IT-säkerhetshandboken
http://www.susec.sunet.se
susec@sunet.se

3.4 E-post och offentlighet

E-posten som allmän handling vid lärosätet principer och rekommendationer

Inledning

Universitet och högskolor( i fortsättningen benämnda lärosäte)är statliga myndigheter och är som sådana skyldiga att se till att den grundlagsfästa offentlighetsprincipen tillämpas vid myndigheten. Principen, som har funnits i vårt land sedan år 1766, syftar till att ge allmänheten insyn i den offentliga verksamheten och innebär bl.a. att alla som så begär har rätt att ta del av allmänna, offentliga handlingar vid myndigheten.

Om allmänna handlingar och deras offentlighet sägs bl.a. följande i tryckfrihetsförordningen

(TF):

Till främjande av ett fritt meningsutbyte och en allsidig upplysning skall varje svensk

medborgare ha rätt att taga del av allmänna handlingar. (TF 2 kap 1§)

Begränsningar av rätten att taga del av allmänna handlingar skall angivas noga i

bestämmelse i en särskild lag (TF 2 kap 2§ andra st, del av.)

Med handling förstås framställning i skrift eller bild samt upptagning som kan läsas,

avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Handling är

allmän om den förvaras hos myndighet och enligt 6 eller 7§ är att anse som inkommen

till eller upprättad hos myndighet. (TF 2 kap 3§ första st).

Att en handling räknas som allmän innebär således bl.a. krav på att den skall sparas tills den får gallras bort enligt riksarkivets gallringsföreskrifter, att den normalt skall diarieföras och att myndigheten alltid är skyldig att genast och utan att fråga varför pröva en framställning från vem som helst om att få ta del av en allmän handling. Avslag på begäran får meddelas bara om handlingen antingen inte är allmän eller om den är allmän men dess innehåll skyddas av någon lagregel om sekretess, oftast återfinns sådana regler i sekretesslagen (1980:100).

E-postmeddelanden svarar mot kriterierna på allmän handling i samma utsträckning som brev som överbringas till och från myndigheterna med konventionell post. Inom universitetet finns dock en risk att personadresserad e-post inte kommer att formellt hanteras som den konventionella posten bl.a. i vad avser tillgängligheten i enlighet med offentlighetsprincipen och diarieföring i fall då så skall ske. Regeringen har klart utsagt att utvecklingen mot en alltmer elektronisk handläggning inte får försämra allmänhetens möjligheter till insyn i myndigheternas verksamhet.

En skärpning av rutinerna vad särskilt gäller e-posthanteringen inom lärosätet framstår som påkallad efter vissa uttalanden från regeringskansliet och justitieombudsmannen avseende vikten av daglig kontroll av varje anställds e-postbrevlåda för att möjliggöra en korrekt hantering av allmänna handlingar, bl.a. i form av registrering.

Detta innebär krav på varje anställd som tar emot eller skickar extern e-post i tjänsten och likaså krav på varje institution att skapa goda rutiner. Det är viktigt att tänka på att lärosätet är en, enda myndighet och att det därför måste finnas enhetliga och överblickbara system också mellan de olika arbetsställena inom verksamheten.

I sammanhanget bör påpekas att e-post som innehåller personuppgifter också faller under kriterierna på personuppgiftsbehandling enligt 5§ personuppgiftslagen (PUL,1998:204). PUL syftar till skydd mot kränkning av den personliga integriteten och innehåller krav och begränsningar på personuppgiftsbehandlingen. Sekretesskyddade uppgifter, vare sig de rör personuppgifter eller är av annat slag, bör icke skickas över e-postsystemet. Handledningar finns på nätet: www.oppnasverige.gov.se och www.statskontoret.se.

Lärosätet har inte och får inte heller ha ett eget regelverk i ämnet. Det som här följer är en redogörelse för gällande rätt i handboksform.

Inkommande e-post när är den en inkommen allmän handling?

E-postmeddelanden som kommer i tjänsten till anställda vid lärosätet från avsändare utanför lärosätet räknas som till myndigheten inkomna och därmed allmänna handlingar i samma utsträckning som konventionell post. Det innebär enligt den grundlagfästa offentlighetsprincipen att vem som helst har rätt att ta del av sådana meddelanden, förutsatt att innehållet inte är hemligt, och att myndigheten är skyldig att på begäran pröva en framställning om att få ta del av sådana meddelanden på samma sätt som gäller annan inkommande post till myndigheten.

Särskilda regler gäller dock bl.a. vissa anbud i samband med upphandling, tävlingsskrifter och liknande där det bestämts en viss tidpunkt för gemensamt öppnande.

Tillämpliga lagregler

2 kap 1, 3, 4, 6 och 12 §§ tryckfrihetsförordningen, sekretesslagen (1980:100), särskilt 1 och 15 kap. samt sekretessförordningen (1980:657).

Närmare kommentar

a) Allmän handling

E-postmeddelanden räknas som inkomna så snart de kan läsas på skärmen. Också om den anställde befinner sig på annan plats än på tjänstestället när han/hon emottar ett e-postmeddelande som hör till tjänsten räknas meddelandet som inkommet till myndigheten. Den anställde måste då också tänka på att se till att få med sig meddelandet till arbetsplatsen. Meddelanden som skickas internt mellan lärosätets organ och mellan dess anställda ger normalt inte upphov till allmänna handlingar i och med inkommandet, om det inte därigenom väcks ett formellt ärende, t ex ett personalärende, eller fråga är om vissa yttranden. Vad som nu sagts innebär dock inte att en intern e-post aldrig blir allmän handling se vidare under 2.

För bedömningen av om en handling skall anses som allmän eller inte spelar det inte någon roll vem det är som skickat e-postmeddelandet, om inte detta är av intern natur som nyss sagts. Avsändare kan vara enskilda, t ex studenter, andra myndigheter eller företag, inom eller utom landet.

Att märka är att studenterna inte räknas till myndigheten i detta sammanhang varför brev från dem räknas som utifrån inkomna till myndigheten och därmed allmänna handlingar, även om studenten begagnat det e-postsystem som lärosätet tillhandahåller. Observera särskilt att ingen korrespondens som en lärare i tjänsten har med sina studenter är av privat natur.

Får den anställde emellertid ett uteslutande privat meddelande räknas inte detta som allmän handling. Det gäller dock att skilja på vad som är tjänste och vad som rör strikt personliga förhållanden och att inte glömma, att e-postsystemet är myndighetens arbetsredskap. Angår meddelandet universitetets verksamhet så är det inte privat, med undantag för vissa meddelanden som en anställd får pga. fackligt uppdrag och liknande. Många anställda har tillåtna bisysslor, t ex i eget företag (se närmare Föreskrifter och information om anställdas bisysslor) . Alla handlingar i form av e-post eller vanliga dokument som rör bisysslan skall dock ovillkorligen hållas skilda från tjänsten. Egen e-postadress för dylika och andra privata meddelanden är en nödvändighet.

Att den anställdes namn anges i e-postadressen gör inte meddelandet automatiskt till privat, eftersom adresseringen följer av det tekniska systemet. Arbetsgivaren får således i princip kontrollera alla e-postmeddelanden för att försäkra sig om att allmänna handlingar hanteras på rätt sätt, detta enligt Statskontorets uppfattning. Enligt JO:s rekommendationer (2002/03:JO1) bör dock den ordningen tillämpas, att den anställde lämnar fullmakt till annan anställd att öppna e-posten under frånvaro från arbetsplatsen på samma sätt som beträffande vanliga brev, som kommer i kuvert adresserade med den anställdes namn överst.

Särskilt viktigt är det att nyckelpersoner som prefekter, andra enhetschefer, kursansvariga lärare och befattningshavare med ansvar för myndighetsfunktioner som innefattar många externa kontakter lämnar sådana fullmakter. Vare sig ett brev kommer personligt adresserat i det ena eller andra systemet gäller att mottagaren har en skyldighet att omgående ta ställning till om meddelandets innehåll är av privat natur eller om det rör sig om ett tjänstemeddelande. Är det senare fallet måste meddelandet hanteras enligt reglerna om allmänna handlingar. Skräppost, som ibland flödar in genom e-postsystemet, såsom massutskickad reklam, SPAM och ovidkommande meddelanden som inte har något med universitetets verksamhet att göra kan genast slängas och räknas ej som allmänna handlingar.

b) Sekretess

Det spelar normalt ingen roll vad avsändaren kan önska ifråga om meddelandets tillgänglighet för andra. Vad som ska hållas hemligt bestämmer varken mottagaren eller avsändaren i normalfallet över utan den saken regleras uttömmande i sekretesslagen. Sekretesslagen medger dock i ett par fall att hänsyn tas till de önskemål som kan föreligga, som ifråga om uppdragsforskning, då hänsyn tas till uppdragsgivarens önskemål (8 kap 9§ sekretesslagen) eller ifråga om den sk utrikessekretessen, då risk för störning av bl.a. Sveriges mellanfolkliga förbindelser kan utgöra ett skäl för sekretess. I det senare fallet gäller särskilda regler för prövningen av utlämnande (7§ sekretessförordningen).

Har någon i forskningsverksamheten hos lärosätet fått del av hos annan myndighet hemliga handlingar gäller samma sekretess här som för ursprungsmyndigheten (13 kap 3§ sekretesslagen). I andra verksamheter är huvudregeln att sekretess inte automatiskt följer med från en myndighet till en annan utan att sekretessen måste bedömas hos var och en av dem utifrån gällande sekretessregler.

Det måste alltså finnas en tillämplig sekretessregel om innehållet i en handling skall kunna hemlighållas och en översikt över de vanligaste reglerna som förekommer på vårt område ges i skriften Hantering av allmänna handlingar vid lärosätet. Sekretesskyddade uppgifter bör, som redan nämnts, ej skickas med e-post.

När är e-post att anse som en sk upprättad allmän handling?

Som allmänna handlingar räknas också e-postmeddelanden som skickas ut från lärosätet, i samma utsträckning som andra handlingar som expedieras.

Tillämpliga lagregler

2 kap 1, 3, 7, 9 och 12 §§ tryckfrihetsförordningen, sekretesslagen (1980:100).

Närmare kommentar

Också de e-postmeddelanden som skickas ut från myndigheten till extern mottagare räknas som allmänna. De expedieras i och med att de sänds och blir därmed upprättade i lagens mening enligt huvudregeln i TF 2:3, oavsett om innehållet i handlingen avses som definitivt eller ej (se dock i det följande ang. delning). Den som skickar ut tjänste-e-post från någon annan dator än den som den anställde disponerar på tjänstestället måste också komma ihåg att se till att kopia av breven i någon form följer med tillbaka till arbetsplatsen.

Ett vanligt missförstånd bör i detta sammanhang påtalas: Många har den felaktiga uppfattningen, att alla handlingar som hör till ett ärende blir allmänna först när ärendet avslutats och beslut fattats. Verkliga förhållandet är att ett ärende i allmänhet innehåller handlingar som befinner sig på så att säga skilda stadier i sammanhanget, och det gäller oavsett om de härrör från e-postsystemet eller ej. I ärendet finns sålunda normalt utifrån inkomna och därigenom genast allmänna handlingar såsom ansökningar, yttranden mm. Vidare finns handlingar som tillkommit hos myndigheten i form av minnesanteckningar, utkast och annat arbetsmaterial och som ofta inte blir allmänna alls, om de inte tillför ärende sakuppgift eller har expedierats.

Exempel på anteckningar som tillför ett ärende sakuppgift kan vara sådana som görs i samband med referenstagning per telefon i ett tillsättningsärende, sådan dokumentation skall sparas i ärendet och blir allmän handling senast när ärendet avslutats (15§ förvaltningslagen), om den alltså inte dessförinnan expedieras. Det finns handlingar som har expedierats innan beslut fattats och som därigenom blivit upprättade och därmed allmänna, t ex utlåtanden mm som parten fått för yttrande. När så beslut till sist fattats blir alla handlingar allmänna som inte redan är det, och som inte omfattas av tidigare nämnt undantag.

Myndighetsinterna e-postmeddelanden som hör till ett ärende anses alltså upprättade senast när ärendet avslutats, om det rör sig om meddelanden som tillfört ärendet sakuppgift och som därför skall finnas kvar i handlingarna. Särskilda regler gäller för protokoll, se 2 kap 7§ andra st 3. TF.

Angående sk delning: När ett preliminärt utkast till t ex beslut eller myndighetsskrivelse cirkuleras inom eller mellan myndigheter för samråd innan innehållet slutgiltigt bestäms räknas handlingen inte som allmän, varken hos avsändande eller mottagande myndighet, så länge syftet med överlämnandet är konsultativt och inte informativt. På motsvarande sätt kan utkast till uppsatser mm som en student lämnar till en lärare för handledning betraktas.

Den formella hanteringen av de allmänna handlingarna i form av e-post

Alla allmänna handlingar, också i form av e-postmeddelanden, måste i alla led hanteras så att offentlighetsprincipens krav kan tillgodoses. Detta förutsätter bl.a. registreringssystem och arkiveringssystem.

Tillämpliga lagregler

2 kap 1, 12 15 §§ tryckfrihetsförordningen, 15 kap sekretesslagen, arkivlagen (1990:792), Riksarkivets föreskrifter (särskilt RA-FS 1997:5, 6 och 7, RA-MS 2001:50).

Närmare kommentar

E-posten skall diarieföras i samma utsträckning som konventionell post, in- och utgående. Så sker ofta inte idag, ens av den konventionella posten, men ett principiellt lagkrav finns och en bättre registreringsrutin innebär även allmänt en bättre ordning på dokumenten. Det blir möjligt både att i enlighet med lagens krav genast tillhandahålla en allmän handling på begäran och att internt överblicka handlingsbeståndet på myndigheten samt att aktivt söka information. Kraven på diarieföringen förväntas också komma att öka, i vart fall om en nyligen framlagd utredning leder till lagstiftning (Ordning och reda bland allmänna handlingar, SOU 2002:97).

Registreringen i sig gör inte handlingen till allmän utan det är de allmänna handlingarna som skall registreras. Dock undantas handlingar av ringa betydelse för myndighetens verksamhet från registreringskravet, här åsyftas reklam, cirkulär, kopior och meddelanden som kommer enbart för kännedom, inaktuella kallelser mm. Registrering får också underlåtas om handlingarna hålls så ordnade att det utan svårighet kan fastställas om en handling kommit in eller har upprättats. Så kan vara fallet med vissa särskilda hanteringssystem för rapportering av studieresultat, personaluppgifter mm.

Den e-postlista som uppkommer i vars och ens dator kan dock ej ersätta en formell registrering hos en myndighet som har så många anställda som lärosätet. I övrigt bör noteras, att e-postlistan i sig räknas som en allmän handling och att listan som sådan inte har något sekretesskydd. Det innebär t ex att en journalist som vill ta del av en anställds e-postlista har rätt till det. Listan bör då lämpligen skrivas ut. De separata e-post- breven bedöms däremot var för sig i enlighet med vad som tidigare sagts ifråga om status av allmän handling eller ej och ifråga om eventuellt sekretesskydd för innehållet.

Det finns ett klart behov att i större utsträckning dirigera tjänsteposten till funktionsadresser, som lärosätets eller institutionens, prefektens, kursens osv. e-postadress, snarare än till befattningshavarnas personliga e-postadresser genom anvisningar till studenter och andra som hör till de vanligaste avsändarna. Meddelande om dessa adresser kan lämpligen också införas på hemsidorna. En ordning med myndighetsadresser för tjänsteposten istället för personliga adresser gör det lättare för myndigheten att garantera att offentlighetsprincipen tillgodoses i verksamheten och underlättar också för den anställde att befria sin dator från SPAM genom de filtersystem som finns. Man bör alltså ge akt på att en hög grad av filtrering kan riskera att filtrera bort också legitim post och allmänna handlingar.

För den praktiska hanteringen rekommenderas att var och en omgående vidarebefordrar ett e-postmeddelande som är allmän handling till registrator för diarieföring. En fast vidarebefordringsadress till registrator kan enkelt etableras i varje anställds e-postsystem. Givetvis kan också ett e-postmeddelande skrivas ut på papper och hanteras den konventionella vägen.

Registrering bör ske samma dag som den allmänna handlingen uppkommer och fullmakt bör därför lämnas till annan anställd att öppna e-post när en anställd är borta från arbetsplatsen mer än en dag i enlighet med vad JO anser. Man bör också ha ett frånvaromeddelande som uppdateras inför varje sådan bortovaro och som klart och tydligt meddelar hur den som vill komma i kontakt med myndigheten skall göra, detta som en service åt allmänheten, särskilt bör anges hur man går tillväga för att skicka in en handling och få denna diarieförd. Ett sådant meddelande onödiggör dock inte rutiner så att myndigheten får tillgång till innehållet i en anställds dator enligt JO (2002/03:JO1 s. 500).

Vad närmare gäller rutinerna för registreringen och ordningen för denna hänvisas till de särskilda reglerna för lärosätets diarium, både för institutionerna och förvaltningen. Allmänna handlingar skall förvaras så länge och på sätt som krävs enligt gällande arkiviverings- och gallringsföreskrifter för olika slag av handlingar. Tiden varierar beroende på bl.a. ärendets art.


IT-säkerhetshandboken
http://www.susec.sunet.se