sou · H1B380 · 2013-12-05 00:00:00 — Myndigheterna har emellertid infört användargränssnitt, föreskrifter och avtal för berörda ak- törer som syftar till att tydliggöra gränserna i elektronisk miljö mellan en myndighets eget verksamhetssystem, där behandlingar sker för myndighetens egen räkning,1 och produktion och leverans av funktioner och tjänster till följd av att myndigheten till- handahåller elektroniska tjänster o.l. 1 Med verksamhetssystem menas här en it-miljö där en organisation och dess befattningshavare handlägger ärenden eller annars hanterar nyttoinformation för organisationens räkning. Nyttoinformation står här för uppgifter som är till för enskilda eller befattningshavare till skillnad från drift- och säkerhetsrelaterad information som endast är till för tekniker; jfr E-delegationens juridiska vägledning för verksamhetsutveckling inom e-förvalt- ningen (version 1.0). o inom sitt eget verksamhetsområde, till sina egna sökande, respektive oåt andra myndigheter för att de ska kunna tillhandahålla sådana funktioner åt sina sökande (s.k. utkontraktering eller outsourcing). 1.3Ärendetjänster, egna utrymmen, konton och brevlådor De s.k. ärendetjänster som myndigheter tillhandahåller i elektronisk miljö brukas av enskilda (användare) för att bl.a. utforma utkast till handlingar och – när de är färdiga – ge in dem elek- troniskt till de myndigheter som tillhandahåller berörda ärendetjänster.2 Användaren kan också i vissa ärendetjänster få en uppgift eller en handling utlämnad till sig av myndighet så att an- vändaren delvis endast behöver granska att det som därefter ges in är riktigt; jfr en förtryckt deklarationsblankett. När användaren är klar behöver han eller hon endast skriva under elek- troniskt – eller legitimera sig för uppgiftslämnande – samt klicka på skicka för att överföring ska ske till myndighetens funktion – ett s.k. anvisat elektroniskt mottagningsställe – för att motta och ankomstregistrera sådana handlingar.3 För att det ska bli praktiskt möjligt för användaren att upprätta utkast och vidta andra åtgärder i digital miljö, utan att materialet i det skedet anses inkommet till myndigheten eller att något ärende annars anses anhängiggjort, behöver myndigheten tillhandahålla ett utrymme eller en plats som är endast användarens, där denne kan vidta åtgärder utifrån den självklara förut- sättningen att det är fråga om preliminärt material eller annars om uppgifter eller handlingar som inte får röjas för annan; jfr om ett utkast till en ännu inte undertecknad och färdigställd årsredovisning för ett börsbolag, som tas fram i för årsredovisning, skulle bli allmän och offentlig handling redan innan den har getts in. Bland myndigheter som tillhandahåller ärendetjänster har det till och med utvecklats en sär- skild terminologi för att närmare beskriva de virtuella förvar eller elektroniska platser som myndigheter tillhandahåller åt sina användare. I grundutförande betecknas sådant virtuellt för- var användarens eget utrymme; dvs. ett förvar som myndigheten tillhandahåller åt användaren endast som led i teknisk bearbetning eller teknisk lagring för användarens räkning.4 Ett sådant utrymme kan finnas endast under en viss session, som vanligtvis avslutas med att en där upprättad handling ges in eller att det som behandlats där tas bort så att användaren får börja om på nytt . I många fall kan uppgifterna emellertid mellanlagras så att användaren kan spara och senare hämta upp dem för att fortsätta sitt arbete med dem. 2Med ärendetjänst menas, enligt den i föregående not nämnda vägledningen, en e-tjänst där användare i ett service- skede och i ett eget utrymme, kan (1) utforma handlingar för att ge in dem, och (2) i vissa sådana tjänster få upp- gifter eller handlingar förifyllda eller annars utlämnade av (i) den som tillhandahåller utrymmet, eller (ii) ett annat organ, med stöd av en bastjänst (egen hämtning). 3Jfr betänkande (SOU 2010:29) En ny förvaltningslag, 18 §, s. 40. 4I E-delegationens juridiska vägledning för verksamhetsutveckling inom e-förvaltningen har eget utrymme definie- rats som skyddat förvar hos myndighet som den, enligt 2 kap. 10 § första stycket tryckfrihetsförordningen (TF), tillhandahåller endast som led i teknisk bearbetning eller teknisk lagring för annans räkning; jfr hur detta uttryck använts redan i en artikel av , Rättssäkerheten och teknologin i omvandling i Nordisk årsbok i Rättsinformatik för , s.147-159. egna utrymmet betecknas då konto.5 Till detta kommer en särskild typ av konto för säker elektronisk post, kallad e-brevlåda; dvs. ett konto där säker elektronisk post kan levereras. Det egna utrymmet har alltså – ibland utvecklat till ett konto eller en e-brevlåda – blivit ett inom den offentliga förvaltningen allmänt vedertaget juridiskt koncept6 som bygger på den förutsättningen att myndigheten endast ska agera som underleverantör av en teknisk och ad- ministrativ funktion åt användaren, som denne brukar under förutsättning att myndigheten inte får bereda sig tillgång till användarens eget utrymme och att de uppgifter och handlingar som finns där inte röjs för någon obehörig; jfr en servicebyrås roll vid outsourcing. Denna utveckling har inledningsvis vuxit fram för att skilja handlingar som är inkomna enligt 10 § förvaltningslagen från användarens eget arbetsmaterial. Utvecklingen har emellertid fort- gått så att ett eget utrymme numera också tar sin utgångspunkt i det undantag från handlings- offentligheten där det föreskrivs handling som förvaras hos en myndighet endast som led i teknisk bearbetning eller teknisk lagring för annans räkning inte anses som allmän handling hos den myndigheten; 2 kap. 10 § tryckfrihetsförordningen (TF). Den praktiska hanteringen utifrån detta undantag brukar numera, i enlighet med definitioner i E-delegationens vägledning, beskrivas så att it-arkitekturen har utformats för att användarens uppgifter ska behandlas i 1)ett serviceskede, dvs. ett förlopp där service ges av en myndighet enligt 4 § förvaltningslagen, ärendehandläggning inte äger rum hos myndigheten, endast den enskilde ges insyn och handling inte har kommit in till myndigheten enligt 10 § förvaltningslagen, och 2)ett virtuellt eget utrymme som är användarens, dvs. ett skyddat förvar hos myndighet som den, enligt 2 kap. 10 § första stycket TF, tillhandahåller endast som led i teknisk bearbet- ning eller teknisk lagring för annans räkning. It-arkitekturen för ett sådant eget utrymme avses utesluta åtkomst för myndighetens befatt- ningshavare till utrymmet, med undantag för sådan åtkomst som är nödvändig för att åtgärda fel eller skydda mot angrepp. När it-arkitekturen för en ärendetjänst utformats så att använ- dare permanent ska kunna mellanlagra uppgifter eller handlingar i ett eget utrymme, för att se- nare i ett serviceskede kunna hämta upp och färdigställa materialet, har det förklarats att an- vändaren ska ges möjlighet att registrera ett konto där uppgifter och handlingar kan bevaras och annars behandlas endast som led i teknisk bearbetning eller teknisk lagring för använda- rens egen räkning. De myndigheter som tillhandahåller sådana ärendetjänster har gjort bedömningen att uppgif- ter och handlingar (nyttoinformation) som en enskild behandlar i det egna utrymmet inte är 5Konto definieras i E-delegationens juridiska vägledning för verksamhetsutveckling inom e-förvaltningen som eget utrymme som har registrerats för en viss fysisk eller juridisk person, så att denne permanent (persistent) kan bevara och i övrigt behandla uppgifter där (termen persistent används av teknikansvariga). 6Juridiskt koncept definieras i E-delegationens juridiska vägledning för verksamhetsutveckling inom e-förvalt- ningen som en juridisk tankekonstruktion, som tar sin utgångspunkt i gällande rätt, för att tillämpas på en viss elektronisk företeelse, t.ex. ett eget utrymme eller ett elektroniskt mottagningsställe. inkomna till myndighet enligt förvaltningslagen, eller allmänna handlingar hos myndighet. Vidare har beträffande personuppgiftsansvaret noterats att den som tillhandahåller ett eget utrymme åt en användare blir personuppgiftsansvarig för den drift- och säkerhetsrelaterade informa- tion som avser användarens eget utrymme och i övrigt för att de personuppgifter som behand- las i utrymmet är omgärdade av adekvata säkerhetsåtgärder, men att tillhandahållaren inte blir per- sonuppgiftsansvarig för den nyttoinformation som den enskilde behandlar i sitt utrymme och inte heller för sådan drift- eller säkerhetsrelaterad information eller sådana skyddsåtgärder som endast användaren av utrymmet får ta del av eller annars förfoga över. Denna bedömning an- ses gälla även när utrymmet är utformat som ett konto eller en e-brevlåda. 1.4Ska gällande rätt tillämpas eller ska en helt ny reglering införas? Ett sätt att återskapa tydliga gränser i digital miljö skulle kunna vara att se e-förvaltningen som något helt nytt som följer sina egna förutsättningar och därmed måste regleras på ett nytt sätt. En sådan särskild reglering för elektronisk miljö, parallell med den författningsreglering som gäller för ett traditionellt pappersbaserat förfarande, skulle följa sin egen logik och sannolikt helt för- ändra utvecklingen av både organisationer och informationssystem. Tydliga gränser kan emel- lertid också återskapas genom att på ett fungerande sätt inordna e-förvaltningen under dagens system, strukturer och ansvarsgränser genom att utforma denna miljö så att den i allt väsentligt kan förenas med gällande rätt och de synsätt i övrigt som författningsregleringen bygger på. Eftersom en helt ny rättslig reglering inte kan genomföras utan ett omfattande och tidskrä- vande lagstiftningsarbete skulle en sådan lösning hindra införandet av e-tjänster under över- skådlig tid. Myndigheterna har därför istället valt att anpassa de nya tjänsterna och tillhörande tekniska och administrativa säkerhetsåtgärder till vedertagna synsätt och gränsdragningar i gäl- lande rätt; bl.a. till digitala motsvarigheter till hus, rum, förvar och brevlådor. Denna anpassning har alltså till betydande del byggt på analogier med motsvarande företeelser i fysisk miljö för att det ska bli möjligt att ta tillvara de synsätt som gällande rätt bygger på. 2.Myndigheternas utvecklingsarbete och juridiska bedömningar Arbetet för rättslig och teknisk samordning vid myndigheternas utveckling av e-tjänster tog fart genom att några svenska myndigheter7 inom ramen för ett projekt som bör- jade som ett regeringsuppdrag – det s.k. – utarbetade gemensamma lös- ningar för e-legitimationer och anknytande frågor om service och ärendehandläggning i digital miljö. Syftet var att bygga en nationell infrastruktur som på bred front skulle kunna stödja e- tjänster på ett juridiskt korrekt sätt. Resultaten från arbete dokumentera- des i ett antal vägledningar som övervägdes och beslutades av 7 , , , CSN och . valtning (). Dessa vägledningar kom att bli tongivande för hela myndighetsområ- det och de används alltjämt; se e-nämndens vägledningar för ̶myndigheternas användning av e-legitimationer och elektroniska underskrifter (e-nämn- den 04:02),8 ̶användargränssnitt som uppfyller legala krav (e-nämnden 04:03),9 ̶hantering av inkommande elektroniska handlingar (e-nämnden 05:02),10 ̶myndighetsföreskrifter vid införande av e-tjänster (e-nämnden 05:03),11 ̶information som enligt lag ska lämnas på webbplatser (e-nämnden 05:03).12 Viktiga frågor i detta sammanhang var när en handling som ges in med stöd av en myndighets e-tjänst ska anses inkommen enligt förvaltningslagen, och hur den kommunikation och de behandlingar som sker i en myndighets e-tjänst i en fas innan de färdiga handlingarna ges in ska betraktas från juridiska utgångspunkter. När en enskild använder en myndighets e-tjänst sänds uppgifter tekniskt från ingivarens dator till myndighetens system. I samma skede sänds uppgifter tekniskt från myndighetens system till ingivarens dator, redan för att användaren ska kunna se en webbsida på sin skärm och inte- ragera för att t.ex. upprätta ett utkast till en inlaga. En fråga som övervägdes var om redan dessa informationsmängder skulle bli att anse som inkomna till myndigheten respektive expe- dierade från myndigheten så att regler om diarieföring, handlingsoffentlighet och arkivering m.m. skulle anses tillämpliga redan i den fasen. Av intresse i denna del är vägledning för inkommande elektroniska handlingar. Enligt den skulle punkten för inkommande i digital miljö inte anses inträda förrän en handling har nått den funktion för automatiserad behandling som myndigheten har anvisat som mot- tagningsställe – i vägledningen kallad mottagningsfunktion. Att en enskild mellanlagrar ett utkast i 8Där behandlas rutiner och säkerhetskrav på myndighetsområdet för att utfärda e-legitimationer och för att an- vända och förlita sig på sådana legitimationer. I vägledningen har dessutom den terminologi som används i sam- band med hanteringen av e-legitimation och e-tjänster presenterats och kompletterats med en förenklad beskriv- ning för vanliga användare. vägledning har visserligen inte någon tvingande verkan, såsom lag eller annan författning, men eftersom många av reglerna tagits in i den upphandling av e-legitimationer som gjorts till- lämpas de i praktiken på bred front bland statliga myndigheter. 9Denna vägledning är utformad som ett komplement till den grundläggande vägledningen och syftar till att sam- ordna myndigheternas användargränssnitt så att medborgaren känner igen sig i olika e-tjänster och till att tydlig- göra juridiskt relevanta punkter i processen så att de elektroniska tjänsterna stämmer överens med de juridiska kraven. 10Vägledningen klarlägger grundläggande juridiska och administrativa frågor kring rättsliga krav på utformningen av e-tjänster. Bland annat behandlas när en handling ska anses ha kommit in till en myndighet, var gränsen mellan service och ärendehandläggning går och vilken information som bör finnas tillgänglig för en myndighet som ska kontrollera om elektroniska handlingar är äkta. 11Vägledningen kan ge stöd när förslag och remissynpunkter lämnas rörande reglering i lag eller förordning för att införa e-tjänster, när myndighetsföreskrifter tas fram för en e-tjänst och när föreskrifter för e-tjänster skall till- lämpas. 12Myndigheter är enligt lag skyldiga att lämna juridisk information på sina webbplatser. Av denna vägledning framgår när och hur en myndighet är skyldig att presentera sådan information. myndighetens informationssystem leder enligt denna vägledning inte till att utkastet anses in- kommet i förvaltningsrättslig mening – det har inte ännu nått mottagningsfunktionen.13 Så länge arbetet med att upprätta inlagor pågår kan användaren enligt vägledningen sägas befinna sig i ett serviceläge, vilket beskrevs så att den som använder en e-tjänst får hjälp och stöd på ett sätt som liknar den hjälp som en handläggare ger vid ett personligt besök hos myndigheten. I vägledningen konstaterades således att en elektronisk handling inte anses inkommen förrän den anländer till myndigheten – så som det uttrycks i 10 § förvaltningslagen. Detta skulle enligt vägledningen förstås så att handlingen i digital miljö har kommit in när den har nått mot- tagningsfunktionen. I en kommentar till vägledningen anfördes vidare att denna tolkning bör gälla oavsett om en försändelse når en myndighet via en e-tjänst, e-post eller någon annan elektronisk kanal där försändelsen kan tas emot. I praktiken bör därmed, i de allra flesta fall, den punkt där en elektronisk handling anses ha anlänt till en myndighet kunna knytas till den tekniska registrering som sker i den mottagningsfunktion som utgör myndighetens brevlåda för att ta emot sådana meddelanden. I anknytning till publicerades också en artikel i , In- kommande handlingar – en IT-anpassad tolkning (SvJT 2005, s. 273 ff.). Där noterades att ut- talanden i lagmotiv och doktrin rörande inkommande elektroniska handlingar delvis var mot- sägelsefulla och att utvecklingen på IT-området inte hade beaktats fullt ut. I artikeln påpekades också att vissa av de resonemang som förts i den juridiska doktrinen saknade förankring i in- formationssystemens och kommunikationsvägarnas sätt att fungera samt kunde ge utrymme för myndigheter att förfoga över inkommandepunkten.14 De lösningar som riskerade att resul- tera i dels ett begränsat hänsynstagande till den elektroniska miljöns särskilda förutsättningar, dels ett bristande skydd för enskildas rättssäkerhet redovisades som alternativ utifrån 1.en tillgänglighetsprincip; en upptagning anses enligt 2 kap. 6 § jämförd med 3 § TF in- kommen till myndighet när annan har gjort den tillgänglig för myndigheten med tek- niskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas, 2.en utskriftsprincip; i viss doktrin15 hade uttalats att en någorlunda säker ståndpunkt synes vara att ett elektroniskt meddelande kommer in först när en behörig företrädare för myndigheten tar hand om det, t.ex. genom att göra en utskrift, eller 13En jämförbar situation i fysisk miljö skulle enligt kommentarer i vägledningen kunna vara att en enskild som besöker en myndighet och inte hinner färdigställa sina inlagor och får löfte att lämna kvar sina papper till , när den enskilde återkommer och fortsätter sitt arbete. Den omständigheten att en individ förvarar en väska med handlingarna i myndighetens lokaler medför inte att handlingarna anses inkomna i förvaltningsrättslig me- ning. Först senare vidtar användaren åtgärder för att ge in handlingarna och först då kommer de in i förvaltnings- rättslig mening. 14För ingivarna är det emellertid ett självklart rättssäkerhetskrav att myndigheterna inte i enskilda fall ska kunna förfoga över inkommandepunkten genom att t.ex. vänta med att läsa eller skriva ut en elektronisk inlaga och såväl ingivare som myndigheter behöver veta i vilka delar befordran sker på avsändarens respektive mottagarens risk. 15Hellners och , Förvaltningslagen med kommentarer, 2003, s. 122. 3.en läs- eller omhändertagandeprincip; beträffande e-post hade hävdats att det inte räcker att en handling finns tillgänglig för myndighet i dess hårddisk utan att den också borde ha gjorts tillgänglig för en behörig tjänsteman på datorns bildskärm för att anses inkom- men; se Förvaltningsprocesslagen m.m. En kommentar, 4 u., s. 396). redovisades en förvaringsprincip utifrån ett förslag till nya bestämmelser om inkom- mande handlingar som lagts fram av i betänkandet Elektronisk dokumenthan- tering (SOU 1996:40). Utredningsförslaget byggde på att den elektroniska handlingen, för att anses inkommen, skulle ha anlänt till myndighetens elektroniska brevlåda, vilken i förslaget kallades myndighetens elektroniska adress. Enligt artikeln Inkommande handlingar – en IT-anpassad tolkning kunde en utskrifts- eller en läs- eller omhändertagandeprincip inte ge tillräckligt skydd för den enskilde, medan en tillgäng- lighetsprincip, så som den elektroniska miljön utvecklats, skulle leda till en alltför vid förvalt- ningsrättslig inkommanderegel; allt som fanns tillgängligt på Internet riskerade att anses som inkommet till myndighet. En förvaringsprincip kunde däremot, enligt artikeln och IT-utred- ningens bedömning, ge en avgränsning som mottagande myndighet inte kunde förfoga över och som inte kunde leda till att en handling blev att anse inkommen redan när ett utkast skap- ats eller vid annan mellanlagring av uppgifter i samband med hjälp och stöd som myndigheter ger i digital miljö. Att digitala data kommuniceras – på annat sätt än via en mottagningsfunktion – i vad som i artikeln kallades en servicefas skulle alltså inte anses leda till inkommande i förvaltningslagens mening; handlingen skulle anses inkommen först när den nått myndighetens mottagnings- funktion. Detta synsätt tillämpas också i fysisk miljö. En handling som en person tar med sig till en myndighet eller upprättar där och visar upp för en handläggare för att få råd om hur den ska fyllas i, men därefter tar med sig från myndighetens lokaler, anses inte inkommen i för- valtningslagens mening redan till följd av att den funnits i myndighetens lokaler. En e-tjänst behöver användas på motsvarande sätt vilket förutsätter att elektronisk kommunikation till (och från) en e-tjänst kan äga rum utan att någon handling anses inkommen. Oklara eller otidsenliga bedömningar kunde enligt artikeln bli kännbara för användare som ska ta tillvara sin rätt och för myndigheter som ska bygga sina webbplatser och e-tjänster så att de blir förenliga med regler om service, inkommande och handläggning av mål och ärenden. 2.2En fortsatt utveckling mot eget utrymme I praktiken har det beskrivna synsättet genomförts på bred front inom e-förvaltningen. Det har därigenom ansetts möjligt att tolka och tillämpa gällande rätt, i harmoni med digital infra- strukturs funktionssätt, som skyddet för den enskilde har kunnat upprätthållas så att en myndighet inte kan påverka inkommandepunkten, t.ex. genom att senarelägga utskrift eller läsning av en handling som nått ett mottagningsställe hos en myndighet. En viktig komponent har också varit att säkerställa skyddet för den enskilde genom att kvittens sänds så att en ingi- vare genast får veta om en åtgärd för att ge in en handling elektroniskt har lyckats. E-delegationen har enligt sina direktiv (dir. 2009:19 s. 10) fått i uppdrag att inventera och vid behov utveckla vägledningar och rapporter inom det aktuella området.16 Till följd härav har E-delegationen, dels i en rapport om Direktåtkomst och utlämnande på medium för automatiserad behandling hänvisat till vad som beskrivits som ett serviceläge (jfr den vid not 10 nämnda vägledningen av inkommande elektroniska handlingar), dels i den nämnda juridiska vägledningen för verksamhetsutveckling inom e-förvaltningen, be- skrivit sin syn på vad som tidigare kallats ett serviceläge eller en servicefas. Inom ramen för E-delegationens juridiska vägledning för verksamhetsutveckling inom e-för- valtningen har det förtydligandet gjorts att ett förlopp äger rum där service ges åt användaren – det s.k. serviceskedet – samt att detta förlopp tilldrar sig inom en skyddad elektronisk plats – det s.k. egna utrymmet, där användaren ska kunna t.ex. upprätta utkast till handlingar eller annars för egen del behandla uppgifter utan insyn av annan. Vid arbetet med vägledningen för verksam- hetsutveckling framkom att sådana utrymmen numera är bärande komponenter inom i stort sett varje tjänst som en myndighet tillhandahåller åt enskilda i digital miljö. E-delegationen har som framgått definierat serviceskede som förlopp där (1) service ges av myndighet enligt 4 § förvaltningslagen, (2) ärendehandläggning inte äger rum hos myndigheten, (3) endast den enskilde ges in- syn och (3) handling inte har kommit in till myndigheten enligt 10 § förvaltningslagen, och eget utrymme som skyddat förvar hos myndighet som den, enligt 2 kap. 10 § första stycket tryckfrihetsförordningen, tillhandahåller endast som led i teknisk bearbetning eller teknisk lagring för annans räkning. De bedömningar som myndigheter gett uttryck för i anknytning till e-tjänster och utvecklingen av vägledningar har visat att frågan om inkommande enligt förvaltningslagen numera torde uppfattas som löst genom den redovisade tolkningen av gällande rätt utifrån en förvarings- princip; dvs. att en handling anses inkommen när den har nått myndighetens elektroniska mot- tagningsställe. 3.Lagstiftningsarbetet rörande inkommande enligt förvaltningslagen 3.1En utveckling mot en förvaringsprincip Bedömningen att en handling som ges in elektronisk anses inkommen utifrån en förvarings- princip, dvs. när den har nått myndighetens elektroniska mottagningsställe, har också kommit till uttryck i lagstiftningsarbetet. Undantag följer visserligen av särreglering för något special- område som tillkommit innan myndigheterna börjat koppla upp sig mot Internet, t.ex. för tul- len (se bl.a. prop. 1989/90:40 s. 28).