Överföring av sekretess

Delegationens förslag: Får en myndighet i sin verksamhet för enbart teknisk bearbetning eller teknisk lagring för en annan myndighets räkning en uppgift som av hänsyn till ett allmänt intresse är sekretessreglerad där, blir sekretessbestämmelsen til-lämplig på uppgiften även hos den mottagande myndigheten.

5.5.1 Mer än personliga eller ekonomiska förhållanden I en myndighets verksamhet för enbart teknisk bearbetning eller lagring för en annan myndighets räkning kan uppgifter komma att behandlas hos den myndighet till vilken utkontraktering skett (i det följande ”tjänstelevererande myndighet”), som visserligen omfattas av tystnadsplikt hos den myndighet som utkontrakterat sin it-drift (i det följande ”beställande myndighet”), men där sekre-tessens föremål är ett annat än enskilds personliga eller ekonomiska förhållanden. Någon tystnadsplikt för befattningshavare hos den tjänstelevererande myndigheten kan under sådana förhållanden inte följa av 40 kap. 5 § OSL och det är som framgått inte möjligt att införa tystnadsplikt genom avtal.

Frågan blir därmed om den tystnadsplikt som gäller för uppgif-ten hos den beställande myndigheuppgif-ten kan bli tillämplig även hos den tjänstelevererande myndigheten eller om utkontrakteringen för med sig ett försämrat skydd för uppgifterna, om en myndighet ska leverera tjänsten. Normalt finns det ett behov av en tystnadsplikt för befattningshavare hos tjänstelevererande myndighet när en uppgift är sekretessreglerad hos den myndighet som har beställt tjänsten.

Detta kan åskådliggöras med den sekretessreglering som gäller hos regeringen, Riksbanken och Riksgäldskontoret för uppgift som rör rikets centrala finanspolitik, penningpolitik eller valutapolitik.

Skulle utkontraktering ske av teknisk bearbetning eller teknisk lagring av sådan uppgift till en annan myndighet, hos vilken sekre-tessen enligt 16 kap. 1 § OSL inte gäller, hade en lucka uppstått i sekretessen, om föreskriften i 16 kap. 2 § OSL inte hade funnits.

Där föreskrivs att 1 § blir tillämplig även hos den myndighet som får en uppgift som är sekretessreglerad i 1 §. Det finns emellertid andra bestämmelser om sekretess som har begränsats till t.ex. viss verksamhet hos viss myndighet utan att det har föreskrivits att denna sekretess gäller även hos annan myndighet. Som exempel kan nämnas när sekretess, som gäller hos en myndighet inte skulle gälla hos annan myndighet, som fått uppgiften till sig endast till följd av en utkontraktering av it-driften.

Utkontraktering till en privaträttslig aktör sker regelmässigt under förutsättning att de uppgifter som behandlas inom ramen för uppdraget inte röjs eller annars utnyttjas för något annat ändamål.

Detsamma avses gälla vid utkontraktering av it-drift till en myndighet.

Undantaget i 2 kap. 10 § första stycket TF är konstruerat så att resultatet blir detsamma som vid utkontraktering till en privaträtts-lig aktör: Handlingar som förvaras hos den tjänstelevererande myn-digheten endast för teknisk bearbetning och lagring blir inte allmän handling där. Någon sådan likställighet mellan utkontraktering till privaträttsliga respektive offentliga aktörer följer emellertid inte av reglerna om tystnadsplikt för tjänstelevererande myndigheters per-sonal. Föremålet för sekretessen enligt 40 kap. 5 § OSL – i prak-tiken tystnadsplikten – är begränsad till personuppgifter som avses i personuppgiftslagen (1998:204) för uppgift om en enskilds personliga eller ekonomiska förhållanden. Även om delegationens förslag till ändring av 40 kap. 5 § OSL genomförs kvarstår en begränsning till uppgifter om enskildas personliga eller ekonomiska förhållanden.

Sekretessregleringen för uppgifter hos en myndighet som be-ställer en outsourcingtjänst kan avse även annat än uppgift om enskilds personliga eller ekonomiska förhållanden. För sådana fall finns risk för att sekretessen – och därmed tystnadsplikten – inte kommer att gälla om en uppgift blir förvarad hos den tjänstelevere-rande myndigheten. En och samma uppgift kan därmed omfattas av tystnadsplikt hos beställande myndighet men sakna sådant skydd med avseende på personal hos den myndighet som tillhandahåller tjänsten. Det kan också vara så att uppgiften är sekretessreglerad hos båda myndigheterna men att olika skyddsnivåer kommer att gälla hos dem, t.ex. att sekretessen är absolut hos den ena myn-digheten medan ett skaderekvisit gäller hos den andra myndig-heten.

5.5.2 Sekretess kan följa med till annan myndighet

Skälet för att sekretessen – och därmed tystnadsplikten – som huvudregel inte följer med en uppgift när den lämnas mellan myn-digheter är att behovet av och styrkan i en sekretess inte kan be-stämmas enbart med hänsyn till sekretessintresset. Detta intresse måste vägas mot intresset av insyn i myndigheternas verksamhet.

Offentlighetsintresset kan således kräva att de uppgifter som be-handlas som hemliga hos en myndighet är offentliga hos en annan myndighet som har inhämtat dem hos den förstnämnda myndig-heten (prop.1979/80:2 Del A s. 75 f.).

Någon generell bestämmelse om överföring av sekretess från en myndighet till en annan finns därför inte utan har införts endast för särskilda fall. Det finns således primära och sekundära sekretess-bestämmelser. Med en primär sekretessbestämmelse menas en be-stämmelse om sekretess som en myndighet ska tillämpa på grund av att bestämmelsen riktar sig direkt till myndigheten eller omfattar en viss verksamhetstyp eller en viss ärendetyp som hanteras hos myndigheten eller omfattar vissa uppgifter som finns hos myndig-heten. Med en bestämmelse om överföring av sekretess avses en bestämmelse som innebär att en primär sekretessbestämmelse som är tillämplig på en uppgift hos en myndighet ska tillämpas på upp-giften även av en myndighet som uppupp-giften lämnas till eller som har elektronisk tillgång till uppgiften hos den förstnämnda myndighet-en. En sekundär sekretessbestämmelse är därmed en bestämmelse om sekretess som en myndighet ska tillämpa på grund av en bestämmelse om överföring av sekretess (3 kap. 1 § OSL).

Till följd av denna reglering kan en bestämmelse om sekretess vara primär hos beställande myndighet men sekundär hos tjänste-levererande myndighet. Frågan blir därmed om en tystnadsplikt som gäller för beställande myndighet, men där föremålet för sekre-tessen är begränsat till den beställande myndighetens verksamhets-område eller liknande, kan överföras till den tjänstelevererande myndigheten.⁴⁰ För att en sådan regel om sekretess ska gälla hos en tjänstelevererande myndighet behövs en särskild regel om sekundär sekretess. I 11 kap. OSL ges visserligen generella regler om sekun-där sekretess, men de gäller endast för verksamhet som avser tillsyn eller revision, disciplinansvar, forskningsverksamhet, fackliga för-handlingar, direktåtkomst och viss arkivering och förvaring av

40 Denna fråga aktualiseras oavsett om vårt förslag till ändring av 40 kap. 5 OSL genomförs.

männa handlingar. Inte heller i 40 kap. OSL finns någon bestäm-melse om överföring av sekretess som har anknytning till sekretess i verksamhet för enbart teknisk bearbetning eller teknisk lagring för annans räkning; jfr däremot hur överföring av sekretess före-skrivs i 40 kap. 7 § för verksamhet som avser skadereglering.

5.5.3 Myndighetssamverkan förutsätter överförd sekretess Vid de redovisade bestämmelsernas tillkomst torde det inte ha fun-nits en tanke på att utvecklingen skulle kunna leda till den myndig-hetssamverkan på it-området som ses som närmast självklar idag.

Utvecklingen har gått snabbt. En liknande gränsdragningsfråga vid myndighetssamverkan har redan föranlett en bestämmelse i 11 kap.

4 § OSL enligt vilken sekretess som gäller hos en myndighet över-förs till en mottagande myndighet, om den mottagande myndighet-en ges elektronisk tillgång till myndighet-en upptagning för automatiserad be-handling hos en utlämnande myndighet och denna upptagning är sekretessreglerad hos den utlämnande myndigheten. Genom denna sekundära sekretess hindras att uppgifter i en upptagning som är sekretessreglerad hos värdmyndigheten (den myndighet hos vilken uppgifterna blir tillgängliga) blir offentliga hos den mottagande myndigheten (den myndighet som ges direktåtkomst). Bestämmel-sen syftar till att uppgifter som är tekniskt tillgängliga för en mot-tagande myndighet, men inte omfattas av någon sekretessreglering där, ska behålla sekretesskyddet genom den överförda sekretessen.

Både för de nu beskrivna fallen (direktåtkomst) och för sådan utkontraktering av it-drift till en myndighet som delegationen överväger uppkommer oväntade, icke avsedda effekter, som en följd av myndigheternas behov av att kunna använda i samhället allmänt spridda tekniska och administrativa lösningar för informationsbehandling. Medan frågan om överföring av sekretess vid direktåtkomst har sin grund i den överskottsinformation som oavsiktligt blir tillgänglig för en annan myndighet⁴¹ rör frågan om överföring av sekretess vid outsourcing den information som läm-nas av en myndighet till en annan endast av tekniska skäl.

Vid utkontraktering av it-drift förvarar en myndighet data bara för att sköta en teknisk uppgift. Personalen hos den beställande

41 Se vidare Informationshanteringsutredningens delbetänkande Överskottsinformation vid direktåtkomst (SOU 2012:90).

myndigheten avses utföra sitt arbete på samma sätt som om den beställande myndigheten hade haft egna datorer och egen personal för att utföra uppgiften. Den tjänstelevererande myndighetens personal tar därmed normalt del endast av drift- och säkerhets-relaterad information. Inslag kan emellertid förekomma i hante-ringen som innebär att den tjänstelevererande myndighetens personal får se eller annars får tillgång till nyttoinformation som den beställande myndigheten använder för t.ex. sin ärendehand-läggning. Kan en tystnadsplikt, som hade gällt om personalen i stället arbetat direkt för den beställande myndigheten, inte överföras, behöver verksamheten sannolikt organiseras på annat sätt. Vid utkontraktering är det en förutsättning att uppgifter som är sekretessreglerade hos den beställande myndigheten inte röjs.

Alternativet blir därmed att utkontraktera it-driften till ett privat-rättsligt subjekt. Något hinder för en myndighet att i avtal om leverans från en privat leverantör ta in en klausul om tystnadsplikt finns inte och ett utlämnande till den som tillhandahåller tjänsten kan vanligtvis ske med stöd av 10 kap. 2 § OSL.

5.5.4 Delegationens förslag

Regeringen har i olika sammanhang betonat vikten av myndighets-samverkan bl.a. genom att myndigheter ansluter sig till tjänster som en annan myndighet tillhandahåller.⁴² När utkontraktering av it-drift sker till en myndighet behöver den tystnadsplikt som gäller för personal hos beställande myndighet gälla också för personal hos den tjänstelevererande myndigheten.

En sådan regel om överföring av sekretess bör kunna formuleras efter förebild av den överföring av sekretess vid direktåtkomst som följer av 11 kap. 4 § OSL och införas som en ny 4 a §, i förening med en ny rubrik, som anger att den nya paragrafen avser teknisk bearbetning och teknisk lagring för annan. Bestämmelsen föreslås gälla endast till skydd för allmänna intressen eftersom primär

42 Se bl.a. 4 § förordningen (2003:770) om statliga myndigheters elektroniska informations-utbyte, uttalanden i regeringens proposition 2012/13:116 En mer samlad myndighetsstruk-tur inom folkhälsoområdet om att en föreslagen ny myndighet bör anslutas till Statens servicecenter och de administrativa tjänster som servicecentret erbjuder (s. 35) samt regeringens proposition 2012/13:128 Ny myndighet för hälso- och vårdinfrastruktur där regeringen också har uttalat att den nya myndigheten bör använda de administrativa tjänster som Statens servicecenter erbjuder (s. 32).

sekretess avses gälla enligt 40 kap. 5 § OSL för enskildas personliga eller ekonomiska förhållanden.

Den bestämmelse om överföring av sekretess som delegationen föreslår bör därmed kunna ges följande lydelse. Om en myndighet i sin verksamhet för enbart teknisk bearbetning eller teknisk lagring för en annan myndighets räkning får en uppgift som av hänsyn till ett allmänt intresse är sekretessreglerad där, blir sekretessbestäm-melsen tillämplig på uppgiften även hos den mottagande myndig-heten.

5.6 Alternativa bedömningar