Ny sekretessbrytande regel – effekt för offentlig IT-upphandling?
DEBATT – av Christina Wikström, Advokat & digitaliseringsexpert, Wikström & Partners Advokatbyrå.
Idag fattar riksdagen beslut om en ny sekretessbrytande regel för it-outsourcing som ska börja gälla från den 1 juli 2023.
Lagregeln ska införas i 10 kap 2a § offentlighets- och sekretesslagen (OSL) och innebär att en myndighet kan lämna ut sekretessreglerade uppgifter till en leverantör eller annan myndighet för uppdrag att endast tekniskt bearbeta eller tekniskt lagra uppgiften, om det med hänsyn till omständigheterna inte är olämpligt att uppgiften lämnas ut.
Den nya lagregeln som är ett resultat av it-driftsutredningen och är tänkt att underlätta digitalisering inom offentlig sektor har dock en viktig begränsning – den omfattar bara IT-tjänster som faller inom begreppet ”endast teknisk bearbetning eller teknisk lagring”. Tillämpningsområdet är således det samma som för tystnadspliktslagen (2020:914) som gäller från den 1 januari 2021.
Begränsningen innebär att IT-jurister, offentliga upphandlare och IT-leverantörer har att förhålla sig till begreppet om man vill att de nya underlättande reglerna ska kunna tillämpas på en IT-upphandling. En offentlig aktör måste således utforma sin upphandling och sitt avtal utifrån de nya lagreglerna och kravställa på att tillhandahållna tjänster faller inom begreppet. För leverantörerna gäller på motsvarande sätt att offererade IT-tjänster behöver utgöra ”endast teknisk bearbetning eller teknisk lagring” för att omfattas av den nya sekretessbrytande regeln.
Av propositionen till den sekretessbrytande regeln (Prop. 2022/23:97) framgår att ”endast teknisk bearbetning eller teknisk lagring” exempelvis kan bestå i att införa, förvalta, utveckla och så småningom avveckla en it-driftstjänst. Det bör tydliggöras att de nya underlättande reglerna inte är tillämpliga på ”blandade” IT-tjänster som enbart till viss del utgör teknisk bearbetning eller teknisk lagring.
För att den nya sekretessbrytande regeln ska vara tillämplig krävs dessutom att utlämnandet, i samband med outsourcingen, inte med hänsyn till omständigheterna är att betrakta som olämpligt. Vid prövning av olämplighet ska en samlad bedömning av relevanta omständigheter beaktas, exempelvis känsligheten i de uppgifter som lämnas ut, tillämpliga avtalsvillkor, leverantörens möjlighet att skydda uppgifterna, var uppgifterna behandlas geografiskt, förekomsten av underleverantörer m.m.
Det är således ett komplext och i många delar svårtolkat regelverk som ska tillämpas. Ett nytt och mer utvecklat arbetssätt krävs inför upphandlingen där myndigheten identifierar i vilken IT-tjänst sekretessreglerade uppgifter är tänkt att hamna. Frågorställningar kring dataskydd, informationssäkerhet och säkerskydd ska samtidigt beaktas.
Av propositionen framgår att en uppgift som omfattas av sekretess ska anses röjd i OSL:s mening om den görs tillgänglig för en IT-leverantör. Om den nya sekretessbrytande bestämmelsen inte kan tillämpas behöver den upphandlande aktören förlita sig på en traditionell sekretessbedömning där skaderekvisitet prövas, vilket inte är möjligt om upphandlingen omfattar uppgifter med absolut sekretess.
Frågan blir om offentliga upphandlare kommer att låta upphandlingens innehåll och omfattning styras av de nya reglerna? Kommer jurister inom offentlig sektor mäkta med det omfattande utredningsarbete med tillhörande dokumentation som krävs för en lagenlig utkontraktering med stöd av den nya sekretessbrytande regeln? Kommer IT-leverantörer att paketera sin IT-tjänster utifrån begreppet ”endast teknisk bearbetning eller teknisk lagring” för att tillmötesgå offentlig sektor?
Frågorna är många och klart är att dagens upphandlingar och standardiserade IT-tjänster inte utan vidare kommer kunna tillgodogöra sig den nya sekretessbrytande regeln. En större kunskapslyft, ett mer utvecklat arbetssätt och större engagemang från juristerna kommer krävas för att IT-upphandlingar inom offentlig sektor kommer kunna tillgodogöra sig den nya sekretessbrytande regeln och lagstadgad tystnadsplikt enligt tystnadspliktslagens.
