prop · H603163 · 2019-09-09 00:00:00 — Vid direktåtkomst är det den mottagande myndigheten som ansvarar för att den egna personalen inte ges tillgång till fler person- uppgifter i det it-system som åtkomsten avser än vad arbetsuppgifterna motiverar. Paragrafen gäller enligt 14 § även för personuppgiftsbiträden. Konsekvensbedömning och förhandssamråd 6 § Paragrafen slår fast Säkerhetspolisens skyldighet att inför vissa behandlingar göra en konsekvensbedömning och samråda med tillsyns- myndigheten. Övervägandena finns i avsnitt 13.2.5. Av första stycket framgår att en konsekvensbedömning ska göras om det kan antas att en ny typ av behandling kommer att medföra särskild risk för intrång i registrerades personliga integritet. En konsekvensbedömning ska också göras om betydande förändringar av redan pågående behandlingar kan antas leda till sådan risk. Vid riskbedömningen bör bl.a. användningen av ny teknik och behandlingens art, omfattning, sammanhang och ändamål beaktas. Exempel på riskfyllda behandlingar som bör föranleda en konsekvensbedömning är inrättandet av storskaliga register som innehåller känsliga personuppgifter eller vissa former av profilering. En konsekvens- bedömning ska omfatta relevanta system och processer för behandlingen, men inte behandlingen i enskilda fall. 2018/19:163 Andra stycket reglerar s.k. förhandssamråd. När en konsekvens- bedömning visar att det finns särskild risk för intrång i registrerades personliga integritet eller när typen av behandling innebär särskild risk för intrång, ska Säkerhetspolisen samråda med tillsynsmyndigheten. Sam- rådet ska äga rum innan behandlingen påbörjas eller betydande förändringar genomförs. Det bör dock inte äga rum så tidigt att det inte finns något konkret förslag på teknisk lösning för tillsynsmyndigheten att ta ställning till. När förhandssamrådet lämpligen bör äga rum får avgöras i varje enskilt fall och förutsätter en dialog med tillsynsmyndigheten. roll vid förhandssamråd regleras i 7 kap. 1 § 2. I paragrafen regleras Säkerhetspolisens skyldighet att skydda de person- uppgifter som behandlas. Övervägandena finns i avsnitt 13.2.7. Enligt paragrafen ska Säkerhetspolisen vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Personuppgifterna ska särskilt skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Uppräkningen illustrerar vad säkerhetsåtgärderna ska åstadkomma, men den är inte uttömmande. Som exempel på organisatoriska säkerhetsåtgärder kan nämnas fast- ställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Skydd mot obehörig eller otillåten behandling innebär att obehöriga personer ska vägras åtkomst till utrustning som används vid behandling, att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras, att obehörig registrering av personuppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras och att obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med uppgiftslämnande eller transport av databärare ska förhindras. Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett it-system endast har tillgång till personuppgifter som omfattas av deras behörighet. Säkerhetspolisen ska också säkerställa att det kan kontrolleras och fastställas till vilka myndigheter eller andra organ personuppgifter har överförts och för vilka myndigheter eller andra organ uppgifterna har gjorts tillgängliga och att det i efterhand kan kontrolleras och fastställas vilka personuppgifter som förts in i ett it-system, när det har gjorts och av vem. Skydd mot förlust, förstöring eller annan oavsiktlig skada innebär bl.a. att de it-system som används ska kunna återställas vid störningar, att systemen ska fungera och att funktionsfel rapporteras och att de lagrade personuppgifterna inte kan förvanskas genom funktionsfel i systemen. Vilken skyddsnivå som är lämplig får avgöras från fall till fall. Bedömningen är bl.a. beroende av vilka personuppgifter som behandlas och hur integritetskänsliga de är. Paragrafen gäller enligt 14 § även för personuppgiftsbiträden. I paragrafen regleras Säkerhetspolisens skyldighet att samarbeta med tillsynsmyndigheten. Övervägandena finns i avsnitt 13.2.6. Skyldigheten omfattar enbart samarbete med den myndighet som är tillsynsmyndighet enligt lagen, vilken pekas ut på förordningsnivå. Skyldighet att bistå tillsynsmyndigheten regleras också i 7 kap. 3 §. Skyldigheten att samarbeta hör samman med tillsynsmyndighetens undersökningsbefogenheter (se 7 kap. 3 §). Skyldigheten innebär inte bara att Säkerhetspolisen ska ge tillsynsmyndigheten tillgång till det material, de resurser och den hjälp som krävs för att den ska kunna utöva tillsyn utan även att myndigheten ska underlätta för tillsynsmyndigheten att utöva sina undersökningsbefogenheter på ett effektivt sätt. Det kan exempelvis innebära att hjälp ska erbjudas och ges inom rimlig tid. ska också ges möjlighet att ta del av information och material på det sätt som den anser mest lämpligt. förutsätts precisera vilken hjälp myndigheten behöver och sätter därigenom ramarna för samarbetsskyldigheten. Skyldigheten att samarbeta gäller när tillsynsmyndigheten utför sina författningsreglerade uppgifter. Det innebär att bestämmelsen ska tillämpas när tillsynsmyndigheten utövar allmän tillsyn över personuppgiftsbehandling och lämnar råd inom ramen för bl.a. förhandssamråd. Paragrafen gäller enligt 14 § även för personuppgiftsbiträden. Paragrafen reglerar Säkerhetspolisens skyldighet att utse dataskydds- ombud. Övervägandena finns i avsnitt 13.3.2. Dataskyddsombud definieras i 1 kap. 5 §. I paragrafen föreskrivs att ett eller flera dataskyddsombud ska utses. Dataskyddsombudet ska vara anställd hos . Säkerhets– polisen ska anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. I paragrafen anges vilka uppgifter dataskyddsombuden ska utföra. Övervägandena finns i avsnitt 13.3.3. I punkt 1 föreskrivs att dataskyddsombuden självständigt ska kontrollera att Säkerhetspolisen behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör de skyldigheter som åligger myndigheten som personuppgiftsansvarig. Det innebär att ombuden måste förvissa sig om att Säkerhetspolisen följer bestämmelserna i lagen och andra författningar som reglerar behandlingen av personuppgifter. Hur omfattande kontrollen bör vara får avgöras efter omständigheterna. Dataskyddsombuden bör framför allt granska den faktiska hanteringen av personuppgifter. Därutöver bör ombuden exempelvis granska rutinerna för behandling av personuppgifter, hur tillgången till personuppgifter hanteras och vilka krav på utbildning och andra kvalifikationer som 2018/19:163 Säkerhetspolisen ställer på personal som behandlar personuppgifter. Ombuden bör påpeka eventuella brister för Säkerhetspolisen så att myndigheten blir medveten om dem och har möjlighet att vidta lämpliga åtgärder. Kravet på självständighet innebär att dataskyddsombuden ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden bör framför allt ha sådan ställning i organisationen att deras synpunkter och råd tas på allvar. De förutsätts också ha goda kunskaper om regelverket om personuppgiftsbehandling. I punkt 2 anges att dataskyddsombuden ska informera och ge råd till Säkerhetspolisen och de som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid sådan behandling. Det handlar främst om att göra Säkerhetspolisen och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att informera registrerade, att ha säkerhetsrutiner och att dokumentera personuppgifts- behandlingen. Det innebär inte att dataskyddsombuden ska tala om för Säkerhetspolisen och medarbetarna hur de ska behandla personuppgifter i enskilda fall. Om Säkerhetspolisen begär det ska dataskyddsombudet också ge råd vid en konsekvensbedömning och kontrollera att bedömningen genomförs på korrekt sätt. Det framgår av punkt 3. Enligt punkt 4 ska dataskyddsombuden vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter. Syftet med bestämmelsen är att enskilda ska kunna vända sig till en kunnig person inom organisationen i frågor som t.ex. rör information om person- uppgiftsbehandlingen och rättelse av felaktiga personuppgifter. Data- skyddsombuden har som kontaktpunkt skyldighet att hjälpa enskilda som vänder sig till myndigheten. I den rollen ligger också att bevaka att Säkerhetspolisen fullgör sina skyldigheter gentemot registrerade. Ombuden behöver däremot inte vidta de åtgärder som kan krävas med anledning av förfrågningar eller klagomål från registrerade. I punkt 5 föreskrivs att dataskyddsombuden ska samarbeta med tillsynsmyndigheten och fungera som kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av personuppgifter. Samarbeta har här i princip samma innebörd som i 8 §, dvs. det handlar om att underlätta tillsynsmyndighetens arbete. I samarbetsskyldigheten ligger även att ombuden, när det är lämpligt, ska samråda med tillsynsmyndigheten i frågor som rör personuppgiftsbehandling. Det innebär att ombuden vid tveksamheter av olika slag bör fråga tillsynsmyndigheten om råd. Vid förhandssamråd bör arbetsuppgiften främst bestå i att bistå tillsynsmyndigheten med nödvändigt underlag och information och eventuellt stå till förfogande vid frågor angående behandlingen. Ett dataskyddsombud behöver inte ägna sig uteslutande åt de arbetsuppgifter som anges i paragrafen. Arbetet som dataskyddsombud kan kombineras med andra arbetsuppgifter, så länge de inte kommer i konflikt med uppdraget som ombud. Av paragrafen framgår att personuppgiftsbiträden får anlitas och vad Säkerhetspolisen måste göra innan ett personuppgiftsbiträde anlitas. Övervägandena finns i avsnitt 13.4.2. I första stycket föreskrivs att Säkerhetspolisen får anlita personuppgifts- biträden. Det förutsätter dock att det är lämpligt. Om det är lämpligt får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas och om det gäller sekretess för uppgifterna. Av första stycket framgår också att Säkerhetspolisen, innan personuppgiftsbiträdet anlitas, ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att personuppgiftsbehandlingen ska vara författningsenlig och för att skydda registrerades rättigheter. Kraven omfattar inte bara säkerhets- åtgärder, utan även andra tekniska och organisatoriska åtgärder. Skyldigheten innebär att Säkerhetspolisen, innan ett personuppgiftsbiträde anlitas, bl.a. bör förhöra sig om hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna kommer att ha. I andra stycket ställs krav på att det ska ingås ett skriftligt avtal eller någon annan skriftlig överenskommelse som reglerar personuppgifts- biträdets behandling av personuppgifter för Säkerhetspolisens räkning. Eftersom statliga myndigheter, som är att anse som två enheter inom samma juridiska person, i rättslig mening inte kan ingå bindande avtal med varandra får de träffa en skriftlig överenskommelse som reglerar behandlingen. Paragrafen reglerar vad som gäller när ett personuppgiftsbiträde anlitar ett annat personuppgiftsbiträde. Övervägandena finns i avsnitt 13.4.2. I paragrafen föreskrivs att ett personuppgiftsbiträde inte utan skriftligt tillstånd från Säkerhetspolisen får anlita ett annat personuppgiftsbiträde, ett underbiträde. Ett sådant tillstånd kan gälla biträdets rätt att anlita underbiträden generellt eller i en specifik situation. Paragrafen reglerar vad som gäller vid behandling av personuppgifter hos ett personuppgiftsbiträde. Övervägandena finns i avsnitt 13.4.3. I första stycket slås fast den grundläggande principen att ett person- uppgiftsbiträde och den eller de personer som arbetar under biträdets ledning ska behandla personuppgifter i enlighet med instruktioner från Säkerhetspolisen. Instruktionerna till biträdet bör vara så tydliga att det inte finns risk för otillåten behandling. Instruktionerna kan exempelvis gälla hur tillgången till personuppgifter hos biträdets anställda ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. Om det finns avvikande regler i annan lagstiftning som föreskriver att personuppgiftsbiträdet är skyldig att utföra viss behandling, t.ex. att lämna ut allmänna handlingar, får behandlingen utföras utan särskilda instruktioner. 2018/19:163 I andra stycket regleras det fallet där personuppgiftsbiträdet, genom att gå utanför sin befogenhet, behandlar personuppgifter för något annat ändamål än vad som anges i instruktionen. Personuppgiftsbiträdet kan då vara att anse som personuppgiftsansvarig för den behandlingen. Att den som bestämmer ändamålen med och medlen för behandlingen är att anse som personuppgiftsansvarig framgår av definitionen av personuppgifts- ansvarig i 1 kap. 5 §. Personuppgiftsbiträdet kan i sådana fall bli skadeståndsskyldig för behandlingen (se 8 kap. 1 §). I paragrafen föreskrivs vilka skyldigheter som gäller för personuppgifts- biträden. Övervägandena finns i avsnitt 13.4.4. Hänvisningen till 4 och 5 §§ innebär att personuppgiftbiträden, i likhet med Säkerhetspolisen, är skyldiga att dels säkerställa att loggar förs i automatiserade behandlingssystem, dels se till att anställda bara ges tillgång till de personuppgifter som krävs för att fullgöra arbetsupp- gifterna. Innebörden av bestämmelserna framgår av kommentarerna till 4 och 5 §§. Vidare gäller skyldigheten enligt 7 § att vidta lämpliga säkerhetsåtgärder även för personuppgiftsbiträden. Innebörden av skyldigheten framgår av kommentaren till den paragrafen. Personuppgiftsbiträden är också, genom hänvisningen till 8 §, skyldiga att i samma utsträckning som Säkerhetspolisen samarbeta med tillsyns- myndigheten. Innebörden av skyldigheten framgår av kommentaren till den paragrafen. Personuppgiftsbiträdens skyldighet att samarbeta med tillsynsmyndigheten kan aktualiseras i flera olika situationer. Samarbete kan t.ex. krävas vid tillsyn hos biträdet. Då är samarbetsskyldigheten i princip densamma som för Säkerhetspolisen. Samarbetsskyldigheten kan också aktualiseras vid tillsyn hos eller inom ramen för Säkerhetspolisens förhandssamråd med tillsynsmyndigheten. Skyldig- heten innebär att biträdet också måste samarbeta med Säkerhetspolisen, eftersom det är en förutsättning för att tillsynsmyndigheten ska kunna utföra sitt arbete. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte Säkerhetspolisen dess ansvar. Säkerhetspolisen är, som framgår av kommentaren till 1 kap. 6 §, ansvarig för den behandling av person- uppgifter som personuppgiftsbiträdet utför på myndighetens vägnar. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär alltså att tillsynsmyndigheten vid brister kan vidta åtgärder mot både personuppgiftsbiträdet och Säkerhetspolisen. 6 kap. Enskildas rättigheter I paragrafen anges vilken allmän information som Säkerhetspolisen på eget initiativ ska göra tillgänglig för registrerade. riktar sig till allmänheten eller en obestämd, större krets av registrerade, kan göras tillgänglig t.ex. på myndighetens webbplats. Övervägandena finns i avsnitt 14.2.1. Enligt punkt 1 ska myndighetens identitet och kontaktuppgifter göras tillgängliga. Med det avses uppgifter om namn, post- och besöksadress, telefonnummer och e-postadress. Enligt punkt 2 ska dataskyddsombudets kontaktuppgifter anges. Säkerhetspolisen är enligt 5 kap. 9 § skyldig att utse dataskyddsombud. Det behöver inte vara en kontaktuppgift direkt till dataskyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. I punkt 3 föreskrivs att kategorier av ändamål för behandlingen ska framgå. Det är alltså inte ändamålen med behandlingen av personupp- gifter i enskilda fall som avses utan vilka kategorier av ändamål som Säkerhetspolisen behandlar personuppgifter för. Det kan t.ex. vara förundersökning, underrättelsearbete och åtgärder inom ett särskilt verksamhetsområde, t.ex. kontraterrorism, eller åtgärder som vidtas inom ramen för säkerhetsskyddsarbetet, exempelvis säkerhetsprövning och registerkontroll. I punkt 4 och 5 föreskrivs att Säkerhetspolisen ska upplysa om de rättigheter som enskilda har enligt 2, 6 och 7 §§. Det gäller rätten för registrerade att få information om behandlingen av personuppgifter och att få del av uppgifterna och rätten att begära rättelse, radering eller begränsning av behandlingen. Personrelaterad information 2 § I paragrafen regleras vilken information som ska lämnas på begäran av en enskild. Övervägandena finns i avsnitt 14.2.2. I första stycket föreskrivs att den som begär det har rätt till skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få viss i paragrafen uppräknad skriftlig information. Vem som helst får begära besked av Säkerhetspolisen. Vårdnadshavare och andra ställföreträdare kan begära besked för den som inte själv har rätt att göra det. Om en underårig förstår vad åtgärden innebär och själv kan tillgodogöra sig den information som begäran avser bör hans eller hennes begäran godtas. Sökanden har bevisbördan för att begäran har gjorts och tidpunkten för det. Bestämmelsen i 22 § förvaltningslagen (2017:900) kan vara till ledning vid avgörande av frågan om när en begäran ska anses ha gjorts (jfr prop. 1997/98:44 s. 132). Begäran ska besvaras utan onödigt dröjsmål. Beskedet till sökanden ska vara skriftligt och kan lämnas t.ex. via e-post. Det ska avse om personuppgifter som rör sökanden behandlas. Om sökandens personuppgifter behandlas ska, med de begränsningar som följer av andra stycket och 3–5 §§, han eller hon få del av dem. Rätten omfattar även personuppgifter som utgörs av bild- och ljudupptagningar och personuppgifter i ostrukturerat material som t.ex. löpande text. Det är de uppgifter som behandlas vid tiden för utlämnandet som ska lämnas ut (jfr prop. 1997/98:44 s. 132). Sökanden ska få tillgång till all information som Säkerhetspolisen själv kan få fram om honom eller 2018/19:163 henne, men det är tillräckligt att använda de sök- och sammanställnings- möjligheter som är faktiskt tillgängliga och rättsligt tillåtna (jfr prop. 1997/98:44 s. 82 f.). Det bör räcka att sökningar görs i myndighetens verksamhetsspecifika behandlingssystem, t.ex. dokument- och ärende- hanteringssystem, register och databaser. Om uppgifter är sökbara i standardprogram som Word, Outlook och Excel bör de också omfattas. För att det ska kunna utrönas om personuppgifter behandlas krävs att det finns sökbara uppgifter som direkt kan hänföras till den person som begär Sökanden förutsätts därför lämna sådana uppgifter om sin identitet att det blir möjligt att söka efter informationen. Det kan t.ex. vara fullständigt namn eller person- eller samordningsnummer. Sökanden kan få del av uppgifterna genom t.ex. en kopia av en handling med de personuppgifter som rör honom eller henne. dock ingen skyldighet att lämna ut en kopia om sökandens rättigheter kan säkerställas på annat sätt, t.ex. genom en sammanfattning av vilka personuppgifter som behandlas. Sökanden ska också informeras om behandlingen av personuppgifterna. Enligt punkt 1 och 2 ska informationen avse vilka personuppgifter om sökanden som behandlas och, om det är känt, varifrån uppgifterna I punkt 3 föreskrivs att den rättsliga grunden för behandlingen ska anges. Den rättsliga grunden kan t.ex. vara att det är nödvändigt att behandla personuppgifterna vid utredning av ett terrorbrott eller för att fullgöra uppgifter enligt säkerhetsskyddslagen (se 2 kap. 1 §). Vidare ska enligt punkt 4 information om ändamålen med behandlingen Det som avses är ändamålen i det enskilda fallet, t.ex. vilket ärende eller vilken förundersökning det är fråga om. Enligt punkt 5 ska information om mottagare eller kategorier av mottagare av personuppgifterna lämnas. Mottagare definieras i 1 kap. 6 §. Allmän information är tillräcklig, exempelvis till vilken typ av myndighet som personuppgifterna har lämnats eller ska lämnas. Det kan vara t.ex. Om mottagarkategorin finns i ett tredjeland eller är en internationell organisation ska det anges. Enligt punkt 6 ska information också lämnas om hur länge personupp- gifterna får behandlas. Om det inte är möjligt att ange hur länge uppgifterna får behandlas i det enskilda fallet ska i stället kriterierna för att fastställa det anges. Det kan vara upplysningar om vilka omständigheter eller tidpunkter som styr hur länge uppgifterna får behandlas, t.ex. nedläggning av åtal eller när förflutit efter det att uppgifterna I punkt 7 föreskrivs att den personuppgiftsansvarige ska informera om rätten att begära rättelse, radering eller begränsning av behandlingen. I andra stycket begränsas rätten att få del av personuppgifter. sökanden redan har tagit del av personuppgifterna behöver de inte lämnas ut till honom eller henne. Det har ingen betydelse på vilket sätt sökanden fått del av dem. Det kan t.ex. vara personuppgifter i handlingar som sökanden själv har skickat in till myndigheten eller som Säkerhetspolisen har expedierat till honom eller henne. tydligt ange vilka personuppgifter som behandlas och ge sökanden en förteckning över dem. personuppgifterna om han eller hon begär det. information är orimlig eller uppenbart ogrundad får den avslås enligt 5 § Prop. 2018/19:163 första stycket. I 9 § föreskrivs att information enligt förevarande paragraf ska lämnas till den registrerade avgiftsfritt en gång och att utlämnande därutöver kan avgiftsbeläggas. Begränsning av rätten till information Paragrafen gör undantag från Säkerhetspolisens informationsskyldighet. Övervägandena finns i avsnitt 14.3.1. Enligt första stycket gäller Säkerhetspolisens skyldighet att lämna personrelaterad information enligt 2 § inte i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifterna inte får lämnas ut. Regleringen innebär att Säkerhetspolisen får begränsa eller utelämna informationen. Det är främst sekretess och tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) som avses. Även andra bestämmelser om tystnadsplikt och bestämmelser som begränsar möjligheten att använda uppgifter som Säkerhetspolisen har fått från en myndighet i en annan stat kan begränsa informationsskyldigheten. Undantaget från informationsskyldigheten gäller även vid beslut som har meddelats med stöd av författning, t.ex. beslut om förbehåll enligt 10 kap. 14 § offentlighets- och sekretesslagen. Säkerhetspolisen är enligt andra stycket inte heller skyldig att lämna ut skälen för beslut enligt första stycket eller skälen för beslut i fråga om rättelse, radering eller begränsning av behandlingen, om motiveringen skulle riskera att skada något av de intressen som sekretessen eller tystnadsplikten avser att skydda. Paragrafen föreskriver undantag från informationsskyldigheten i 2 § för personuppgifter i viss typ av text. Övervägandena finns i avsnitt 14.3.2. Säkerhetspolisens skyldighet att lämna personrelaterad information enligt 2 § gäller enligt första stycket inte för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller text som utgör minnesanteckningar eller liknande. Med löpande text avses information som inte har strukturerats så att sökning av personuppgifter underlättas. Bild- och ljudupptagningar omfattas inte av undantaget eftersom det bara gäller text. Med text som inte fått sin slutliga utformning avses koncept eller utkast till protokoll, skrivelser, beslut eller liknande.