sou · H1B380 · 2013-12-05 00:00:00 — Verksamheten – teknisk bearbetning eller teknisk lagring – är densamma som beskrivs i 2 kap 6 § tredje stycket och 10 § TF. Detta skydd för uppgifter som är föremål för teknisk bearbetning eller lagring har tillkommit mot bakgrund av att offentlig- hetsprincipen inte ansetts kräva att allmänheten ska ha tillgång till en upptagning hos myndig- het som endast tar teknisk befattning med den. Här avses alltså endast teknisk bearbetning eller lagring av handlingen. I motiven till den tidigare i sekretesslagen gällande motsvarigheten till 40 kap 5 § OSL har anförts att det inte vore godtagbart att sekretess skulle saknas inom en datacentral med ställning av myndighet för uppgifter som bearbetas eller lagras för enskild kunds räkning (prop. 1979/80:2 s 272). Den prövning som ska göras vid en framställning hos en myndighet, om att få material som finns i ett eget utrymme utlämnat med stöd av 2 kap. TF, tar inte sikte på själva utrymmet utan på den handling som begärs utlämnad. Frågan är om handlingen förvaras endast som led i så- dan teknisk lagring eller teknisk bearbetning som avses i 10 §. Lagmotiv och praxis är kortfat- tade. Av de uttalanden som departementschefen gjorde vid bestämmelsens tillkomst framgår emellertid att en myndighets rätt att förfoga över handlingen setts som avgörande och att en teknisk möjlighet för myndigheten att göra handlingen tillgänglig i läs- eller annars uppfattbar form inte ska utgöra hinder mot undantagets tillämpning. Av rättspraxis framgår vidare att handling ansetts vara allmän hos myndighet som inte bara ut- fört teknisk bearbetning och teknisk lagring för annans räkning utan för egen del förfogat över handlingarna för statistikframställning och arbetsmiljörapportering. Motsatsen har i praxis ansetts gälla för en myndighet som tillhandahållit ekonomi- och redovisningssy- stem som en avgiftsbelagd servicetjänst utan att förfoga över materialet. Vid denna bedöm- ning fördes inget resonemang om huruvida en avsikt kunde finnas att senare ge in någon av handlingarna till myndigheten och om detta skulle ha kunnat påverka utgången. Den avgö- rande skillnaden har således att göra med myndighetens rätt för att förfoga över handlingen som en del av sina informationstillgångar. I det sammanhanget är det naturligt att om grunden för att handlingen förvaras hos myndigheten är ett uppdrag från en enskild som är begränsat till förvaring, handlingen inte kan anses ingå i myndighetens egen information. Är däremot grunden för förvaringen hos myndigheten delvis också en självständig rätt för myndigheten att använda informationen blir situationen en annan. Det som utmärker enbart teknisk förvaring kan sägas vara myndighetens osjälvständiga befattning med handlingen till följd av uppdrag. En myndighet som tillhandahåller eget utrymme åt användare får på motsvarande sätt inte för egen del förfoga över en handling som förvaras där. En särskilt strikt reglering brukar dessu- tom införas för att helt utesluta åtkomst i läs- eller annars uppfattbar form, för den myndig- hets befattningshavare som tillhandahåller det egna utrymmet, med undantag för nödvändiga åtgärder för att rätta tekniska fel och åtgärda säkerhetsbrister. Utgångspunkten för en pröv- ning av om en handling som begärs utlämnad omfattas av outsourcingundantaget torde dessu- tom vara handlingens status vid tiden för begäran om utlämnande; dvs. om den myndighet där den förvaras får förfoga över handlingen . Vi har inte funnit stöd för att outsourcingundantaget istället skulle bedömas utifrån någon slags prognos om t.ex. ett visst utkast i ett eget utrymme sedermera kan komma att ges in eller inte. Vid sådana förhållanden får en handling som myndighet förvarar åt en användare i dennes eget utrymme hos myndigheten anses vara omfattad av outsourcingundantaget. När använda- ren är färdig med en handling och har sänt den till myndigheten blir den handling som kom- mit in till myndigheten dock förvarad hos myndigheten så att myndigheten får förfoga över informationen i den för egen del. Handlingen blir därmed allmän. Det förekommer också att handlingar sänds, av en annan myndighet än den som tillhandahål- ler det egna utrymmet eller av en annan enskild, till en användares eget utrymme. Även i ett sådant fall förvaras det som hamnat i användarens eget utrymme20 endast som led i teknisk be- arbetning eller teknisk lagring för innehavarens räkning eftersom den myndighet som tillhan- dahåller utrymmet inte får förfoga över de handlingar som finns där. Detsamma torde gälla när en myndighet lämnar ut uppgifter till en användares ett eget utrymme för att underlätta ar- betet med att upprätta en inlaga. De uppgifter som lämnas ut kommer att ingå i en handling som myndigheten expedierar till användaren vilket innebär att uppgifterna, sådana de skicka- des till användaren, kommer att ingå i en allmän handling. Uppgifterna utgör således allmän handling i myndighetens eget verksamhetssystem, där myndigheten förfogar över uppgifterna. Den som begär ut en handling med stöd av 2 kap. TF har inte rätt att kräva att handlingen ska vara hämtat från någon viss digital lagringsplats. Det exemplar som tas emot av användaren är dock i enlighet med vad som framgått ovan inte allmänt i sig eftersom myndigheten lagrar det som finns i det egna utrymmet endast för den enskildes räkning. Användarens eget utrymme är i den situationen med andra ord inte en del av myndighetens informationstillgångar utan av den enskildes. Detta är syftet med att inneha en e-brevlåda hos en myndighet nämligen att meddelanden till den enskilde kan adresseras dit. Skulle myndigheten ha gallrat den handling som efterfrågas i sitt verksamhetssystem kunde det emellertid vara så att ett exemplar av handlingen finns kvar i en användares eget utrymme hos myndigheten och att det skulle finnas någon på myndighetens teknikavdelning som med ru- tinbetonade åtgärder kan komma åt handlingen. Om ett sådant tekniskt verktyg skulle finnas – trots en reglering som förbjuder åtkomst – föreligger sannolikt inte annat än i undantagsfall en sådan rättslig begränsning som avses i 2 kap. 3 § tredje stycket TF (jfr avsnitt 4.2.2). Myndig- heten har emellertid, på samma sätt som redovisats ovan, inte heller i denna situation någon rätt att förfoga över de handlingar som finns i en användares eget utrymme och informationen kan så som uttalats i lagmotiven inte rimligen sägas ingå i de allmänna organens informations- tillgångar. Det avgörande torde vara den osjälvständiga befattning med handlingarna som den myndighet som tillhandahåller utrymmet har i förhållande till sin uppdragsgivare. 20 Jfr beträffande befordringen dit 2 kap. 11 § första stycket 1 TF. 5.Sekretess för eget utrymme Det finns trots den redovisade bedömningen kvar en viss rättslig osäkerhet kring hur egna ut- rymmen kan komma att bedömas vid en rättslig prövning av en begäran om att få ut en hand- ling.21 Denna osäkerhet är inte enkel att förena med den centrala roll användares egna utrym- men har kommit att spela inom e-förvaltningen. Det finns därför skäl att överväga om det – i avvaktan på en framtida översyn av 2 kap. TF – skulle vara möjligt att införa regler om sekre- tess för uppgifter i eget utrymme. En sådan reglering kan också behövas för det fall att en befattningshavare i något undantags- fall skulle få reda på en uppgift som finns i ett eget utrymme, t.ex. i samband med rättelse av ett fel i systemet eller en åtgärd som varit nödvändig av informationssäkerhetsskäl. Förbud behövs här mot att röja uppgiften, vare sig detta sker muntligen, genom utlämnande av hand- ling eller på något annat sätt. Det finns således – oberoende av hur 2 kap. 10 § TF ska tolkas – behov av en regel om tystnadsplikt för befattningshavare hos myndighet som tillhandahåller egna utrymmen. 5.2.1Det skydd som svarar mot 2 kap. 10 § TF räcker inte I 40 kap. 5 § OSL föreskrivs visserligen om tystnadsplikt i verksamhet för enbart teknisk bear- betning eller teknisk lagring för någon annans räkning (jfr 2 kap. 10 § TF). Under förutsättning att sådan verksamhet anses föreligga är emellertid skyddet begränsat till personuppgifter som av- ses i personuppgiftslagen samt till uppgift om en enskilds personliga eller ekonomiska förhållanden. Det bör framhållas att sekretessen enligt denna bestämmelse är absolut och att meddelarfrihet inte gäller. Inom det område som träffas av sekretessen gäller alltså ett starkt skydd mot insyn. Bestämmelsen gäller emellertid bara personuppgifter såsom det begreppet definieras i personupp- giftslagen. Således erbjuder bestämmelsen ingen sekretessreglering överhuvudtaget för uppgif- ter som rör juridiska personer. Bestämmelsen hade sin motsvarighet i 9 kap. 7 § sekretesslagen (1980:100). Även där gällde regleringen, efter ändringar i samband med personuppgiftslagens införande, endast för personuppgifter. omfattade sekretessen emellertid personre- gister enligt datalagen och ett sådant register kunde enligt datalagen innehålla också uppgifter om juridiska personer. Enligt 1 § datalagen menades med personregister register, förteckning eller andra anteckningar som föres med hjälp av automatisk databehandling och som innehål- 21 Se delbetänkande (SOU 2012:90) Överskottsinformation vid direktåt- komst, s. 37. Många hade förväntat sig att skulle lägga fram sådana förslag till författningsändringar att det inte längre skulle finnas någon risk för en tolkning som medför att handlingar i en användares eget utrymme anses vara allmänna. Några förslag till ändringar i tryckfrihetsförordningen har dock inte lagts fram. Istället har en analys gjorts av de komplikationer som regleringen för med sig, en analys som i praktiken ytterligare accentuerat de gränsdragningssvårigheter som dagens författningstekniska konstruktioner i 2 kap. TF har kommit att föra med sig för e-förvaltningen. ler personuppgift som kan hänföras till den som avses med uppgiften. Det kan konstateras att denna definition träffade alla former av strukturerade behandlingar som innehöll uppgifter om enskilda personer. Eftersom även bolag omfattas av definitionen enskild i sekretesslagen medgav bestämmelsen i sin ursprungliga lydelse ett skydd som omfattade även uppgifter om juridiska personer – så snart uppgifterna förekom i ett register tillsammans med personuppgif- ter. Den inskränkning i tystnadsplikten som synes ha blivit följden av vad som i lagmotiven beskrevs som endast en redaktionell ändring synes inte ha uppmärksammats. Med nuvarande lydelse kommer bestämmelsen, till följd av hänvisningen till personuppgiftslagen, endast att omfatta personuppgifter som sådana. Detta gäller i och för sig oavsett om de förekommer i register eller utanför ett register. I sakligt hänseende kommer dock per definition rena uppgif- ter om juridiska personer att hamna utanför det sekretessreglerade området. När sekretesslagen infördes utfördes så gott som samtliga behandlingar hos myndigheter med hjälp av ADB i form av register. Dessa register innehålla vissa på förhand definierade fak- tauppgifter om enskilda. Som exempel kan nämnas ersättningsnivåer, inkomster, adress och fattade beslut. Någon digital behandling av uppgifter i löpande text förekom knappast. Det var istället så att domar, beslut o.l. skrevs på skrivmaskin och att meddelanden expedierades i brevform med vanlig post. Den som ville kontakta myndigheten skriftligen fick skriva brev. Vid muntlig kommunikation förde tjänstemannen tjänsteanteckningar i någon pappersjournal eller direkt på en aktkappa. Inom förvaltningsmyndigheter förekom vanligen att enklare beslut sattes upp i form av s.k. tergalresolution, dvs. att beslut tecknas på den handling som innehål- ler ansökan. Efter det att sekretesslagen infördes har utvecklingen gått snabbt. sker så gått som all be- handling av uppgifter om enskilda i digital miljö. Myndigheterna kommunicerar också vanligt- vis elektroniskt med enskilda. Information finns ofta på myndigheternas webbplatser och nära nog alla myndigheter erbjuder ärendetjänster. Myndigheter använder numera dessutom i bety- dande omfattning digitaliserad akthantering där beslut, skrivelser och andra handlingar samlas digitalt. Detta gäller även för tjänsteanteckningar. Det säger sig själv att behovet av integritets- skydd i denna miljö inte kan begränsas till den information som råkar befinna sig i vad som kan kallas ett register. När sekretesslagen infördes uttalades det i förarbetena (prop. 1979/80:2 s 272) följande apropå sekretess för registerbehandlingar: Också i fråga om andra myndigheter än datainspektionen finns behov av sekretessbestämmelser i samband med personregistrering med hjälp av ADB. Någon regel som generellt skulle föreskriva sek- retess för personuppgifter i dataregister kan dock naturligen inte införas. En sådan bestämmelse skulle ju på viktiga områden försätta offentlighetsprincipen ur spel. I 13 § första stycket datalagen föreskrivs att registeransvarig eller annan som har tagit befattning med personregister inte obehörigen får yppa vad han till följd härav har fått veta om enskilds person- liga förhållanden. Regeln är i och för sig tillämplig också på myndighet. Den har därvid dock den be- gränsningen att tystnadsplikten inte kan anses sträcka sig längre än de inskränkningar som gäller i fråga om rätten att skriftligen lämna ut uppgift ur registret. Detta innebär med andra ord att tystnadsplikten inte gäller registeruppgift som ingår i en offentlig ADB-upptagning. Det finns skäl att på ett begränsat område införa en sekretessbestämmelse i den nya sekretessla- gen som kan sägas i viss mån svara mot den berörda bestämmelsen i datalagen. Sålunda är det inte godtagbart att sekretess skulle saknas inom en datacentral med ställning av myndighet, för personupp- gifter i sådant personregister som bearbetas eller lagras för enskild kunds räkning. För bearbetning och förvaring av myndighets ADB-register är behovet av särskild sekretess inte lika framträdande, ef- tersom ofta en för det berörda förvaltningsområdet gällande sekretessbestämmelse skulle bli tillämplig. Tillräcklig anledning att skilja mellan bearbetning m.m. för enskilds och för myndighets räkning synes dock inte föreligga. Det kan inte heller vara ändamålsenligt att personal som har rent tekniska uppgif- ter skall behöva tillämpa olika sekretessbestämmelser för skilda delar av sitt arbetsmaterial. Med hänvisning till det anförda har i promemorian föreslagits att sekretess skall gälla i myndig- hets verksamhet som endast avser teknisk bearbetning eller teknisk lagring för annans räkning, för uppgift om enskilds personliga eller ekonomiska förhållanden. Sekretessen har föreslagits bli absolut, d.v.s. något skaderekvisit ställs inte upp som villkor för sekretessen. Förslaget har inte mött några in- vändningar under remissbehandlingen. Bestämmelsen i förevarande paragraf överensstämmer med promemorieförslaget. Det kan konstateras att ett behov av integritetsskydd för tekniska behandlingar och bearbet- ningar ansågs finnas oavsett om detta rörde personuppgifter eller en blandning av personupp- gifter och uppgifter om juridiska personer. Ett bärande skäl bakom denna sekretess har up- penbarligen varit att den personal som biträder vid bearbetningen eller lagringen inte ska be- höva tillämpa de skiftande sekretessregler som kan gälla hos de olika myndigheter där uppgif- terna hör hemma. Att sekretessen inte omfattade annat än personregister beror naturligen på att några andra digitala behandlingar inte förekom då. Det förtjänar vidare att framhållas att lagstiftaren, i samband med antagande av sekretesslag, har valt att införa bestämmel- sen i dåvarande 9 kap 7 § efter en analys av behovet av skydd för personuppgiftsbehandling med ADB. Det är mot den bakgrunden som citerade uttalanden i förarbeten om att det inte var ak- tuellt att generellt sekretessbelägga personuppgifter i dataregister bör förstås. Den avvägning mellan behovet av sekretesskydd och offentlighetsintresset som låg bakom bestämmelsen framstår med andra ord inte längre som heltäckande med beaktande av den it-användning som är vanlig . Som bestämmelsen är utformad ger den inte längre ett adekvat skydd i samband med teknisk bearbetning och lagring för annans räkning, i vart fall inte när myndigheter tillhandahåller egna utrymmen för att enskilda ska kunna använda ärendetjänster. 5.2.2Andra regler om sekretess räcker inte heller Även andra bestämmelser i offentlighets- och sekretesslagen kan bli tillämpliga på uppgifter i ett eget utrymme men ofta finns begränsningar till uppgifter i t.ex. vissa ärenden eller i viss verksamhet. Det är osäkert om denna sekretessreglering kan anses tillämplig redan innan nå- got sådant ärende har anhängiggjorts eller myndighetens egen verksamhet av angiven art in- letts. Här finns inte utrymme för en närmare sådan analys. Det finns också regler om sekretess för uppgifter som hanteras inom ramen för ett uppdrag som bygger på förutsättningen att uppgifterna inte röjs. I 29 kap. OSL ges regler om sekretess för allmän samfärdsel, för postförsändelse (1 §), hos bl.a. myndighet som bedriver postverksamhet för uppgift om en särskild postförsändelse, elektroniskt meddelande (2 §), hos en myndighet som tillhandahåller ett elektroniskt kom- munikationsnät eller en elektronisk kommunikationstjänst för uppgift om innehållet i ett elektroniskt meddelande eller annan uppgift som angår ett särskilt elektroniskt meddelande, och annan samfärdsel (3 §), hos myndighet som handhar allmän samfärdsel för sådan uppgift om en enskilds förbindelse med samfärdselverksamheten. Sekretessen för postförsändelser gäller dock endast för traditionell papperspost och skyddet för elektroniska meddelanden gäller endast hos en myndighet som tillhandahåller ett elektro- niskt kommunikationsnät eller en elektronisk kommunikationstjänst. En myndighet som till- handahåller ett eget utrymme tillhandahåller emellertid inte därigenom en sådan elektronisk kommunikationstjänst som omfattas av sekretessregleringen för elektroniskt meddelande. I detta sammanhang bör också nämnas att sekretess enligt 40 kap. 2 § OSL gäller i publicus verksamhet som följer av lag eller annan författning för uppgift som det kan antas att den rättssökande har förutsatt ska bli behandlad förtroligt och att sekretess enligt 40 kap. 4 § OSL gäl- ler för personal i en myndighets telefonväxel för uppgift som har inhämtats vid tjänstgöringen och som avser telefonsamtal till eller från någon annan person hos myndigheten. Avsikten är i dessa fall att säkerställa att material som avsändare och mottagare utgått från ska behandlas förtroligt inte blir allmänna och offentliga handlingar; uppdrag har lämnats och tjänster använts under förutsättning att uppgifter och handlingar inte röjs. Det specifika för den form av eget utrymme hos en myndighet som diskuteras här är att den enskilde väljer att lämna ett uppdrag till en myndighet att för den enskildes räkning lagra och bearbeta information elektroniskt. Det är alltså fråga om ett uppdrag som lika gärna hade kun- nat lämnas till ett företag utanför myndighetsområdet. Informationen är vidare av privat natur eftersom den enskilde förvarar den i det egna utrymmet enbart för sin egen räkning och inte för användning av någon myndighet. Det förhållandet att sådana egna utrymmen också kan förenkla myndigheternas arbete förändrar inte syftet med det egna utrymmet. Syftet är endast att bereda den enskilde en egen elektronisk plats att förvara viss information på och där in- formation också kan tas emot och lämnas vidare. Skulle den information som den enskilde förvarar i sitt eget utrymme anses bli offentlig, skulle sannolikt de flesta välja att inte anlita denna typ av tjänst. I 31 kap 12 § OSL föreskrivs om sekretess i samband med uppdragsverksamhet som myndig- heter kan bedriva för enskildas räkning. Enligt bestämmelsen gäller sekretess för uppgift som avser provning, bestämning av egenskaper eller myckenhet, värdering, vetenskaplig, teknisk, ekonomisk eller statistisk undersökning eller annat sådant uppdrag som myndigheten utför för en enskilds räkning om det kan antas att uppdraget har lämnats under förutsättning att uppgiften inte röjs. Sek- retessen är absolut och meddelarfrihet gäller inte (31 kap 26 § OSL). Att en myndighet utför uppdraget och att det lämnats under förutsättning att uppgifterna inte röjs stämmer väl överens med de utgångspunkter utifrån vilka en användare har uppgifter i sitt eget utrymme. Frågan är emellertid hur begränsningen till myndigheternas s.k. uppdragsverksam- het ska förstås. Typiska myndigheter som kan tillämpa bestämmelsen har ansetts vara universi- tet och högskolor, SCB, eller . Det kan dock konstateras att alla myndigheter som tillhandahåller egna utrymmen åt använ- dare behandlar uppgifterna inom ramen för ett uppdrag. Frågan blir emellertid om ett sådant uppdrag att utföra teknisk lagring av information kan jäm- ställas med undersökning av vetenskaplig, teknisk eller statistisk karaktär och således med lagtex- tens ord anses utgöra annat sådant uppdrag. Någon direkt vägledning i dessa frågor ges inte i motiven till OSL eller sekretesslagen (1980:100) från vilken bestämmelsen (då i 8 kap. 9 §) överförts utan någon saklig ändring. har övervägt begreppet uppdrag i HFD 2011 not. 28 och kon- staterat att det i begreppet måste ligga att det är fråga om en uppgift som kräver vissa arbetsinsat- ser av inte alltför obetydligt slag. Domstolen uttalade vidare att resultatet skulle redovisas i en rapport eller liknande. Eftersom det är fråga om ett notismål kan knappast alltför långtgående slutsatser dras av avgörandet. Det avgörande torde här vara, inte själva formatet för redovis- ning av uppdraget utan snarare omfattningen av redovisningen och av uppdraget. Detta ef- tersom domstolen från tillämpningsområdet ville utesluta fall där det bara är fråga om att svara på en enstaka faktafråga eller att ge upplysning om innehållet i en rättsregel. I förarbetena till sekretesslagen (prop. 1979/80:2 s 238) angavs att de situationer som paragra- fen avsåg att omfatta var sådana där sekretessen var närmast av förtroendekaraktär, där det i situationen ligger att enskilda knappast skulle anlita myndigheten, om de inte kunde vara säkra på att få samma skydd som hos ett privat företag. I denna del är överensstämmelsen sannolikt fullständig med användarens förväntningar på skyddet för uppgifter i ett eget utrymme. Det angivna syftet med lagen och Högsta Förvaltningsdomstolens ovan nämnda avgörande talar för att man vid tolkning av denna bestämmelse som avgörande bör se snarare omfatt- ningen och den förtroendefulla karaktären av de uppgifter en enskild låter en myndighet sköta än att det måste vara fråga om vissa analyser och undersökningar som ska rapporteras. Det kan mot den bakgrunden inte uteslutas att bestämmelsen skulle kunna bli tillämplig även på uppgifter som behandlas inom ramen för varaktiga egna utrymmen. Det kan knappast heller vara någon direkt förutsättning för tillämpning av bestämmelsen att varje enskild uppgift har lämnats till myndigheten av den enskilde. I den äldre motsvarigheten till bestämmelsen (i 27 § sekretesslag) fanns en formulering som gjorde att bestämmelsen omfattade även in- förskaffande eller meddelande av upplysningar till enskildas tjänst. Någon saklig ändring har inte avsetts vare sig i sekretesslagen eller OSL. Istället har detta uttryck tagits bort och ersatts av uttrycket annat sådant uppdrag (prop. 1979/80:2 s 237 f., Ds Ju 1977:11 s 507 f. och SOU 1975:22 s 216 ff.). Någon säker slutsats kan dock inte dras förrän frågan har prövats i domstol. 5.2.4Något om innehavarens syfte med e-brevlådan och internationella åtaganden Enskilda har uppgifter i sina egna utrymmen i förlitan på att ingen annan kommer åt dem. In- nehållet i det egna utrymmet tillhör alltså primärt innehavarens egen kontrollsfär, dvs. det ut- rymme som denne med rimliga krav kan uppfatta som privat och vilket bör skyddas mot obe- hörig insyn.