sou · GXB35 · 2009-02-03 00:00:00 — Om säkerhetskopian som sådan betraktas som en ren förvaringsplats för registrerad data finns det rimligen inte heller något utrymme för att betrakta alla de mindre, separata kopior av handlingar eller delar av handlingar som regelmässigt finns på en säkerhetskopia som annat än också just registrerad data förvarad i en viss miljö. Ett betraktelsesätt som tar sikte på att själva syftet i säkerhetskopiemiljön är att registrera vissa data på någon form av informationsbärare – och att fokus därför inte ligger på informationsinnehållet – måste rimligen omfatta all den information som finns registrerad på bäraren. Alternativet att se säkerhetskopior endast som förvaringsplatser för registrerad data skulle således innebära att materialets status i offentlighetshänseende aldrig behöver övervägas närmare av myndigheterna. Fokus skulle lyftas bort från informationsinnehållet och i stället skulle betydelsen av den fysiska förvaringen betonas. Mot att anlägga ett sådant synsätt talar emellertid följande. Handlingsbegreppet i sin ursprungliga form tog sikte på de handlingar som återfinns i myndighetens verksamhetsmiljö. Handlingsbegreppet har dock med tiden kommit att utvidgas till att omfatta även informationssamlingar i myndigheternas driftmiljöer. Exempelvis inbegrips numera enligt rättspraxis både e- postloggar, cookiefiler och global/historikfiler i begreppet handling. Tendensen har varit att låta offentlighetsinsynen följa den tekniska utvecklingen. Tanken är att de ökade tekniska möjligheterna att få tillgång till information, och att göra sammanställningar av denna, ska komma allmänheten tillgodo genom en utökad insyn i myndigheternas verksamhet. I linje härmed ligger självfallet att handlingsbegreppet inte kan ges en alltför snäv innebörd. Att betrakta säkerhetskopior endast som en förvaringsplats för registrerad data, och alltså inte som en handling, skulle förutsätta en tolkning av handlingsbegreppet som avviker från den innebörd begreppet med tiden har kommit att få i andra sammanhang. Vidare kan den frågan ställas om inte just en fysisk fixering av en viss samling uppgifter på en specifik databärare kan tala för att betrakta säkerhetskopian som en handling i tryckfrihetsförordningens mening. Den fysiska fixeringen, dvs. det förhållandet att uppgifterna är samlade i ett visst säkerhetskopieringssystem, torde nämligen kunna indikera också en viss logisk fixering. Det kan exempelvis vara fråga om uppgifter förmedlade i ett visst sammanhang, i en viss form och . Således talar även den omständigheten att det i dessa fall är fråga om en samling uppgifter fixerade på en viss databärare för att säkerhetskopian kan betraktas som en handling i rättslig mening. Det ska framhållas att kommittén är väl medveten om att synsättet att den samlade informationsmängden på en säkerhetskopia kan utgöra en handling i tryckfrihetsförordningens mening kan ifrågasättas från både systematiska och praktiska utgångspunkter. Man kan t.ex. tycka att ett sådant synsätt helt enkelt får orimliga konsekvenser. Emellertid är det enligt kommitténs mening av avgörande betydelse för värnandet av offentlighetsprincipen att grundlagens handlingsbegrepp tolkas formellt och att ändamålshänsyn därmed får stå tillbaka. Givet den innebörd begreppet handling får anses ha enligt grundlagens ordalydelse samt den praxis som utvecklats i anslutning härtill är det enligt kommitténs mening således rimligt att utgå ifrån att den samlade informationsmängd som en säkerhetskopia utgör normalt får anses som en konstellation av sakligt sammanhängande uppgifter, alltså en handling. Att den handling som utgörs av den samlade informationsmängden är en upptagning och därmed i rättslig mening i sin tur kan utgöra ett stort antal andra upptagningar av varierande storlek kan förefalla paradoxalt men leder inte till någon annan slutsats. Kommittén återkommer till frågan om vilken betydelse det kan ha att en handling kan innehålla andra handlingar. 4.2.2Är säkerhetskopian en förvarad handling? Bedömning: En säkerhetskopia kan normalt antas vara förvarad hos myndigheten. En upptagning är förvarad hos myndigheten om upptagningen är tillgänglig för myndigheten med tekniska hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan uppfattas (2 kap. 3 § andra stycket tryckfrihetsförordningen). En förutsättning för att myndigheterna ska ha användning av sin säkerhetskopierade information är att myndigheten har möjlighet att söka i materialet och att sammanställa informationen. Utgångspunkten torde därför vara att en myndighet har tillgång till de tekniska hjälpmedel som behövs för att vid behov kunna ta fram information ur sina säkerhetskopior. Således måste säkerhetskopian normalt anses vara tillgänglig för myndigheten i uppfattbar form genom tekniska hjälpmedel som myndigheten förfogar över. Säkerhetskopian bör därmed som utgångspunkt anses som förvarad hos myndigheten. Med utgångspunkt i begreppen färdig respektive potentiell elektronisk handling går det att anlägga olika betraktelsesätt på frågan om förvaring. Ett alternativ är att betrakta en säkerhetskopia som en enda förvarad handling, dvs. en färdig elektronisk handling. Ur denna handling skulle det sedan i och för sig kunna vara möjligt att göra sammanställningar av uppgifter. Ett annat alternativ är att betrakta säkerhetskopian som en icke färdig handling i form av ett register i den mening som avses i 2 kap. 7 § andra stycket 1 tryckfrihetsförordningen. Trots att registret visserligen som helhet betraktat fortlöpande förändras bör det – förutom att erbjuda möjligheter till sammanställningar av uppgifter – även kunna bestå av färdiga handlingar. Beträffande de möjligheter som finns att sammanställa potentiella handlingar från informationen på säkerhetskopian, skulle frågan om dessa handlingar anses förvarade eller inte få avgöras utifrån den sedvanliga prövningen av om sammanställningen kan göras tillgänglig med rutinbetonade åtgärder. 4.2.3Är säkerhetskopian en upprättad handling? Bedömning: Säkerhetskopiering som sker löpande kan i vissa fall jämställas med förandet av en fortlöpande förteckning jämförbar med ett register i den mening som avses i 2 kap. tryckfrihetsförordningen. Säkerhetskopian är då att se som en upprättad handling. Under vissa förhållanden kan säkerhetskopior även i andra situationer betraktas som av myndigheten upprättade handlingar. Exempelvis kan säkerhetskopior som långtidssparas undantagsvis ses som av myndigheten omhändertagna för arkivering, och därmed som upprättade handlingar. Att säkerhetskopior vanligtvis inte kan betraktas som inkomna till myndigheten står tämligen klart.1 I normalfallet inställer sig därför i första hand frågan om säkerhetskopior som bedöms vara handlingar vilka förvaras hos myndigheten kan anses som hos myndigheten upprättade handlingar. Det normala torde vara att säkerhetskopior framställs som ett led i ett löpande informationssäkerhetsarbete hos myndigheten. Information från verksamhets- och driftmiljön kopieras. skrivs den säkerhetskopierade informationen över med ny information. I vissa fall kan det dock förekomma att myndigheten väljer att långtidsspara säkerhetskopior. Detta kan göras exempelvis genom att ett band i en bandrobot plockas ut för att sparas eller genom att bandet tillåts sitta kvar i bandroboten utan att den säkerhetskopierade informationen skrivs över med ny information. Vanligtvis expedieras inte säkerhetskopior. Inte heller justeras de eller tillhör något visst ärende. Kvar att undersöka är därmed om säkerhetskopian kan sägas ha på annat sätt färdigställts (2 kap. 7 § första stycket tryckfrihetsförordningen) eller om den kan anses upprättad med stöd av bestämmelsen om upprättandetidpunkt för 1 Dock bör en reservation lämnas för det fall säkerhetskopiering t.ex. sker centralt inom en myndighetsorganisation. Utgångspunkten är att handlingar som utväxlas inom samma myndighet anses som inkomna om avsändande respektive mottagande organ betraktas som självständiga i förhållande till varandra (2 kap. 8 § tryckfrihetsförordningen). Om det myndighetsorgan som säkerhetskopierar viss information betraktas som självständigt i förhållande till det organ som administrerar och lagrar säkerhetskopiorna, kan följden bli att informationen på säkerhetskopiorna betraktas som expedierad respektive inkommen handling genom att ha lämnat ett myndighetsorgan och kommit in till ett annat. Följaktligen skulle säkerhetskopian betraktas som en inkommen och därmed allmän handling. register och därmed jämställda fortlöpande förda förteckningar (2 kap. 7 § andra stycket 1 tryckfrihetsförordningen). Normalt sker alltså säkerhetskopieringen löpande. Information i form av filer innehållande e-postmeddelanden, Word-dokument, loggar m.m. registreras i säkerhetskopiemiljön för att tids nog helt eller delvis skrivas över med ny information. Frågan är då om myndigheten genom den löpande säkerhetskopieringen har framställt en upprättad och därmed allmän handling. Enligt undantagsregeln i 2 kap. 7 § andra stycket 1 tryckfrihetsförordningen är diarium, journaler, register eller andra fortlöpande förda förteckningar upprättade när förteckningen har färdigställts för införing eller anteckning. Ett register eller annan förteckning omfattas av den nämnda regleringen om förteckningen kontinuerligt tillförs nya uppgifter, dvs. Teknikens utveckling har inneburit att registrering av uppgifter i allt fler sammanhang görs elektroniskt och därmed hamnar inom ramen för vad som betraktas som just förteckningar som förs fortlöpande. I RÅ 1998 ref. 44 fann Regeringsrätten att en e-post- logg var upprättad och allmän handling i och med att den tekniskt förelåg färdig för noteringar om utväxlande av elektroniska meddelanden. Att de i förteckningen omnämnda meddelandena kanske inte alltid var att beteckna som allmänna handlingar förändrade enligt Regeringsrätten inte förteckningens karaktär av allmän handling. Avgörandet illustrerar det förhållandet att ett register, vilket i sig utgör en allmän handling, kan bestå av lösa uppgifter som inte är handlingar, i andra delar av potentiella handlingar och i ytterligare delar av färdiga handlingar. I JO 2001/02 s. 460 påpekas att de uppgifter i en e-postlogg som anger vem som skickat ett meddelande, till vem det skickats, vilket ämne meddelandet rör, samt meddelandet skickats respektive mottagits i sig torde utgöra en allmän handling då de får betraktas som en konstellation av sakligt sammanhängande uppgifter. En säkerhetskopia rullar fortlöpande och är färdig för införing av datorlagrat material i och med att exempelvis ett band sätts i en bandrobot och säkerhetskopieringen startar. Mot den angivna bakgrunden är det således ett möjligt betraktelsesätt att se löpande säkerhetskopiering som förandet av ett eller måhända flera register i enlighet med definitionen i 2 kap. 7 § andra stycket 1 tryckfrihetsförordningen. Följden av att betrakta säkerhetskopian som ett register blir att den ska ses som en upprättad handling redan när den har färdigställts för anteckning eller införing, dvs. redan innan den börjar ta emot registreringar. En helt annan sak är att i det register som säkerhetskopian utgör det införs uppgifter som härstammar från både allmänna handlingar och icke allmänna handlingar samt uppgifter som kanske inte utgör en handling över huvud taget. Vad som möjligen talar mot att betrakta den löpande säkerhetskopieringen som en form av register skulle kunna vara att man i rättspraxis har fäst vikt vid att sådana närmast tekniska hjälpmedel som ändå bedömts som register i tryckfrihetsförordningens mening har varit nödvändiga hjälpmedel för att administrera den ordinarie verksamheten, hjälpmedel för att administrera den elektroniska posten respektive sökning på Internet osv. Säkerhetskopior däremot, är inte tänkta att användas annat än vid extraordinära händelser och då i efterhand för att hantera situationer som är främmande för den ordinarie verksamheten vid myndigheten. Att säkerhetskopiera information är att vidta en säkerhetsåtgärd, det sker inte i syfte att skapa ett register eller en förteckning över vissa uppgifter. Med register eller förteckning brukar vidare vanligtvis avses något strukturerat, t.ex. förteckning över utgående och inkommande e-post. Den upptagning för automatiserad behandling som säkerhetskopian utgör kan ofta bestå av information som lagrats uppdelad i olika slumpvis avgränsade delmängder. Informationen kan därför knappast sägas ha strukturerats för att underlätta sökning, snarare tvärtom. Lagringen sker på det sätt som är mest ändamålsenligt från just lagringssynpunkt. Möjligen kan det därför hävdas att en sådan struktur som avses i 2 kap. 7 § andra stycket 1 tryckfrihetsförordningen uppkommer först efter en sammanställning av materialet. Kommittén har dock kommit till slutsatsen att övervägande skäl talar för att säkerhetskopiering som sker löpande i myndighetens säkerhetskopiemiljö ofta bör kunna ses som förandet av en fortlöpande förteckning eller ett register. Kopieringen sker i syfte att stödja bedrivandet av den ordinarie verksamheten. I själva verket torde förekomsten av säkerhetskopiering vara en nödvändig förutsättning för att säkerställa denna. så sätt knappast uppfattas som något som i den meningen är skilt från verksamhets- och driftmiljön. Vidare kan konstateras att även om det knappast är fråga om register i den mening som används i normalt språkbruk, tryckfrihetsförordningens registerbegrepp genom rättspraxis kommit att få en tämligen vidsträckt innebörd. Själva säkerhetskopieringen sker också ofta i former som kan liknas vid förandet av en förteckning, exempelvis bygger vissa system på att endast ändringar i förhållande till tidigare registrerade data lagras. Slutligen kan noteras att det förhållandet att materialet normalt skrivs över vid löpande säkerhetskopiering på inget sätt motsäger att verksamheten i rättslig mening kan betraktas som förandet av en förteckning eller ett register. Vad som sker är helt enkelt att förteckningen gallras kontinuerligt. Ett register eller annan förteckning som förs fortlöpande anses upprättad när handlingen har färdigställts för anteckning eller införing, dvs. vid en mycket tidig tidpunkt. Om en säkerhetskopia betraktas som en fortlöpande förteckning är den upprättad och därmed allmän handling redan då den ligger klar för att registrera uppgifter. Jämfört med den löpande säkerhetskopieringen finns det måhända anledning att se annorlunda på situationen då en myndighet väljer att ur det löpande systemet för säkerhetskopiering på ett eller annat sätt spara en säkerhetskopia. Kommittén har erfarit att det förekommer att säkerhetskopior långtidssparas. Dels kan detta vara betingat av interna säkerhetsföreskrifter, dels kan det ske av verksamhetsskäl. Man kan t.ex. ha intresse av att kunna gå tillbaka till äldre system eller applikationer. Myndigheter kan alltså ha ett befogat intresse av att ha tillgång till viss säkerhetskopierad information , i vissa fall . En rimlig utgångspunkt är då, som kommittén ser det, att betrakta det sparade materialet som en nyskapad handling där frågan om upprättande får avgöras för sig. Det är inte längre frågan om en fortlöpande förd förteckning, utan om en ny konstellation av sakligt och logiskt sammanhängande uppgifter fixerade på en viss informationsbärare. Möjligen kan den nyskapade handlingen uppfattas som ett tidsbegränsat register som därmed inte omfattas av undantagsregeln om upprättande i 2 kap. 7 § andra stycket 1 tryckfrihetsförordningen. Att på detta vis betrakta en ofta mycket stor och tämligen ostrukturerad informationsmängd som en handling kan, som påpekats tidigare, framstå som främmande. I verksamhetsmiljön skulle man t.ex. knappast betrakta all information som samlats på en viss server som en och samma upptagning. Enligt kommittén finns det dock skäl att se annorlunda på situationen då myndigheten (logiskt eller fysiskt) separerar en viss informationsmängd i säkerhetskopiemiljön. Genom åtgärden att spara säkerhetskopian kan myndigheten – formellt sett – sägas ha skapat en ny handling i den mening som avses i tryckfrihetsförordningen. Att den nya handlingen innehåller samma information som var en del av en annan handling, men då i form av ett register, saknar i detta hänseende betydelse. Frågan blir då vilka regler om upprättande i 2 kap. tryckfrihetsförordningen som kan bli aktuella att tillämpa på sparade säkerhetskopior. Som berörts ovan expedieras eller justeras säkerhetskopior normalt sett inte. De hänför sig inte heller till något visst ärende. Kvar att pröva är sålunda om säkerhetskopiorna på annat sätt färdigställts (2 kap. 7 § första stycket tryckfrihetsförordningen). Det anses här kunna räcka att handlingen t.ex. omhändertagits för förvaring eller att den på annat sätt fått ett slags slutlig form för att den ska betraktas som upprättad. Som har påpekats tidigare saknas det alltså krav på något särskilt formellt förfarande för att en handling ska betraktas som färdigställd (se vidare avsnitt 2.1.7). Beträffande säkerhetskopior är det dock rimligt att utgå ifrån att en myndighet som vill ta hand om en viss säkerhetskopia för förvaring i normalfallet vidtar någon form av formell åtgärd – i form av t.ex. ett beslut av en behörig befattningshavare – för att markera detta. Kommittén återkommer till frågan i avsnitt 5.3.1. Det torde inte vara vanligt förekommande att sparade säkerhetskopior arkiveras. Som kommer att behandlas under avsnitt 4.6.1 om arkivering anser kommittén dock att man kan anta att den myndighet som av något skäl långtidssparar en säkerhetskopia, beroende på omständigheterna, i vissa fall bör anses ha fattat ett beslut om att omhänderta säkerhetskopian för arkivering. I samma stund som ett sådant beslut om arkivering presumeras ha fattats, kommer den sparade säkerhetskopian att betraktas som en upprättad och därmed allmän handling. En eller flera handlingar? Betraktas en säkerhetskopia som en hos myndigheten förvarad och upprättad handling kommer följaktligen, som kommittén ser det, allt material på den att utgöra en allmän handling. Detta betyder i normalfallet med löpande säkerhetskopiering att den allmänna handlingen – registret – har det innehåll det har vid varje given tidpunkt. Eftersom det handlar om en löpande registrering som motsvaras av löpande gallring ändras innehållet i handlingen kontinuerligt. Är det däremot fråga om en sparad säkerhetskopia som undantagsvis anses som upprättad är innehållet givetvis fixerat. I den mån säkerhetskopior däremot inte betraktas som upprättade handlingar inställer sig frågan om vad som kan anses gälla för de mindre, separata upptagningar som finns på säkerhetskopian. I propositionen Sekretess för uppgifter på de s.k. tsunamibanden (prop. 2007/08:38) framhölls att de mindre, separata handlingarnas status borde följa originalhandlingens status av allmän respektive icke allmän handling (se vidare avsnitt 2.5.2). Med ett sådant synsätt kommer den handling som är allmän i verksamhets- eller driftmiljön också att vara det i säkerhetskopiemiljön. Ett e-post- meddelande som är allmän handling i verksamhetsmiljön skulle följaktligen vara föremål för allmänhetens insyn också i säkerhetskopian. Enligt kommitténs uppfattning kan det dock finnas skäl att anlägga ett annat synsätt. Till att börja med framstår det som motsägelsefullt att det i en större handling som inte är allmän kan ingå mindre handlingar som i sin tur är allmänna. Visserligen kan samma information teoretiskt sett finnas i ett oändligt antal olika handlingar, men det berättigar inte till slutsatsen att en och samma handling kan vara både allmän och icke allmän. Kommitténs uppfattning är att varje handlings status i rättsligt hänseende måste kunna bedömas för sig. Handlingen är – i sin helhet – endera allmän eller icke allmän. I verksamhets- eller driftmiljön kan det visserligen finnas register som betraktas som allmän handling, men som i sin tur kan bestå av andra handlingar som också är allmänna, inte därför att de är en del av registret utan på egna meriter. En enskild datoranvändares s.k. cookiefil är ett exempel på detta. Förteckningen består av meddelanden som externa datorer skickar till användarens dator. Varje enskilt meddelande är inkommet till myndigheten och ingår dessutom i en hos användaren skapad löpande förteckning. Samma information kommer i detta fall att finnas i flera handlingar som var för sig är att anse som upprättade. I säkerhetskopiemiljön uppstår dock, med kommitténs synsätt, inte denna situation. Myndigheten skapar ingen ny, mindre handling genom att ta en kopia av en redan befintlig handling. I stället innebär säkerhetskopieringen att det skapas en nybildad, stor handling vars innehåll är den samlade informationsmängden från alla de mindre kopierade handlingarna. Om den stora handlingen inte är upprättad kan inte heller de däri ingående mindre handlingarna ha blivit det. Nästa fråga är då om det ändå kan föreligga en självständig insynsrätt beträffande de mindre handlingarna, inte därför att de är att se som upprättade i och med kopieringen utan därför att de är kopior av allmänna handlingar. Utgångspunkten är här att varje enskild handlings status hos en viss förvarsmyndighet i rättsligt hänseende måste kunna bedömas för sig. En kopia kan inte rimligen vara både en kopia av en originalhandling och en egen upprättad handling hos samma myndighet. Det kan vidare knappast anses föreligga en självständig rätt till insyn i en kopia av en handling. Vad allmänheten har rätt att ta del av är en handlings originalinnehåll. Dras en parallell till pappersmiljön kan insynsrätten sägas vara knuten till det exemplar av handlingen som myndigheten slutligen endera arkiverar eller gallrar. Visserligen är det ofta så att originalhandlingen hos en myndighet i sin tur kan vara en kopia av en handling som förvaras hos en annan myndighet. Men det förhållandet att myndigheten kanske har låtit kopiera sin originalkopia i ett antal exemplar för internt bruk innebär inte att myndigheten har skapat nya handlingar beträffande vilka det skulle finnas en självständig insynsrätt. Ett mångfaldigande av en handling påverkar inte i sig handlingens rättsliga status. På samma sätt bör det förhålla sig även i den elektroniska miljön. En helt annan sak är att det givetvis ofta kan möta betydande svårigheter att skilja kopior från original i en elektronisk miljö, om det alls är möjligt. Till detta ska läggas att ett synsätt som leder till en rätt till insyn i de mindre upptagningarna men inte i den större vållar praktiska problem som har samband med de potentiella handlingar som är möjliga att sammanställa i säkerhetskopiemiljön. Då motsvarande sök- och sammanställningsmöjligheter helt kan saknas i verksamhetsmiljön kommer unika potentiella handlingar att kunna skapas i säkerhetskopiemiljön. Därmed kommer det att saknas ett original att hänföra sig till vid bedömningen av om den potentiella handling som skapats i säkerhetskopiemiljön är allmän eller inte. Vidare framstår det som en vansklig verksamhet för myndigheten att avgöra om den potentiella handling som begärs ut från säkerhetskopian endast kommer att bestå av uppgifter från kopior av allmänna handlingar. Potentiella handlingar vilka allmänheten har rätt att ta del av ska endast bestå av sammanställningar av uppgifter som härstammar från i och för sig allmänna handlingar. Sammanfattningsvis är det kommitténs uppfattning att resonemanget om de små, separata upptagningarnas status kan ha relevans i verksamhets- och driftmiljön men inte i säkerhetskopiemiljön. Säkerhetskopiering kan leda till att nya handlingar skapas men inte i den meningen att det upprättas nya handlingar som är identiska med redan existerande mindre, separata upptagningar.