sou · GVB344 · 2008-01-01 00:00:00 — Häri ligger inte bara ett krav på att informationen skall vara korrekt utan också att den skall vara relevant och fullständig sedd i ljuset av den utred- ningsuppgift som givits åt en kommission. För att denna oreglerade utredningsordning skall fungera ställs alltså viktiga krav på de tjänstemän som lojalt skall ge det informationsunderlag som skall läggas till grund för bedömningar. Kommissionens intryck är att arbetsmetoden med utfrågningar av många tjänstemän huvudsakligen möttes på korrekt sätt och därmed blev tämligen effektiv. Men kommissionen har också indikationer på att överordnade i uppfattats som restriktiva i sin syn på vilken information som borde lämnas över. I något fall tycks det ha förekommit att kritiska reaktioner från överordnade i riktats mot tjänstemän som sökt besvara ställda frågor. Sådant kan i och för sig bero på den naturliga ansvarsfördelningen eller uppkomna missförstånd men det kan likväl medföra osäkerhet och rädsla i en organisation som därmed riskerar att inte leva upp till kraven på en öppen hållning i förhållande till en granskning. JO:s och rätt till insyn i material är författningsreglerat. Av avsnitt 7.2.1 och bilaga 5 framgår att denna Kommissionens framåtsyftande synpunkter och förslag insynsrätt inte kan anses begränsad till allmänna handlingar. I sam- band med tsunamigranskningen kan det sägas att ett genombrott skedde för krav att få tillgång till elektronisk information i utredningsarbetet. JO granskade en elektronisk inpasseringslogg i säkerhetssystem. efter- frågade förgäves information från e-postloggar. Av de redogörelser som lämnats här i det föregående, se kapitel 2 och 4, framgår hur svåra och känsliga de överväganden är som måste göras inför sådana utredningsåtgärder. Bedömningen av resultaten när ett sådant material granskats inrymmer nya känsliga aspekter; se vad som skrivits om forensisk IT i avsnitt 3.1. Vikten av öppna, utförliga och korrekta svar när sådant material efterfrågas kan inte nog understrykas. När elektronisk information efterfrågas av ett granskningsorgan kan önskemålet mötas på två sätt. Ett alternativ är att den begärda informationen lämnas över. Vid behov påminner om att det kan finnas begräns- ningar i de ändamål för vilka materialet får behandlas, bland annat utifrån personuppgiftslagens regelsystem. Ett annat alternativ är att lämnar korrekta upplysningar om sakförhållandena och anger de principiella invänd- ningar som motiverar att materialet som sådant inte lämnas över. Därefter får den principiella diskussionen om gransk- ningens omfång föras med sikte på ett slutligt ställningstagande hos granskningsorganet. Den tredje vägen – att lämna felaktiga, oklara eller undan- glidande svar – kan givetvis inte accepteras. Det är viktigt att här slå fast att kommissionen inte har funnit belägg för att banden varit kända på politisk nivå i under den fas då bristfälliga eller felaktiga svar lämnades till . Här har det alltså inte varit fråga om någon politisk mörkläggning. I stället är det en i flera avseenden brist- fällig förvaltningsmässig – administrativ och rättslig – hantering av bandmaterialet inom som är förklaringen till att materialet inte blev känt på de högsta nivåerna inom . Dessa brister har till viss del visat sig vara rent konkreta (brist- ande dokumentation, bristande informationsöverlämning vid chefs- byte etcetera). Detta har medfört att ansvarsfördelningen blivit oklar och att gällande rutiner inte har följts. Kommissionen har konstaterat att inte i alla avseenden förmått administrera sin komplicerade IT-miljö med tillfredsställande Kommissionens framåtsyftande synpunkter och förslag säkerhet och transparens. Dialogen mellan tekniker och jurister samt andra tjänstemän med förvaltningsuppgifter har brustit. Kommissionen kan heller inte frigöra sig från intrycket att det på tjänstemannanivå kan ha funnits en rädsla för att ta tag i en på många sätt svår fråga. Redan de olika rättsliga och tekniska problemen kring en så här omfattande informationsmängd med dess känsliga och viktiga sakinnehåll kan leda till ett sådant mera passivt reaktionsmönster. Rutinerna kring besvarandet av frågor synes inte heller ha varit tillräckligt säkra. Vad som förekommit i detta ärende belyser konkret vikten av att söka stärka och utveckla de rutiner som bör gälla i förhållandet mellan regeringen och å ena sidan och den kontrollmakt som utövas av å andra sidan. Detta bör bli föremål för överläggningar mellan utskottet och dess kansli och företrädare för regeringen och . I praktiken kan redan ett samråd mellan utskottets kanslichef och rättschefen i Statsrådsberedningen leda till förbättringar. Kommissionen vill endast peka på att det finns goda skäl att skärpa rutinerna kring de underlagsprome- morior som lämnar utskottet. Den ordning som ibland förekommer med anonyma promemorior bör inte tillämpas vidare. I stället bör man överväga att tillämpa en rutin där de tjänstemän som berett ett avsnitt av ett svar eller ett delunderlag till ett svar också framträder med sina namn i ärendet. Sådana rutiner skapar bättre förutsättningar för en grundlig och sakligt inriktad samordning av det material som sammanställs i Statsrådsbered- ningen och lämnas till . Inte minst med de korta svarstider som ibland kan förekomma är det viktigt med strikta rutiner i beredningen av svaren. Resultatet kan bli en för- stärkning av kontrollfunktion men kan också innebära en förstärkning av tjänstemannarollen i . Förbättringar av detta slag skall syfta till att förhindra att otill- räckliga förvaltningsrutiner orsakar händelser som kan skada för- troendet. Bristfälligheter rubbar allmänhetens tilltro till en central funktion i förvaltningen och till kontrollmaktens effektivitet. Därmed skadas ytterst också legitimiteten för det politiska syste- met. Det framstår därför som viktigt att söka stärka tjänstemanna- rollen i . Ett centralt krav på tjänstemännen i är uppgiften att leva upp till saklighetskravet i 1 kap. 9 § regeringsformen. skall de lojalt medverka med sina insatser i en organisation som är politiskt ledd, en uppgift som Kommissionens framåtsyftande synpunkter och förslag inte alltid är lätt. Frågan är värd ständig uppmärksamhet. Den bör engagera cheferna och ge anledning till utbildningsinsatser. Även den inställning som den politiska ledningen förmedlar är betydelse- full. Mera konkret har naturligtvis de interna rättsliga och administrativa procedurerna och kontrollfunktionerna, däribland internrevisionen, stor betydelse. Yttre granskningsorgan som och, när det gäller som myndighet, JO och , har viktiga tillsynsuppgifter. Den tillsynsverksamheten kan givetvis medverka till att stärka handläggningen i . Mot bakgrund av erfarenheterna i detta ärende och ärenden där tillsynsfrågor varit aktuella kan det vara värt att inom den interna chefs- och handläggarutbildningen i och på annat sätt uppmärksamma frågor av detta slag. Man behöver ständigt diskutera vikten av de värden som skall prägla verksamheten. Detta rör både konstitutionella och andra rättsliga frågor samt inne- börden av ett gott tjänstemannaetos. Också kvalitetssäkringen av den praktiska handläggningen behöver diskuteras. Det finns skäl att uppmärksamma och diskutera förutsättningarna för och rela- tionerna till olika granskande organ, inte minst inom chefskretsen i . Här kan möjligheten till insyn i elektroniskt material vara en frågeställning som är värd att söka finna principer för. Annars riskerar dessa frågor att tappas bort eller ges för liten betydelse i de skeden då sådana frågor hastigt aktualiseras i för- hållande till ett granskningsorgan. 8.3IT-frågorna i med dess politiska del IT utgör en kärnfunktion i många slags organisationer. I detta ligger även att IT påverkar och ger form åt verksamheter, ibland förutsebart och planerat, ibland oavsiktligt och överraskande. Teknikutvecklingen kan således innebära mer eller mindre tvära kast och nya situationer, till exempel genom att arbetsuppgifter blir möjliga att hantera inte bara med vanliga skrivbordsdatorer utan också med bärbar utrustning som mobiltelefoner och handdatorer. Kommissionens framåtsyftande synpunkter och förslag IT-användningen utgör ofta en omfattande och komplex verk- samhet. Enskilda befattningshavare, också på hög nivå, kan ha svårt att ha överblick över allt som sker. Därigenom blir det ett problem i sig att samordna och anpassa olika funktioner och användningar av tekniken. Öar av kunskap och inblick existerar, inte sällan med bara svaga eller inga förbindelser mellan sig. Det krävs att led- ningen för en organisation med en så komplex IT-verksamhet som inser vilka svårigheterna är, tar dem på allvar och söker avhjälpa dem genom att sörja för överblick, styrning och samordning. Sker inte detta, finns bland annat en risk att teknik- avdelningen löser egna, akuta problem utan klar uppfattning om hur detta påverkar verksamhetens övriga grenar och aktiviteter. IT har en tendens att upplösa gränser av olika slag (fenomenet har kallats konvergens). Det gäller bland annat vad som är av privat natur och vad som inte är det, vad som är intern och vad som är extern verksamhet (inre och yttre miljö) och vad som hör till en administrativ respektive en politisk dimension hos verksamheten. Gränserna kan således vara oklara mellan olika slags aktiviteter och ansvarsområden. Valet av programvara för att säkerhetslagra data kan få konsekvenser för skyddet av de anställdas personliga inte- gritet, konsekvenser som kanske inte är uppenbara för dem som svarar för val, anskaffning och underhåll av den tekniska utrust- ningen. Att skydda IT-systemen i en verksamhet mot olika slags hot är en nödvändighet. Systemen måste vara tillfredsställande säkra. Säkerhetssyftet är, principiellt sett, omfattande. Detta innebär som tidigare berörts att säkerhetslagring av data kan ske för ett flertal olika, mer eller mindre noga specificerade syften, bland annat för att klara återstarter efter driftavbrott, att analysera erfarenheter av angrepp mot informationssystemet, att trygga arkivbildningen och att underlätta utredning om vilka aktiviteter som förekommit i systemet. De varierande syftena återspeglas i de många typer av loggar (körjournaler) som förs på servrar och annan utrustning i ett informationssystem. Det kan handla om uppgifter om inloggade användare, om efterfrågade webbsidor, om upp- kommande felaktigheter, om transaktionskedjor och så vidare. IT-administration i allmänhet måste innehålla olika moment såsom strategi, ledning, systemuppbyggnad, underhåll, drift samt utveckling av systemet och information till användarna. Härtill kommer kravet på administration av informationshanteringen som Kommissionens framåtsyftande synpunkter och förslag sådan vilket innefattar system för dokumentation. Vidare ingår IT-säkerhet samt tillsyn och kontroll. 8.3.2IT i den offentliga sektorn För den offentliga sektorn tillkommer särskilda aspekter. Dokumentationskravet måste där ses mot bakgrund av bestäm- melserna om offentlighet och sekretess med dess krav på dels faktisk öppenhet, dels säker slutenhet samt krav på arkivering och gallring. skall ett utrymme beredas för skydd av för- troligt internt informationsutbyte i beredningsarbetet inom myn- digheten. De anställda vill man ibland bereda möjligheter att använda systemet även för privata meddelanden. Deras grundlags- enliga meddelarfrihet skall också kunna skyddas. Kraven på god kvalitet i bedömningar och ställningstaganden på IT-området fordrar samverkan mellan tekniker, dokumentalister och jurister. Den löpande verksamheten måste bli föremål för tillsyn. Ett system med en controllerroll behövs. Här har intern- revisionen en uppgift att fylla. Verksamheten skall tåla granskning av granskningsorgan som , JO och JK. För IT-administrationen finns föreskrifter, andra regelverk och rutiner, vilka ger befattningshavarna olika uppgifter och funk- tioner. Verktygen för en korrekt administration finns. Problemet är att de inte alltid används. Brister i kommunikationen medför svagheter i IT-administrationen. Teknikerna och de verksamhets- ansvariga talar inte alltid med varandra, och när så sker, talar de inte alltid samma språk. Det förefaller som om det i praktiken kan brista i klarhet i ansvarsfördelningen och samverkan dem emellan. Teknikerna sköter systemen rent praktiskt; andra administratörer och juristerna kan inte förvärva nödvändig förståelse av systemen och insikt om vilka krav som ställs på förvaltningen och doku- mentationen av informationen i systemen och hanteringen av den. Juristerna förmår inte alltid att till andra personalkategorier förmedla de konsekvenser som den konstitutionellt grundade komplexa offentlighetsregleringen, personuppgiftsregleringen samt sekretess- och arkivlagstiftningen måste medföra. Här sker och måste alltså ske möten mellan tjänstemän med olika kompetenser och i olika professioner. Sådana möten mellan yrkeskulturer inrymmer problem. Man inser inte alltid behovet av att anlita experter med olika kompetens. Kommissionens framåtsyftande synpunkter och förslag kommunicera med ansvariga tjänstemän kan brista, liksom dessa tjänstemäns förmåga att förstå. Beslut fattas ibland felaktigt och informellt, material sparas utan att dokumentation om detta blir känd på ett ordnat sätt på ledningsnivån. Förutsättningarna för IT- systemets genomlyslighet rubbas då, vilket kan få allvarliga kon- sekvenser. Även de tillämpliga gällande rutinerna för att sortera och ordna, rensa, arkivera och gallra under behöriga och säkra former som i efterhand kan verifieras genom tillsyn och kontroll kan bli för svaga eller tillämpas bristfälligt. För att upprätthålla säkerheten i systemet och lagstadgad transparens är en verifierbar dokumen- tation A och O. har 06 granskat informations- säkerheten vid tio myndigheter. Granskningarna har redovisats i offentliga rapporter. De har visat att myndigheterna behöver för- bättra sin styrning och kontroll av skyddet av sina informations- tillgångar. ser detta också som ledningsfrågor. väntas ge in en rapport om saken till regeringen i detta ärende. Kommissionen finner dessa frågor mycket angelägna och hänvisar till arbete på området. 8.3.3Särskilt om IT i Verksamheterna där IT används ger upphov till mer eller mindre olikartade frågor beroende på verksamheternas natur och de rättsliga och andra ramar inom vilka de bedrivs. De problem som antytts får särskilt viktiga och allvarliga dimensioner när det blir fråga om IT-administration för den offentliga maktens centrum, regeringen och . När det gäller riktas uppmärksamheten mot bland annat offentlighet och sekretess, arkivbildning, extraordinära säkerhetskrav (rikets säkerhet) och verksamhetens politiska dimen- sion. IT-administrationen skall här fullgöra sina funktioner dels för landets högsta förvaltningsorgan, dels för dess politiska ledning. På regeringen som styrande förvaltningsorgan ställs krav på både offentlighet och sekretess, på tydliga principer för informations- hanteringen, på skydd och säkerhet för informationen. Informa- tionshanteringen skall långsiktigt ge stöd för styrfunktionerna. Kontroll skall kunna utövas både genom offentligheten och genom SOU 2007:44 Kommissionens framåtsyftande synpunkter och förslag måste informationssäkerheten vara hög. Ett regeringsskifte skall kunna genomföras utan förlust av sådan information som är nödvändig för att kunna upprätthålla rikets styrelse. Här har medborgarna rätt att kräva säkra garantier för kontinuitet och ett lojalt informationsöverlämnande till en till- trädande regering. är regeringen en politisk organisation. Den informa- tion av politisk karaktär som finns där måste kunna skyddas, inte minst vid ett regeringsskifte. Då skall systemen säkerställa att rent politisk information inte kan utnyttjas av andra än upphovsmännen eller de tilltänkta mottagarna. Även detta är ett direkt krav som medborgarna har rätt att ställa på en regering. Också detta fordrar kompetens och säkerhet i IT-adminstrationen. Medborgarna har alltså rätt att kräva hög kvalitet och säkerhet i handlaget med IT-administration i . Det gäller inte minst de känsliga avvägningar som rör de politiska dimen- sionerna på informationshanteringen i regeringsarbetet. De iakttagelser som har gjorts i samband med kommissionens nu genomförda arbete är en illustration till problemet. Det gäller bandhanteringen rent praktiskt, säkerhetsmässigt, innehållsligt och ur ett kontrollperspektiv. Frånvaron av dokumentation om vid- tagna åtgärder, om vilka som gjort vad och om vilka som vetat om saken och haft tillgång till materialet måste man se allvarligt på. Bristerna har skapat oklarheter i en mycket viktig teknisk, admi- nistrativ och rättslig fråga. Detta har sedan haft ytterligare kon- sekvenser. Här kan helt enkelt efterlysas något så grundläggande som ordning och reda. Kring IT-administrationen har iakttagelser också gjorts i sam- band med denna utredning i fråga om backuptagning, system- och driftdokumentation med mera som belyser behovet av en fastare och tydligare ordning som ger högsta ledning faktiska möjligheter att leda IT-verksamheten och som säkerställer att tillsyn över denna kan utövas. Här finns inte anledning att redovisa iakttagelserna närmare utan det får stanna vid dessa mera allmänt hållna synpunkter. De brister som föreligger inger dock allvarliga bekymmer och måste åtgärdas genom vidareutveckling av IT-administrationen och dess olika funktioner. Detta är inte enbart en administrativ fråga, utan arbetet bör bedrivas under politisk ledning. Kommissionens framåtsyftande synpunkter och förslag Kommissionen har fått en presentation av det utvecklingsarbete särskilt på IT-säkerhetsområdet som har påbörjats i . Detta har en ambitiös inriktning. Arbetet måste prio- riteras. Kommissionen vill avslutningsvis utifrån vad som anförts i av- snitten 8.1 8.3 ange följande rekommendationer. Kommissionen har genom det nya uppdraget stärkts i sin upp- fattning att krishanteringsförmågan i behöver utvecklas. Det finns ett behov av att söka förbättra dokumenta- tionsfunktionen i samband med en kris, att vidareutveckla läges- och underrättelsefunktionen, att överväga behovet av att kunna dokumentera teletrafik i ett krisförlopp och att modernisera systemet för säkerhet och bevakning i och kring , särskilt när det gäller rutinerna för in- och utpassering. Det är viktigt att man söker stärka och utveckla de rutiner som bör gälla i förhållandet mellan regeringen och å ena sidan och den kontrollmakt som utövas av å andra sidan. Här rekommenderas överläggningar och skärpta rutiner kring de underlagspromemorior som lämnar utskottet. Behovet av att söka stärka tjänstemannarollen i bör uppmärksammas av cheferna och leda till utbildningsinsatser. De värden som skall prägla verksamheten behöver diskuteras. Det rör både konstitutionella och andra rätts- liga frågor samt innebörden av ett gott tjänstemannaetos. Också kvalitetssäkringen av den praktiska handläggningen behöver då tas upp. De yttre tillsynsorganen, bland annat JO och , kan medverka till att stärka handläggningen i . Kommissionens framåtsyftande synpunkter och förslag Det inledda arbetet med översyn av frågorna kring loggstrukturen i IT-system bör drivas vidare. Det rättsliga kravet om registrering (diarieföring) av allmänna handlingar som är sekretessbelagda måste beaktas. Loggar är i rättslig mening register som kan omfattas av sekretess enligt 5 kap. 2 § sekretesslagen. Därmed följer att registren enligt 15 kap. 1 § samma lag i sin tur skall registreras på ett sätt som tillförsäkrar ordning, reda och insyn inom myndigheten. Föreskrifterna, de praktiska rutinerna och dokumentationsmetoderna kring gallring och arkivering samt i fråga om förstöring av förbrukade informationsbärare bör ses över i ljuset av erfarenheterna i detta ärende. Kommissionen bedömer att flera av de brister som förekommit i hanteringen av tsunamibanden hade kunnat förebyggas eller be- gränsas om kunskaperna varit bättre och mer spridda om frågor, föreskrifter och fallgropar. Med andra ord bedömer kommissionen att svagheter i utbildningen av personalen utgör en del av för- klaringen till händelseförloppet kring hanteringen. Kommissionen förordar fortsatt och förstärkt internutbildning som drar nytta av de vunna erfarenheterna. Informationsbehandling inom inrymmer stra- tegiska frågor och ledningsuppgifter på IT-området. Dessa frågor har också direkt politiska dimensioner. Det är därmed inte till- räckligt att se IT-frågorna som ett rent administrativt område, där verksamheten leds av förvaltningschefen och står under dennes tillsyn. En framtida, förbättrad ledningsstruktur kräver ett starkare politiskt engagemang inom regeringen. Kommissionen anser vidare att det är av stor betydelse med en institutionaliserad samverkan över de politiska blockgränserna när det gäller utvecklingen av IT-struktur. Här finns strategiska och långsiktiga frågor som definitivt bör ses som gemensamma i det parlamentariska systemet, till exempel ord- ningen i samband med regeringsskiften. Därför bör den politiska dimensionen på detta område bli föremål för överläggningar mellan riksdagspartierna. Kommissionen föreslår vidare att företrädare för den avgångna regeringen omgående ges möjlighet att följa den fortsatta hanteringen av backupbanden inom . För detta ändamål bör någon form av insynsordning tillskapas. Kommissionens framåtsyftande synpunkter och förslag Kommissionen föreslår att bidrar till kvalitetssäk- ringen i utvecklingsarbetet och förvaltningen av systemet genom att granska IT-administration. Den metodik som använt i de nämnda myndighetsrapporter- na bör kunna tillämpas. Utredningen av de rättsliga förhållandena kring databanden visar på olika typer av problem i den rättsliga regleringen både på grundlagsnivå och i övrigt. Offentlighetsprincipens tillämpning på elektroniska upptagningar inrymmer problem som inte fått sin lösning. Lagstiftningen är inte anpassad till de nya tillämpningar som den snabba teknikutvecklingen för med sig. Med utgångs- punkt i de rättsliga frågor som ärendet om tsunamibanden aktua- liserar rekommenderar kommissionen en ny lagteknisk översyn på området. En god utgångspunkt för sådant arbete kan vara Offent- lighets- och sekretesskommitténs betänkande Ordning och reda bland allmänna handlingar.8 8 SOU 2002:97. Återinkallande av 2005 års Beslut vid regeringssammanträde . Kommissionen skall återuppta sitt arbete och därvid granska de nya fakta som kommit fram vid granskningen av innehållet i ett flertal databand som härrör från tiden för naturkatastrofen i och deras betydelse för de ställningstaganden som kommissionen gjorde i sitt betänkande (SOU 2005:104) samt uttala sin bedöm- ning i saken. Vid behov skall granskningen kompletteras med ytter- ligare genomgång av materialet och annan utredning. Kommis- sionen skall i sitt arbete även beakta resultaten i den nu pågående polisutredningen av innehållet och hanteringen av databanden. I övrigt gäller för arbetet det ursprungliga uppdraget i kommitté- direktivet för kommissionen (dir. 2005:3). beslutade regeringen att tillkalla en oberoende kommitté som fick i uppdrag att utvärdera vårt samhälles förmåga att hantera de påfrestningar som naturkatastrofen i inneburit och på vilket sätt de erfarenheterna kan tas till vara (dir. 2005:3). Skälen för uppdraget var att följderna av naturkatastrofen i är en av de absolut största påfrestningar som vårt samhälle ställts inför i modern tid. Det fanns därför skäl att utvärdera hur vårt samhälle agerade i direkt anslutning till naturkatastrofen i och hur samhället sedan hanterat konsekvenserna av den. Det närmare uppdraget för kommissionen var följande. En oberoende kommitté skall utvärdera hur riksdag, regering och de centrala myndigheterna, inklusive och utlandsmyndig- heterna, har agerat med anledning av naturkatastrofen i .