Allmänt

I propositionen föreslås det att lagarna om statskontoret (305/1991) och Servicecentret för statens ekonomi- och personalförvaltning (179/2019) ändras. För dessa ämbetsverk föreskrivs en ny uppgift att producera analys- och rapporteringstjänster. Statskontoret producerar dessa tjänster för statsrådet till stöd för beredningen och beslutsfattandet och Servicecentret för statens ekonomi- och personalförvaltning för servicecentrets kunder inom sitt verksamhetsområde. 

Det föreslås att Statskontoret och servicecentret ska ha rätt att avgiftsfritt och trots sekretessbestämmelserna ur de register över de gemensamma tjänsteproducenter som nämns i lagförslagen få de uppgifter om statsförvaltningens verksamhet och ekonomi som är nödvändiga för skötseln av uppgiften. Statskontoret och servicecentret är personuppgiftsansvariga i fråga om de uppgifter som de får för skötseln av den föreslagna nya uppgiften. I propositionen föreslås det också att servicecentret i fortsättningen ska vara gemensamt personuppgiftsansvarig tillsammans med sina kunder. Det sistnämnda förslaget ska förtydliga det oklara rättsläget i registerföringen inom statens ekonomi- och personalförvaltning. 

Syftet med lagförslagen är att främja en faktabaserad beredning och ett faktabaserat beslutsfattande. Målet är att få tillgång till de uppgifter om statliga ämbetsverks och inrättningars verksamhet och ekonomi som finns i de gemensamma tjänsteproducenternas register för att de ska kunna utnyttjas i utvecklingen, styrningen och ledningen av verksamheten. Utskottet ställer sig bakom de här målen. 

Sammantaget anser förvaltningsutskottet att lagförslagen behövs och fyller sitt syfte. Utskottet tillstyrker lagförslagen i propositionen, men med de synpunkter och ändringsförslag som framgår av detta betänkande. 

Statsförvaltningens gemensamma servicefunktioner

Inom statsförvaltningen har servicefunktionerna centraliserats till gemensamma serviceproducenter. Sådana gemensamma serviceproducenter är Statskontoret (finansiering och ekonomiförvaltning), Servicecentret för statens ekonomi- och personalförvaltning (ekonomi- och personalförvaltning), Hansel Ab (upphandling), Haus kehittämiskeskus Oy (utbildning), Senatfastigheter (lokaler), Statens informations- och kommunikationstekniska center Valtori (informationsförvaltning) och Myndigheten för digitalisering och befolkningsdata (projektförvaltning). 

Avsikten med de gemensamma tjänsterna har varit att tillförsäkra statens ämbetsverk och inrättningar högklassiga, utvecklingsbara och kostnadseffektiva stödtjänster, så att ämbetsverken kan koncentrera sig på sin kärnverksamhet. Ett syfte med centraliseringen av tjänsterna har också varit att säkerställa den specialkompetens som behövs inom tjänsteproduktionen och att tjänsterna utvecklas särskilt inom verksamhetsområden som förändras snabbt på grund av teknikutvecklingen. 

Utskottet har vid flera tillfällen konstaterat att dessa mål inte till alla delar har uppnåtts. Utskottet har fäst särskild uppmärksamhet vid myndigheternas ökade IKT-kostnader och lokalkostnader. När det gäller lokalhanteringen behandlar riksdagen just nu regeringens proposition med förslag till lag om Senatfastigheter och Försvarsfastigheter och till vissa lagar som har samband med den (RP 31/2020 rd). Ärendet har remitterats till försvarsutskottet, som förvaltningsutskottet ska lämna utlåtande till. 

Tjänsterna vid Servicecentret för statens ekonomi- och personalförvaltning är avgiftsbelagda för de ämbetsverk som är kunder hos centret. Utskottet anser det vara viktigt att de nya uppgifter som föreskrivs för servicecentret inte påverkar kvaliteten på andra tjänster eller storleken på ämbetsverkens serviceavgifter. 

Uppgifter som används i analys- och rapporteringstjänsterna

EU: s allmänna dataskyddsförordning (EU) 2016/679 är direkt tillämplig rätt i medlemsstaterna. Den ger dock i någon mån nationellt handlingsutrymme. På det nationella planet preciseras och kompletteras dataskyddsförordningen av dataskyddslagen (1050/2018), som trädde i kraft den 1 januari 2019. 

I lagarna om statskontoret och servicecentret finns för närvarande inga bestämmelser om användningen av de uppgifter om statsförvaltningens verksamhet och ekonomi som samlats in i de gemensamma tjänsteproducenternas informationssystem för utveckling, styrning och ledning av verksamheten. Enligt propositionsmotiven förutsätter utvecklandet av statsförvaltningens funktioner att de uppgifter som uppstår i verksamheten kan utnyttjas bättre än för närvarande i analyser av lägesbilden och planeringen av de åtgärder som behövs, genomförandet av dem och bedömningen av konsekvenserna. 

I analys- och rapporteringstjänsterna behandlas uppgifter som gäller planeringen och uppföljningen av verksamhet, ekonomi- och personalförvaltningen (inbegripet reseförvaltning), den gemensamma basala informationstekniken, hanteringen av upphandlingar, lokalhanteringen, centraliserade utbildningstjänster, projekthanteringen och organisationsstrukturen. I fråga om analys- och rapporteringstjänster granskas uppgifterna om de statliga ämbetsverk och inrättningar som är skyldiga att använda gemensamma tjänster. I detta ingår således inte uppgifter om riksdagen och ämbetsverk i anslutning till riksdagen. 

Statskontoret och servicecentret har inte direkt tillgång till tjänsteproducenternas register, utan det föreslås att de ska ha rätt att få uppgifter ur dessa register. I analys- och rapporteringstjänsterna behandlas också personuppgifter. Utskottet anser det vara viktigt att fästa uppmärksamhet vid principen om uppgiftsminimering enligt dataskyddslagstiftningen och kravet på att behandlingen av personuppgifter ska vara proportionerlig. 

Utskottet anser det motiverat att de uppgifter som avses i 24 § 1 mom. 2, 5 och 7—11 punkten i lagen om offentlighet i myndigheternas verksamhet (621/1999, offentlighetslagen) inte lämnas ut för användning i analys- och rapporteringstjänster. I de bestämmelserna föreskrivs det exempelvis om sekretess för handlingar som gäller Finlands internationella relationer, brottsutredning, allmän säkerhet, beredskap för undantagsförhållanden, statens säkerhet, underrättelse och försvar. 

Utskottet betonar att uppgifterna inom analys- och rapporteringstjänsterna bör behandlas så att detta inte medför säkerhetsrisker. Särskild uppmärksamhet ska i synnerhet ur säkerhetsmyndigheternas synvinkel fästas vid konsekvenserna av ansamlingen av sekretessbelagda uppgifter när uppgifter sammanställs från olika källor. Riskerna med denna ansamling av uppgifter ska bedömas omsorgsfullt i samarbete med den behöriga myndighet som lämnar ut uppgifterna. 

Rätten att få uppgifter omfattar enligt förslaget inte heller sådana särskilda kategorier av personuppgifter som avses i artikel 9 i den allmänna dataskyddsförordningen och som innehåller känsliga uppgifter som hör till skyddet för privatlivet. Föremål för överlåtelsen kan dock vara uppgifter om varaktigheten av frånvaro som har orsakats av sjukdom, yrkessjukdom eller olycksfall i arbetet. Enligt förslaget ska vid behandlingen av sådana uppgifter iakttas lämpliga skyddsåtgärder, med vilka enligt propositionsmotiven avses åtgärder som säkerställer att behandlingen av personuppgifter är lagenlig. Uppgifterna ska behandlas så att personuppgifter inte längre kan kopplas till en viss person utan ytterligare information (pseudonymisering). Dessutom behandlas data som innehåller personuppgifter så att enskilda personer inte längre kan identifieras och så att identifieringen av personuppgifter oåterkalleligen förhindras (anonymisering). Uppgifterna kan också summeras till nivån för större observationsenheter (aggregering). Genom dessa skyddsåtgärder säkerställs det att uppgifterna är i en sådan form att enskilda personer inte kan identifieras och sekretessbelagda uppgifter inte kan offentliggöras. 

Utskottet anser att rätten att få på detta sätt begränsad information är befogad med tanke på Statskontorets och servicecentrets uppgifter. Utskottet föreslår dock en precisering av bestämmelsernas ordalydelse som framgår av utskottets detaljmotivering. 

Personuppgiftsansvar

Statskontoret och servicecentret är enligt de föreslagna bestämmelserna personuppgiftsansvariga i fråga om de uppgifter som de får för skötseln av sitt analys- och rapporteringsuppdrag. Enligt 1 a § 1 mom. i lagförslag 2 är servicecentret dessutom gemensamt personuppgiftsansvarigt tillsammans med var och en av de kunder som räknas upp i bestämmelsen. Det gemensamma personuppgiftsansvaret gäller uppgifter i de informationssystem som servicecentret äger och anknyter inte direkt till den föreskrivna uppgiften att producera analys- och rapporteringstjänster. 

Utskottet konstaterar att ändamålen med och metoderna för behandlingen av personuppgifter definieras i lagstiftningen när det är fråga om myndigheter. Myndigheten kan således inte själva definiera ändamålen med behandlingen av personuppgifter. I de föreslagna lagarna föreskrivs det om ändamålet med behandlingen och delvis också om metoderna. Bestämmelser om behandlingsmetoderna finns också exempelvis i informationshanteringslagen (906/2019). Utifrån erhållen utredning anser utskottet att de föreslagna bestämmelserna om hur den personuppgiftsansvarige ska bestämmas är förenliga med dataskyddsförordningen och nödvändiga. 

Dataskyddsförordningen förutsätter att de gemensamt personuppgiftsansvariga fastställer varje personuppgiftsansvarigs ansvarsområde genom ett ömsesidigt transparent arrangemang för att fullgöra skyldigheterna enligt dataskyddsförordningen, särskilt när det gäller utövandet av de registrerades rättigheter och uppdraget att lämna uppgifter enligt artiklarna 13 och 14. Sättet att genomföra arrangemanget fastställs inte i förordningen. I propositionen föreslås att bestämmelser om de gemensamt personuppgiftsansvarigas ansvar ska utfärdas på lagnivå (1 a § 2 mom. i lagförslag 2). Detta kan anses vara en tydlig lösning med tanke på dataskyddet och rättssäkerheten. 

Utskottet anser dock att det med tanke på dataskyddsförordningen och den registrerades rättigheter är nödvändigt att servicecentret och de myndigheter som är gemensamt personuppgiftsansvariga tillsammans med den tydligt beskriver personuppgiftsansvaret i den information som enligt dataskyddsförordningen ska lämnas till den registrerade och i redogörelsen för behandlingsåtgärderna. Den registrerade kan oberoende av arrangemangets villkor utöva sina rättigheter enligt dataskyddsförordningen i förhållande till varje personuppgiftsansvarig. Relationerna mellan myndigheterna ska vara tydliga när det gäller ansvaret för behandlingen av personuppgifter och informationshanteringen. 

Utlämnande av uppgifter

Statskontoret och servicecentret har enligt de föreslagna bestämmelserna rätt att för skötseln av sina uppgifter som analys- och rapporteringstjänst få nödvändiga uppgifter ur de ovannämnda gemensamma tjänsteproducenternas register som innehåller sådana uppgifter om verksamhet och ekonomi inom statens ämbetsverk och inrättningar som anges i dessa bestämmelser. En noggrannare definition av det informationsinnehåll som lämnas ut med hjälp av ett tekniskt gränssnitt görs enligt propositionen i samarbete mellan Statskontoret, servicecentret och andra gemensamma tjänsteproducenter samt i synnerhet mellan säkerhetsmyndigheterna och andra kundämbetsverk. 

Utskottet konstaterar att utgångspunkten för offentlighetslagen är att varje myndighet är behörig att besluta om de handlingar som den innehar. Offentlighetslagens bestämmelser om sekretess och utlämnande av uppgifter trots sekretess grundar sig på principen om fristående myndigheter. I sin lagtillämpning är myndigheterna självständiga i relation till varandra (GrUU 62/2018 rd). Uppgifterna i de register över olika tjänsteproducenter som avses i propositionen har lagrats i informationssystemen och bildar således på basis av sitt användningsändamål sådant informationsmaterial som avses i informationshanteringslagen. Uppgifterna i informationssystemen är upptagningar som avses i 12 § 2 mom. i grundlagen (GrUU 3/2009 rd). Servicecentren och andra tjänsteproducenter agerar för sina kunders räkning, varför de i princip inte är behöriga att besluta om utlämnande av upptagningar i informationssystemen, eftersom de är handlingar som tillhandahålls av ämbetsverk och inrättningar som betjänar kunder. Enligt erhållen utredning har man fäst uppmärksamhet vid dessa ansvarsfrågor också vid laglighetskontrollen. 

Utskottet föreslår att bestämmelserna (2 c § 1 mom. i lagförslag 1 och 1 b § 1 mom. i lagförslag 2) preciseras så att det tydligare framgår av dem att beslut om utlämnande av uppgifter för användning i analys- och rapporteringstjänster fattas av den myndighet som är behörig enligt offentlighetslagen. Dessutom föreslår utskottet en uttrycklig bestämmelse i de nämnda bestämmelserna om att Statskontoret eller servicecentret, de gemensamma tjänsteproducenterna och den myndighet som lämnar ut uppgifterna i samverkan bestämmer vilka uppgifter som ska lämnas ut för analys- och rapporteringstjänster. Endast den myndighet som enligt offentlighetslagen har rätt att lämna ut uppgifter kan bedöma vilka nödvändiga uppgifter som får lämnas ut till en annan myndighet. Också av denna orsak är det viktigt att de nämnda aktörerna tillsammans fastställer vilka uppgifter som ska lämnas ut till tjänsten.