JK 7414-08-21

Bakgrund

I e-brev till Justitiekanslern har pseudonymen SR ifrågasatt Migrationsverkets rutiner för post- och utskriftshantering. Han har anfört, i huvudsak, följande. Migrationsverket har enligt ett avtal överlåtit åt Posten AB att hantera verkets utskick. Verkets handläggare skickar via sina datorer centrala utskriftsorder direkt till Posten AB. Utskrifterna kan avse dokument, exempelvis beslut, som innehåller sekretessbelagd information. Migrationsverket har ingen kontroll över hur materialet hanteras hos Posten AB och vilka som eventuellt får del av sekretessbelagt material. Det saknas lagstöd för att anställda hos Posten AB ska få ta del av sekretessbelagt material från Migrationsverket på det sätt som nu sker.

Utredningen

Med anledning av SRs anmälan beslutade Justitiekanslern att inhämta ett yttrande från Migrationsverket. Verket har i ett yttrande hit anfört följande.

[…]

Migrationsverket har senast i juni 2007 tecknat avtal med Posten AB om brevförmedlingstjänster. Avtalet gäller fram till 090331 med möjlighet till förlängning och är ett s.k. avropsavtal som ansluter till ramavtal som Skatteverket och Posten AB tecknade i januari samma år (dnr 1325400015-06/21). Verket och Posten AB har senast i mars 2008 även tecknat avtal om utskriftstjänster. Migrationsverkets avtal innebär sammanfattningsvis att Posten AB för verkets räkning skriver ut, automatkuverterar och expedierar de beslut som överförts på datamedia från verket till Posten AB. Utskick sker med A-post i enlighet med verkets säkerhetsbestämmelser (skyddsgrad 1). I avtalen finns sekretessklausuler och andra villkor i syfte att säkra hanteringen av materialet. Verket har exempelvis rätt att besöka Posten AB för kontroll av hanteringen. Verket har tidigare genomfört en sådan kontroll och avser att göra en förnyad kontroll under året.

Verket har hittills inte fått anledning att ifrågasätta Posten AB:s utförande av de upphandlade tjänsterna enligt avtalen.

[…]

Migrationsverket har till sitt yttrande fogat kopior av, såvitt framgår, avtalsvillkor, bl.a. sekretessklausuler, som ingår i verkets avtal med Posten AB.

SR har kommenterat Migrationsverkets yttrande och har därvid i huvudsak vidhållit sitt klagomål. 

Med anledning av det som hade framkommit i ärendet beslutade Justitiekanslern att inhämta ett kompletterande yttrande från Migrationsverket. Den fråga som Justitiekanslern ville få särskilt belyst var på vilken grund verket ansåg att sekretesslagstiftningen inte träddes för när genom att verket anlitade en privaträttslig juridisk person som extern uppdragstagare för sina kuverterings- och utskriftstjänster. Verket har i ett nytt yttrande hit anfört följande.

[…]

För att kunna möta regeringens målsättning att förkorta den sammanlagda handläggningstiden i asyl- och tillståndsärenden har Migrationsverket bedömt det som nödvändigt att se över samtliga delar av ärendeprocesserna.

En upphandling av centrala utskrifts- och utskickstjänster möjliggör för verket att frigöra resurser för den egentliga verksamheten.

Som jag [Migrationsverkets generaldirektör, Dan Eliasson; Justitiekanslerns anmärkning] nämnt i yttrandet den 24 februari har verket i avtalet med Posten AB tillförsäkrat sig om att sekretessaspekterna tillgodoses på ett tillfredsställande sätt. I överensstämmelse med avtalet är Posten, i egenskap av personuppgiftsbiträde enligt Personuppgiftslagen (1998:204), skyldigt att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter i form av datafiler som verket överför. Posten får inte behandla personuppgifterna för något annat ändamål eller på något annat sätt än vad som är nödvändigt för att den avtalade tjänsten ska kunna utföras. Åtkomst till personuppgifterna ska vidare begränsas till personer som behöver dem för att kunna utföra sina arbetsuppgifter. Anställda hos Posten AB omfattas av bestämmelserna om tystnadsplikt i Postlagen (1993:1684). 

I enlighet med avtalet har Migrationsverket senast den 25 juni 2009 gjort kontrollbesök hos Posten AB i Solna. Vid besöket medverkade verkets och Postens säkerhetschefer och kontroll gjordes av bl.a. organisation, rutiner, processer och destruktion.

Vid besiktningen har Migrationsverket funnit att de brister och risker som påstås i anmälan inte är realistiska eller ens genomförbara. Strålfors, dotterbolag till Posten AB, bedriver på anläggningen en högt säkrad industriell produktion.

Personalen är kontrollerad mot brottsregistret. 

I produktionen laddas linjerna för produktion med en datafil från nätverket. Filen innehåller kundens uppdrag. När produktionen startas rullar pappret med en så hög hastighet att det inte kan läsas vid bandet. Stickprov genomförs genom att stoppa bandet för att säkra att produktionen kvalitetsmässigt är tillräckligt hög. Detta innebär ingen risk för att obehörig skulle komma åt uppgifterna eftersom upprepade stopp skulle noteras. 

Från att produktionen startas med verkets datafil med det aktuella uppdraget bryts inte flödet förrän, vid maskinens andra ände, kuverten sluts med innehållet. Saknade blad eller brev rapporteras som en felaktighet och skulle omedelbart uppmärksammas.

De organisatoriska, tekniska och faktiska förhållandena hos Posten AB uppvisar en hög grad av säkerhet. Risken för att personuppgifter ska komma obehöriga till del torde därför vara i princip obefintliga och jag bedömer att de upphandlade tjänsterna utförs på avtalat sätt.

Migrationsverket kommer fortsatt att besöka Posten AB och Strålfors för att säkerställa att kvaliteten för vår beställda tjänst bibehålls.

Relevanta regler om sekretess

Offentlighets- och sekretesslagen (2009:400) (OSL) innehåller bestämmelser om tystnadsplikt i det allmännas verksamhet och om förbud att lämna ut allmänna handlingar. Bestämmelserna avser förbud att röja uppgift, vare sig det sker muntligen eller genom att en allmän handling lämnas ut eller det sker på annat sätt (1 kap. 1 § OSL). En uppgift för vilken sekretess gäller enligt OSL får inte röjas för någon enskild i andra fall än som anges i denna lag eller i någon lag eller förordning till vilken denna lag hänvisar (8 kap. 1 § OSL).

Av 10 kap. 2 § OSL följer att sekretess inte utgör hinder mot att en uppgift lämnas ut om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet.

Regler om sekretess avseende utlänningar och hos Migrationsverket finns i 21 kap. 5 § och i 37 kap. OSL. Bestämmelserna innehåller ett s.k. rakt skaderekvisit, dvs. det råder en presumtion för offentlighet.

Ramavtal om brevförmedlingstjänster m.m.

I förordningen (1998:796) om statlig inköpssamordning finns bestämmelser om inköpssamordning i syfte att åstadkomma besparingar för staten.

Enligt förordningens 2 § ska det finnas ramavtal eller andra gemensamma avtal som effektiviserar upphandlingarna för varor och tjänster som myndigheterna upphandlar ofta, i stor omfattning eller som uppgår till stora värden.

Förordningen gäller för myndigheter under regeringen, däribland Migrationsverket, som har rätt att sluta avropsavtal genom de statliga ramavtalen.

Det finns ett antal ramavtalsområden som omfattas av den statliga inköpssamordningen. Ett av dessa är brevförmedlingstjänster, för vilket område Skatteverket är ramavtalsansvarig myndighet.

Skatteverket har senast i mars 2009 förlängt respektive träffat nya ramavtal om brevförmedlingstjänster inom olika områden med ett antal postoperatörer. Ramavtalen innehåller bl.a. tjänster för förmedling av inrikes och utrikes brevförsändelser, inrikes brevsändningar, frankeringsservice, förmedling av expressbrev samt inrikes periodiskt utkommande tidningar och tidskrifter.

Justitiekanslern har genom muntliga underhandskontakter med Skatteverket inhämtat i huvudsak följande. I brevförmedlingstjänster ingår endast s.k. bastjänster för postbefordran. Tjänsten innebär i korthet att postoperatören hämtar och lämnar kuverterad post hos myndigheten i fråga. Sålunda omfattas inte sådana närliggande tjänster som exempelvis kuverterings- och utskriftstjänster. En myndighet kan inte heller genom ett avropsavtal inkludera dylika tjänster i ramavtalen för brevförmedlingstjänster. Den myndighet som vill träffa avtal om kuverterings- och utskriftstjänster är således hänvisad till att ingå separata avtal härom efter en egen upphandling. Vissa myndigheter tillämpar särskilda säkerhetsskyddsåtgärder vid befordran av exempelvis dokument, handlingar och datamedier. Avropsavtalen kan i förekommande fall kompletteras med särskilda säkerhetsföreskrifter.

JO:s ämbetsberättelse 1982/83 s. 238

I ett beslut den 11 mars 1982 (dnr 149-1980) behandlade Riksdagens ombudsmän (JO) principfrågan om det kunde anses vara lagligt och i så fall lämpligt att dåvarande skattemyndigheterna lämnade ut sekretessbelagda handlingar (deklarationer, kontrolluppgifter, arbetsgivaruppgifter) till privata dataföretag, s.k. servicebyråer, för registrering (se JO:s ämbetsberättelse 1982/83 s. 238). JO konstaterade att så var fallet, under förutsättning att åtgärden verkligen var nödvändig och hänvisade till 1 kap. 5 § sekretesslagen (nu 10 kap. 2 § OSL). Av betydelse i sammanhanget förefaller ha varit att avtalen mellan skattemyndigheterna och servicebyråerna innehöll klausuler om tystnadsplikt.

JO gjorde även vissa uttalanden om hur förfarandet med servicebyråernas åtaganden lämpligen skulle ordnas för att på bästa sätt tillgodose sekretesslagens skyddsintressen. Han betonade bl.a. vikten av restriktivitet när det gällde att lämna ut sekretessbelagt material utanför myndighetssfären. Vidare anförde JO att när det gällde uppgifter om fysiska personer tillgodosågs skyddsintresset på ett i huvudsak tillfredsställande sätt genom tystnadspliktsregeln i dåvarande 13 § datalagen (1973:289). Uppgifter om juridiska personer skulle emellertid alltjämt registreras av skattemyndigheterna, eftersom datalagens tystnadspliktsregel inte var tillämplig på dylika uppgifter och det kunde diskuteras om en avtalsreglerad tystnadsplikt i tillräcklig utsträckning tillgodosåg skyddsintresset i dessa situationer.

Sammantaget fann JO att om det var nödvändigt att lägga ut registreringsarbete på en servicebyrå skulle myndigheterna sträva efter att lämna ut endast sådant material där uppgifterna primärt gällde fysiska personer, för vilka dåvarande datalagens tystnadspliktsregel alltså skulle bli tillämplig.

För fullständighetens skull kan noteras att i 13 § första stycket datalagen föreskrevs följande:

Registeransvarig eller annan som tagit befattning med personregister eller med uppgifter som samlats in för att ingå i sådant register får inte obehörigen röja vad han till följd därav fått veta om enskilds personliga förhållanden. I det allmännas verksamhet tillämpas i stället för vad som nu har sagts bestämmelserna i sekretesslagen (1980:100).

Regler om behandling av personuppgifter finns numera i personuppgiftslagen (1998:204) (PUL). Regler om säkerheten vid behandling av personuppgifter finns bl.a. i 30 och 31 §§ PUL.

Av JO:s beslut följer att en myndighet, under vissa förutsättningar, kan överlåta åt en privaträttslig juridisk person att hantera myndighetens sekretessbelagda material. 

I sammanhanget bör noteras att det föreligger en inte obetydlig skillnad mellan JO:s ärende och den anmälan som Justitiekanslern nu har att ta ställning till. Det ärende som var föremål för JO:s prövning avsåg nämligen sekretessbelagda uppgifter på skatteområdet. För dessa gällde absolut sekretess enligt dåvarande 9 kap. 1 § sekretesslagen. Reglerna om sekretess avseende utlänningar och hos Migrationsverket innehåller däremot ett rakt skaderekvisit, dvs. det råder en presumtion för offentlighet.

Överväganden avseende Migrationsverkets avtal om brevförmedlings-, kuverterings- och utskriftstjänster

Ramavtalen för brevförmedlingstjänster förutsätter, som redan har framgått, att de handlingar som är föremål för postbefordran kuverteras hos respektive handläggande myndighet. Postoperatören får därmed inte tillgång till innehållet i försändelserna och den sekretessproblematik som granskas i detta ärende gör sig därmed inte gällande.

Saken kommer emellertid i ett annat läge när en myndighet som i detta fall anlitar en privaträttslig juridisk person som extern uppdragstagare för kuverterings- och utskriftstjänster. Vid sådana uppdrag kan uppdragstagaren få direkt tillgång till innehållet i skriftligt material som har upprättats hos myndigheten och som kan vara sekretessbelagt.

Migrationsverket har slutit ett avropsavtal om brevförmedlingstjänster och har även ingått avtal om kuverterings- och utskriftstjänster med Posten AB.

Av verkets yttranden i ärendet framgår att verket har uppmärksammat den sekretessproblematik som avtalen om kuverterings- och utskriftstjänster kan innebära. Utredningen visar att verket har vidtagit adekvata åtgärder för att säkerställa att reglerna om sekretess enligt OSL respektive PUL inte träds för när.

Migrationsverket menar att de brister och risker som framhålls i anmälan inte föreligger. Jag anser mig, mot bakgrund av vad som har redovisats, inte ha anledning att ifrågasätta verkets uppfattning härom.

Jag anser mig sålunda inte ha anledning till kritik mot Migrationsverket i ärendet.