sou · H9B397 · 2021-12-15 00:00:00 — Myndighetens personal ska – enligt domstolen – enbart kunna ta del av den drifts- och säkerhetsrelate- rade informationen. Om vanliga handläggare på myndigheten har fri tillgång till upptagningarna kan alltså undantagsbestämmelsen i 2 kap. 13 § första stycket TF inte vara tillämplig eftersom rekvisitet endast inte är uppfyllt i ett sådant fall. Det förefaller vara så att det saknar betydelse om handläggarna faktiskt tar del av upptagningarna eller inte. Det är det förhållandet att handläggarna har tillgång till upptag- ningarna som är avgörande. Eftersom det i målet inte hade framkommit att det fanns några sådana tekniska och administrativa begränsningar bedömde domsto- len att undantagsbestämmelsen inte var tillämplig. När det gäller HFD:s uttalande att myndighetens personal enbart ska kunna ta del av den drifts- och säkerhetsrelaterade informatio- nen kan detta inte rimligen tolkas som att det inte ska få finnas någon hos myndigheten som kan ta del av informationen i fulltext.4 Om upptagningen inte är tillgänglig för någon hos myndigheten med 3I två fall har kammarrätterna med hänvisning till det resonemang som HFD för funnit att undantagsbestämmelsen i 2 kap. 13 § första stycket TF inte var tillämplig. Se Kammarrätten i dom i mål nr 1199-19 och Kammarrätten i dom i mål nr 1296-20. I ytterligare två fall ansågs myndigheten ha uppställt tillräck- liga tekniska och administrativa begränsningar för att undantagsbestämmelsen skulle anses vara tillämplig. 4Jfr Kammarrätten i dom i mål nr 7369-15 där domstolen uttalade att det ligger i sakens natur att vissa anställda hade tillgång till den aktuella databasen för att administrera den och att det inte hindrade att undantagsbestämmelsen i 2 kap. 10 första stycket TF var tillämplig. Se även Kammarrätten i avgörande i mål nr 3610-19. Rättsliga förutsättningar för informationshantering inom samordnad it-drift tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas eller avlyssnas eller uppfattas på annat sätt kan den inte betraktas som förvarad hos myndigheten och inte heller som allmän där (2 kap. 4 § och 2 kap. 6 § första stycket TF). Är handlingen inte allmän ens som utgångspunkt saknas anledning att över huvud taget överväga om undantagsbestämmelsen i 2 kap. 13 § första stycket TF är tillämplig. Lagmotiven till 1974 och reformer av tryckfrihetsförordningen Bestämmelsen i 2 kap. 13 § första stycket TF förutsätter för sin till- lämpning att den tekniska bearbetningen eller lagringen sker för någon annans räkning. En åtskillnad måste således göras mellan sådant som myndigheten gör för någon annans räkning och sådant som myndig- heten gör för sin egen skull. Frågan är vilket eller vilka kriterier som ska vara avgörande i sam- manhanget. Formuleringen teknisk lagring eller teknisk bearbetning introdu- cerades i svensk rätt i samband med de ändringar 2 kap. TF som då genomfördes. Ändringarna syftade till att undanröja den oklarhet som hade rått i frågan hur offentlighetsprin- cipen skulle tillämpas på s.k. ADB-upptagningar (automatisk data- behandling) och andra upptagningar av teknisk natur, t.ex. mikro- film och fonogram. I 2 kap. 4 § TF som innehöll bestämmelser om s.k. minnesanteck- ningar m.m. gjordes – i andra stycket första meningen – ett särskilt tillägg ifråga om upptagningar. Om upptagningen tillkommit endast för måls eller ärendets föredragning eller beredande till avgörande hos myndighet skulle den inte anses som allmän hos myndigheten om den inte – sedan målet eller ärendet slutbehandlats hos myndig- heten – omhändertagits för förvaring. I den andra meningen i samma stycke reglerades den situationen att en myndighets upptagning som var att betrakta som en minnes- anteckning eller motsvarande förvarades hos en annan myndighet endast för teknisk bearbetning eller lagring. Intill dess att frågan om sådant omhändertagande som avsågs i den första meningen i samma Rättsliga förutsättningar för informationshantering inom samordnad it-drift stycke hade avgjorts, skulle upptagningen inte heller hos den andra myndigheten anses som allmän. I lagmotiven till bestämmelsen i andra meningen framhölls att det inte sällan förekom att en upptagning upprättades hos viss myndig- het för beredande av ett mål eller ett ärende och att den därefter läm- nades till en annan myndighet för databehandling eller annan teknisk bearbetning eller lagring. Det kunde också inträffa att upptagningen redan från början fanns hos den myndighet som endast ombesörjde den tekniska bearbetningen. Enligt departementschefen var det uppen- bart att en upptagning borde vara undandragen offentligheten även när den på detta sätt förvarades hos annan myndighet än den som handlade det mål eller ärende dit upptagningen hörde (prop. 1973:33 s. 79). Det påpekades också att konstruktionen innebar att om upp- tagningarna förvarades hos den andra myndigheten för annat ända- mål, t.ex. för att ligga till grund för beslut skulle vanliga regler om offentlighet tillämpas. Det ska noteras att uttryckssättet för någon annans räkning inte förekom i lagtexten. Det framstår emellertid som klart att tanken var att bestämmelsen för sin tillämpning förutsatte att den myndighet som tekniskt bearbetade eller lagrade upptagningen gjorde det för någon annans räkning. Det som förefaller ha varit avgörande för om myndigheten ifråga agerade för någon annans räkning var att det var den andra myndigheten som handlade det mål eller ärende till vilken handlingen kunde hänföras. De ändringar som gjordes 1974 i TF till klargörande av rättsläget för de tekniska upptagningarna var ett provisorium i avvaktan på resultatet av offentlighets- och sekretesslagstiftningskommitténs ar- bete med en fullständig översyn av grundlagsreglerna om offentlig- het och sekretess. På grundval av offentlighets- och sekretesslagstiftningskommit- téns slutbetänkande (SOU 1975:22) Lag om allmänna handlingar kom 2 kap. TF att ersättas med ett helt nytt kapitel . Grunddragen i den regleringen som hade gällt lämnades orörda. Vissa mate- riella ändringar gjordes emellertid, framför allt när det gällde bestäm- melserna om upptagningar. I specialmotiveringen till 2 kap. 10 § TF påpekades att t.ex. en magnetbandsupptagning som förvaras hos en arkivmyndighet nor- malt inte kan anses lagrad för annans räkning (s. 171). Rättsliga förutsättningar för informationshantering inom samordnad it-drift heten kan alltså sägas förvara arkivmaterialet för sin egen skull (jfr SOU 2014:39 s. 48). RÅ 1999 ref. 18 (Cookie-filen) Rättsfallet RÅ 1999 ref. 18 har sin grund i en framställning riktad mot en kommun om att få ta del av s.k. cookie-filer hos vissa kom- munala tjänstemän. Efter att ha redogjort för de relevanta reglerna i 2 kap. TF fann HFD att en cookie-fil var – i den mening som avses i TF – att be- trakta som en hos myndigheten förvarad handling som inkommit dit. Därefter anförde domstolen följande. Däremot kan Regeringsrätten inte finna att det finns stöd för att anse att cookie-filen skulle vara förvarad hos myndigheten endast som ett led i en teknisk bearbetning eller teknisk lagring för annans räkning. Det förekommer inte någon teknisk bearbetning. Även om det skulle vara fråga om teknisk lagring i någon mening kan det dock i vart fall inte sägas att denna sker för någon annans räkning. Bl.a. har mottagaren möjlighet att avstå från att ta emot informationen och att radera den. Avsändaren saknar däremot möjlighet att förfoga över informationen. Då inte heller något annat undantag enligt 2 kap. TF är tillämpligt är cookie-filen således att betrakta som allmän handling och skall lämnas ut till A.L. I RÅ 1999 ref. 18 inhämtade HFD yttrande från bl.a. Statskontoret. Enligt det resonemang som Statskontoret förde måste den tek- niska lagringen eller bearbetningen grundas på ett faktiskt uppdrag eller på någon form av överenskommelse mellan de båda parterna samt att kundmyndigheten måste förfoga över handlingarna i motsats till den part som utför själva uppdraget. Eftersom dessa förutsättningar saknades i det aktuella målet förordade Statskontoret att undantags- bestämmelsen inte skulle anses vara tillämplig. Det synsätt som Statskontoret ger uttryck för framstår som rim- ligt. En teknisk bearbetning eller en teknisk lagring som sker utan någon form av uppdrag kan inte gärna sägas ske för annans räkning. Det centrala får alltså anses vara uppdraget. Som Statskontoret påtalade kan ett sådant uppdrag komma till uttryck i en överenskommelse mellan aktörerna. Det är inte alldeles Rättsliga förutsättningar för informationshantering inom samordnad it-drift klart vad Statskontoret avsåg med faktiskt uppdrag men som vi upp- fattar saken är det kontorets uppfattning att det inte alltid krävs att uppdraget ska ha sin grund i en överenskommelse mellan parterna för att undantagsbestämmelsen ska äga tillämpning. Även den stånd- punkten framstår som rimlig. Man kan tänka sig fall där en myndig- het tekniskt bearbetar eller tekniskt lagrar handlingar för en annan myndighets räkning utan att detta grundas på någon överenskom- melse. Ett sådant samarbete kan i stället grundas på en författnings- reglering. Som vi redan har varit inne på sköter domstolarnas och nämndernas målhanteringssystem . Detta kan knappast sägas grundas på någon överenskommelse mellan Dom- stolsverket å ena sidan och domstolarna och nämnderna å andra sidan. Det följer i stället av förordningen (2007:1073) med instruk- tion för att verket har till uppgift att ge administra- tivt stöd och service åt bl.a. domstolarna och nämnderna. I flera fall har kammarrätterna bedömt att nämnda undantagsbestämmelse är tillämplig på hantering av domstolarnas och nämn- dernas handlingar i . Det förefaller alltså finnas stöd för antagandet att uppdraget inte måste följa av en överenskommelse mellan parterna för att 2 kap. 13 § första stycket TF ska vara tillämplig. Det ovan omtalade uttalandet i lagmotiven att t.ex. en magnet- bandsupptagning som förvaras hos en arkivmyndighet normalt inte kan anses lagrad för annans räkning är av intresse. Tydligen ska en arkivmyndighet anses tekniskt lagra handlingarna för sin egen skull. Frågan är varför. Det kan argumenteras för att den tekniska lagringen som en arkiv- myndighet utför utgör en del av den myndighetens kärnverksamhet. Att hävda att en myndighet som utför sin kärnverksamhet agerar för annans räkning framstår kanske som främmande. Det bör emellertid observeras att en arkivmyndighets tekniska lagring av handlingar inte alltid kan betecknas som en del av den myndighetens kärnverk- samhet. Dessutom kan man fråga sig om inte ägnar sig åt sin kärnverksamhet när den tekniskt bearbetar och tekniskt lagrar domstolarnas och nämndernas handlingar i . Det bör nog räknas som en kärnuppgift för att ge admini- strativt stöd och service åt bl.a. domstolarna och nämnderna. Som vi redan konstaterat har emellertid kammarrätterna i flera fall bedömt att undantagsbestämmelsen i 2 kap. 13 § första stycket TF är till- Rättsliga förutsättningar för informationshantering inom samordnad it-drift lämplig på hantering av domstolarnas och nämn- dernas handlingar i . Det nu anförda leder oss till den slut- satsen att gällande rätt inte utesluter att det kan vara fråga om en teknisk bearbetning eller lagring för annans räkning även om bearbet- ningen eller lagringen utgör en del av myndighetens kärnverksamhet. För att återknyta till det resonemang som Statskontoret förde kan konstateras att en arkivmyndighet förfogar över de handlingar som den tekniskt lagrar. Det finns med andra ord ingen ”kundmyn- dighet” som förfogar över handlingarna. I det avseendet skiljer sig en arkivmyndighets tekniska lagring från tekniska bearbetning eller tekniska lagring av domstolarnas och nämndernas handlingar i . Sett ur det perspektivet framstår det som logiskt att en arkivmyndighets lagring av t.ex. en magnetbandsupptagning normalt inte kan anses lagrad för annans räkning. Sammanfattningsvis är det således vår bedömning att följande villkor måste vara uppfyllda för att den tekniska bearbetningen eller den tekniska lagringen ska anses ske för annans räkning. För det första måste den grundas på ett uppdrag. Detta uppdrag kan följa av en överenskommelse eller framgå av en författning. För det andra krävs att en myndighet som erhåller it-drift – till skillnad från den myndig- het som tillhandahåller it-drift – förfogar över de handlingar som är föremål för den tekniska bearbetningen eller lagringen. 9.2.6Som ett led i Bestämmelsen i 2 kap. 13 § första stycket TF gäller för handlingar som förvaras hos en myndighet endast som ett led i en teknisk bearbet- ning eller teknisk lagring för någon annans räkning. I 2 kap. 9 § tredje stycket TF talas om åtgärder som någon vidtar endast som ett led i en teknisk bearbetning eller teknisk lagring av en handling. När det gäller bestämmelsen i 2 kap. 9 § tredje stycket TF kan med åtgärd knappast åsyftas något annat än åtgärden att återsända handlingarna till myndigheten, dvs. den åtgärd som i normalfallet hade inneburit att de skulle betraktas som inkomna till den myndig- heten och därmed allmänna där. Åtgärden utgör ingen teknisk be- arbetning eller teknisk lagring i sig. Som vi läser formuleringen är den endast ett uttryck för att åtgärden måste ha ett samband med den tekniska bearbetningen eller den tekniska lagringen. Rättsliga förutsättningar för informationshantering inom samordnad it-drift får såvitt vi kan se antas gälla bestämmelsen 2 kap. 13 § första stycket TF. Förvaringen måste ha ett samband med den tekniska bearbet- ningen eller den tekniska lagringen för att bestämmelsen ska vara tillämplig. Formuleringen som ett led i förekommer varken i 11 kap. 4 a § eller i 40 kap. 5 § OSL eller i tystnadspliktslagen. Som vi uppfattar saken innebär inte detta att bestämmelserna i 2 kap. 9 § tredje stycket och 13 § första stycket TF har en större träffyta än nämnda bestäm- melser. Tvärtom understryks i lagmotiven till 11 kap. 4 a § och i 40 kap. 5 § OSL eller i tystnadspliktslagen att formuleringen endast teknisk bearbetning eller teknisk lagring för annans räkning ska ha samma innebörd som i TF. En särskild fråga är hur man ska se på vissa åtgärder som kanske inte (sedda för sig) kan betraktas som enbart ett led i en teknisk be- arbetning eller teknisk lagring men som ändå är nödvändiga för att en tjänsteleverantör – oavsett om det är en privat tjänsteleverantör eller en myndighet – ska kunna ägna sig åt endast teknisk bearbet- ning eller teknisk lagring för annans räkning. Som exempel kan näm- nas uppdateringar av datasystem eller vissa typer av supporttjänster. Under arbetets gång har vi i våra kontakter med företrädare för it-branschen fått klart för oss att den uppfattning förekommer att åtgärder av detta slag – med hänsyn till det sammanhang i vilka de förekommer – bör omfattas av undantagsbestämmelsen i 2 kap. 13 § första stycket TF. Formuleringen som ett led i har setts som en in- dikation på att regleringen bör tillämpas på det sättet. Vi ställer oss tveksamma till att formuleringen som ett led i kan tillmätas den innebörden. Något direkt stöd för den tesen finns inte. Det finns emellertid starka ändamålsskäl som talar för ett mer kon- textuellt synsätt. Rättsläget måste dock betecknas som oklart på den punkten. Möjligen kan den uppräkning av åtgärder som finns i lag- motiven till tystnadspliktslagen ses som vägledande, med reservationen att dessa förarbeten inte avser bestämmelsen i TF. Rättsliga förutsättningar för informationshantering inom samordnad it-drift 9.2.7Särskilt om eget utrymme Det har blivit allt vanligare att myndigheter tillhanda- håller ett s.k. eget utrymme. Som redan nämnts förstås med eget ut- rymme enligt eSams definition ett skyddat förvar som tillhandahålls enligt 2 kap. 13 § första stycket TF endast som ett led i en teknisk bearbetning eller teknisk lagring för annans räkning.5 Det är med andra ord fråga om ett digitalt utrymme som tillhandahålls av en myn- dighet där den enskilde kan spara t.ex. utkast till inlagor m.m. och därifrån skicka in dem till myndigheten. Det har framförts i olika sam- manhang att det torde vara möjligt att se en eventuell lagring som föregår ingivandet som en form av teknisk lagring för den enskildes räkning och att sålunda handlingarna där skulle omfattas av undan- tagsbestämmelsen i 2 kap. 13 § första stycket TF. Vi har i denna fråga ingen avvikande uppfattning. Vi vill emeller- tid understryka att det enligt vår mening inte går att generellt uttala att handlingar i egna utrymmen omfattas av 2 kap. 13 § första stycket TF. Den frågan måste i stället avgöras från fall till fall. Vårt delbetänkande innehåller en genomgång av dataskyddsregleringen, en redogörelse för det organisatoriska och avtalsmässiga förhållandet mellan den personuppgiftsansvarige och ett personuppgiftsbiträde samt en analys av rättsläget avseende överföringar av personuppgif- ter till tredjeland vid utkontraktering av it-drift. Samordnad it-drift kan beskrivas som en form av utkontraktering mellan myndigheter. De dataskyddsregler som vi har belyst i delbetän- kandet, i synnerhet rörande det organisatoriska och avtalsmässiga förhållandet mellan den ansvarige och ett biträde, har relevans även i förhållande till samordnad statlig it-drift. I detta avsnitt kommer därför regler om personuppgiftsansvar och personuppgiftsbiträden analy- seras ytterligare, med utgångspunkt i beskrivningarna i delbetänkandet. 5Frågan har också behandlats i prop. 2016/17:198 s. 17. Rättsliga förutsättningar för informationshantering inom samordnad it-drift Myndigheters personuppgiftsansvar vid it-drift Att vara personuppgiftsansvarig för behandling av personuppgifter som utförs inom ramen för it-drift innebär en skyldighet att se till att tillämpliga dataskyddsregler följs. Vi har i delbetänkandet gjort bedömningen att myndigheter be- stämmer över mål och medel för den personuppgiftsbehandling som sker inom ramen för deras egen it-drift på ett sådant sätt att de som utgångspunkt bör vara att betrakta som personuppgiftsansvariga för den behandlingen. Detsamma gäller om det finns en tillämplig register- författning som reglerar personuppgiftsansvaret för it-drift. Vi bedömer också att it-drift är en grundläggande verksamhet som är en förutsättning för en myndighet att fullgöra sina uppgifter såsom de framgår av instruktion, regleringsbrev, regeringsuppdrag eller annan reglering av en myndighets verksamhet. I de fall person- uppgiftsansvaret regleras i en registerförfattning eller härleds från natio- nell rätt genom de uppgifter som ålagts myndigheten bör personupp- giftsansvaret även av denna anledning anses omfatta it-driften som krävs för att fullgöra dessa uppgifter eller för att utföra den person- uppgiftsbehandling som regleras i registerförfattningen. När flera myndigheter samordnar sin it-drift så uppstår frågan om ett gemensamt personuppgiftsansvar kan aktualiseras. Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen är de gemensamt per- sonuppgiftsansvariga. Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldig- heterna i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (dataskyddsförord- ningen) genom ett inbördes arrangemang. Detta gäller dock inte om de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personupp- giftsansvariga omfattas av (artikel 26.1 dataskyddsförordningen). Rättsliga förutsättningar för informationshantering inom samordnad it-drift Arrangemanget ska på lämpligt sätt återspegla de gemensamt per- sonuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade och det väsentliga innehållet i arrangemanget ska göras tillgängligt för den registrerade (artikel 26.2 dataskyddsförordningen). Oavsett formerna för arrangemanget får den registrerade utöva sina rättigheter enligt dataskyddsförordningen med avseende på och emot var och en av de personuppgiftsansvariga (artikel 26.3 data- skyddsförordningen). En förutsättning för att gemensamt personuppgiftsansvar ska upp- komma är att ändamålen med och medlen för personuppgiftsbehand- lingen fastställs gemensamt av de personuppgiftsansvariga. Detta följer av ordalydelsen i artikel 26 i dataskyddsförordningen. Personuppgifter får bara behandlas för berättigade ändamål (artikel 5.1 i dataskydds- förordningen). Det innebär enligt vår bedömning att en myndighets ändamål för behandling av personuppgifter måste ha en förankring i myndighetens uppgifter såsom de följer av lag eller annan författning eller beslut som meddelats med stöd av lag (jfr prop. 2017/18:105 s. 48) för att anses berättigade. Personuppgiftsbehandling som utgår från ändamål som saknar förankring i en myndighets uppdrag är inte tillåten. För att ett gemen- samt personuppgiftsansvar mellan myndigheter ska vara möjligt krävs därför enligt vår mening därför att det inte finns registerförfatt- ningar som uttryckligen reglerar personuppgiftsansvaret för en viss behandling eller på annat sätt begränsar utrymmet för ett gemensamt personuppgiftsansvar. Det måste också enligt vår bedömning finnas ett utrymme för myndigheterna att gemensamt bestämma ändamålen och medlen för personuppgiftsbehandlingen utifrån respektive myn- dighets uppdrag. Det är dock inte tillräckligt att de formella förutsättningarna för att ett gemensamt personuppgiftsansvar ska kunna uppstå är upp- fyllda. För att det ska kunna vara fråga om ett gemensamt person- uppgiftsansvar måste de faktiska omständigheterna ge vid handen att ändamålen och medlen bestäms gemensamt mellan flera personupp- giftsansvariga.6 6Jfr Europeiska dataskyddsstyrelsen (2021), Guidelines 07/2020 on the concepts of controller and processor in the GDPR version 2.0, antagna , s. 19, p. Se även s. 22, p. Rättsliga förutsättningar för informationshantering inom samordnad it-drift 9.3.3Formen för reglering av villkoren Den som behandlar personuppgifter för den personuppgiftsansvari- ges räkning är personuppgiftsbiträde (artikel 4.8 dataskyddsförord- ningen). När uppgifter behandlas av ett personuppgiftsbiträde ska hanteringen regleras antingen genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personupp- giftsansvarige (artikel 28.3 dataskyddsförordningen). I delbetänkandet finns en redogörelse för kraven på personuppgiftsbiträdesavtalets innehåll. Det avtal eller den andra rättsakt som avses i artikel 28.3 och 28.4 ska upprättas skriftligen, inbegripet i ett elektroniskt for- mat (artikel 28.9 dataskyddsförordningen). Det förefaller finnas en möjlighet enligt dataskyddsförordningen att fastställa det som annars hade framgått av ett personuppgifts- biträdesavtal i nationell rätt. I och rådets direk- tiv 95/46/EG av om skydd för enskilda perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) hade bestämmel- sen om formen för reglering av personuppgiftsbiträdets behandling för den personuppgiftsansvariges räkning följande lydelse: När uppgifter behandlas av [ett personuppgiftsbiträde] skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande hand- ling mellan [personuppgiftsbiträdet] och den [personuppgiftsansvarige] (vår kursivering) (artikel 17.3 dataskyddsdirektivet). Möjligheten att reglera personuppgiftsbiträdets behandling genom nationell rätt i stället för genom ett personuppgiftsbiträdesavtal framstår därmed som ny i och med dataskyddsförordningens tillkomst. En fråga som inställer sig är om den nationella rätten måste före- skriva samtliga villkor som framgår av artikel 28.3.