sou · GVB344 · 2008-01-01 00:00:00 — I vilken utsträckning en offentlig arbetsgivare har rätt att bereda sig tillträde till anställdas filer, mappar och andra datorutrymmen utan att detta ses som en otillåten husrannsakansliknande åtgärd följer av vad som utgör tillåtna åtgärder enligt annan reglering och vilken information som myndigheten har lämnat till de anställda 3Regeringsformen 2 kap. 6 §. 4SOU 2002:18, Personlig integritet i arbetslivet, s. 107 f. 5Annamaria J. Westregård, Integritetsfrågor i arbetslivet (2002), s. 252 ff. En rättslig analys av förutsättningarna i granskningsuppdraget kring dels privat användning, dels kontrollåtgärder avseende arbets- givarens utrustning. Detta kommer närmare att presenteras i följande avsnitt. Regeringsformens stadgande måste dock beaktas vid granskningen. Artikel 8 i innehåller ett skydd för privatliv och korrespondens. Skyddet är inte absolut utan får under vissa förutsättningar inskränkas genom lag. Det skydd för privatlivet som regleras i artikel 8 inrymmer en svår avgränsning. Respekten för privatlivet omfattar i viss mån rätten att etablera och utveckla relationer med andra människor, vilket sker även på arbetsplatser.6 Skyddet av privatlivet gäller därför även inom arbetslivet och omfattar den enskildes korrespondens, däribland e-post7 och Internet-trafik. Arbetstagaren kan ha rimliga förväntningar om att privat kommunikation till eller från arbetsplatsen omfattas av skyddet för privatlivet, även om kommunikationen sker med hjälp av arbetsgivarens utrustning.8 Om arbetsgivaren korrekt informerar de anställda, kan dock detta minska de anställdas berättigade förväntningar om respekt för privatlivet.9 utesluter inte att övervakning av en anställds telefon-, e-post- eller Internet-användande kan vara nödvändig i vissa situationer för att uppfylla ett legitimt syfte. Detta kräver dock att viss information har lämnats till den anställde, antingen genom rättslig reglering eller genom policy hos arbetsgivaren. I annat fall kan redan ett insamlande och lagrande av sådana elek- troniska uppgifter bryta mot det skydd som artikel 8 stipulerar.10 Uppgifter som hänför sig till en persons offentliga liv faller däremot helt utanför begreppet privatliv enligt konventionen.11 6Europadomstolen i avgörande Niemitz mot , . 7Hans Danelius, Mänskliga rättigheter i europeisk praxis (1998), s. 233. 8Europadomstolen i avgörande mot , . 9Arbetsdokument 5401/01/SV/slutlig WP 55 utarbetat inom för upp- giftsskydd. 10Europadomstolen i avgörande mot , . 11NJA 2001, s. 409. En rättslig analys av förutsättningarna i granskningsuppdraget Eftersom granskaren i enlighet med vad som tidigare redovisats principiellt sett har företrätt arbetsgivaren () vid granskningen av banden, har även arbetsrättsliga principer gjort sig gällande i granskningsuppdraget. En arbetstagare har å ena sidan rätt till personlig integritet i förhållande till arbetsgivaren. Å andra sidan måste en arbetsgivare ha utrymme för att utöva kontroll över verksamheten. Arbets- givaren har tillgång till den information om bruk av Internet och e- post som systemen i arbetsgivarens utrustning genererar. Ofta är dock ett visst privat bruk av arbetsgivarens utrustning tillåtet. Här uppkommer problem med att klargöra vilken rätt arbetsgivaren har att ta del av och kontrollera den information som rör privat bruk.12 En arbetsrättslig utgångspunkt är att det är otillåtet för arbets- givaren att ta del av arbetstagarens e-post i arbetsgivarens utrust- ning i den utsträckning det skulle stå i strid med lag eller god sed på arbetsmarknaden. Begreppet god sed uttolkas av Arbets- domstolen efter en intresseavvägning. Arbetsgivarens syfte med kontrollåtgärderna spelar en stor roll vid denna avvägning. Syftet med arbetsgivarens kontroll måste vara klarlagt innan kontrollen sker. Att arbetsgivaren tar del av arbetstagarens e-post för att kontrollera hur arbetet utförts eller för att kontrollera att gällande riktlinjer för e-postanvändningen följs godtas troligen som en kontrollåtgärd som är förenlig med god sed på arbetsmarknaden. Att arbetsgivaren tar del av arbetstagarens e-post för att få känne- dom om förhållanden som kan ge grund för arbetsrättsliga åtgärder kan också vara godtagbart. Kravet på proportionalitet och ovan redovisat stadgande i regeringsformen torde innebära att e-post som på ett eller annat sätt markerats som privat, till exempel genom att ordet privat angetts i ärendemeningen eller genom att den i e-postprogrammet sparats i en mapp märkt privat, inte alls får läsas eller att arbets- givaren annars slutar läsa ett e-postmeddelande så snart det konsta- terats att det är privat och inte arbetsrelaterat. Meddelanden som en arbetstagare själv anser att han eller hon har avsänt eller tagit emot i tjänsten och meddelanden som vid en objektiv bedömning 12 Regeringen har lämnat i uppdrag åt en särskild utredare att lämna förslag till lagreglering av skydd för den personliga integriteten i arbetslivet; se dir. 2006:55. En rättslig analys av förutsättningarna i granskningsuppdraget framstår som avsända eller mottagna som ett led i utförandet av arbetstagarens arbetsuppgifter bör inte anses som privata.13 Av tekniken följer att digitala meddelanden och vissa uppgifter i loggar knyts till en fysisk person i egenskap av datoranvändare. Sådana meddelanden och uppgifter som är personanknutna omfattas av personuppgiftslagens bestämmelser. Behandling av personuppgifter får enligt personuppgiftslagen endast ske enligt lag och god sed samt för särskilda uttryckligt angivna och berättigade ändamål.14 Behandling av personuppgifter får inte ske för ändamål som inte är förenligt med det syfte för vilka uppgifterna ursprung- ligen samlades in. Ett nytt ändamål är dock inte oförenligt med det ursprungliga syftet, om en registrerad person, typiskt sett, rimligen har att räkna med att de insamlade uppgifterna också får behandlas för det nya ändamålet.15 Tre situationer där behandling av personuppgifter är tillåten kan urskiljas: samtyckesfallen, särskilda fall där samtycke inte krävs därför att behandlingen är nödvändig och fall som avgörs efter en intresseavvägning av om ett ändamål är mer berättigat än den registrerades skyddsintresse.16 För behandling av känsliga person- uppgifter (det vill säga uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem i fackförening samt uppgifter som rör hälsa eller sexualliv) krävs uttryckligt samtycke.17 Eftersom sådant uttryckligt samtycke saknas, och då granskningsuppdraget inte kräver det, varken får eller skall granskningen behandla sådana känsliga uppgifter. För de åtgärder granskningen rört har i stället aktualiserats person- uppgiftslagens bestämmelser kring fall där samtycke inte krävs eller en intresseavvägning skall göras. Bland de situationer där behand- ling får ske om det är nödvändigt är här två fall av intresse, näm- ligen behandling för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet respektive för att en arbetsuppgift av allmänt intresse skall kunna utföras. 13Sören , Privat e-post på arbetet (2005), s. 692 ff. 149 § första stycket a) c) personuppgiftslagen (1998:204). 15Sören och , Personuppgiftslagen en kommentar (2007), s. 164 med hänvisning. 1610 § personuppgiftslagen (1998:204). 1713 § personuppgiftslagen (1998:204). En rättslig analys av förutsättningarna i granskningsuppdraget behandlas om det är nödvändigt för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige, eller hos en tredje man till vilken personuppgifterna lämnas ut, skall kunna tillgodoses, och om detta intresse väger tyngre än den registrerade personens intresse av skydd mot kränkning av den personliga integriteten.18 Enligt personuppgiftslagen får personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.19 En avvägning av hur länge ändamålet med insamlande av vissa uppgifter motiverar att dessa uppgifter sparas kan uttryckas genom gallringsbestämmelser. 2.2.6Regeringskansliets interna föreskrifter och information har genom gallringsföreskrifter fastslagit vissa bestämmelser om hur loggningsfiler och loggningslistor skall eller får sparas. Enligt föreskrifterna får sådana filer och listor som avser användning av telefax, e-post eller informationssökning på Internet i och som är ett led i driftsäker- hetskontrollen eller säkerhetsskyddet i data- system gallras när de inte behövs för verksamheten, används i driftsäkerhetskontrollen eller säkerhetskontrollen om inte kansli- arkivarien beslutar annat. Detsamma gäller andra loggningsfiler och loggningslistor.20 Kansliarkivarien har beslutat att loggningslistor som avser användning av e-post skall gallras från det att e-posten loggats.21 Det finns inget dokumenterat beslut om särskilda gallringsfrister för andra loggningsfiler eller loggnings- listor än dem som avser e-post. Säkerhetskopior av handlingar som ingår i datasystem skall gallras när de inte längre behövs för verksamheten, dock tidigast efter två månader.22 I har viss information lämnats till de anställda kring loggning vid datoranvändning respektive för vilka ändamål personuppgifter samlas in och behandlas. Den information som lämnat genom riktlinjer, i en promemoria och i förteckning över behandling av personuppgifter presenteras här i korthet. 1810 § b), d) och f) personuppgiftslagen (1998:204). 199 § i) personuppgiftslagen (1998:204). 204 § föreskrifter (1999:03) om gallring av allmänna handlingar. 225 § föreskrifter (1999:03) om gallring av allmänna handlingar. En rättslig analys av förutsättningarna i granskningsuppdraget Anställda i tillåts använda arbetsgivarens datorutrustning för privata behov i begränsad omfattning enligt etiska riktlinjer. I riktlinjerna erinras om att registrerar användningen av Internet och e-post.23 Ytterligare information om registrering av användning av dels elektronisk post, dels Internet, finns i en promemoria om säkerhetsregler för Internet. Där anges att det för all elektronisk post som sänds eller tas emot skapas en speciell lista som sänds till registrator på respektive departement och som innehåller uppgift om meddelandets tidpunkt, avsändare, mottagare och ärendemening. För Internet anges att loggning sker av upp- gifter om namnet på den webb eller annan server som besökts, namnen på filerna som lästs, namnen på filerna som hämtats och adressen till den persondator i interna nätverk som använts. Det erinras om att det inte går att dölja några akti- viteter på Internet, att alla sökningar kan rekonstrueras och att denna logg är ett av de instrument som används för att bevaka att inga obehöriga aktiviteter äger rum.24 I Statsrådsberedningens för gällande riktlinjer för elektronisk post angavs att det i systemet för elektronisk post fanns en loggnings- funktion, att loggningslistan endast visade extern trafik och att listan utgjorde en allmän handling.25 Av Statsrådsberedningens förteckning enligt 39 § personupp- giftslagen över behandling av personuppgifter, och ändamålen för sådan behandling framgår följande. Bland annat vissa särskilt angivna personuppgifter (till exempel namn, funktion inom myn- digheten och e-postadress) behandlas för ändamålet informations- hantering. Denna behandling går inte att avgränsa till någon särskild grupp av personer. Inte heller utlämnandet av person- uppgifter kan avgränsas till någon särskild grupp.26 I Förvaltnings- avdelningens motsvarande förteckning anges som ändamål med behandlingen av personuppgifter informationshantering, personal- administration, säkerhetsadministration och administration av arkivhandlingar.27 23Regeringskansliets etiska riktlinjer (), s. 15. 24PM, Säkerhetsregler för Internet Information om användning av extern IT-kommunika- tion (daterad , senast ändrad ). 25Statsrådsberedningens (PM 1995:3). Den loggningslista som här avses är den så kallade registratorsloggen. Jfr avsnitt 4.4.4. 26Statsrådsberedningens promemoria Behandling av personuppgifter i Statsrådsberedningen (). 27Förvaltningsavdelningens promemoria Behandling av personuppgifter i (). En rättslig analys av förutsättningarna i granskningsuppdraget Granskarens uppdrag att behandla uppgifterna på banden har sin utgångspunkt i ett formellt regeringsbeslut grundat på ett allmänt intresse av att banden granskas. Häri ligger bland annat frågan om förpliktelse att förse med efterfrågad information har fullgjorts. Uppdragets omfång får vidare avgöras efter en avvägning av motstående intressen. En samlad intresseavvägning efter proportionalitet utfaller på följande sätt. Det är möjligt att begränsa granskningen till att avse uppgifter ur e-postmeddelanden och loggar som härrör från befattningshavarnas utförande av sina arbetsuppgifter. Privata meddelanden och vissa meddelanden av internt politisk natur (så kallade politikerbrev) – som faller utanför begreppet allmän handling – skall lämnas utanför granskningen. När granskaren bedömer om ett meddelande är privat eller utgör ett led i fullgörandet av arbetsuppgifterna, skall arbetsrättsligt godtagbara principer följas. Samma försiktiga steg- för-steg-metod skall vid granskningen tillämpas för att vid beaktande av meddelarskyddet undvika eventuella överträdelser av förbudet mot efterforskning av källor. En ytterligare restriktion är att granskningen måste kunna anses ligga inom ramen för det i personuppgiftsförteckningen angivna ändamålet informationshantering. Frågan om den av lämnade informationen till de anställda om behandling av personuppgifter i bland annat loggningslistor rent allmänt skall anses i alla avseenden helt tillfredsställande utformad i förhållande till arbetstagarnas legitima intresse av skydd för sin personliga integritet kan i och för sig diskuteras. Det finns emellertid mot bakgrund av vad som förevarit i kommissionen, konstitu- tionsutskottet och JO (som redovisats under avsnitt 1.1) ett tungt vägande medborgarintresse av att uppgifter på banden granskas och att sakuppgifter av betydelse för en bedömning av tidigare slut- satser förs över till kommissionen. Att kontrollmaktens grundlags- reglerade funktion säkerställs är i sig ett viktigt medborgerligt intresse. Granskningen kan därtill sägas ha utgjort ett förberedande led i rättsliga förpliktelse att behandla de fram- ställningar som har gjorts om att få ut allmän handling. Vid en samlad bedömning har granskaren funnit att de allmänna och rättsliga intressen som grundat regeringens beslut om gransk- ning av banden så länge granskningen begränsas till uppgifter En rättslig analys av förutsättningarna i granskningsuppdraget som rör vissa nyckelpersoners tjänsteutövning väger tyngre än registrerade personers skyddsintresse enligt personuppgiftslagen respektive arbetsrätten. En på så sätt avgränsad granskning kan inte heller anses strida mot bestämmelserna i regeringsformen eller . Granskningen måste dock genomföras i små steg med be- dömande av informationsbehov ställt mot anspråk på integritets- skydd i varje enskilt fall. En begränsning i den intresseavvägning som gjorts just av proportionalitetsskäl är valet att tekniska under- sökningar inte skall användas vid granskningen för att söka rekonstruera innehållet i de anställdas tömda papperskorgar. Sådan rekonstruktion skulle kunna tänkas vara tekniskt fullt möjlig men har alltså inte ansetts lämplig att genomföra. Det kan här slutligen nämnas att om en granskning skulle gå för långt i sin kontroll av elektroniska uppgifter, skulle brotts- balkens bestämmelse om dataintrång28 kunna tänkas bli tillämplig eller skadestånd enligt personuppgiftslagen29 komma att aktuali- seras. Räckvidden av dessa bestämmelser begränsas dock av ett olovlighetsrekvisit. Varken bestämmelse eller personuppgiftslagens skadeståndsbestämmelse blir därför tillämplig så länge en granskning sker inom den tillåtna ramen. Av den redovisning som har lämnats i detta kapitel framgår att det finns flera rättsliga begränsningar som hindrar ett fritt användande av den elektroniska informationen på banden. Någon tydlig gräns för hur uppgifter av denna karaktär får användas finns dock inte. En intresseavvägning måste därför göras i varje enskilt fall. En sådan avvägning måste utgå från vilket informationsbehov som föreligger i det konkreta fallet, och vilka skäl som talar emot att elektroniska uppgifter används för att tillfredsställa just detta informationsbehov. I kapitel 1 nämndes att kommissionen års arbete inte ansåg att det då föreliggande informationsbehovet motiverade ett sådant ingripande sätt för materialinsamlingen som ett granskande av elektroniska uppgifter om e-post och Internet-trafik kan vara. Den nu föreliggande situationen är emellertid annorlunda, då 284 kap. 9 c § . 2948 § personuppgiftslagen (1998:204). En rättslig analys av förutsättningarna i granskningsuppdraget regeringen har fattat ett särskilt beslut om att låta en särskild utredare granska bandens innehåll för att bedöma innehållets betydelse för kommissionens slutsatser. Även om ett sådant uttryckligt regeringsbeslut ligger till grund för bandgranskningen har granskaren varit tvungen att iaktta gällande rättsliga regleringar och principer för kontroll av elek- tronisk information. Efter en genomgång av de rättsliga förutsätt- ningarna har granskaren kommit till slutsatsen att de allmänna och rättsliga intressen som grundat regeringens beslut så länge granskningen begränsas till uppgifter som rör vissa nyckel- personers tjänsteutövning väger tyngre än de registrerade personernas legitima skyddsintresse. En försiktig steg-för-steg-metod måste dock tillämpas för att i varje enskild situation bedöma om den tänkta granskningen kan inkräkta på privata eller interna politiska meddelanden, eller om förbudet mot att efterforska källor kan äventyras. Rent konkret innebär detta att om det efter en genomläsning av ärendemeningen i ett meddelande i en nyckelpersons e-postlåda kan antas att ett e- postmeddelande är av angiven typ, får meddelandet inte öppnas och läsas av granskaren. Om det först sedan meddelandet öppnats, och första raderna i meddelandet lästs igenom, konstateras att det rör sig om sådan information som granskaren inte har rätt att ta del av, måste granskaren genast sluta läsa det meddelandet. 3 Den tekniska granskningen 3.1Allmänna utgångspunkter för granskningen Granskningsarbetet har fokuserat på tsunamibanden. Banden inne- håller data som har kopierats i säkerhetssyfte i IT-system. En sådan backup innebär, förenklat uttryckt, att en kopia av originaldata sparas åtskilt från originalet. Säkerhetssyftet kan, om det tolkas brett, omfatta både sådant som har att göra med informationssystemets totala säkerhet (till exempel behov att i efterhand kunna analysera försök till angrepp eller möjligheter att göra återstarter efter avbrott) och sådant som har att göra med återskapande av enstaka datafiler som har förstörts eller skadats (såsom ett brev sänt med e-post). Att analysera backupdata är ofta en komplicerad uppgift som förutsätter både allmänt tekniskt expertkunnande och situationsbetingad kännedom om sådant som backupstrategier (exempelvis urval av lagrade data och säker- ställande av kopiornas validitet) och lagringsmetoder (till exempel frågor om strukturering och komprimering av data). Intresset gäller i första hand i vad mån uppgifter i det sparade backupmaterialet kan kasta ljus över hanteringen av tsunami- katastrofen. Därutöver har granskningen givit anledning att for- mulera vissa allmänna synpunkter på IT-administrationen i Regeringskansliet.1 Granskningen av banden har skett inom de ramar som uppdraget ställt upp. Konkreta informationsbehov har således styrt och avgränsat arbetet. Därtill har olika rättsliga hinder och gränser bedömts och beaktats. Detta har närmare redovisats i avsnitt 1.3 och i kapitel 2. 1 Se avsnitt 8.3. 3.1.1IT-miljön innebär nya förutsättningar Granskningen av databanden har utförts i den nya, elektroniska miljö som är på väg att helt ta över i förhållande till den tradi- miljön för informationsbehandling hos förvaltningsmyn- digheterna (den pappersbaserade miljön). Den nya miljön innebär inte bara att traditionella verksamheter förs över till en mer effektiv, automatiserad hantering där samma aktiviteter som tidigare kan utföras snabbare, säkrare, billigare och så vidare. Tvärt- om måste man räkna med förändringar som går på djupet och som innebär till exempel en förändrad riskbild och därmed ställer krav på ett förändrat ledningsansvar. Den rättsliga regleringen av IT-verksamhet innebär särskilda utmaningar och låter sig inte beskrivas som ingenting nytt i förhållande till juridiken kring traditionell informationsbehandling. Detta kommer till uttryck på åtminstone fyra sätt: specialregleringar av IT av olika omfattning, terminologi och begrepp som skiljer den digitala miljön från den analoga, förändrade synsätt, betoningar, hänsyn, tolkningar och lik- nande som hänger samman med IT och dess olika användningar och behov av särskild expertkunskap om IT och IT:s rättsliga förhållanden. Inte minst på säkerhetsområdet finns exempel på alla fyra typerna av för IT särpräglade förhållanden. Bland annat möter man dem inom så kallad forensisk IT, som har definierats som den veten- skapliga användningen av IT för att generera och presentera digital bevisning för användning i domstolar och vid rättsliga eller andra formella förfaranden. 3.1.2Slutsatser baserade på elektroniskt material Som definitionen ovan visar kan forensisk IT ses i två perspektiv: dels användning av IT för att generera och/eller analysera upp- gifter, dels användning av IT som en presentationsteknik, till exempel för att visa ett händelseförlopp (dynamisk presentation) eller grafiskt klargöra komplicerade samband (statisk presentation). De två uppgifterna kan ibland sammanfalla. I fortsättningen är det den förstnämnda som är i fokus. Tre frågor skall tas upp. En gäller vissa allmänna karaktärsdrag hos elektroniskt material, en gäller tilltron till sådant material och en gäller frågor om legala hinder och praktisk hantering av materialet2. Slutsatser baserade på digitalt registrerad och hanterad infor- mation har beskrivits som sköra med hänvisning till att den kan påverkas och förändras genom användning, att den avsiktligt och olovligt kan förstöras eller ändras och att den kan ändras genom felaktig hantering eller lagring.3 Motsvarande förhållanden före- kommer också vid andra typer av material men brukar ofta betonas just i samband med IT. Delvis sammanhänger detta med grund- läggande egenskaper hos IT som brukar uppmärksammas, nämligen komplexitet, utspridd hantering och omfattande informations- mängder, av vilka betydande delar kan bestå av så kallad över- skottsinformation. Den utspridda hanteringen innebär exempelvis att information om något visst förhållande kan behöva samman- ställas från många olika håll: en viss användares datorutrustning, Internet-leverantörers registrering av trafik, loggningsfiler vid brandväggar, loggningsfiler på e-postservrar och så vidare.4 Sammantaget pekar det sagda på att arbete med elektroniskt material kräver god kännedom både om materialets skörhet och om den komplexa miljö i vilket informationen generas. Till grund- reglerna hör att som första steg framställa en säkrad arbetskopia av det aktuella materialet så att inte den fortsatta hanteringen (utskrifter, sökningar, sammanställningar, analys etcetera) riskerar att påverka och förvanska källmaterialet. Analysen av det säkrade materialet kan ha varierande inriktning och omfattning, varvid räckvidden bestäms av analyssyftet, informationens tillgänglighet och struktur, tillgängliga analysverktyg med mera. Det kan till exempel vara fråga om att kartlägga omfattande kontaktmönster på ett datanät eller att ur en stor mängd data söka fram vissa uppgifter som av någon anledning väcker intresse. I det här redovisade granskningsarbetet har dock syftet varit begränsat och inriktat på att kasta ljus över några särskilda aktiviteter i informationssystem .