sou · GVB344 · 2008-01-01 00:00:00 — var dock medveten om att databanden hade tagits ut ur bandroboten på försommaren 2005.14 , efter det att kommissionen presenterat sin rapport, tog per e-post upp frågan om banden alltjämt skulle sparas med . I meddelandet angav att banden var sparade till och att det efter detta datum inte gick att göra någon återläsning av den sparade informationen, samt frågade om den tidpunkten var tillfyllest för Nordqvist.15 En kopia av e-postmeddelandet gick till en av teknikerna i servergruppen. svarade i ett e-postmeddelande att han skulle återkomma.16 återkom per e-post med sitt svar på meddelandet , då han uppgav att han antog att materialet inte längre var sparat.17 hade av teknikern blivit upplyst om att det även utan index över bandinnehållet skulle gå att återläsa informationen på banden, men att det då skulle ta mellan två och per band att söka en uppgift.18 svarade därför i ett e-postmeddelande att det fortfarande gick att läsa informationen, men att det skulle komma att ta att få fram uppgifter. återkom per e-post med fråga hur det skulle ta. svarade i ett e-postmeddelande att det för varje band kunde ta , och att det i teorin skulle kunna ta upp mot att hitta efterfrågad information då man inte visste var den fanns. I verkligheten, uppgav , skulle det komma att ta , eftersom bandroboten används till annat arbete, så att man förmodligen högst skulle kunna leta på fem band och att det då skulle komma att ta omkring att leta igenom alla band. återkom slutligen i ett e-postmeddelande med besked om att det på sitt sätt var en utmärkt situation, då man hade informationen om det var absolut nödvändigt att ta fram den men att det å andra sidan var så arbets- 15Utfrågning , och (bilaga 1). 17Utfrågning , och (bilaga 1). Hanteringen av databanden och annan IT-information i krävande att utomstående inte hade rätt att kräva att få ut upp- gifterna. avslutade sitt meddelande med uppgift om att de kunde ta upp frågan om banden på nytt om ett halvår.19 Inom servergruppen frågade man sig också efter kommissionens rapport om banden av praktiska skäl skulle flyttas från golvet i datorhallen där bandroboten stod. Det fanns inget utrymme inom IT-avdelningen som lämpade sig för förvaring av banden. talade därför efter kontakt med med säkerhetschefen , som gav servergruppen ett säker- hetsskåpsutrymme att låsa in banden i. Så skedde den 21 mars 2006.20 fick information från TV eller Text-tv om att någon från hade sagt att information om e-post och loggar inte fanns. I ett e-postmed- delande daterat frågade han om saken, genom att undra hur de skulle göra med de backuper av e- post som sparats och placerats i ett kassaskåp. Kopia av meddelan- det skickades till och säger sig ha undrat över beskedet om att informationen inte fanns.22 svarade med en förklaring av bakgrunden till svar till , där han angav att begäran om uppgifter alltid skulle avse allmänna handlingar och att uppgifter som sparas på en backup normalt sett aldrig kan anses tillgängliga med hjälp av rutinbetonade åtgärder. Meddelandet avslutades med raden det är nog hög tid att rensa banden.23 svar sändes även till och . såg uppgift om rensning av banden mer som en uppmaning än en instruktion. I avsaknad av order om gallring från sina chefer , vilka normalt var de som skulle lämna en instruktion om radering till honom, vidtog inte någon åtgärd beträffande banden. har inför kommissionen förklarat och kom- menterat de uppgifter han lämnat i e-postkonversationen angående gallringsfrågan med att han utgick från de uppgifter som hade lämnat om att det skulle ta att leta 19Utfrågning , och (bilaga 1). 23Utfrågning , bilaga 1. Hanteringen av databanden och annan IT-information i fram en uppgift ur bandmaterialet, vilket inte kunde anses vara en rutinbetonad åtgärd. Enligt vad han förstod var en myndighet inte skyldig att ta fram uppgifter ur en upptagning om detta krävde mer än rutinbetonade åtgärder, och en uppgift som inte gick att ta fram med rutinbetonade åtgärder ur en upp- tagning var inte att anse som förvarad i tryckfrihetsförord- ningens bemärkelse. Därmed var inte heller bandmaterialet att anse som en allmän handling, såvitt han förstod. har vidare uppgett att frågan om banden skulle gallras inte låg inom hans ansvarsområde, dels då frågor rörande departementsöverskridande logglistor enligt arbetsordning normalt låg inom kansliarkivariens föreskriftsrätt24, dels då beslutet om långtids- lagrande hade fattats av en honom överordnad (förvaltnings- chefen). har beklagat att han inte, när frågan väcktes, vände sig till den då tillträdde förvaltningschefen . Han har också beklagat att han uttryckt sig illa i det sista e-post- meddelandet till av , där han sagt att det på sätt och vis var utmärkt att de hade informationen om det var absolut nödvändigt att ta fram den men att det å andra sidan var så arbetskrävande att utomstående inte hade rätt att kräva att få ut uppgifterna. När det gäller e-postmeddelande angående rätt att ta del av handlingar har själv uppgett att han mot bakgrund av redovisad bedömning ansåg att bandmaterialet var oanvändbart. Han har vidare uppgett att även om det inte finns någon lagreglerad begränsning innebärande att endast har rätt att ta del av uppgifter från allmän handling, var ärendet rörande tsunamihanteringen första gången som han hade kännedom om där gick över den gränsen och bland annat begärde att få ta del av enskilda personers minnesanteckningar från möten. Överlag menar att det vad gäller svarsunderlag till konstitutions- utskottet var så många frågor uppe till bedömning att det som normalt skulle ha genererat diskussioner inte fick det utrymme det annars skulle ha fått.25 och tog inte någon ytter- ligare kontakt med varandra angående frågan om sparande av banden . 2412 § föreskrifter med arbetsordning för (RKF 2004:6). 25Utfrågning , och . Hanteringen av databanden och annan IT-information i Av den redogörelse över händelseförloppet som ovan lämnats framgår att ett flertal personer inom Förvaltningsavdelningen, främst inom IT-enhet med dess servergrupp men även dåvarande förvaltningschefen , chefsjuristen och dåvarande ämnesrådet haft vetskap om att antingen e-post och e-postloggar hade sparats eller mer specifikt att databand hade långtidslagrats. Initierade personer torde också ha haft kännedom om att viss kringinformation hade kommit att sparas, utöver vad som hade begärts, på grund av systemets tekniska utformning. Det har inte framkommit uppgifter om att , eller någon utanför Förvaltningsavdelningen hade kännedom om att databanden fanns eller att det hade skett ett informationssparande utöver den normala säkerhetskopieringen. har uppgivit att han inte förde saken vidare till eller Weihe.26 De båda har uppgett att de fick kännedom om banden först den 12 oktober 2006.27 Såväl som har bekräftat att någon egentlig överlämning av förvalt- ningschefens arbetsuppgifter inte ägde rum när tillträdde , detta dels på grund av tidsbrist då de båda hade krävande uppgifter på annat håll, dels på grund av att redan var väl bekant med Regeringskansliet.28 har beklagat att han inte kontrollräknade, eller lät kontrollräkna, banden innan han förde uppgiften om att ett visst, bestämt antal databand från tiden för hade funnits förvarade i källaren i vidare till statsministern i oktober 2006.29 Hur bandens existens kom att offentliggöras framgår av beskrivningen i avsnitt 1.2. 26Utfrågning , och . 27Utfrågning och utfrågning och 2007- 04-23. 28Utfrågning och utfrågning och . Se även avsnitt 4.2 angående antalet databand. Hanteringen av databanden och annan IT-information i 6.1.6Tekniskt problem med filindex Index över vilket innehåll som finns lagrat på banden i bandroboten finns, som nämnts, i backupsystemets mjukvara. Det finns två typer av index: bandindex, som kan liknas vid kapitelindelning i en bok, och filindex, som kan liknas vid ett sakregister i samma bok. Det har i efterhand framkommit att filindex avseende de band som spärrats för överskrift var skadat redan vid den första inläsningen om att banden skulle skyddas. Indexet över bandens sakliga inne- håll var alltså ofullständigt, men bandindexets uppgift om datum för respektive backuptagning fanns kvar. Det var först , efter det att bandens existens offentliggjorts, som detta fel i filindex uppmärksammades. Felet har bekräftats av leverantören. Åtgärder med att återställa filindexet har vidtagits, men ett sådant återskapande har inte kunnat göras. Problemet med filindexet kan eventuellt härröra från en uppgradering i systemet som gjordes år 2003.30 Felets följder och hur frågan om bandens innehåll kom att hanteras rent tekniskt i granskningsuppdraget framgår av avsnitt 3.2. 6.2Hantering av annan IT-information i Ett stort antal ärenden om utlämnande av allmänna handlingar i som gällde elektroniska uppgifter, bl.a. e-post, e-postloggar, telefonloggar och inpasseringsloggar, uppkom dels strax efter , dels sedan kommissionen avlämnat sin rapport i december 2005.31 Vid beredningen av dessa ärenden fram- kom att det i fanns en stor mängd elektroniska logglistor i framför allt datasystem, inpasseringssystem, telefon- system och telefaxsystem. Någon samlad kunskap om dessa logg- listors existens, innehåll eller rättsliga status fanns inte bland juristerna som hade att pröva utlämnandefrågorna. Chefsjuristen på Förvaltningsavdelningen, , är personuppgiftsombud och ansvarig för frågor om utlämnande av 30Utfrågning och , bilaga 1. 31Se bl.a. regeringsbeslut i SB 2005/2408, SB 2005/2005 och SB 2005/2679. Hanteringen av databanden och annan IT-information i allmän handling samt diarie- och arkivfrågor inom Förvaltnings- avdelningens verksamhetsområde.32 Ärenden om utlämnande av allmän handling som skall prövas av regeringen bereds av rätts- chefen vid , och enades under berednings- arbetet i dessa utlämnandefrågor om att inte enbart tekniker utan även jurister måste ha kännedom om de loggar som förs i . lovade att han skulle se över dessa frågor. gav en arbetsgrupp i uppdrag att göra en översyn av rutiner för logglistor. I arbetsgruppens uppdrag låg att lämna förslag till nya rutiner för sådana logglistor som ger uppgifter om andra förhållanden än de som har med systemets drift att göra. Gruppen skulle också bedöma behov av loggarna och förutsättningar- na för att rensa eller gallra loggarna samt lämna förslag till änd- ringar eller förtydliganden av föreskrifter och riktlinjer på området som bedömdes nödvändiga. Vidare skulle gruppen redovisa vilka system som skapar logglistor som ger uppgifter om andra förhållanden än dem som har med systemets drift att göra, varför loggarna sparas och hur länge loggarna sparas. Gruppen bedömde tidigt att det var omöjligt att inom ramen för uppdraget i alla delar redovisa vilka system i som skapar känsliga loggar, varför och hur länge loggarna sparas. I stället inriktades granskningen mot loggar i viktigare system med många användare. Dels genomfördes särskilda fallstudier på vissa system, dels gjordes en översiktlig inventering utan närmare analys av enskilda logglistor. Gruppen ansåg att dess arbete borde betraktas som en metodstudie inför fortsatt utredningsarbete i annan sammansätt- ning och med ytterligare tid till förfogande. En ny arbetsgrupp har tillsatts för att fortsätta arbetet rörande logglistor.34 Förutom tillsättandet av arbetsgrupp har , mot bakgrund av sin roll som personuppgiftsombud, uppgett att han själv dels beslutat att tidigarelägga gallringen av den interna telefon- 3214 och 31 §§ föreskrifter med arbetsordning för (2006:13) och utfrågning , och . 34Utfrågning , och , bilaga 1 och uppgift från kansliarkivet, . Hanteringen av databanden och annan IT-information i loggen, dels tagit upp frågan om personanknutna uppgifter i inpasseringsloggen skall separeras från de tekniska uppgifterna så att bara den tekniska informationen sparas . Något beslut i den senare frågan är ännu inte fattat.35 egen telefonlogg gäller intern trafik och in- kommande eller utgående externa samtal via växeln, medan telefon- operatören har ansvar från växeln och vidare utåt. I finns också fasta telefoner som inte går via växeln. För dessa svarar operatören för loggarna som vid ett helt vanligt abonnemang, eftersom samtalen inte går genom växel. Detsamma gäller för mobiltelefoner. För telefonlogg gäller i fråga om externa samtal att de fem sista siffrorna i det externa telefonnumret stryks. Detta gäller både ingående och utgående samtal samt både mot externa fasta telefoner och mot mobiltelefoner. Syftet bakom denna ordning har uppgetts vara dels att allmänheten skall kunna ringa till anonymt, dels att meddelarskyddet med efterforskningsförbudet kräver anonymitet i andra riktningen. Den interna telefonloggen sparas fullt ut med uppgifter om uppringande anknytning, mottagande anknytning och samtalslängd. Fram sparades telefon- logg . Den gallringsfristen var leverantörens inställ- ning och hade inte aktivt beslutats i . När fick vetskap om att telefonloggarna sparades så länge, beslöt han att skulle kortas, så att gallring skulle ske . Syftet med beslutet var att anpassa gallringsfristen till verksamhetens behov. Beslutet protokollfördes inte. har uppgett att han i efterhand har förstått att frågan var känslig och att han, om han hade insett detta när beslutet om kortad gallringsfrist togs, hade dokumenterat beslutsgången på ett bättre sätt.36 Efter det att beslutet om sex månaders gallringsfrist hade verkställts, kom en tekniker tillbaka i tjänst som hade varit föräldraledig när den nya rutinen infördes. Denne trodde att något hade blivit fel och ställde tillbaka lagringstiden . Denna åtgärd rättades sedan, och sparas telefonloggarna som beslutat. 35Utfrågning , och . 36Utfrågning , och . Hanteringen av databanden och annan IT-information i 6.2.2Uppgifter ur brandväggslogg i ett personalansvarsärende Som framgått ovan förs ett stort antal loggar i system. I avsnitt 3.3 har viss information lämnats kring de loggar som har att göra med passage av brandväggen (gränsytan mellan lokala nätverk och omgivningen). Av av- snitt 4.5.4 framgår att det finns sådana brandväggsloggar som säkerhetskopieras på annat sätt än i bandroboten. Någon gallring av loggar som säkerhetskopieras på annat sätt sker inte. Säkerhets- kopior av dessa brandväggsloggar förvaras i ett låst skåp. Tillträdet till säkerhetskopiorna är mycket begränsat; endast brandväggs- teknikerna har tagit del av dessa för att utföra sitt arbete. En av dessa brandväggsloggar innehåller trafikuppgifter om till inkommande e-post, dock inte e-postmeddelan- dets innehåll. Uppgifter från denna brandväggslogg, vilken inte är densamma som den så kallade registratorsloggen över extern e- post, kom att få betydelse i ett av personal- ansvarsärenden, där fråga om brott senare kom att prövas av dom- stol.37 Det personalansvarsärende som åsyftas hade sin bakgrund i att en journalist fick hotfulla e-postmeddelanden från en anonym avsändare. E-postmeddelandena spårades och det framkom att de hade avsänts från någon inom . Händelsen, som utspelade sig under sen höst 2004, polisanmäldes inte. Samme person inom som hade sänt de ano- nyma meddelandena kom senare att bli föremål för Regerings- kansliets kontroll när han besökte Internet-sidor som han enligt de interna etiska riktlinjerna inte borde besöka. Vid kontrollen rullades ett scenario innefattande bedrägligt förfarande gentemot arbetsgivaren upp. Till grund för brottsmisstankarna låg bland annat ett antal uppgifter ur e-post och brandväggsloggar över e-post, som i några fall var lite drygt när de tillfördes personalansvarsnämndens ärende, något som framgår av personalansvarsnämndens akt. I princip samma trafikuppgifter som inhämtades ur brandväggs- loggen torde ha funnits i den gängse e-postloggen, den så kallade registratorsloggen. Registratorsloggen gallras enligt kansliarkiva- riens beslut i e-postsystemet, men säkerhets- 37 diarienr FA 2005/1099/, tingsrätts mål nr B 20398- 05, mål nr B 2956-06. Hanteringen av databanden och annan IT-information i kopian av denna logg sparas därutöver i bandroboten. E-postmeddelanden i fulltext kan ofta sparas i sam- manlagt från mottagandet; dels sparas sådana med- delanden i användarens egen e-postlåda innan de gallras enligt automatisk rutin (om inte användaren själv dess- förinnan antingen raderar meddelandet, flyttar det till egna mappar i e-postsystemet eller nyttjar systemets inbyggda arkivfunktion), dels sparas meddelanden i backupsystemet. I personalansvarsnämndens beslut att anmäla den anställde för brott deltog bland andra , och . Samtliga har på fråga om de reflekterat över de elektroniska uppgifter som förelegat i personalansvarsärendet i förhållande till gallringsföreskrifter avseende e-post och e-postlogg uppgett att de inte gjort någon sådan reflektion. I den mån de överhuvudtaget noterat uppgifterna ansåg de att uppgifterna låg till grund för brottmålet snarare än de bedömningar de själva hade att göra i personalansvarsärendet.38 Förre förvaltningschefen ursprungliga inten- tion, att säkra information från e-postsystemet för att skydda den mot datorhaveri eller liknande och för att skapa möjlighet att i efterhand kontrollera någon uppgift vid eventuella oklarheter, var vällovlig och förståelig. Åtgärden att långtidsspara informationen var dock unik och borde ha beretts på ett bättre sätt innan den beslutades respektive verkställdes. Inför beslutet fördes ingen diskussion om formerna för att nå det eftersökta resultatet eller om den formella beslutsordningen. Konsekvenserna av det faktiskt verkställda sparandet blev att all e-post (inklusive arkivlagda e-postmeddelanden i brevlådorna) för omkring 4 5 000 anställda från , omkring en månad, kom att långtidssparas. Sparandet kom därtill, av tekniska skäl, att omfatta en mängd data- trafikinformation som fanns på samma band som aktuell e-post. 38 Utfrågningar , och , , och . Hanteringen av databanden och annan IT-information i Möjligen hade dock samma sparande, på grund av tekniska svårig- heter att lösa dilemmat på annat sätt, kommit att ske även efter en diskussion om formerna för sparandet. Kombinationen av det faktum att det rörde sig om en unik åtgärd och omfattningen av den information som önskades långtidsbevarad borde dock ha manat till eftertanke, inte bara om den tekniska lösningen utan även om hur materialet framgent skulle hanteras såväl fysiskt som i gallringshänseende. Några sådana diskussioner fördes dock över huvud taget inte inför beslut, och inte heller därefter. Det fattade beslutet om långtidssparande av information diariefördes inte, vilket skulle ha skett. Det dokumenterades inte heller på annat sätt. En ordentlig dokumentation av beslutet hade lett till att information om beslutet spridits inom och att frågan om banden kunnat hållas levande och följas upp, även sedan den nye förvaltningschefen tillträtt. När beslutet nu inte dokumenterades, blev det i stället viktigt att information om vilken åtgärd som vidtagits verkligen delgavs berörda personer i . Så skedde inte heller. Ingen information om långtidssparande av uppgifter ur e-postsystem, eller mer specifikt information om sparande av band, delgavs – varken vid överlämnandet från företrädaren eller av någon annan i organisationen som hade kännedom om banden – i något skede förrän . Sådana brister vad gäller dokumentation och delgivning av information är helt oacceptabla i en organisation som . Hade åtgärden att långtidsspara banden från början dokumenterats och korrekt delgivits inom , får man utgå från att hanteringen av uppgifter i förhållande till hade skötts korrekt. Såväl granskningsuppdraget som kommis- sionens återinkallande hade kunnat undvikas. bör kritiseras för de nu påtalade bristerna kring sparandet av banden. När det gäller verkställandet av beslutet och den faktiska hanteringen av banden, har det framkommit att man inom IT- enheten inte bara känt till bandens existens utan även löpande hanterat frågor om bandens hantering och förvaring. Detta, sam- mantaget med Säkerhetspolisens slutsatser att inga band försvunnit eller manipulerats, visar att IT-enheten i huvudsak har hanterat banden väl. Som framgått av vad som tidigare anförts i detta betänkande innehåller dock banden känslig information från såväl Hanteringen av databanden och annan IT-information i säkerhets- som integritetssynpunkt. Det är givetvis inte godtagbart att band med denna information – till – har legat paketerade i en kartong på golvet i , även om tillträdet till datorhallen har varit begränsat. Från IT-enhetens sida har också kontakt tagits med chefsjuristen i frågan om huruvida banden fortsatt skulle sparas eller inte. Vem som inom skulle ha haft rätt att besluta om gallring av de långtidssparade banden är inte klart. Kansliarkivarien har visserligen en föreskriftsrätt gällande departe- mentsöverskridande material enligt 12 § arbets- ordning. I enlighet med denna föreskriftsrätt har kansliarkivarien beslutat att e-postloggen skall gallras – ett beslut som kommenteras under 4 § gallringsföre- skrifter angående bland annat logglistor. Bandmaterialet utgör dock säkerhetskopior, för vilka särskilda gallringsregler gäller i 5 § gallringsföreskrifter. Säkerhetskopior av hand- lingar som ingår i datasystem skall gallras när de inte längre behövs för verksamheten, dock tidigast . En rimlig slutsats är att förvaltningschefen är behörig att avgöra vilka säkerhetskopior som behövs för verksamheten. Mot bakgrund av det anförda är det oklart vilken inverkan kansliarkivariens generella gallringsbeslut avseende e-postlogg har när det gäller säkerhetskopiorna. En sak som däremot står klar är att någon information inte lämnades till kansli- arkivarien eller förvaltningschefen om vare sig den planerade, beslutade eller verkställda åtgärden att långtidsspara banden. I stället för att föra frågan vidare till tog själv gallringsdiskussionen med IT-enheten. Hans bedömning var att uppgifter ur upptagningen inte gick att få fram med rutinbetonade åtgärder och att banden därmed utgjorde hand- lingar som inte ansågs förvarade av i tryckfrihets- förordningens bemärkelse och alltså inte var allmänna handlingar. Bedömningen grundar sig på en teknikers uppgift att det skulle ta att ta fram en viss begärd uppgift ur bandmaterialet. Uppgiften har visat sig felaktig, eftersom det fanns ett datumindex till banden. Även om detta skulle ha varit fallet, är den juridiska utgångspunkten att endast uppgifter som kan tas fram med rutinbetonade åtgärder ur en upptagning skall anses förvarade hos myndigheten bara delvis korrekt. Som framgått av avsnitt 4.5.2 Hanteringen av databanden och annan IT-information i gäller begränsningen rutinbetonade åtgärder bara för samman- ställningar ur en upptagning som är så kallade potentiella allmänna handlingar, inte för så kallade färdiga allmänna handlingar – däribland e-postmeddelanden. Frågan om bandmaterialets tryckfrihetsrättsliga status är, som tidigare nämnts, mycket svår. Detta borde ha insett. I stället för att lyfta frågan till tog han själv gallringsdiskussionen med IT-enheten. I ett av de utväxlade e-post- meddelandena har han uttryckt att det var en utmärkt situation att utomstående inte kunde kräva att få del av uppgifter ur band- materialet. gjorde vidare själv en bedömning dels av materialets tryckfrihetsrättsliga status, dels av vilka uppgifter hade rätt att ta del av, vilket kom att få kon- sekvenser när det gäller svar till konstitutions- utskottet. När det gäller svaren till åter- kommer kommissionen med sin bedömning i kapitel 7. måste kritiseras för sin underlåtenhet att till sin när- maste chef lyfta frågorna om bandens existens, deras rättsliga status och rätt till uppgifter om eller ur banden, liksom för sitt från offentlighetssynpunkt illa valda uttryck i nämnda e-postmeddelande. Om inte förr borde så ha skett när lämnade uppgifter inför svar till konstitutionsutskottet.39