sou · H2B339 · 2014-06-18 00:00:00 — Om en myn- dighet ges tillträde till någon annans it-miljö för att tillhandahålla it-drift eller att kunna ge användare hjälp och stöd vid användning av datorer – så att myndigheten kan ta del av uppgifter eller hand- lingar i den andres it-miljö och göra dem läsbara – anses de färdiga och potentiella elektroniska handlingar som blir tillgängliga vara allmänna handlingar hos den myndighet som getts sådan åtkomst.18 18 Detta gäller även när myndigheten varken har läst eller på annat sätt hämtat handlingen till sin it-miljö. En beskrivning av dessa frågor ges bl.a. i regeringens proposition 2007/08:160 Utökat elektroniskt informationsutbyte, där regeringen fann att ändamålsbegränsningar inte kan utgöra sådana rättsliga begränsningar som avses i 2 kap. 3 § andra stycket TF; dvs. att de inte omfattas av den s.k. begränsningsregeln. En närmare genomgång av de komplikationer detta kan föra med sig finns i delbetänkande Överskottsinformation vid direktåtkomst (SOU 2012:90). Färdiga elektroniska handlingar blir därmed vid direkt åtkomst, t.ex. för it-drift eller i en hjälpfunktion hos en myndighet, att anse som inkomna hos den myndighet som tillhandahåller tjänsten, oberoende av om åtgärderna är rutinbetonade. Även potentiella elektroniska handlingar blir att anse som inkomna vid direkt åtkomst hos en myndighet som ges tillgång till dem, om de kan sammanställas med rutinbetonade åtgärder. Vid denna bedömning blir det alltså utan betydelse om en en- skilds begäran om att få en allmän handling utlämnad avser en (färdig eller en potentiell) elektronisk handling som genererats i myndighetens egen verksamhet eller en färdig elektronisk handling som anses inkommen t.ex. till följd av att myndigheten inom ramen för en utkontraktering eller en hjälpfunktion har direkt åtkomst till en annan myndighets, ett företags eller en enskild persons elek- troniska information. En (möjlig) sammanställning av uppgifter som någon gör tekniskt tillgänglig för en myndighet genom direkt åtkomst anses således vara förvarad och inkommen hos den myn- dighet som ges åtkomst, och således allmän handling där. Detta gäller även om åtkomsten i praktiken ska vara begränsad till t.ex. befattningshavare vid en teknisk funktion för utkontrak- tering eller en hjälpfunktion och det gäller inte bara för färdiga elektroniska handlingar utan även för t.ex. sammanställningar ur färdiga handlingar som kan göras tillgängliga med rutinbetonade åtgärder och utan användning av förbjudna sökbegrepp. Olika register, t.ex. loggar, omfattas också. Införs tekniska begränsningar, som innebär att den elektroniska handlingen inte är tillgänglig för den myndighet som tillhandahåller it-drift eller en hjälpfunktion, med tekniskt hjälpmedel som myn- digheten själv utnyttjar, blir handlingen däremot inte att anse som allmän. I så fall kan hinder emellertid uppkomma i den tekniska hanteringen av tjänsten och handlingen kan inte heller användas av myndigheten i en hjälpfunktion. Till detta kommer att det – för att undgå handlingsoffentlighet – inte räcker att åtkomsten är teknisk begränsad för handläggare vid en hjälpfunktion eller den som administrerar en funktion för ut- kontraktering. Enligt regeringens proposition 2007/08:160 Utökat elektroniskt informationsutbyte, är det tillräckligt att det finns någon person, t.ex. på teknikavdelningen, som har tekniska möjlig- heter att överföra uppgifterna till läsbar form (s. 71). I praktiken torde detta, med dagens it-verktyg, innebära att det är svårt att tänka sig tekniska begränsningar, för befattningshavare, som inte enkelt kan kringgås av personal som arbetar med driften eller skyddet av berört informationssystem. Skulle det införas en teknisk begränsning hos en myndighet som tillhandahåller t.ex. it- drift eller en hjälpfunktion, så att befattningshavare endast kan söka på uppgifter som rör en viss person som är berörd i det enskilda fallet, gäller denna begränsning inte när en enskild under åberopande av handlingsoffentligheten begär att få ut en elektro- nisk handling, om någon vid myndigheten, t.ex. en tekniker kan ta fram handlingen i läsbar form med rutinbetonade åtgärder. Ett sätt att tillgodose en förväntan på att handlingar inte ska bli att anse som allmänna hos den som tillhandahåller en tjänst för teknisk bearbetning och teknisk lagring är att endast låta privaträttsliga subjekt tillhandahålla sådana tjänster. Ett annat sätt kan vara att in- föra en absolut teknisk begränsning av den åtkomst till elektroniska handlingar som en myndighet som tillhandahåller en tjänst ges. En sådan teknisk begränsning kan emellertid komplicera administra- tionen av tjänsten och därmed bli kostnadsdrivande.19 För den som endast tar del av lagtexten kan det också förefalla som om en rättslig begränsning enligt 2 kap. 3 § tredje stycket TF skulle kunna bli tillämplig, om begränsningen föreskrivs i lag eller förordning. Detta undantag gäller emellertid bara för potentiella elektroniska handlingar – alltså inte när det är fråga om en färdig elektronisk handling. Undantaget gäller dessutom endast om den potentiella elektroniska handlingen innehåller personuppgifter och 19 Här bör också noteras att en teknisk begränsning som sätts upp i myndighetens egen it- miljö knappast räcker för att allmänna handlingar inte ska uppkomma. En sådan begränsning är avhängig av att myndigheten inte beslutar att ge sina tekniker i uppdrag att ta bort den; en åtgärd som inom ramen för dagens flexibla it-system kan antas vara möjlig att genomföra med åtgärder som i tryckfrihetsförordningens mening ses som rutinbetonade. Eftersom in- formationen därvid i princip är tillgänglig för myndigheten när den så önskar är det osanno- likt att den tekniska begränsningen får verkan med avseende på tillgänglighetsrekvisitet i 2 kap. 3 § andra stycket TF. – För att en myndighets tillgång till information på ett säkert sätt ska begränsas så att informationen inte anses tillgänglig i 2 kap. TF:s mening kan denna tillgång dock göras beroende av en yttre omständighet som myndigheten inte själv kan påverka, t.ex. att begränsa åtkomsten tekniskt så att den som begär hjälp måste sända över den elektroniska handlingen eller vidta någon annan särskild åtgärd för att materialet ska bli åtkomligt för befattningshavaren vid den myndighet som tillhandahåller tjänsten. I sådana fall blir endast det som i praktiken överförs allmän handling. Detta material kan sannolikt tas bort i enlighet med ett beslut om gallring. om undantaget inte gjorts beroende av visst ändamål. Skulle en be- gränsningsregel utformas så att åtkomst får ske endast när det be- hövs för att t.ex. rätta tekniska fel eller ge hjälp och stöd – dvs. inte när åtkomst behövs med anledning av en begäran om offentlig- hetsinsyn – blir undantaget inte grundlagsenligt. Ett annat alternativ kan vara att begränsa en myndighets roll i enlighet med 2 kap. 10 § första stycket TF så att elektroniska hand- lingar hanteras endast som led i teknisk bearbetning eller teknisk lagring för annans räkning; jfr 2 kap. 6 § tredje stycket TF där det framgår att en handling inte heller anses inkommen när den åter- kommer till en myndighet som tillhandahållit den. Denna regel har tillkommit mot bakgrund av att offentlighetsprincipen inte ansetts kräva att allmänheten ska ha tillgång till en upptagning hos myn- dighet som endast tar teknisk befattning med den. I lagmotiven nämns som exempel på sådan teknisk uppgift att redigera myndig- hets ljudupptagningar på magnetband, överföra sådana upptag- ningar till grammofonskiva, framkalla fotografiskt material och lagra information i skivminne eller på magnetband (prop. 1975/76:160 s. 87, 137 och 171). Begreppet handling i 2 kap. TF är så vidsträckt att alla elektroniskt lagrade uppgifter som aktualiseras i anknytning till it-drift, elek- troniskt förvar samt hjälp- och presentationstjänster torde om- fattas. En elektronisk handling blir som framgått att anse som inkom- men till myndighet och förvarad där redan genom att den har gjorts tillgänglig av annan för myndigheten – med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (jfr 2 kap. 3 § andra stycket och 6 § första stycket TF). Detta gäller oberoende av om denna tillgänglighet har sin grund i tillhandahållandet av en tjänst. Tryckfrihetsförordningens grundläggande rekvisit enligt 2 kap. 3 § för allmän handling och enligt 2 kap. 6 § för inkomman- de i elektronisk miljö är därmed uppfyllda. Därmed återstår att bedöma om det undantag som föreskrivs i 2 kap. 10 § första stycket TF från allmän handling är tillämpligt på de tjänster som delegationen har genomlyst. När utkontraktering sker så att en myndighet tillhandahåller it- drift åt en annan myndighet kan det vara fråga om hela it-miljöer som den som beställt tjänsten kan bruka utan att behöva ha egna servrar eller egen personal som sköter de tekniska hjälpmedlen. Det är också vanligt med utkontraktering av begränsade enkla tekniska tillämpningar. Oavsett omfattningen av det som tillhandahålls torde det normalt stå klart att den myndighet som tillhandahåller tjänsten varken får eller avses behandla uppgifterna för något annat ändamål än att tillhandahålla teknisk bearbetning och teknisk lagring åt den som har beställt tjänsten. Vid sådana förhållanden är rekvisiten i 2 kap. 10 § första stycket TF för sådan endast teknisk bearbetning och teknisk lagring som omfattas av undantaget uppfyllda. De uppgifter och handlingar som är tekniskt tillgängliga för den tjänstelevererande myndigheten är därmed inte att anse som allmän handling hos den myndighet som levererar tjänsten. En sekretessreglering för uppgifter hos den tjänstelevererande myndigheten behövs därmed endast som en tystnadsplikt för myn- dighetens befattningshavare. När uppgifter blir tillgängliga för en myndighet som tillhandahåller en hjälptjänst eller en presentationstjänst är situationen en annan än vid ren it-drift. Tjänsten gå inte ut på att tekniskt bearbeta och lagra uppgifter för någon annan räkning. I stället tillhandahåller myndigheten en tjänst för egen räkning och i eget namn där det centrala är antingen den information som myndigheten ställer samman och visar i en presentationstjänst eller den – ofta muntliga – information som en myndighet ger i en hjälptjänst om hur ett problem kan avhjälpas eller hur vissa uppgifter bör förstås. När elektroniska handlingar används för dessa ändamål blir det inte fråga om sådan teknisk bearbetning eller teknisk lagring som omfattas av undantaget i 2 kap. 10 § första stycket TF. Även om själva tjänsten gentemot slutanvändaren kan innefatta moment av teknisk bearbetning eller lagring blir det inte fråga om endast sådan En sekretessreglering av uppgifter i en sådan tjänst skulle därmed få verkan både som tystnadsplikt för befattnings- havare och förbud mot att lämna ut allmänna handlingar. Vid bedömningen av behovet av sekretess för elektroniskt förvar20 är det av betydelse om nyttoinformation21 i det elektroniska för- varet anses vara allmän handling hos tillhandahållaren av förvaret. En handling i ett sådant förvar blir visserligen tekniskt tillgäng- lig för den myndighet som tillhandahåller förvaret – med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas – men frågan är om det undantaget i 2 kap. 10 § första stycket TF blir tillämpligt. Vid denna bedömning behöver det särskilda syftet med en an- vändares elektroniska förvar beaktas. Tanken med att tilldela ett elektroniskt förvar åt en användare av en ärendetjänst är att innehavaren ska kunna använda detta förvar exklusivt och att den myndighet som tekniskt administrerar detta förvar inte ska få ha åtkomst till innehållet – dvs. den nyttoinfor- mation som innehavaren behandlar där.22 Skulle informationen i en användares elektroniska förvar anses vara offentlig förfelas mening- en med den infrastruktur som myndigheterna i denna del byggt upp. Förutsättningarna liknar delvis det behov av persondataskydd som har redovisats i flera utredningsbetänkanden från senare tid, bl.a. av i delbetänkandet Över- skottsinformation vid direktåtkomst.23 Här är situationen emeller- tid delvis en annan. Behovet av skydd avser inte de risker för enskildas personliga integritet som kan uppkomma till följd av den 20Jfr den närmare beskrivning i avsnitt 3.3 av elektroniskt förvar (även kallat eget utrymme). 21Angående detta begrepp, se avsnitt 3.2, och beskrivningen i avsnitt 3.3. 22Motsatsen gäller för den drift- och säkerhetsrelaterade information som en myndighet be- handlar för att kunna tillhandahålla eget utrymme. 23Se SOU 2012:90 s. 39 ff. handlingsoffentlighet som blir följden av att en myndighet av tekniska skäl ges direkt åtkomst till en annan myndighets informa- tionstillgångar. Risken är i stället att uppgifter i en användares eget förvar – som den myndighet som tillhandahåller sådant förvar inte avses ta del av – blir allmän handling eller kommer till någon befattningshavares kännedom vid den tekniska hanteringen24 utan att uppgifterna omfattas av en tystnadsplikt för denne. Skyddet för elektroniskt förvar knyter här an dels till de undan- tag från tillämpningsområdet för grundlag som gäller beträffande det sätt på vilket en uppgift har anskaffats (se följande redovisning), dels till det privatliv som den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande frihet- erna () ska värna. Beträffande sättet för att anskaffa en uppgift har anskaffarfri- heten enligt 1 kap. 1 § fjärde stycket TF begränsats så att en anskaf- fare utan hinder av de fri- och rättigheter som följer av tryckfri- hetsförordningen, enligt 1 kap. 9 § 5 TF, kan ställas till svars för de metoder han eller hon använder. Är metoden olaglig kan ansvar utkrävas enligt vanlig lag. Anskaffarfriheten medger således inte att uppgifter anskaffas genom inbrott, egenmäktigt förfarande, olovlig avlyssning eller brytande av post- eller telehemlighet.25 Detsamma följer av 1 kap. 12 § YGL; jfr hur föreskrifter som utan avseende på yttrandens innehåll närmare reglerar ett visst sätt att sprida eller ta emot yttranden, enligt 2 kap. 23 § RF, inte anses som en begräns- ning av yttrandefriheten och informationsfriheten. Det skydd som föreskrivs i 4 kap. 9 och 9 c §§ mot intrång i förvar och dataintrång ges visserligen i vanlig lag men det kan omfatta även ett sådant virtuellt elektroniskt förvar som över- vägs här. Sådana utrymmen tillhandahålls på motsvarande sätt som när exempelvis och universitetsbiblioteken tillhan- dahåller låsbara skåp åt sina besökare. Det blir straffbart även för befattningshavare hos myndigheten att olovligen bereda sig tillgång till ett låst skåp respektive ett skyddat elektroniskt förvar. En annan parallell av intresse för användares elektroniska förvar är huruvida förvaret, trots att det tekniskt finns i en myndighets it- 24Reglerna för befattningshavare som sköter driften av användares elektroniska förvar utfor- mas visserligen så att de inte får bereda sig tillgång till användares elektroniska förvar men det kan undantagsvis vara lovligt om åtgärden krävs för att rätta ett tekniskt fel eller att utföra en åtgärd som krävs från informationssäkerhetssynpunkt. 25Däremot skall anstiftan till brott mot tystnadsplikt enligt motiven inte bedömas som ett sätt för uppgiftsanskaffande enligt denna regel (prop. 1975/76:204 s. 98). miljö, ska anses höra till det privat- eller familjeliv, hem, och den korrespondens som är skyddad enligt . Elek- troniskt förvar inrättas för att vara ett privat förvar. Av artikel 8 följer ett skydd för privatlivet som inte kan inskränkas annat än genom lag och inte i vidare mån än vad som i ett demokratiskt samhälle är nödvändigt med hänsyn till vissa intressen som anges i artikeln. Av lagen (1994:1219) om den europeiska konventionen angå- ende skydd för de mänskliga rättigheterna och de grundläggande friheterna följer att gäller som lag i . Enligt 2 kap. 19 § RF får lag eller annan föreskrift inte meddelas i strid med konventionen. Eftersom offentlighetsprincipen är grund- lagsfäst har dock sekretess inte ansetts kunna grundas direkt på (RÅ 2006 ref 87). har det förutsatts att konventionens innehåll kan påverka tolkningen av svensk lag genom s.k. fördragskonform tolkning (prop. 1993/94:117 s. 37, jfr NJA 1998 s. 838). Även om det är avsett att bestämmelser i grundlag ska tolkas restriktivt kan det mot denna bakgrund finnas anledning att beakta eventuella möjligheter att tolka bestämmelsen i 2 kap. 10 § TF så att tillämpningen av svensk rätt bringas i överensstämmelse med även i anknytning till användares elektroniska förvar. De strikta avgränsningar som myndigheter inför tekniskt och administrativt för sådant förvar talar också för att det är fråga om endast led i teknisk bearbetning eller teknisk lagring för inne- havarens räkning. Det är bara innehavaren som ska få skriva och förvara handlingar där – i övrigt sker allt helt automatiserat. Så som tjänsterna för elektroniskt förvar utformats kan det inte heller råda någon tvekan om ett utkast till en inlaga eller annan nyttoinforma- tion finns i det elektroniska förvaret eller i myndighetens verksam- hetssystem för t.ex. ärendehandläggning. Strikta regler och rutiner tillämpas för elektroniskt mottagningsställe där det tydligt framgår när en handling har lämnat användarens elektroniska förvar och kommit till myndighets ordinarie system. Ett rigoröst säkerhets- arbete bedrivs för att dessa gränser inte ska brytas, vilket i prakti- ken inte kan förenas med åtkomst för sekretessprövning av upp- gifter som finns där. Härtill kommer att de handlingar som förvaras i en användares elektroniska förvar närsomhelst kan ändras av innehavaren – upp- gifter kan läggas till och tas bort. Det är inte ens nödvändigt att den enskilde ger in någon handling till myndigheten. ker det faktum att den information och de handlingar som finns i en användarens elektroniska förvar inte är något som myndigheten förfogar över. Inte heller är syftet med användares elektroniska förvar att myndigheten ska kunna ta del av t.ex. olika utkast, förla- gor eller andra preliminära handlingar som den enskilde kanske senare väljer att i en slutlig version delge myndigheten. Frågan om hur 2 kap. TF bör tolkas med avseende på en användares elektroniska förvar aktualiserades inom ramen för ett regeringsuppdrag, det s.k. , och i en vägledning för hantering av inkommande elektron- iska handlingar.26 Där förklarades visserligen att frågor om inkom- mande enligt tryckfrihetsförordningen och andra frågor om allmänna handlingar inte omfattades av vägledningen, men myndigheterna rekommenderades att inte utforma sina system så att handlingar i ett serviceskede, innan de nått myndig- hetens elektroniska mottagningsställe, blir tillgängliga med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att de kan läsas, avlyssnas eller på annat sätt uppfattas. I väg- ledningen antogs alltså att användares elektroniska förvar skulle ut- formas så att en myndighet som tillhandahöll ett sådant var tekniskt förhindrad att i uppfattbar form komma åt uppgifter i förvaret.27 I praktiken har det emellertid visat sig att i vart fall någon på en myndighets teknikavdelning, som tillhandahåller elektroniskt förvar åt användare, behöver kunna ges åtkomst när det blir nöd- vändigt för att rätta fel eller att vidta åtgärder som krävs från in- formationssäkerhetssynpunkt. Det har som berörts visat sig bli alltför administrativt betungande och därmed kostsamt att kryptera innehållet i användares elektroniska förvar så att det inte kan läsas.28 Denna fråga har uppmärksammats även av E-delegationen redan genom den hänvisning till 2 kap. 10 § TF som delegationen 26E-nämnden 05:02; se vidare bilaga 4. 27Se vägledningen avsnitt 6.2.5. I den vägledningen förklarades dessutom att en sådan tek- nisk begränsning var en förutsättning för att kunna upprätthålla en god offentlighets- struktur. 28Jfr avsnitt 4.2 där det framgått att det räcker att det finns en person, t.ex. på teknikavdel- ning, som har tekniska möjligheter att överföra uppgifter, som myndigheten har teknisk tillgång till hos annan, i sådan form att de kan läsas, avlyssnas eller på annat sätt uppfattas, för att sammanställningar av sådana uppgifter ska utgöra allmänna handlingar (prop. 2007/08:160 s. 71). gett i en definition av eget utrymme, här kallat elektroniskt förvar.29 Där beskrivs eget utrymme som ett skyddat förvar hos myndighet som den tillhandahåller endast som led i teknisk bear- betning eller teknisk lagring för annans räkning – dvs. med en formulering som är direkt hämtad från undantaget i 2 kap. 10 § första stycket TF. I den vägledningen har E-delegationen också noterat att uppgifter normalt blir tekniskt tillgängliga för en myndighet som tillhandahåller elektroniskt förvar åt användare (se avsnitt 3.3). E-delegationen har vidare anfört bl.a. följande: Tjänster och funktioner för e-förvaltning bygger i övrigt till betydande del på en tillämpning av undantaget för endast teknisk bearbetning eller teknisk lagring för annans räkning och att det i praktiken inte är någon annan än innehavaren som får insyn i den nyttoinformation som finns i användarens eget utrymme. Lagmotiven till undantagsbestämmelserna är emellertid skrivna med tanke på annat än it-baserade tjänster och det finns inte någon rätts- praxis som avser t.ex. ärendetjänster. Den för hela e-förvaltningen av- görande frågan om vad som innefattas i endast teknisk bearbetning eller lagring respektive endast befordran av meddelande är därför delvis svår att bedöma. Om it-arkitekturen och de ändamål för vilka den används utformas felaktigt, och om uppgifterna inte är sekretess- belagda, finns det alltså en risk för att uppgifter och handlingar som användare ser som sina egna, utan att andra ska ha rätt att ta del av dem, blir allmänna och offentliga handlingar. En myndighet som tillhandahåller en funktion som bygger på något av dessa undantag bör vidta särskilda åtgärder för att säkerställa att handlingarna inte finns tillgängliga vid myndigheten för annat ändamål än vad som anges i berörd undantagsbestämmelse; dvs. att de används endast för teknisk bearbetning eller teknisk lagring för annans räkning eller brukas endast för befordran av meddelande. Enligt E-delegationens juridiska vägledning för verksamhetsutveck- ling inom e-förvaltningen bör alltså att särskilda åtgärder vidtas för att säkerställa att handlingar inte finns tillgängliga vid en myndig- het för annat än teknisk bearbetning eller teknisk lagring för annans räkning. Vilka dessa åtgärder skulle vara eller på vilket sett hänsyn skulle behöva tas till rekvisitet endast för att det ska gälla anges emellertid inte. I vägledningen sägs också följande: Denna rättsliga modellösning för ärendetjänster innebär att utkast och andra handlingar som en användare upprättar eller annars hanterar i sitt eget utrymme inte anses inkomna till den myndighet som till- 29 Se vidare den E-delegationens juridiska vägledning för verksamhetsutveckling inom e-för- valtningen. Handlingarna blir enligt 10 § FL inte inkomna förrän de har nått myndighetens elektroniska mottagnings- ställe och it-arkitekturen och de ändamål för vilka den används är ut- formade i enlighet med 2 kap. 10 § TF så att uppgifter finns i använda- rens eget utrymme, endast som led i teknisk bearbetning eller teknisk lagring för användarens räkning. En teknisk möjlighet för den myndig- het som tillhandahåller utrymmet, att komma åt en handling där, ska därmed inte leda till att handlingar i det egna utrymmet blir allmänna. Frågan är om E-delegationens tolkning vinner stöd av lagmotiv, rättspraxis eller annars av omständigheter som begränsar den rätts- liga risken för enskilda vid användning av elektroniskt förvar. 4.5.3Undantagsbestämmelsen och dess utformning