Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter

Betänkande 2020/21:KU9

Konstitutionsutskottets betänkande

2020/21:KU9

Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter

Sammanfattning

Utskottet föreslår att riksdagen antar regeringens förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

Den föreslagna lagen ska gälla när en myndighet, eller ett organ eller en verksamhet som jämställs med en myndighet, genom utkontraktering uppdrar åt ett företag eller någon annan enskild att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Den nya lagen innebär att uppgifter som en myndighet lämnar till en tjänsteleverantör vid utkontraktering av ett uppdrag som är begränsat till endast teknisk bearbetning eller teknisk lagring kommer att ha samma sekretesskydd hos tjänsteleverantören som hos en myndighet som tillhandahåller motsvarande verksamhet.

Lagen föreslås träda i kraft den 1 januari 2021.

Inga följdmotioner har väckts med anledning av propositionen.

Behandlade förslag

Proposition 2019/20:201 Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

Innehållsförteckning

Utskottets förslag till riksdagsbeslut

Redogörelse för ärendet

Ärendet och dess beredning

Bakgrund

Propositionens huvudsakliga innehåll

Utskottets överväganden

Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter

Bilaga 1
Förteckning över behandlade förslag

Propositionen

Bilaga 2
Regeringens lagförslag

Utskottets förslag till riksdagsbeslut

Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter

Riksdagen antar regeringens förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

Därmed bifaller riksdagen proposition 2019/20:201.

Stockholm den 3 november 2020

På konstitutionsutskottets vägnar

Karin Enström

Följande ledamöter har deltagit i beslutet: Karin Enström (M), Hans Ekström (S), Ida Karkiainen (S), Matheus Enholm (SD), Per-Arne Håkansson (S), Linda Modig (C), Ida Drougge (M), Fredrik Lindahl (SD), Laila Naraghi (S), Tuve Skånberg (KD), Daniel Andersson (S), Tina Acketoft (L), Camilla Hansén (MP), Erik Ottoson (M), Per Söderlund (SD), Jessica Wetterling (V) och Lars Jilmstad (M).

Redogörelse för ärendet

Ärendet och dess beredning

I betänkandet behandlas regeringens proposition 2019/20:201 Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. Regeringens förslag till riksdagsbeslut finns i bilaga 1. Regeringens lagförslag finns i bilaga 2.

I propositionen (s. 5) finns en redogörelse för ärendets beredning fram till regeringens beslut om proposition.

Bakgrund

Gällande ordning

Rätten att ta del av allmänna handlingar

Var och en har enligt 2 kap. 1 § tryckfrihetsförordningen (TF) rätt att ta del av allmänna handlingar. En handling är allmän om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos en myndighet (2 kap. 4 § TF). En elektronisk handling anses inkommen till myndigheten när någon annan har gjort upptagningen tillgänglig för myndigheten med ett tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i en sådan form att den kan läsas eller avlyssnas eller uppfattas på annat sätt (2 kap. 9 § första stycket TF).

Enligt 2 kap. 13 § första stycket TF anses en handling som förvaras hos en myndighet endast som ett led i en teknisk bearbetning eller teknisk lagring för någon annans räkning dock inte som allmän handling hos den myndigheten (se vidare prop. 1975/76:160 s. 87). Detta gäller oavsett om handlingen hos den utlämnande myndigheten är allmän eller inte. Av 2 kap. 9 § tredje stycket TF följer vidare att när en handling som inte är allmän, och som någon tekniskt har bearbetat eller lagrat, återkommer till den utlämnande myndigheten anses den inte heller vid återkomsten vara inkommen. Bestämmelsen syftar till att förhindra att en handling endast på grund av att den har skickats för teknisk bearbetning ändrar karaktär och blir allmän.

Sekretess i offentlig verksamhet för teknisk bearbetning eller lagring

Enligt 40 kap. 5 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, gäller sekretess i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning för uppgift om enskilds personliga eller ekonomiska förhållanden. Eftersom handlingar som förvaras hos en myndighet endast som ett led i en teknisk bearbetning eller teknisk lagring enligt vad som har beskrivits ovan inte är allmänna, reglerar 40 kap. 5 § OSL i praktiken endast en tystnadsplikt i det allmännas verksamhet. Denna tystnadsplikt innebär ett förbud mot att röja en uppgift muntligen eller på något annat sätt, t.ex. genom att handlingar som inte är allmänna lämnas ut. Tystnadsplikten är absolut, vilket innebär att uppgifter som omfattas av sekretessen ska hemlighållas utan någon skadeprövning. Bestämmelsens tillämpningsområde är detsamma som för undantaget från vad som är en allmän handling i 2 kap. 13 § första stycket TF. Enligt 40 kap. 8 § OSL inskränker tystnadsplikten rätten att meddela och offentliggöra uppgifter som annars följer av TF och yttrandefrihetsgrundlagen (YGL).

I 11 kap. 4 a § OSL finns en bestämmelse om överföring av sekretess. Där anges att om en myndighet, i en verksamhet för enbart teknisk bearbetning eller teknisk lagring, för en annan myndighets räkning får en uppgift som hos den senare myndigheten är sekretessreglerad av hänsyn till ett allmänt intresse, ska sekretessbestämmelsen tillämpas även hos den mottagande myndigheten. Har den sekretess som överförs företräde framför rätten att meddela och offentliggöra uppgifter, gäller detta även hos den mottagande myndigheten.

Sekretess innebär inte bara en begränsning av rätten att ta del av allmänna handlingar, utan även ett förbud mot att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 § OSL). Otillåtet röjande av en sekretessbelagd uppgift är straffsanktionerat som brott mot tystnadsplikt (20 kap. 3 § brottsbalken). Sekretessbestämmelserna i OSL gäller inte bara för uppgifter i allmänna handlingar. De gäller även för uppgifter i sådana handlingar som ännu inte har blivit allmänna, t.ex. arbetsmaterial, utkast och andra handlingar som varken har expedierats eller på något annat sätt har kommit att bli upprättade i TF:s mening.

Förbud mot att röja eller utnyttja en uppgift enligt OSL eller enligt en lag eller förordning som OSL hänvisar till gäller för myndigheter (2 kap. 1 § första stycket OSL). Förbudet gäller också för en person som har fått kännedom om uppgiften genom att för det allmännas räkning delta i en myndighets verksamhet på grund av anställning eller uppdrag hos myndigheten, tjänsteplikt eller en annan liknande grund (2 kap. 1 § andra stycket OSL).

Utkontraktering av uppdrag att tekniskt bearbeta eller lagra uppgifter

Termen utkontraktering har inte någon legal definition. Med utkontraktering avses i detta sammanhang att en myndighet uppdrar åt en privat tjänsteleverantör att tekniskt bearbeta eller lagra myndighetens information inom ramen för myndighetens grundläggande behov av it-driftstjänster och andra it-baserade funktioner. Det kan exempelvis röra sig om uppdrag där en tjänsteleverantör tillhandahåller teknisk infrastruktur eller en teknisk plattform för it-drift och uppdrag där en tjänsteleverantör tillhandahåller it-baserade funktioner i form av t.ex. applikationer och tjänster.

Vid utkontraktering av uppdrag till en privat tjänsteleverantör att tekniskt bearbeta eller tekniskt lagra uppgifter finns ingen författningsreglerad tystnadsplikt motsvarande den som finns för det allmännas verksamhet i OSL. För att tillgodose behovet av tystnadsplikt vid utkontraktering till en privat tjänsteleverantör upprättas vanligen ett civilrättsligt avtal om tystnadsplikt. En avtalsreglerad tystnadsplikt är inte straffsanktionerad.

Propositionens huvudsakliga innehåll

I propositionen föreslås en ny lag om tystnadsplikt för privata tjänsteleverantörer. Lagen ska gälla när en myndighet, eller ett organ eller en verksamhet som jämställs med en myndighet, genom utkontraktering uppdrar åt en tjänsteleverantör att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Syftet med lagen är att ge uppgifter från en myndighet som hanteras av en tjänsteleverantör ett sekretesskydd som är likvärdigt med det som gäller när en annan myndighet tillhandahåller en motsvarande tjänst.

Utskottets överväganden

Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter

Utskottets förslag i korthet

Riksdagen antar regeringens förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. Genom den nya lagen ska uppgifter från en myndighet som hanteras av en privat tjänsteleverantör enbart för teknisk bearbetning eller lagring få ett sekretesskydd som är likvärdigt med det som gäller när en annan myndighet tillhandahåller samma tjänst.

Propositionen

Regeringen anför att möjligheten att utkontraktera hela eller delar av it-driften eller de it-baserade funktionerna till en privat tjänsteleverantör för vissa statliga och kommunala myndigheter kan vara en förutsättning för att verksamheten ska kunna bedrivas ändamålsenligt och kostnadseffektivt. Grundläggande vid sådan utkontraktering är att myndigheten alltid är ytterst ansvarig för att den information som lämnas ut får ett effektivt och ändamålsenligt skydd och i övrigt hanteras i enlighet med gällande rätt.

I en utkontrakteringssituation är det enligt regeringen inte ovanligt att tjänsteleverantören hanterar en stor mängd av myndighetens uppgifter inom ramen för uppdraget och att den utlämnande myndigheten har begränsade möjligheter att styra över vilka uppgifter som kan komma att lämnas ut till leverantören. Detta är exempelvis fallet vid utkontraktering av diarie- och ärendehanteringssystem eller system för kontorsstöd som omfattar t.ex. e-post, kalender och dokumenthanteringsstöd. Vid utlämnande av en omfattande uppgiftsmängd kan det också vara svårt att bilda sig en uppfattning om huruvida det finns enskilda uppgifter som är förknippade med särskild skaderisk i sekretesshänseende (jfr prop. 1979/80:2 Del A s. 81).

Regeringen anser att det i allt ökande grad kan ifrågasättas om det är tillräckligt att reglera tystnadsplikt för en tjänsteleverantör enbart genom avtal. Det finns ett behov av att öka sekretesskyddet för uppgifter som hanteras av en tjänsteleverantör i samband med att en myndighet utkontrakterar sitt grundläggande behov av it-driftstjänster eller andra it-baserade funktioner. Sekretesskyddet bör enligt regeringen så långt som möjligt överensstämma med det som gäller för en myndighet som tillhandahåller motsvarande tjänster till en annan myndighet. Eftersom tystnadsplikt utgör en begränsning av den grundlagsfästa yttrandefriheten, ska en sådan reglering ske i lag. Enligt regeringen kan bestämmelserna inte på ett naturligt sätt inarbetas i befintlig lagstiftning, och därmed bör tystnadsplikten regleras i en ny lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

Förutsättningarna för utkontraktering av grundläggande it-driftstjänster och it-baserade funktioner bör enligt regeringen vara likartade för myndigheter och för andra aktörer som utför offentligt finansierad verksamhet. Vid tillämpningen av lagen bör därför aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, regioner eller kommunalförbund utövar ett rättsligt bestämmande inflytande enligt 2 kap. 3 § OSL jämställas med en myndighet. Samma sak ska gälla för de organ som anges i bilagan till OSL i fråga om de verksamheter som anges där. Med en myndighet ska vidare jämställas yrkesmässigt bedriven enskild verksamhet inom skola, vård och omsorg som till någon del är offentligt finansierad.

Lagen ska enligt regeringen gälla vid utkontraktering till privata företag och andra enskilda när dessa tjänsteleverantörers uppdrag är att endast tekniskt bearbeta eller tekniskt lagra uppgifter. Med en tjänsteleverantör ska jämställas en underleverantör som medverkar till att fullgöra det utkontrakterade uppdraget.

Tystnadsplikten bör enligt regeringen omfatta samtliga personkategorier som på grund av anställning eller på något annat sätt deltar i eller har deltagit i en tjänsteleverantörs verksamhet att på uppdrag av en myndighet tekniskt bearbeta eller tekniskt lagra uppgifter. För en underleverantör som omfattas av lagens tillämpningsområde gäller samma räckvidd och avgränsning av den personkrets som omfattas av tystnadsplikten.

En sekretessreglerad uppgift bör enligt regeringen ha samma skydd hos tjänsteleverantören som hos det allmänna, oavsett vilken typ av sekretess som uppgiften omfattas av. Tystnadsplikten bör därför avse både uppgifter som skyddas av sekretess till skydd för allmänna intressen och uppgifter som skyddas av sekretess till skydd för en enskilds personliga eller ekonomiska förhållanden.

Vid bedömningen av behovet av tystnadsplikt ska intresset av att uppgifterna skyddas mot obehörigt röjande vägas mot tjänsteleverantörens personals intresse av yttrandefrihet. När en tjänsteleverantörs uppdrag innebär att myndighetens uppgifter endast tekniskt bearbetas eller tekniskt lagras är avsikten att tjänsteleverantörens personal inte ska ta del av själva informationsinnehållet i större utsträckning än vad som kan anses vara absolut nödvändigt för att tillhandahålla tjänsterna i fråga. De privatanställda tjänstemännens intresse av yttrandefrihet när det gäller uppgifter av aktuellt slag bör enligt regeringen vara ytterst begränsat. Motsvarande bedömning gjordes vid den utvidgning av tystnadsplikten som gäller i det allmännas verksamhet för enbart teknisk bearbetning eller lagring (prop. 2016/17:198 s. 20). Regeringen anser att de förslag som nu läggs fram är proportionerliga och även i övrigt uppfyller de krav som gäller för begränsningar i yttrandefriheten enligt RF och Europakonventionen.

Regeringen anser att det nu inte finns anledning att föreslå att tystnadsplikten för privata tjänsteleverantörer, på det sätt som gäller för offentliga funktionärer, ska inskränka rätten enligt 1 kap. 1 och 7 §§ TF och 1 kap. 1 och 10 §§ YG att meddela och offentliggöra uppgifter (jfr 40 kap. 5 och 8 §§ OSL) men anför att det vid behov kan finnas anledning att på nytt överväga frågan.

Utskottets ställningstagande

Utskottet anser i likhet med regeringen att det är angeläget att uppgifter skyddas även när de tekniskt hanteras av en privat tjänsteleverantör och att uppgifterna så långt som möjligt ska ha samma skydd oavsett vem som utför den tekniska bearbetningen eller lagringen. Utskottet ställer sig därmed bakom de överväganden som redovisas i propositionen och anser att riksdagen bör anta regeringens lagförslag.

Bilaga 1

Förteckning över behandlade förslag

Propositionen

Proposition 2019/20:201 Tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter:

Riksdagen antar regeringens förslag till lag om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

Bilaga 2

Regeringens lagförslag