kring det rådande rättsläget och föreslå förändringar av rättsläget, i den mån det bedöms aktuellt.
2. Rättsvetenskaplig analys
2.1 HandlingsbegreppetSvensk rätt på området regleras främst genom Tryckfrihetsförordningen41, vilken
fastlades år 1949. Även om TF har reviderats i omgångar sedan dess kan den framstå som anakronistisk i informationsteknologiska sammanhang. När molntjänster som företeelse studeras ur svensk lagstiftning är det dock just TF som bland annat tolkas. En handling är allmän i TF:s mening, “om den förvaras hos en myndighet och är att anse som
inkommen till eller upprättad hos myndigheten”42.
Ett annat rekvisit för att en handling i TF:s mening blir allmän är när den har: “upprättats hos en myndighet [eller] expedierats. En handling som inte har
expedierats anses upprättad när det ärende som den hänför sig till har slutbehandlats hos myndigheten eller, om handlingen inte hänför sig till ett
41 SFS 1949:105 42 2 kap. 3 § TF
visst ärende, när den har justerats av myndigheten eller färdigställts på annat sätt.”43.
Svensk lagstiftnings goda offentlighetsstruktur garanterar allmänhetens insyn i myndigheter, och fungerar därmed som ett korruptionsstävjande instrument. Denna struktur måste givetvis även säkras fungera fullt ut när myndigheter använder
molntjänster för sin informationshantering44.
Även elektroniska handlingar är handlingar i tryckfrihetsförordningens mening45.
De elektroniska handlingarnas status förändras inte med anledning av att de överförs från myndigheten till molntjänstleverantören. Detta framgår av 2 kap. 9 § TF:
“En handling anses ha kommit in till en myndighet, när den har anlänt till
myndigheten eller kommit behörig befattningshavare till handa. I fråga om en upptagning som avses i 3 § gäller i stället att den anses ha kommit in till myndigheten när någon annan har gjort den tillgänglig för myndigheten på det sätt som anges i 6 §. [---]
En åtgärd som någon vidtar endast som ett led i en teknisk bearbetning eller teknisk lagring av en handling som en myndighet har tillhandahållit ska inte anses leda till att handlingen har kommit in till den myndigheten.”
Utifrån andra stycket ovan förstås att handling som återkommer till myndigheten efter att ha varit föremål för teknisk behandling eller lagring inte är att betrakta som en inkommen handling. En logisk följd av detta är det exemplar av den elektroniska handlingen som ursprungligen skickades iväg för teknisk behandling eller lagring
därmed inte heller intar ställning som allmän handling vid myndigheten46.
Mot bakgrund härav följer att om molntjänstleverantören vidtar andra åtgärder än enbart avtalad teknisk lagring eller bearbetning av informationen, kommer
informationen eventuellt inta status som allmän handling47. Detta kan ske om
molntjänstleverantören behandlar informationen för egna syften. Följden härav är att den kan begäras ut (från myndigheten) enligt TF:s bestämmelser om allmänna handlingar. Myndigheten måste således iaktta försiktighet och vara medveten om att
handlingarnas status kan förändras då de överlämnas till en molntjänstaktör48. Det kan
givetvis finnas situationer där de handlingar som myndigheten överlämnar redan har en sådan status och i dessa fall saknar det givetvis konsekvenser för handlingarnas status.
Myndigheter som “överlåter teknisk framställning, bearbetning eller bevarande av elektroniska
handlingar till [---] enskild”49, åläggs att upprätta en skriftlig överenskommelse gällande
uppfyllanden av Riksarkivets bestämmelser50.
43 2 kap. 7 § TF
44 Pensionsmyndigheten, Juridisk analys, s. 38.
45 Prop. 1975/76:160, sid 119
46 Om andra tolkningar i detta avseendet skulle göras, medför det att undantaget i
2 kap. 6 § 3 stycket TF skulle vara utan praktisk tillämpning Se Pensionsmyndigheten, Juridisk analys, s. 13. 47 Pensionsmyndigheten, Juridisk analys, s. 14.
48 Ibid., s. 45.
49 Pensionsmyndigheten, Juridisk analys, s. 39. 50 1 kap. 10 §. RA-FS 2009:1
Syftet härav är att säkra myndighetens kontroll över sina handlingar. Riksarkivet stipulerar vilka elektroniska format myndigheten ska tillämpa för sin digitala
informationshantering51. Hantering av elektroniska handlingar i molnet ställer krav på
myndigheten att garantera handlingarnas autenticitet. Dessa krav gäller emellertid inte enbart när myndigheter nyttjar molntjänster, utan är även generellt tillämpliga inom myndigheters elektroniska informationshantering.
Just med molntjänster tenderar detta krav dock att bli mer komplicerat eftersom en rad helt nya scenarion kan aktualiseras. Som exempel kan här nämnas att molntjänstaktören försätts i konkurs eller anlitar (nya) underentreprenörer. Myndigheter har inte tidigare stått inför denna typ av risker, men när dessa situationer uppstår, föreligger risker för informationsförlust och/eller att handlingar sprids till obehöriga. Myndighetens avtal med molntjänstleverantören skall därför säkerställa att
arkivlagens regler uppfylls på ett tillfredsställande vis52.
Arkivlagstiftningen kräver att det föreligger gallringsföreskrift i förordning eller lag, alternativt att gallringshemställan gjorts hos Riksarkivet för att gallring av myndigheters allmänna handlingar ska komma ifråga. Utgångspunkten är alltså att
allmänna handlingar skall bevaras53.
Lejonparten av statsmaktens handlingar upprättas idag och bevaras i digital form, varför det traditionella incitamentet till att avhända sig handlingar inte längre har samma aktualitet. Oro över arkivlokalernas storleksbegränsningar är givetvis inget att bekymra sig över när handlingarna lagras i elektronisk form. Vid gallring av personuppgifter i molntjänster, ska myndigheten även beakta risker för att personuppgifter inte utraderas på ett adekvat sätt.
På grund av den tekniska struktur med vilka molntjänster är uppbyggda på föreligger exempelvis risk att avsiktlig radering av personuppgifter inte verkställs då uppgifterna
förvaras på flera platser och/eller i olika versioner54. Åtgärd måste genomföras
fullständigt, annars har inte lagkravet uppfyllts tillfredsställande55.
2.2 Sekretess
Behovet av att skydda vissa personuppgifter med sekretess härleds till nödvändigheten av att upprätthålla ett effektivt integritetsskydd. Att definiera begreppet integritet har
beskrivits som komplicerat56. Genom åren har flera ansatser gjorts att etablera en
legaldefinition av begreppet integritet (främst inom ramen för rättsvetenskaplig
forskning57). Även om integritetsskyddslagstiftningen är omfångsrik har dock ingen
51 1 kap. 4 §. RA-FS 2009:2
52 Pensionsmyndigheten, Juridisk analys, s. 40.
53 Klamberg & Sjöberg, Skydd av personlig integritet och informationsfrihet, s. 214. 54 Artikel 29-arbetsgruppen, Yttrande 5/2012 om datormoln (cloud computing), s. 12. 55 Pensionsmyndigheten, Juridisk analys, s. 38.
56 Prop. 2009:10/80 s. 175.
sådan legaldefinition utfärdats av svensk lagstiftning eller annat normgivande organ58. Vanligtvis brukar emellertid begreppet definieras med: “rätt att få sin personliga egenart
och inre sfär respekterad och att inte utsättas för personligen störande ingrepp”59.
Tidigt i informationssamhället har just integritetsskydd vid automatiserad personuppgiftsbehandling uppfattats som högprioriterat från lagstiftarens sida, och det skedde redan under tidigt 1970-tal. Respekten för privatlivet och enskildes personliga integritet åtnjuter idag stor vikt i svensk rättsordning.
Som exempel på instrument i detta regelkomplex bör närmast nämnas: ➢ Artikel 8 (1), Europakonventionen:
“var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem, och sin korrespondens”60.
➢ 2 kap. 6 § regeringsformen (RF):
“var och en gentemot det allmänna [är] skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden”61.
➢ EU:s stadga om de grundläggande rättigheterna62.
➢ Europadomstolens praxis visar på behov av långtgående skydd för den
enskildes sekretesskydd63.
Som diskuterat i avsnitt 2.1 råder i Sverige en långtgående handlingsoffentlighet, men
denna princip kan inte alltid upprätthållas utan vissa inskränkningar. I flera scenarion kräver antingen allmänna eller enskilda intressen att offentlighetens insyn begränsas och det är (enbart) i dessa situationer som sekretess kan aktualiseras.
Bestämmelserna om sekretess är noga reglerade i OSL, och enbart med åberopande till dessa bestämmelser är det möjligt för myndigheter att hemlighålla allmänna
handlingar från allmänheten64. I OSL listats olika s.k. skaderekvisit, vilka måste vara
uppfyllda för att en uppgift ska kunna sekretessregleras. Sekretessbestämmelserna i OSL är typiskt förbundna med två former av skaderekvisit; rakt och omvänt skaderekvisit. Rekvisit betyder ungefär “förutsättningar för bestämmelsens tillämplighet”
och anger sekretessens föremål, dess räckvidd och styrka65. För omvänt skaderekvisit
gäller sekretess som huvudregel för uppgift. Offentlighet blir här endast möjlig om ett röjande inte leder till men eller skada. Typexempel på uppgifter av denna art är sådana
som innefattar uppgifter om enskilds personliga eller ekonomiska förhållanden66.
Uppsatsens molntjänstscenario tar sin utgångspunkt i just denna typ av uppgifter.
58 Dir. 2014:65 s. 2.
59 Nationalencyklopedins ordbok
60 Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (EKMR)
61 Pensionsmyndigheten, Juridisk analys, s. 18.
62 Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02). 63 Höök, Sekretess mellan myndigheter, s. 62.
64 TF 2 kap. § 2.
65 E-delegationen, Sekretess vid outsourcing - en förstudie, s. 37. 66 Offentlighets- och sekretesslagen 25 kap. 1§
För rakt skaderekvisit gäller däremot offentlighet som utgångspunkt. Sekretess blir här endast tillämpligt om ett röjande bedöms kan leda till skada eller men. För sekretessbestämmelser som saknar angivet skaderekvisit gäller absolut sekretess, vilket betyder att det är irrelevant om ett röjande av uppgiften medför skada eller inte. När myndighet lämnar ut uppgifter som typiskt är förbundna med sekretess skall en skadeprövning företas vid myndigheten, där en bedömning sker vad beträffar vilket
sekretesskydd som uppgifterna erhåller hos mottagaren67.
Med utgångspunkt i dessa omständigheter, tillsammans med den skaderisk som typiskt sett är förknippat med informationen ifråga, är det ett tillräckligt underlag för
att avgöra om sekretessregleringen förhindrar ett utlämnande eller inte68. Ett typfall av
uppgifter som är föremål för sekretess inom myndighetssfären är uppgifter om enskilds hälsotillstånd (så kallade ”patientdata”).
Sekretess gäller inom den allmänna hälso- och sjukvården för sådana uppgifter, i den mån det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående
till vederbörande lider skada69. Inom hälso- och sjukvården är sekretess av fundamental
betydelse eftersom patienternas förtroende till systemet bygger på att inte känsliga patientdata röjs för obehöriga. Om patientdata sprids till obehöriga, skulle patienternas förtroende dala för sjukvården. Detta skulle riskera att göra dem mindre benägna att delge sjukvården sina sjukvårdsuppgifter. En hotad patientsäkerhet kan bli följden av det70.
Sekretessbestämmelserna gäller som utgångspunkt mot andra myndigheter likväl som
enskilda71,72. För patientdata krävs i princip alltid patientens samtycke för att den ska
kunna lämnas ut73,74,75. För att möjliggöra överföring av patientdata till molntjänster
krävs alltså att hänsyn tagits till regelverket beträffande sekretess och funnit stöd för
förfarandet76. En form av stöd för ett sådant förfarande kan ske genom att åberopa
sekretessbrytande bestämmelser, vilka vi diskuterar i avsnitt 2.2.2.
Vid överföring av patientuppgifter till molntjänstleverantör skall både autentisering
och kryptering tillämpas i den mån sådana uppgifter överförs i ett öppet nät77. Vi
diskuterar i avsnitt 2.2.1 om just krypteringen av informationen som överförs till
molntjänstleverantören. I detta sammanhang skall dock påpekas att det rör sig om själva överföringsförfarandet, inte nödvändigtvis uppgifternas eventuella kryptering hos den mottagande parten. Uppsatsen har tidigare behandlat ett JO-beslut i vilket JO riktade allvarlig kritik mot vårdgivare som utan lagstöd anlitat ett privat företag för 67 SOU 2006:82 s. 323. 68 Prop. 1979/80:2 s. 81. 69 25 kap. 1 § OSL 70 JO-beslut 2015/16 s. 606 71 8 kap. 1 § OSL
72 Med ”enskild” avses ett företag, vilket exempelvis kan vara en molntjänstleverantör. 73 25 kap. 1 § OSL
74 10 kap. 1 § OSL 75 8 kap. 1 § OSL 76 JO-beslut 2015/16 s. 606
hantering av patientdata78.
Med sekretessreglering följer av OSL 3 kap 1 § ett förbud mot att avslöja (“röja”) uppgift
muntligen eller genom att utlämna handling med sådan uppgift79.
Begreppet “röja” är av central relevans i vår rättsvetenskapliga utredning, varför vi återkommer till det i avsnitt 2.2.1.
OSL 10 kap 2 § möjliggör myndighet för utlämnande av uppgift till enskild och vi
återkommer till denna bestämmelsen i avsnitt 2.2.2.1.
Vid lagring av uppgift som är föremål för sekretess i molntjänster, uppställs krav på särskilda avvägningar inför implementeringen. Om informationen som myndigheten avser överföra till molntjänstaktören inte innehåller sekretessreglerade uppgifter, kan
myndigheten lämna ut informationen80 (förutsatt att övriga lagkrav uppfylls).
Vid sekretessprövningen ska myndigheten utreda om sekretess gäller mot molntjänstaktören. Om molntjänstaktören anlitar underleverantörer, måste myndigheten också företa sekretessprövningar mot dessa. Sammantaget kan detta beskrivas som en svår uppgift, om ens alls möjlig. Myndighetens kontroll gentemot
molntjänstaktörers hantering av myndighetens uppgifter är ofta mycket begränsad81.
Om överföring av personuppgifter för vilka sekretess gäller, planeras till molntjänst och detta bedöms medföra att uppgifterna röjs för molntjänstleverantören, krävs stöd genom OSL:s sekretessbrytande bestämmelser för att implementeringen med lagstöd ska kunna genomföras.
2.2.1 Röjande av uppgift
Vi har tidigare i avsnitt 2.2 berört förbudet mot röjande av uppgift (sekretess). I
kommande underkapitel (avsnitt 2.2.1.1) redogör vi för vilka som omfattas av dessa
bestämmelser. Med sekretess följer en begränsning av allmänhetens rätt till insyn i handling i vilken sådana uppgifter förekommer. De som är behöriga att hantera sekretessreglerade uppgifterna är genom lag förhindrade att förmedla uppgifterna
vidare på något vis82, om så sker, är uppgifter att anse som “röjda”. Endast för
sekretessreglerade uppgifter gäller rent systematiskt ett röjandeförbud83.
Den myndighet som står i begrepp att anlita en molntjänstleverantör, måste således ta ställning till om det planerade molntjänstscenariot riskerar medföra ett tillgängliggörande av uppgifter till obehöriga i lagens mening och att uppgifterna
därmed är att anse som röjda84. Även om ingen legaldefinition av begreppet röjda har
utarbetats85, framgår av förarbeten till äldre sekretesslagen att med röja avses att låta
någon ta del av hemlig uppgift.
78 E-delegationen, Sekretess vid outsourcing - en förstudie, s. 11. 79 Ibid., s. 34.
80 Pensionsmyndigheten, Molntjänster i staten - en ny generation av outsourcing, s. 39. 81 E-delegationen, Sekretess vid outsourcing - en förstudie, s. 9.
82 Göteborgs stadsledningskontor, Promemoria avseende Office 365, s. 2.
83 Bålman & Furberg, Outsourcing - En vägledning om sekretess och persondataskydd, s. 16. 84 Göteborgs stadsledningskontor, Promemoria avseende Office 365, s. 2 f.
Att röja sekretessreglerad uppgift är en form av sekretessbrott. Detta regleras i 20 kap. 3 § BrB, med “tjänstefel” som brottsrubricering. Rekvisit för att göra sig skyldig till sekretessbrott, förutsätter givetvis att ett röjande av uppgifterna har skett, men även att
den som sprider uppgifterna omfattas av sekretessbestämmelserna (se avsnitt 2.2).
Att vara ålagd tystnadsplikt enbart genom kontrakt är inte tillräckligt för att kunna
dömas för brott mot röjande av hemlig uppgift genom 20 kap. 3 § BrB86.
Brott mot tystnadsplikt förutsätter alltså att den som sprider uppgiften ingår i
personkretsen i OSL:s mening (se avsnitt 2.2.1.1).
Typiskt sett vid utkontraktering av IT-funktioner till molntjänstleverantörer är inte avsikten att dess personal skall tillgodogöra sig den faktiska informationen, utan enbart utföra tekniska åtgärder såsom att lagra, eller bearbeta informationen enligt överenskommelse (eller vad i övrig stipuleras av tjänsteavtalet).
I ett rättsligt uttalande av eSam framkommer att deras expertgrupp inte anser att molntjänstleverantören automatiskt skall anses ha tillgodogjort sig
informationsinnehållet87. Därmed anses inte den sekretessreglerade informationen röjd
i lagens bemärkelse och förhinder mot överföring av sekretessreglerade uppgifter till
molntjänstleverantör föreligger således inte utifrån detta sätt att resonera88.
I eSams rättsliga uttalande framträder att det finns skäl att nyansera hur OSL bör tolkas i ljuset av de förändringar som skett under de senaste 35 åren, vad beträffar
myndigheternas informationshantering89.
eSam stödjer sin tolkning på förarbeten till äldre OSL som anger att:
“befattningshavaren inte får låta någon ta del av hemlig uppgift vare sig detta sker genom att allmän handling företes eller att någon får ta del av handling som inte är allmän eller att uppgiften meddelas i brev. Också andra former av röjande av en uppgift kan tänkas, t.ex. att någon förevisar ett hemligt föremål för annan.”90,91.
Utifrån detta resonerar eSam att ett röjande av hemlig uppgift i lagens mening förutsätter dels att befattningshavaren har gjort sådan uppgift tillgänglig för annan, och även att tredje part faktiskt har tagit del av den.
Genom att omsätta detta resonemang till en elektronisk kontext, anför eSam att
röjanderekvisitet inte enbart förutsätter att informationen gjorts tekniskt tillgänglig för
86 E-delegationen, Sekretess vid outsourcing - en förstudie, s. 48. 87 eSam, Röjandebegreppet enligt offentlighets- och sekretesslagen, s. 1.
88 I ett senare rättsligt uttalande betonade eSam att deras tidigare juridiska ställningstagande är avhängigt att molntjänstleverantören inte har sitt geografiska säte i ett land där “mänskliga rättigheter eller nationens
intressen inte skulle säkerställas om svenska myndigheters data hade tillgängliggjorts”. Konsekvensen härav är att
uppgifterna skall betraktas som röjda inom sådan jurisdiktion. Se eSam. Rättsligt uttalande. Dnr. VER 2018:57, sid 2
89 Bålman & Furberg, Outsourcing - En vägledning om sekretess och persondataskydd, s. 17. 90 Prop. 1979/80:2 s. 119 f.
91 Fetmarkeringen skett i enlighet med eSams kursiveringar av texten med ursprung i den hänvisade i fotnot 119. Se Bålman & Furberg, Outsourcing - En vägledning om sekretess och persondataskydd, s. 17.
molntjänstleverantören, utan även att denna har tagit del av informationen eller har uttrycklig rätt till att göra det92.
eSam anför att uppgifterna inte är att betrakta som röjda för molntjänstleverantören om93:
I. Molntjänstleverantören har ingått tjänsteavtal med myndigheten, vilket tydligt
stipulerar ett förbud mot att dess personal förfogar rätt att del av informationen som de blott har till uppgift att lagra och vårda och,
II. Tekniska kontrollmekanismer har implementerats hos molntjänstleverantören
i form av registrering av tydliga dataloggar som redovisas och,
III. Civilrättsliga straffsanktioner vid molntjänstleverantörens eventuella brott mot
tjänsteavtalets bestämmelser.
Mot eSams tolkning står viss doktrin, där det argumenteras för att sekretessreglerad information är att betrakta som röjd då den lämnas ut, oavsett om någon faktiskt tar del
av (läser) denna94. Även i förarbeten går det att finna stöd för tolkningen95.
Sammantaget ger brottsbalken uttryck för att ett röjande av sekretessreglerad information är straffbart, även om utomstående inte tagit del av uppgiften. Göteborgs stadsledningskontor får här representera den argumentation som förekommer i doktrin till stöd för tolkningen att uppgifterna röjs automatiskt:
“Enligt förarbetena tycks således ‘att röja’ kunna översättas med att låta
någon ta del av en hemlig uppgift, oavsett orsak, metod eller uppgiftens form. Det torde inte spela någon roll om mottagaren faktiskt har tagit eller kommer att ta del av uppgiften. Det väsentliga är istället själva tillåtandet eller tillgängliggörandet.”96.
Tillvägagångssättet argumenteras således här inte vara av avgörande betydelse. I fokus står istället tillåtandet och/eller tillgängliggörandet vid den juridiska bedömningen. Till stöd för eSams bedömning kan ett rättsfall från HD åberopas, där frågan att ta ställning till var den närmare innebörden av begreppet röjande. Målet gällde misstänkt
vårdslöshet med hemlig uppgift97 där pappershandlingar med sekretessreglerade
uppgifter förvarades i ett säkert och låsbart skåp. Nyckeln till skåpet förvarades däremot i ett jalusiskåp av trä, vilket inbrottstjuvar bröt sig in i och därifrån tog sig de in i det låsbara skåpet med handlingarna.
I sitt avgörande konstaterade HD att det faktum att en uppgift var tillgängliggjord (för inbrottstjuvarna) inte var nog för att det skulle medföra straffansvar för tjänstemannen som där förvarande handlingarna.
92 Bålman & Furberg, Outsourcing - En vägledning om sekretess och persondataskydd, s. 17. 93 E-delegationen, Sekretess vid outsourcing - en förstudie, s. 6 f.
94 Brottsbalken. Författare: Nils-Olof Berggren m.fl. Publicerad i Zeteo: 2017-11-10. Lagkommentar till 20 kap. 3 § brottsbalken
95 Prop. 1979/80:2 s. 402 f. och s. 488.
96 Göteborgs stadsledningskontor, Promemoria avseende Office 365, s. 4. 97 19 kap 9 § brottsbalken
HD resonerade med åberopande till ovan angiven bestämmelse att rekvisit även föreligger för att det kan förväntas att den obehöriga (inbrottstjuven) kommer att ta del av uppgiften:
“Däremot kan inte varje möjlighet att ta del av en uppgift, som har beretts någon obehörig, medföra att uppgiften skall anses ha röjts;
en sådan ordning skulle i realiteten innebära att det oaktsamma handlandet i sig ofta skulle medföra straffansvar. Avgörande för straffansvar bör främst vara om uppgiften har blivit tillgänglig för någon obehörig under sådana omständigheter, att man måste räkna med att den obehörige kommer att ta del av uppgiften.”98
Rättsfallet gällde emellertid gränsdragning för straffansvar vid vårdslöshet med hemlig uppgift och inte frågan om röjande av sekretessreglerade uppgifter, varför försiktighet måste intas vid tolkning av utfallet.
När myndighet genom kryptering förhindrar molntjänstleverantörs tillgång till den informationen är det i juridisk mening däremot inte ens ett utlämnande av