urf · H9A5URF1 · 2021-12-01 00:00:00 — Skype hade funnits i organi- sationen (som en del av Microsofts Officepaket) och vid pande- mins början fanns det två s.k. Skyperum iordningsställda i östra del och ett i på . Det fanns ett be- gränsat intresse för de befintliga Skyperummen inom förvaltningen och bland ledamöterna.418 Enligt chefen för it-avdelningen hade Skype mest använts som ett chattme- dium inom organisationen före pandemin där få använde videofunktionen eller Skype över huvud taget för distansmöten. Plattformen var enligt henne inte anpassad för denna mer avancerade användning, och beslut om fler distans- möten m.m. innebar en helt ny belastning på systemet. Bristande intresse för att använda sig av Skype och befintliga s.k. Skyperum, med utvecklade ljus- och kamerasystem, hade lett till att uppdateringar av systemet hade fått anstå till förmån för annat. Den s.k. , dvs. den krypterade anslutning som används för att låta personer inom ett nätverk arbeta på distans på ett säkert sätt, var enligt chefen för it-avdelningen inte heller dimensionerad för den grad av 416Riksdagens intranät – Beslut och åtgärder inom med anledning av coronaviruset, . 417Öhrlings (PwC), internrevision nr 2 – 2021: granskning av it-stödets funktionalitet för digitala möten under pandemin (nr: 749- 2020/21, ), s. 6. 418E-post från , avdelningschef it-avdelningen, , samt intervju . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN användning som blev resultatet av det utökade distansarbetet fr.o.m. pande- Avsaknaden av tidigare erfarenhet av att genomföra digitala möten PwC observerar i sin granskning att eftersom arbete på distans och digitala möten inte hade genomförts eller efterfrågats i någon större utsträckning tidi- gare var och riksdagsledamöternas erfarenhet och mognadsnivå när det gällde att genomföra digitala möten på distans relativt låg innan pandemin. PwC lyfter också fram en begränsad vana hos användare att rapportera och anmäla it-relaterade incidenter, vilket också påverkade ut- vecklingen av systemet. Om it-avdelningen inte fick kännedom om vilka pro- blem som förekom och i vilken utsträckning de förekom var det svårt att vidta relevanta åtgärder för att komma till rätta med dem.419 Företrädare för it-avdelningen instämmer i PwC:s bedömning därvidlag, men också att supporttjänsten för plattformen inom förvaltningen var begrän- sad vid pandemins början, tillika att det rådde brist på kvalificerade tekniker med kunskap om plattformen inom förvaltningen. Att rekrytera personal och att upphandla konsulter är en utmaning, särskilt om de tekniska system det handlar om betraktas som omoderna hos målgruppen för rekryteringarna.420 Distansmöten blir till vardag Efter gruppledarnas överenskommelse började utskotten att sammanträda i huvudsak på distans i rena informationsärenden. inte tillåtet med distansmöten i fråga om beredningar och beslut, vilket kom- Utskottsavdelningen, som en central del av den parlamentariska processen, insåg snart att också dess arbetsformer behövde anpassas för att minska risken Precis som för de allra flesta inom förvaltningen (se övriga avdelningsbeskrivningar i del D) blev det sagt att arbetet i mesta möjliga mån skulle bedrivas på annan plats än i , i första hand på distans eller där tillräcklig fysisk distansering kunde iakttas.421 Videokonferenssystemet Skype kom tidigt att gälla som huvudalternativ för distansmöten i utskotten, initialt tillsammans med telefonkonferenser. tas digitalt i kammaren var aldrig aktuellt . Eftersom det fanns både en ovilja och osäkerhet kring att använda Skype i vissa utskott och någon särskild kringutrustning till systemet inte heller fanns 419 (PwC), internrevision nr 2 – 2021: granskning av it-stödets funktionalitet för digitala möten under pandemin (nr: 749- 2020/21, ), s. 6. 420 E-post från , avdelningschef it-avdelningen, , samt intervju 421 Minnesanteckningar från möten med utskottsavdelningens stödgrupp 2020. DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN tillgängligt i alla sammanträdesrum användes telefonkonferens i stället i de sammanträdeslokaler där möjligheten till sådan redan fanns. Den tjänsten hade snabbt tagits fram för att kunna möta behovet av icke fysiska mö- ten.422 Tjänsten kompletterades sedan med en högtalare för bättre ljudåtergivning, en s.k. ”puck”. En ”puck” är en ljudförstärkare för både telefoni och video- konferenser.423 I de flesta utskott kom telefonkonferenser emellertid att överges rätt snart, dels för att Skype blev alltmer tillgängligt med bl.a. bättre ljudåtergivning, fler tillgängliga rum etc., dels för att kunskapen om dess funktion och användande växte. Dessutom avstod de flesta utskott från att använda telefonkonferenssy- stem eftersom det fanns informationssäkerhetsmässiga utmaningar med den upphandlade telefonmötestjänsten. Det inte gick att garantera sammanträdenas slutenhet vid användandet av sådana system, vilket stadgas i riksdagsord- ningen.424 425 Önskemål om utvecklade möjligheter för digitala möten förs fram I början av krisen upplevde it-avdelningen att det fungerade bra att fortsätta leverera kända tjänster enligt normala rutiner. Allteftersom tilltog dock kraven på vad systemen skulle klara av. Dessa krav kom framför allt från partier. Många ledamöter och partikanslier förespråkade andra lösningar än de som fanns i förvaltningens grundutbud, t.ex. införandet av videomötessyste- met Zoom för distansmöten. Även från internationella kansli framfördes önskemål om system som klarade av att parlamentariker från flera länder kunde mötas (mer om detta nedan). I detta inledande skede framhöll it-avdelningen, tillsammans med informa- tionssäkerhetsfunktionen, att grundutbudet var anpassat på ett visst sätt av bl.a. informationssäkerhetsskäl. EU:s nya dataskyddsförordning (Protection Regulation, GDPR, se nedan) hade börjat gälla och innebar – redan före Schrems II-domen (se också nedan) – att myndighe- ten har ett stort ansvar för att skydda de personuppgifter som hanteras i systemet. gällde personuppgiftslagen (1998:204) som i stort sett medförde samma skyldigheter för de personuppgiftsansvariga (för mer upp- gifter om informationssäkerhet se avsnittet om säkerhetsenheten i denna del D).426 I Skype hanteras information, programvara och hårdvara helt inom Riks- dagsförvaltningens kontroll. Den version av Skype som Riksdagsförvalt- ningen använder, är alltså inte en molntjänst och är därför utom räckhåll för amerikanska brottsutredande myndigheter, till skillnad från de molntjänster 422Minnesanteckningar från möten med utskottsavdelningens stödgrupp 2020. 423Intervju med , chef för sektionen it-support och utbildning, . 4247 kap. 16 § RO. 425Minnesanteckningar från möten med utskottsavdelningens stödgrupp 2020. 426E-post från , avdelningschef it-avdelningen, . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN (Teams, Zoom etc.) där i och för sig skulle ha tillgång till både information och mjukvara men där både information och mjukvara och hårdvara befinner sig inom den amerikanska leverantörens kontroll.427 Val av system påverkas således förutom av it- och informationssäkerhets- skäl också av vilken övrig teknisk utrustning som finns installerad och hur kompatibla de olika systemen är. Därtill finns upphandlingsregler och ramav- tal vid upphandling av nya it-lösningar att ta hänsyn till liksom till budgetbe- Det uppstod dessutom praktiska problem för it-avdelningen att möta alla krav eftersom flera av de aktuella resurserna också behövde bidra till att mins- ka smittspridningen i samhället och arbeta på distans samt, liksom övriga med- arbetare, i viss mån även behövde vara hemma på grund av sjukdom, karan- tänsbestämmelser eller för vård av barn. Det krävdes således en löpande pla- Konstaterandet att nya behov hade uppkommit och kommunicerats från så- väl politiskt som tjänstemannahåll tydliggjorde för förvaltningen ett såväl kortsiktigt som långsiktigt behov av utökade möjligheter att genomföra olika typer av möten på distans. It-avdelningen ansåg att de upplevda behoven be- hövde utredas och kartläggas, och befintliga tjänster utvecklas för att kunna möta dessa behov. Det behövde också klargöras vilka åtgärder som det gick att vidta på kort sikt och vad som behövde genomföras på och där- med tas upp i verksamhetsplanerna.429 framförde t.ex. partikanslierna önskemål om att det skulle inrättas fler Skyperum än de som redan stod till buds. andra videokonferenssystem gjorde sig alltså också hörda. rektören skapade krisledningsgruppen diskuterade ofta teknik för distansmö- ten och informationssäkerhet under sina möten. strök krisledningsgruppen dock att det redan upphandlade och installerade Skype var det system för distansmöten som gällde för förvaltningen framför andra mindre säkra alternativ.430 It-avdelningen utreder åtgärder avseende möten på distans Riksdagsdirektören beslutade mot bakgrund av ovanstående önskemål och be- hov att uppdra åt it-avdelningen att föreslå kortsiktiga åtgär- der och långsiktiga förändringar i tjänsteutbudet avseende möten på distans.431 Förslaget på kortsiktiga åtgärder redovisades för riksdagsdirektören den 16 april.432 Denne kom att instämma i it-avdelningens analys som visade att Skype i grunden fungerade väl för de flesta syften. 427 E-post från , avdelningschef it-avdelningen, . 428 E-post från , avdelningschef it-avdelningen, samt intervju 429 , it-avdelningen, Underlag inför beslut av riksdagsdirektören (in- tern promemoria, ). 430 Krisledningsgruppens mötesanteckningar . 431 dnr 1650-2019/20. 432 intranät, . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN Som har nämnts ovan fanns tre Skype-rum tillgängliga för möten med bättre bild- och ljudmöjligheter. Inställningarna i Skype hade vi- dare ändrats för att höja säkerheten. Sidan om Skype på Intranätet hade kom- pletterats med ny information, t.ex. vad som gäller för Skype-möten med ex- tern part och tips för att Skype-möten med flera deltagare ska fungera så bra som möjligt. It-avdelningen föreslog att arbetet med att anpassa Skype utifrån användarnas behov skulle fortsätta framöver. Av underlaget framgår att it-avdelningen också vidtog ett antal åtgärder i fråga om möten med distansdeltagande. De ovan nämnda ”puckarna” kunde även användas vid Skypemöten. Vidare hade antalet abonnemang för telefon- mötestjänsten utökats och säkerheten vid telefonmöten hade höjts genom att separata inloggningskoder hade införts för varje enskilt telefonmöte. I fråga om andra tjänster för möten på distans nämnde it-avdelningen i sitt underlag att fem salar i hade fått system installerade för telefonmö- ten. Avsikten var också att installera system för telefonmöten i ytterligare en sal. Förslaget på långsiktiga åtgärder lämnades till riksdagsdirektören . Chefen för enheten it-produktion hade identifierat och analyse- rat behoven och föreslog ett antal åtgärder för att möta kra- ven och framåt, vilket riksdagsdirektören kom att instämma i. I fråga om interna möten där alla deltagare ansluter digitalt ansåg it-avdelningen det som viktigt att fortsätta med aktiv förvaltning och utveckling av Skype och fortsätta att utreda och testa alternativ. It-avdelningen uttryckte bl.a. att man avsåg att gradvis konvertera fler mötesrum till Skyperum med målet att utrusta tre till fyra rum . En kontinuerlig omvärldsbevakning av tillgängliga mötestjänster har över- lag skett såväl som tester av olika webbläsare. Dock landade alla efterforskningar i samma slutsats, nämligen att inte kunde skydda personuppgifter tillräckligt beroende på att information från mö- ten kom leverantörer av mötestjänst och webbläsare till del.434 En begränsad Zoomlösning levererades dock för användning . Anledningen till att inte erbjöd samma möjlighet för Teams berodde på att det inte fanns möjlighet att lösa användningen lika sömlöst för användaren som i fallet med Zoom.435 433Riksdagens intranät, . 434E-post från , avdelningschef it-avdelningen, . 435E-post från , avdelningschef it-avdelningen, . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN GDPR:s påverkan på valet av videokonferenssystem organisation i fråga om GDPR Dataskyddsombudet är placerad vid säkerhetsenheten och ska övervaka att förvaltningen följer EU:s allmänna dataskyddsförordning (GDPR)436. Detta innebär bl.a. att •samla in information om hur förvaltningen behandlar personuppgifter •kontrollera att förvaltningen följer dataskyddsförordningens bestämmelser och förvaltningens styrdokument om t.ex. informationssäkerhet •informera och ge råd till medarbetare •vara kontaktperson för de registrerade och för medarbetarna •vara kontaktperson för Integritetsskyddsmyndigheten437.438 Ett dataskyddsråd inrättades vid efter be- slut av riksdagsdirektören. är placerat vid den juridiska enheten och ska bistå i dess roll som personuppgiftsansvarig. En av de frågor som dataskyddsrådet diskuterar är rutinerna för att behandla personuppgifter. •identifiera behov av nya eller ändrade styrdokument som rör personupp- giftsbehandling •ta fram förslag till rutiner för hantering av de re- gistrerades rättigheter enligt dataskyddsförordningen •ge råd i frågor om personuppgiftsbehandling som är av större vikt eller strategisk betydelse •omvärldsbevaka och identifiera behov av informations- och utbildningsin- satser inom •ta initiativ i andra frågor som dataskyddsrådet bedömer är av större vikt för som personuppgiftsansvarig. I dataskyddsrådet ingår representanter från olika delar av förvaltningen. En representant vardera från ledningsstaben, it-avdelningen och juridiska enheten med chefsjuristen som ordförande. Representanter från andra avdelningar eller enheter bjuds in vid behov för att delta i verksamheten. På mötena deltar också dataskyddsombudet.439 Juridiska enheten tog fram promemorian Personuppgifts- hantering enligt GDPR som stämdes av med riksdagsdirektören. 436Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. 437Bland huvuduppgifter ingår att granska och verkställa till- lämpningen av dataskyddsreglerna, ge vägledning och stöd till myndigheter, företag och or- ganisationer samt till allmänheten, bidra till en enhetlig tillämpning av dataskyddsreglerna inom EU, utfärda tillstånd och genomföra tillsyn avseende kamerabevakning, inkassoverk- samhet och kreditupplysning samt följa och rapportera om utvecklingen inom integritetsom- rådet. 438Riksdagens intranät, hämtad . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN frågan om den hänsyn som måste tas till GDPR vid val av videokonferenssy- stem, tredjelandsöverföring av personuppgifter m.m.440 Schrems II-domen och tredjelandsöverföring av personuppgifter441 anger att vid val av videokonferenssystem måste man ta hänsyn till hur hanteringen av personuppgifter regleras i GDPR. Samma regler om dataskydd gäller inom hela EU och EES. Enligt GDPR får bara personuppgifter hanteras om det är tillåtet enligt för- ordningen. Personuppgifter är att likställa med varje upplysning som avser en identifierad eller en identifierbar fysisk levande person. Vidare pekas det ut vem som är ansvarig för hanteringen av personuppgifter (personuppgiftsansvarig). Det kan vara en fysisk eller juridisk person, myn- dighet, institution eller annat organ som bestämmer ändamålen och medlen för behandlingen av personuppgifter. är personuppgiftsan- svarig för hantering av förvaltningens personuppgifter. Som personuppgifts- ansvarig har en skyldighet att följa GDPR. Eftersom molntjänster och digitala mötestjänster behandlar personuppgif- ter måste GDPR följas för att hanteringen ska vara tillåten. Riksdagsförvalt- ningen måste säkerställa att personuppgifter, för vilka förvaltningen alltså är personuppgiftsansvarig, behandlas korrekt av alla som behandlar dessa per- sonuppgifter åt förvaltningen. Det gäller t.ex. olika tjänsteleverantörer som tillhandahåller digitala mötestjänster för räkning. För det fall en molntjänstleverantör behandlar personuppgifter på servrar belägna utanför EU/EES överförs personuppgifterna till tredjeland, alltså till länder utanför EU/EES. Överföring av personuppgifter till tredjeland är bara tillåtet enligt GDPR om de villkor som GDPR uppställer är uppfyllda. EU- kommissionen kan fatta ett beslut om att mottagarlandet säkerställer en ade- kvat skyddsnivå och då får personuppgifter överföras till det landet. Många molntjänstleverantörer och digitala mötestjänster tillhandahålls av amerikanska företag eller behandlar data på servrar belägna i . Skyddet för personuppgifter i har varit föremål för prövning av genom dom i mål C-311/18 (Schrems II). I Schrems II ogil- tigförklarade domstolen det beslut som kommissionen hade fattat rörande (ofta kallat Privacy Shield) med omedelbar verkan. har bedömt att skyddet för personuppgifter i inte kan anses motsvara den skyddsnivå som gäller inom EU/EES. Av betänkande framgår att utredningen anser att EU- domstolens dom i Schrems II avseende rättsläget i innebär att det över huvud taget inte är förenligt med GDPR att överföra personuppgifter till , eftersom kravet på skyddsnivå är detsamma oavsett vilken grund för 440Riksdagsförvaltningen, juridiska enheten, Personuppgiftshantering enligt GDPR (intern promemoria, ). 441Detta avsnitt bygger på (juridiska enhetens) promemoria Person- uppgiftshantering enligt GDPR, . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN överföringen som tillämpas.442 Mot den bakgrunden har utredningen svårt att se att det finns några ytterligare skyddsåtgärder som kan vidtas som läker de brister som i bedömer finns i amerikansk lagstift- Eftersom det grundläggande skyddet för personuppgifter enligt GDPR hindrar överföring av personuppgifter till , spelar det ingen roll vilken grund i GDPR som åberopas för en överföring av sådana uppgifter till . Överföringen är ändå inte tillåten. bedömer att varje fysisk eller juridisk person, myndig- het, institution eller annat organ som är personuppgiftsansvarig enligt GDPR självständigt måste ta ställning till på vilket sätt digitala mötestjänster är möj- liga för dem att använda med hänsyn till de krav som följer av GDPR. 2021 avråder dock generellt från att anordna eller bjuda in till digitala möten via andra tekniska plattformar än Skype med hänsyn till risken för överföring av personuppgifter till . Det kan tilläggas att det är arrangören till ett digitalt möte som ansvarar för Deltagande i ett externt digitalt möte medför inte något personuppgiftsansvar för förvaltningen. Av den anledningen har det t.ex. varit möjligt för ledamöter och tjänstemän att delta i Zoommöten som arrangeras av någon utanför och . Åtta myndigheter444 har i samarbete med eSAM445, tagit initiativ för att bl.a. utreda lämpliga alternativ för video- och samarbetsplattformar. erna presenterar en rapport . följer utvecklingen på området och deltar i en refe- rensgrupp för detta arbete. Det anses att det kommer att ge förvaltningen en god bild av möjliga komplement till Skype.446 Även det europeiska samarbetsprojektet är av intresse för förvalt- GAIA-X är ett projekt för molninfrastruktur och syftar till att öka re- gionens självförsörjning inom digital infrastruktur. I projektet deltar företag och organisationer som använder molntjänster och som behöver en öppen och flexibel miljö för innovation baserad på europeisk datalagstiftning. ket har uppdraget att bevaka GAIA-X för regeringens räkning.447 442 SOU 2021:1 Säker och kostnadseffektiv it-drift. 443 Detta avsnitt bygger på (juridiska enhetens) promemoria Person- uppgiftshantering enligt GDPR, . 444 Länsstyrelserna, Myndigheten för samhällsskydd och beredskap, Kronofogden, Skatte- verket, , , och . 445 eSam är ett medlemsdrivet program för samverkan mellan 32 myndigheter och Kommuner och Regioner, SKR. Medlemmarna har som ambition att ta vara på digitalise- ringens möjligheter för att underlätta för privatpersoner och företag, och för att använda ge- mensamma resurser på ett effektivt sätt. 446 E-post från , avdelningschef it-avdelningen, . 447 Intervju med , verksjurist, juridiska enheten, och information hämtad från webbplatsen . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN Övriga legala förutsättningar för effektiva digitala möten verksamhet regleras, som beskrivits tidigare, i lagar och föreskrifter, t.ex. i riksdagsordningen och i förvaltningens instruktion. PwC tar upp att avsaknaden av vissa legala förutsättningar för distansarbete innebar en utmaning för en effektiv verksamhet eftersom det innan pandemin bröt ut i inte fanns möjligheter i riksdagsordningen för de 15 utskotten att tillåta beslut på distans.448 Utskotten kunde som tidigare nämnts redan efter gruppledarnas överens- kommelse mötas på distans, via Skype eller telefonkonfe- rens, i rena informationsärenden. Detta var dock alltså inte tillåtet i fråga om beredningar och beslut (se vidare del B). När hade beslutat om att deltagande på distans vid utskottssammanträden fick medges om det fanns synnerliga skäl för detta tog förvaltningen fram en rekommendation om genomförande av sådana samman- träden. Rekommendationen syftade till att bistå utskotten när det gällde frågor om informationssäkerhet och tekniken vid utskottens och sam- manträden där distansdeltagande ledamöter förekom. Rekommendationen formaliserades i och med beslut om en vägledning449. En checklista450 för ordföranden vid sammanträden med distansdeltagande togs också fram efter samråd med utskottsordföranden. Ett förändrat smittläge ökar kraven på digitala möten Det första mötet efter sommaruppehållet för krisled- ningsgrupp hölls . Då noterades att smittspridningen ökade igen i hela efter att mer positiva signaler hade kommit då t.ex. bedömde att var ”över puckeln” i fråga om smittspridningen. Krisledningsgruppens inriktning var även i fortsättning- en att distansarbete skulle gälla efter sommarsemestrarna, men att det även skulle vara möjligt att på ett säkert och flexibelt sätt kunna arbeta och genom- föra utskottssammanträden på plats i , under det som senare kom att kallas Stockholmsveckorna (se vidare i del B).451 installerades en ny ljudlösning för Skype i alla utskottens sessionssalar samt i de flesta större mötesrum. Framför allt de senare kunde då nyttjas för sammanträden med fysiskt fullsuttna utskott där möjlighet till nöd- vändig fysisk distansering gavs, som ledamöter kunde delta på di- stans om de så önskade. Kameratester gjordes även för en förbättrad bildåter- 448Öhrlings (PwC), internrevision nr 2 – 2021: granskning av it-stödets funktionalitet för digitala möten under pandemin (nr: 749- 2020/21, ), s. 4. 449Riksdagsförvaltningen, Vägledning om genomförande av sammanträden med deltagande på distans (dnr 2449-2019/20), . 450Riksdagsförvaltningen, Checklista för ordföranden vid sammanträden med distansdelta- gande (internt dokument utskottsavdelningen), . DEL D – RIKSDAGSFÖRVALTNINGENS STÖD OCH SERVICE UNDER CORONAPANDEMIN givning, men kamerorna kom inte på plats och var i full funktion förrän i bör- jan av 2021.452 , efter att smittspridningen hade ökat än mer, gällde hemarbete som huvudregel för riksdagsledamöterna, och att utskottens möten därför i huvudsak skulle vara digitala. Det innebar att endast den ledamot som ledde sammanträdet – i de flesta fall utskottets ordförande – skulle vara när- varande fysiskt i lokalen, tillsammans med personal från utskottskanslierna.453 PwC observerar i sina intervjuer beskrivningar av …att arbetet med att vidareutveckla och fortsatt stärka förutsättningarna för att genomföra digitala möten inte prioriterades i nödvändig utsträck- ning och . Orsaken till att detta inte prioriterades beskrivs vara bristande resurser i kombination med att det gjordes en bedömning att behovet av fortsatt digitalt distansarbetet inte skulle vara lika stort .