för den egna it-driften är att myndigheten bedriver ett systematiskt informationssäkerhetsarbete. Av vår kartläggning framgår att det finns ett brett intresse för it- driftstjänster som tillhandahålls av en annan myndighet inom stats- förvaltningen, men att myndigheternas behov och förutsättningar varierar. Det är tydligt att många myndigheter saknar viktiga förutsättningar för att kunna bedöma och besluta om vilken it-drifts- lösning som är mest lämplig för den information som myndigheten hanterar. För att kunna välja rätt it-driftslösning finns därför behov av stöd. Vi föreslår att regeringen inrättar varaktiga former för en sam- ordnad statlig it-drift med utgångspunkt i det behov av stöd som Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift många myndigheter ger uttryck för. En samordnad statlig it-drift ska bidra till att lösa gemensamma behov och problem. Vi föreslår att den samordnade statliga it-driften ska kunna stödja myndigheterna i arbetet – från informationskartläggning och -klassificering till val av it-driftsform: egen regi, samordnad statlig regi eller genom utkon- traktering till en privat leverantör. I detta ingår att regeringen skapar varaktiga former för ett samordnat statligt tjänsteutbud. Den sam- ordnade statliga it-driften inkluderar därmed både det stöd som ges till myndigheter vid valet av it-driftslösningar och tillhandahållande av ett samordnat statligt tjänsteutbud. 10.2Organisering av en samordnad statlig it-drift Utredningens bedömning: Statliga myndigheter samordnar sin it-drift . Flera myndigheter har förmåga, kapacitet, kompetens och intresse av att bidra i en samordnad statlig it-drift. Den kompetens som finns inom statsförvaltningen bör tillvaratas. För att lösa gemensamma behov och problem behövs en tydligare styrning och en förstärkt samordning av utbud och insatser inom ramen för en samordnad statlig it-drift jämfört med vad som gäller . Utredningens förslag: För att uppnå regeringens intentioner om en varaktig, samordnad, säker och kostnadseffektiv it-drift och tillvarata befintlig förmåga, kapacitet och kompetens ska en sam- ordnad statlig it-drift organiseras utifrån befintliga verksamheter och en samlad styrning genom samordnade uppdrag till flera myndigheter. Våra kartläggningar och analyser visar att samordnade lösningar för it-drift inte är något nytt fenomen. Myndigheter samordnar sin it- drift . Enligt vår enkät har 50 myndigheter någon form av samordnad it-driftslösning med en annan myndighet. Av dessa är 36 myndigheter mottagare och 14 myndigheter tillhandahållare av it-drift. Här ingår också de myndigheter som är anslutna till Försäk- ringskassans samordnade it-drift. Ursprunget till myndigheternas sam- ordning varierar, men i korthet handlar det om gemensam historik, gemensamt uppdrag eller geografisk närhet. Det saknas dock en sam- Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift lad bild över hur samordningen fungerar och vilka effekter dagens samordningslösningar ger. I vårt uppdrag ingår att lämna förslag på hur en samordnad it- drift för den statliga förvaltningen kan organiseras på ett varaktigt, säkert och kostnadseffektivt sätt. Vi ska analysera om it-drift bör till- handahållas av en ny eller befintlig myndighet eller om tjänsterna kan tillhandahållas av flera olika myndigheter, exempelvis utifrån sektors- specifika behov. Vi redogör för möjliga alternativ och dess för- och nackdelar nedan. 10.2.1Utgå från ny eller befintlig verksamhet? Varaktiga former för samordnad statlig it-drift kan etableras som en ny verksamhet i form av en ny myndighet eller ett nytt statligt bolag. En samordnad statlig it-drift kan också bygga på befintlig verksam- het i en eller flera myndigheter. En ny myndighet eller statligt bolag har de statliga myndigheterna minskat kraftigt i antal, vilket framför allt beror på bildandet av s.k. enmyndigheter. Principen är att etablering av nya myndigheter ska prövas nogsamt. Nya myndigheter har dock etablerats under den senaste tioårsperio- den, exempelvis Statens servicecenter och Myndigheten för digital förvaltning (DIGG). Att etablera en ny myndighet för samordnad statlig it-drift kan innebära flera fördelar. Det ger förutsättningar för ett renodlat upp- drag med tydliga ansvarsförhållanden där samordnad statlig it-drift och tillhandahållande av ett samordnat statligt tjänsteutbud utgör kärnuppdraget. Risken för målkonflikter med andra befintliga verk- samheter kan undvikas. En ny myndighet skapar förutsättningar för att ta ett samlat grepp om säkerhetsfrågorna utan att behöva förhålla sig till befintliga lösningar och sårbarheter. Det kan också vara lättare att attrahera ny kompetens. Erfarenheten är dock att det är kostsamt och tar tid att etablera en ny myndighet från grunden. Den snabba teknikutvecklingen inom it-området ställer också särskilda krav på utvecklingsförmåga och att redan från start kunna erbjuda kostnadseffektiva lösningar. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift servicecenters utmaningar med att etablera en avgiftsfinansierad verk- samhet och attrahera och ansluta myndigheter visar på detta. En ny myndighet förutsätter också att verksamheten snabbt kan rekrytera nyckelpersonal, vilket påverkas av att det råder kompe- tensbrist inom flera delar av it-driftsområdet. Ur ett säkerhetsperspek- tiv skulle en ny myndighet för samordnad statlig it-drift innebära en ökad koncentration av uppgifter och lösningar vilket i sig innebär ökade risker och sårbarheter. Ett annat alternativ är att bilda ett statligt bolag för samordnad statlig it-drift. En sådan lösning fanns genom DAFA (Datamaskincentralen för administrativ databehandling) som övergick från myndighet till statligt bolag i syfte att kunna konkur- rera med andra driftsorganisationer. För- och nackdelarna med ett statligt bolag är i stort sett desamma som för en ny myndighet. En samordnad statlig it-drift kan också utgå från befintlig verksam- het i en eller flera befintliga myndigheter. Enligt våra direktiv är en utgångspunkt för våra förslag att den kapacitet och de förmågor och erfarenheter som byggts upp inom ramen för på- gående uppdrag ska tas tillvara. Vi kan konstatera att det finns flera myndigheter som har förmåga, kapacitet, kompetens och intresse att bidra i en samordnad statlig it-drift. Att tillvarata och bygga vidare på kompetens, förmågor och inve- steringar i befintlig verksamhet ger förutsättningar för en snabbare, mer kostnadseffektiv och ”sömlös” övergång till varaktiga former för samordnad statlig it-drift. Det ger också förutsättningar att bygga vidare på och utveckla befintligt utbud av tjänster för att passa olika behov, exempelvis vad gäller säkerhetsnivå och teknisk plattform. Kompetensförsörjningen underlättas av att kompetens i befintlig verk- samhet kan tillvaratas. Nackdelen är att ett kompletterande uppdrag till en eller flera myndigheter riskerar att inte bli ett lika renodlat kärnuppdrag som vid etablering av en ny myndighet. Det kan krävas en tydligare styr- ning för att ge legitimitet i förhållande till övrig verksamhet i myn- digheten. Befintliga strukturer, processer och kompetens i verksam- heten kan också styra hur det nya uppdraget tas om hand i stället för Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Kompetensmässigt kan det uppstå inlåsningar genom att man utgår från befintlig personal. Vi föreslår att en samordnad statlig it-drift, inklusive ett samordnat statligt tjänsteutbud, utgår från den kompetens samt de förmågor och investeringar som byggts upp i befintlig verksamhet i flera myndig- heter. Det ger förutsättningar för en snabbare och mer kostnads- effektiv övergång till varaktiga former för samordnad statlig it-drift än genom etablering av en ny myndighet eller ett statligt bolag. 10.2.2Separata eller samordnade uppdrag? En samordnad statlig it-drift kan bygga vidare på separata uppdrag till enskilda myndigheter eller en samlad styrning genom samordnade uppdrag till flera myndigheter. Våra kartläggningar och analyser visar att flera myndigheter erbjuder it-driftstjänster till andra statliga myndigheter. Samordningen har sin grund i myndigheternas instruk- tion eller i ett tidigare eller pågående regeringsuppdrag. Vår bedöm- ning är att det också finns samordning som inte utgår från något for- mellt uppdrag utan snarare har kommit till av praktiska skäl. Det finns inte någon samlad bild eller styrning av de enskilda upp- dragen om samordnad it-drift. Med separata uppdrag menar vi att flera myndigheter har uppdrag inom en samordnad statlig it-drift och att uppdragen styrs och genom- förs utan att samordnas med varandra, dvs. som det ser ut . Att i likhet med vad som sker fortsätta med separata uppdrag att tillhandahålla it-driftstjänster till andra myndigheter kan vara en enkel lösning. Den kräver inte några större förändringar eller några särskilda samordningsinsatser. Möjligen kan det finnas behov av att förlänga befintliga regeringsuppdrag eller att genom ändringar i myn- digheters instruktion utöka eller ge som en permanent uppgift att tillhandahålla it-drift. Behov och förutsättningar för de myndigheter Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift som erbjuder it-drift kan också behöva tillgodoses och anpassas. Genom separata uppdrag kan befintlig samordning fortgå och ut- vecklas utan närmare styrning. Nackdelen med separata uppdrag är att regeringens intentioner om en samordnad, säker och kostnadseffektiv it-drift blir svårare att uppnå. Genom att de enskilda uppdragen till myndigheterna styrs från respektive sakdepartement blir det svårt att få en samlad bild av behov, utbud, resultat och effekter av det arbete som pågår. Det blir också svårt för de myndigheter som är intresserade av samordnad statlig it-drift att få kännedom om vilka myndigheter som erbjuder it-driftstjänster, vilka it-driftstjänster och säkerhetsnivåer som olika myndigheter erbjuder samt att göra kostnadsjämförelser. Samordnade uppdrag till flera myndigheter Med samordnade uppdrag menar vi att regeringens styrning av myn- digheterna är formulerade utifrån en helhet – samordnad statlig it- drift – och att uppdragen styrs och följs upp som en helhet från . Någon av myndigheterna kan också få i uppgift att samordna helheten. En mer samlad styrning utifrån ett helhetsper- spektiv ger bättre förutsättningar att uppnå regeringens intentioner om samordnad, säker och kostnadseffektiv it-drift än genom sepa- rata uppdrag. Genom att samordna styrningen kan regeringen få en samlad bild av statliga myndigheters behov av olika it-driftstjänster, av befintligt utbud av statliga it-driftstjänster och vilka resultat och effekter som uppnås i den samordnade statliga it-driften. Samord- nade uppdrag underlättar också för de myndigheter som efterfrågar stöd att få överblick över det samordnade statliga tjänsteutbudet och vilket stöd de kan få i olika it-driftsfrågor. Utmaningen med en samlad styrning genom samordnade upp- drag är att den riskerar att skapa en komplex styrmodell med flera myndigheter som ska samverka och förhålla sig till varandra när det gäller mandat, roller och ansvar. För de myndigheter där uppdraget inom en samordnad statlig it-drift inte är ett kärnuppdrag kan prio- riteringsproblem i verksamheten uppstå. Samordnade uppdrag ställer också större krav på samordnad styrning och uppföljning inom i och med att flera departement berörs. Här kan mål- konflikter uppstå då olika departement kan ha olika prioriteringar. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Samordnade uppdrag kan också vara mer resurskrävande vilket kan påverka kostnadseffektiviteten i lösningen. Vi föreslår att en samordnad statlig it-drift ska bygga på en samlad styrning genom samordnade uppdrag till flera myndigheter i stället för separata uppdrag till enskilda myndigheter. Det underlättar för de myndigheter som efterfrågar stöd och möjliggör en mer samlad styrning och uppföljning av den samordnade statliga it-driften utifrån regeringens intentioner. En samlad styrning genom samordnade upp- drag till flera myndigheter ställer dock krav på en tydlig styrmodell med tydliga uppgifter och ansvarsfördelning mellan myndigheterna och en samordnad styrning inom . Vi har i avsnitt 4.3.1 redogjort för de bedömningar som gjordes av Ut- redningen om effektiv styrning av nationella digitala tjänster i betän- kandet reboot – omstart för den digitala förvaltningen (SOU 2017:114). Utredningen gör bl.a. följande bedömning: ”De offentliga myndig- heterna måste i sitt digitaliseringsarbete ha stöd i rättsordningen för sina åtgärder. I de fall det förväntade digitaliseringsarbetet i samverkan med andra och resultatet av detta inte ryms inom myndigheternas befintliga uppdrag och befogenheter, måste det uppmärksammas så att regeringen och i förekommande fall kan vidta åtgärder för att ändra myndigheternas uppdrag och befogenheter.” Vi delar denna bedömning. I detta avsnitt behandlas vilken formell styrning som krävs av den samordnade statliga it-driften utifrån den förvaltningsrättsliga legali- tetsprincipen. Den förvaltningsrättsliga legalitetsprincipen kommer till uttryck i 5 § första stycket förvaltningslagen. Där sägs att en myndighet endast får vidta åtgärder som har stöd i rättsordningen. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift sen skickas en klar signal om att all offentlig verksamhet, oavsett dess karaktär, ytterst måste grundas på skrivna normer (jfr dock det som nedan sägs om sedvanerättsligt grundande normer) och att det alltså går en skiljelinje mellan privaträttsliga subjekts principiella rätt till ett fritt agerande och myndigheternas åligganden att fullgöra be- stämda uppgifter i det allmännas tjänst. Bestämmelsen är tillämplig vid all förvaltningsverksamhet. I lag- motiven sägs att avsikten med bestämmelsen är att hindra myndig- heterna från att agera helt vid sidan av sina i författning givna ålig- ganden (prop. 2016/17:180 s. 58 f.). Vidare uttalas att bestämmelsen tar sikte på de källor som tillsammans bildar rättsordningen i vid- sträckt mening. Det krävs alltså någon form av normmässig förank- ring för all typ av verksamhet som en myndighet bedriver. Däremot bör det inte ställas krav på att varje enskild åtgärd som en myndighet vidtar kan kopplas till ett specifikt bemyndigande. Kravet på legalitet bör inte heller uppfattas så att en myndighets åtgärd måste ha ut- tryckligt stöd i en viss lagbestämmelse eller i andra föreskrifter som har meddelats i enlighet med 8 kap. RF. Det är för att det inte ska råda någon tvekan på denna punkt som det i lagtexten talas om ”rätts- ordningen” och inte t.ex. ”lag eller annan författning” vilket föreslog (se SOU 2010:29 s. 142 ff. och jfr Lag- rådets yttrande, , s. 5). I specialmotiveringen nämns att erforderligt författningsstöd kan finnas i allmänt hållna lagbestämmelser eller i detaljerad speciallagstift- ning (prop. 2016/17:180 s. 289). Det kan också vara fråga om allmänna eller särskilda bestämmelser i myndighetens instruktion, i myndig- hetsförordningen (2007:515) eller i någon annan förordning som regeringen beslutat. Så kan t.ex. vara fallet i fråga om befogenheten för en myndighet att ingå civilrättsliga avtal eller annars uppträda som privaträttsligt subjekt. Legalitetskravet kan även vara uppfyllt genom ett förvaltningsbeslut, exempelvis om åtgärden har stöd i myn- dighetens regleringsbrev. Undantagsvis kan stödet också hämtas i sedvanerättsligt grundade normer (prop. 2016/17:180 s. 194). Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift 10.3.2Normmässig förankring för en samordnad statlig it-drift Det måste betraktas som etablerat att en åtgärd som för den enskilde är ingripande i olika avseenden (myndighetsutövning) måste ha ett tydligare stöd i rättsordningen jämfört med åtgärder som inte på samma sätt har betydelse för enskilda. Den verksamhet som myndigheterna ägnar sig åt när de samord- nar sin it-drift kan enligt vår bedömning inte betraktas som myndig- hetsutövning. Av 8 § andra stycket förvaltningslagen framgår att en myndighet inom sitt verksamhetsområde ska samverka med andra myndigheter. Vidare föreskrivs i 6 § andra stycket myndighetsförordningen att myndigheter ska verka för att genom samarbete med myndigheter och andra ta tillvara de fördelar som kan vinnas för enskilda samt för staten som helhet. Den bärande tanken med den ovan nämnda bestämmelsen i för- valtningslagen är att en myndighet helt enkelt ska kunna fråga en annan myndighet om hjälp. Bestämmelsen bör ses som ett komple- ment till bestämmelsen i 6 kap. 5 § OSL i vilken det föreskrivs att en myndighet på begäran av en annan myndighet ska lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Det bör noteras att bestämmelsen i 8 § förvaltningslagen inte ger en myndighet mandat att ägna sig åt något som ligger utanför dess verksamhetsområde. Vad som utgör myndighetens verksamhetsom- råde framgår i regel av myndighetens instruktion. Ett samordnat statligt tjänsteutbud innebär att den myndighet som levererar it-driften – inte endast tillfälligt – utför uppgifter som tilldelats från myndigheten som erhåller it-drift. För myndigheten som erhåller it-drift innebär det att den låter en annan myndighet utföra dess uppgifter; låt vara att den anslutna myndigheten har kvar det rättsliga ansvaret för de uppgifter som omfattas av den samordnade it-driften. Det är enligt vår bedömning tveksamt om bestämmelsen i 8 § förvaltningslagen kan anses utgöra ett tillräckligt rättsligt stöd för en sådan verksamhet. I vart fall bör de myndigheter som tillhanda- håller it-drift ha något slags stöd för att det i deras verksamhetsområde ingår att sköta uppgifter som tillkommer en annan myndighet. Inte heller den allmänt utformade bestämmelsen i myndighetsförordningen torde enligt vår bedömning kunna åberopas i sammanhanget. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift bestämmelsen skulle kunna tolkas så liberalt skulle den kunna läggas till grund för i stort sett vilken samverkan som helst myndigheter emellan. Slutsatsen är alltså att det måste finnas ett rättsligt stöd för att myndigheter ska kunna samordna sin it-drift. 10.3.3Hur ska den samordnade statliga it-driften regleras?