Ansvars- och sekretessvillkor i konsultavtal: en checklista

Varför skriftliga villkor för ansvar och sekretess

Ett skriftligt projektavtal klargör vad som gäller och hjälper parterna att reda ut olika uppfattningar och förväntningar innan projektet börjar. Enligt vägledningen för projektavtal har avtalet också stort bevisvärde och fungerar som en handling att gå tillbaka till om någon glömmer bort eller vill ändra överenskommelsen.

I samarbeten som tar fram uppfinningar eller datorprogram förutsätts i princip ett skriftligt avtal, eftersom många frågor behöver tänkas igenom och regleras. Saknas uttrycklig reglering är risken enligt samma vägledning stor att parterna efter projektet inte kan använda resultaten som de tänkt. Vinnova kräver för sin finansiering att parterna ingår ett projektavtal (Vinnovas allmänna villkor för bidrag § 1.4).

Ansvars- och sekretessvillkoren hänger ihop med flera andra punkter. I vägledningens struktur listas de tillsammans med parter, syfte eller bakgrund, definitioner, omfattning, finansiering, projektorganisation och styrning, kommunikation, IPR-reglering, publicering, rapportering, skadestånd, avtalsbrott, avtalsperiod, tvistelösning, tillämplig lag, efterföljande avtalsverkningar samt ändringar och tillägg. Vem som får använda och sprida resultaten påverkar därför direkt vad som måste hållas hemligt.

Ansvarsfördelning: vårdslöshet och avtalsbrott

Enligt vägledningen är huvudregeln att parterna ansvarar mot varandra om de är vårdslösa. Den som bryter mot ett avtalsvillkor begår avtalsbrott. Ansvarsbedömningen utgår därför från vad avtalet säger att var och en ska göra: ett uppdrag i breda ordalag ger sämre underlag för att avgöra om någon varit vårdslös eller brutit mot en skyldighet.

Punkter att peka ut i avtalet innan arbetet börjar:

• Parterna och deras företrädare, samt vem som företräder respektive part i löpande frågor.

• Uppdragets omfattning: vad som ingår, vad som uttryckligen inte ingår och vilka resultat som ska levereras.

• Projektorganisation och styrning: vem som fattar beslut, vem som är kontaktperson och hur beslut dokumenteras.

• Kommunikation och rapportering: vilka uppgifter konsulten ska lämna, till vem och när – utebliven rapportering kan annars inte bli avtalsbrott.

• Avtalsperioden och vad som gäller vid förlängning.

Avtalsbrott definieras utifrån avtalsvillkoren, så sekretessåtagandet måste vara en bindande skyldighet (konsulten ska inte röja uppgiften), inte en avsiktsförklaring. Först då kan brott konstateras och följas av påföljd.

Ansvarsbegränsningar och skadestånd

Vägledningen behandlar ansvar och ansvarsbegränsningar, skadestånd och avtalsbrott som tre separata villkor. Avtalet kan alltså begränsa ansvarets storlek och behöver samtidigt reglera påföljderna vid avtalsbrott. Typiska byggstenar är tak per skadehändelse eller avtalsår, undantag för vissa skadetyper och en koppling mellan takets storlek och arvodet för uppdraget.

Frågor att få besvarade innan konsulten börjar:

• Vilka skador omfattas av ansvarsbegränsningen – bara direkta eller även indirekta, och gäller taket för alla skadetyper?

• Omfattas sekretessbrott och anspråk om intrång i tredje parts rättigheter av samma tak, eller undantas de?

• Gäller begränsningen även skador som konsultens underleverantörer orsakar?

• Vilka påföljder gäller vid avtalsbrott – avhjälpande, prisavdrag, hävning eller skadestånd – och vem bär kostnaden för tredjemansanspråk?

• Vilka tidsfrister gäller för reklamation och för att framställa krav?

I publicerad rättspraxis finns ett avgörande där 33 § och 36 § lagen (1915:218) om avtal och andra rättshandlingar på förmögenhetsrättens område anges som lagrum.

Sekretess: vad omfattas och varför

Sekretess är ett eget villkor i vägledningens struktur, vid sidan av publicering och IPR-reglering. Avtalet måste därför definiera vilken information som är konfidentiell, inte bara slå fast att sekretess gäller. Utgå från vad som är känsligt i uppdraget: teknisk lösning och källkod, affärs- och prismodeller, testdata, kund- och personuppgifter samt uppgifter om tredje man som uppdragsgivaren fått i förtroende.

Checklista för sekretessvillkoret:

• Vilka kategorier av information omfattas, inklusive information som förmedlas muntligt, i utkast och i testmiljöer.

• Vilka undantag ska gälla – information som konsulten redan kände till, tagit fram självständigt, som blivit allmänt känd utan brott mot avtalet, eller som konsulten är skyldig att lämna ut enligt lag eller myndighetsbeslut.

• Ska informationen märkas som konfidentiell för att omfattas, och vem ansvarar i så fall för märkningen?

• Vem får ta del av informationen – en namngiven personkrets i stället för konsultens personal i allmänhet.

• Hur länge sekretessen gäller och hur material hanteras vid avtalets slut: återlämnande, radering eller fortsatt förvaringsrätt.

Behandlas personuppgifter i uppdraget tillkommer dataskyddsregler vid sidan av sekretessvillkoret. Det avspeglas i att eSamverkas vägledning Utkontraktering – sekretess och dataskydd (1 juli 2023) behandlar de två områdena tillsammans.

Tystnadsplikt för konsultens personal och underleverantörer

Tystnadsplikten kan behöva följa med nedåt i leverantörskedjan i stället för att stanna hos konsultbolaget. Enligt eSamverkas vägledning Utkontraktering – sekretess och dataskydd gäller tystnadsplikt enligt 3 § även för anställda m.fl. hos underleverantörer till tjänsteleverantören, när de medverkar till att fullgöra dennes åtagande.

Punkter att reglera:

• Vilka hos konsulten som medverkar i uppdraget och därmed får del av uppdragsgivarens information.

• Om enskilda medarbetare ska underteckna egna sekretessförbindelser, och vad som gäller för dem som lämnar konsultföretaget.

• Vilka underleverantörer som anlitas, om uppdragsgivarens godkännande krävs innan en underleverantör byts ut eller tillkommer, och hur information om bytet ska lämnas.

• Att konsulten ansvarar gentemot uppdragsgivaren för att underleverantörer och deras personal följer sekretess- och tystnadsplikten, så att uppdragsgivaren bara behöver vända sig till en motpart vid brott.

• Hur dataskyddsfrågor fördelas om en underleverantör behandlar personuppgifter för uppdragsgivarens räkning, inklusive när underleverantören i sin tur anlitar någon annan.

Utan dessa punkter kan sekretessbrott hos en underleverantör sakna både ansvarig part och påföljd i avtalet, även om konsultbolaget självt håller sitt åtagande.

När uppdragsgivaren är offentlig: allmän handling och sekretessprövning

Enligt Upphandlingsmyndigheten omfattas allmänna handlingar av offentlighetsprincipen och ska lämnas ut om någon begär det. Alla uppgifter i handlingen lämnas dock inte ut: vissa omfattas av sekretess enligt offentlighets- och sekretesslagen, och en allmän handling med sekretesskyddade uppgifter ska ibland ändå lämnas ut delvis, med uppgifterna maskade. Det går inte att vägra lämna ut hela handlingen med hänvisning till att vissa uppgifter är sekretessbelagda.

I offentliga upphandlingar är det oftast tydligt vad som är en allmän handling – upphandlingsdokument, inkomna anbud och tilldelningsbeslut blir alla allmänna. Olika sekretessregler har olika syften, skyddar olika uppgiftstyper och gäller vid olika tidpunkter under upphandlingen. Prövningen påverkas av om begäran görs före eller efter tilldelningsbeslutet. Offentlighets- och sekretesslagen (2009:400) anger vid respektive sekretessbestämmelse under hur lång tid uppgifterna som längst kan omfattas av sekretess. Den bestämmelse som skyddar leverantörers intressen kräver en affärsförbindelse mellan den upphandlande organisationen och leverantören.

Checklista för konsultavtal med en offentlig uppdragsgivare:

• Utlova inte mer sekretess än lagen medger – en myndighet kan inte avtala bort offentlighetsprincipen.

• Kom överens om att uppdragsgivaren underrättar konsulten när någon begär ut handlingar som rör konsultens uppgifter, så att konsulten kan lämna synpunkter inför sekretessprövningen, och om hur utfallet meddelas.

• Bestäm att ett utlämnande efter sekretessprövning – helt eller med maskade uppgifter – inte i sig utgör avtalsbrott.

• Specificera vilka typer av uppgifter i leveransen som kan aktualisera sekretess och dokumentera bedömningen skriftligt.

• Känn till lagens uppbyggnad: 6 kap. handlar om utlämnande av allmänna handlingar och uppgifter samt överklagande, 19 kap. om sekretess till skydd för det allmännas ekonomiska intresse och 21 kap. om sekretess till skydd för uppgift om enskilds personliga förhållanden. Lagen (2009:400) är utfärdad av Justitiedepartementet L6 den 20 maj 2009.

Sekretess efter avtalets slut och ändringar

Vägledningen har egna villkor för efterföljande avtalsverkningar samt för ändringar och tillägg. Avtalet behöver därför ange vad som gäller efter avtalsperiodens slut – särskilt hur länge sekretessen består, eftersom tystnadsplikten vilar på avtalet och inte kan lämnas utan tidsangivelse. Bestäm samtidigt vad som händer med material, kopior och dokumentation: ska allt återlämnas eller raderas, får konsulten behålla underlag för dokumentation och egen bevisning, och vem ansvarar för att raderingen kan styrkas?

I uppdrag åt en offentlig uppdragsgivare gäller dessutom sekretess enligt offentlighets- och sekretesslagen under den tid som anges vid respektive sekretessbestämmelse – den tiden styrs inte av parternas överenskommelse. Avtalet kan alltså reglera tystnadsplikten mellan parterna, men inte förkorta eller förlänga den lagstadgade sekretessen.

För ändringar och tillägg: bestäm att de ska vara skriftliga och undertecknade av behöriga företrädare för båda parter, och att samma ansvars- och sekretessvillkor gäller för tilläggsarbete som för det ursprungliga uppdraget. Ändringar via e-post eller muntligt i projektmöten kan flytta uppdragets omfattning utan att ansvars- och sekretessvillkoren följer med. Se också till att bilagor, offerter och specifikationer omfattas av avtalets sekretess- och ansvarsvillkor, och att det framgår vilka handlingar som utgör avtalet samt i vilken ordning de gäller om de motsäger varandra.

Checklista innan signering

• Är parterna och deras behöriga företrädare utpekade, och framgår det vem som får begära ändringar av uppdraget?

• Är uppdragets omfattning beskriven med vad som ingår och vad som inte ingår, och är skyldigheterna formulerade som bindande åtaganden (ska) i stället för avsikter?

• Är det tydligt vad som är vårdslöst agerande i uppdraget respektive avtalsbrott, och vilka skyldigheter som gäller för kommunikation och rapportering?

• Finns ett tak för ansvaret – per skada eller per avtalsår – och framgår det vilka skadetyper som omfattas, om sekretessbrott och intrångsanspråk undantas, och om taket gäller underleverantörers agerande?

• Är påföljderna vid avtalsbrott reglerade (avhjälpande, prisavdrag, hävning, skadestånd), inklusive reklamationsfrister och vem som bär kostnaden för tredjemansanspråk?

• Är den konfidentiella informationen definierad med kategorier, undantag, krav på märkning och en namngiven personkrets som får ta del av den?

• Är sekretessens varaktighet angiven, och framgår det vad som gäller med material, kopior och dokumentation vid avtalets slut?

• Omfattas konsultens medarbetare och underleverantörer av tystnadsplikten, krävs uppdragsgivarens godkännande vid byte av underleverantör, och ansvarar konsulten gentemot uppdragsgivaren för deras efterlevnad?

• Om uppdragsgivaren är offentlig: framgår det att uppdragsgivaren gör sekretessprövning, att konsulten får veta när en begäran om utlämnande görs, och att avtalet inte utlovar sekretess som offentlighets- och sekretesslagen inte medger?

• Finns ett skriftligt förfarande för ändringar och tillägg, med krav på behöriga företrädares underskrift och med samma ansvars- och sekretessvillkor som grundavtalet?

Vägledningen för projektavtal har inga modellklausuler eller mallar; varje avtal behöver upprättas utifrån projektets syfte och parternas egna förutsättningar och intressen. Vägledningen rekommenderar att parterna tar hjälp av en jurist i den egna organisationen eller på advokatbyrå för innehållet i just sitt avtal.