JO dnr 370-1999

AA arbetade som kriminalinspektör vid Ekobrottsmyndigheten i Malmö. Han var också samordnare för myndighetssamverkan mot ekonomisk brottslighet i Skåne (PEK-gruppen) i vilken försäkringskassan ingick. Som representanter för försäkringskassan ingick i PEK-gruppen tjänstemännen BB från kassans lokalkontor i Trelleborg och CC från kassans lokalkontor i Helsingborg.

AA tillhörde, dvs. var inskriven vid, försäkringskassans lokalkontor i Vellinge. Han uppbar arbetsskadelivränta och fick i samband med placeringen på Ekobrottsmyndigheten en inkomstökning. I juni 1998 blev han kontaktad av en handläggare vid försäkringskassan som uppgav att kassan hade fått in en anmälan om att han inte lämnat korrekta inkomstuppgifter. Efter ytterligare kontakter med försäkringskassan misstänkte AA att någon tjänsteman vid kassan obehörigen berett sig tillträde till sekretessbelagda uppgifter rörande honom i socialförsäkringens ADBregister. Han vände sig därför till Riksförsäkringsverket och begärde utdrag ur den s.k. integritetsloggen för tiden den 1 januari 1997 till den 20 oktober 1998.

Uppgifterna i loggen visade att BB under tiden januari–juni 1998 gjort sammanlagt tjugofyra förfrågningar rörande AA. BB hade den 26 januari 1998 gjort tolv förfrågningar, den 12 februari fyra förfrågningar, den 18 februari en förfrågan, den 18 mars en förfrågan, den 30 mars två förfrågningar samt den 15 april, den 27 april, den 5 maj och den 22 juni vardera en förfrågan. Uppgifterna visade också att CC den 19 mars 1998 gjort sex förfrågningar rörande AA.

Försäkringskassan utredde ärendet. Av kassans utredning framgick bl.a. följande. BB hade i slutet av januari 1998 kontaktat lokalkontoret i Vellinge, som AA tillhör, och försökt initiera en utredning om hans arbetsskadelivränta. Hon hade också omkring den 12 maj 1998 gjort en anmälan om AA till handläggaren DD vid kontoret i Vellinge. Enligt DD hade BB begärt att få vara anonym. I en

Enligt en kollega till AA – polisassistenten EE – skulle BB också i augusti 1998, när EE och BB träffades av en tillfällighet, ha tagit upp och kommenterat AA:s livränta med uttalandet: ”Det låter som ett AA-upplägg.”

AA anförde i en anmälan till JO bl.a. följande. BB har genom sitt agerande allvarligt missbrukat sin ställning vilket medfört skada för honom både som privatperson och som tjänsteman. BB har även förmått andra tjänstemän vid försäkringskassan att åsidosätta vad som ålegat dem i tjänsten. AA yrkade skadestånd med 10 000 kr för de skador som BB vållat honom.

Anmälan remitterades till försäkringskassan för yttrande över de förhållanden som – i något utförligare form – angivits ovan. I remissen angavs även att det av försäkringskassans yttrande borde framgå vilka regler som gäller för kassans tjänstemäns behörighet att använda dataregistret och hur man från försäkringskassans sida informerar om de behörighetsregler som gäller.

Försäkringskassans utredning

Försäkringskassan – direktören FF – redogjorde i remissvaret för ärendet och för vad tjänstemännen BB, DD, GG och CC hade uppgett.

BB uppgav sammanfattningsvis följande. Under mötena i den s.k. PEK-gruppen hade man ofta nämnt AA och hans livränta. BB gjorde därför den 26 januari 1998 en rad dataslagningar på AA. Hon visade resultatet för en kollega som också ansåg att ärendet borde utredas. Kort därefter besökte BB lokalkontoret i Vellinge och nämnde då för en handläggare där att AA borde bli föremål för utredning. Vid sitt nästa besök på Vellingekontoret hörde hon sig för om något hänt och lämnade också AA:s personnummer. Den 12 februari 1998 gjorde hon en rad dataslagningar för att se om något hänt i ärendet, vilket det, såvitt framgick, inte hade gjort. Hon gjorde därefter upprepade dataslagningar, bl.a. den 18 mars 1998, för att se om något hänt i ärendet. BB förnekade att hon i anslutning därtill skulle ha ringt anonymt till CC vid kontoret i Vellinge. I maj 1998, troligen omkring den 12 maj, åkte hon bil tillsammans med handläggaren DD från kontoret i Vellinge. Hon frågade då henne vem som var handläggare av AA:s ärende. DD svarade att hon var en av handläggarna av ärendet. BB undrade hur ärendet fortskred. DD svarade att hon nyligen fått ärendet och att det var mycket besvärligt. BB förnekade att hon

DD uppgav sammanfattningsvis följande vad gäller de journalanteckningar som hon den 14 maj 1998 respektive den 27 juli 1998 antecknade i AA:s journal. Journalanteckningen den 14 maj 1998 hade följande lydelse: ”Anonym anm. per tel. som uppger att AA fr.o.m. 1998-06-01 tillträder en ny befattning med 3 000: - mer per mån. Handl. överlämnas till GG som efter omorganisation är ny handläggare.” Journalanteckningen den 27 juli 1998 hade följande lydelse: ”Tel fr. AA. Vill ha mer info ang. anonyma anm. Jag har ej akten framme men uppger vad som står i journalen 980514 och att vad jag kan komma ihåg var anmälaren en kvinna med skånsk dialekt.” DD uppgav att BB uttryckligen begärt att få vara anonym under hänvisning till sitt arbete i PEK-gruppen, vars chef AA var. DD hade känt sig tveksam till att gå med på BBs begäran, men gjorde det för hon kände att hon ville skydda en arbetskamrat. När det gäller journalanteckningen den 27 juli 1998 hade hon känt sig tvungen att hålla fast vid att det var en anonym anmälan. Hon kunde inte ge någon förklaring till att hon dessutom lade till att det rört sig om en kvinna som talade med skånsk dialekt. Hon hade känt sig pressad av att hon gått med på BB:s krav på att få vara anonym. BB hade vid flera tillfällen återkommit och frågat DD vad som hänt i ärendet, men DD hade svarat undvikande. Vid ett tillfälle hade DD frågat BB rent ut om hon fortfarande ville vara anonym, vilket hon ville.

GG uppgav följande. Hennes befattning med AA:s ärende började den 14 maj 1998. Hon hade enbart betraktat det som ett vanligt efterkontrollsärende och handlagt det som ett sådant.

CC uppgav sammanfattningsvis följande. Han fick den 19 mars 1998 ett anonymt samtal från en kvinna gällande AA:s livränta. Han fick intryck av att kvinnan ringde från en myndighet, men han kände inte igen rösten och han vet inte vem som ringde. Det hörde till ovanligheterna att han blev anonymt kontaktad rörande någon som bodde på annan ort än i Helsingborg. Han medgav att han gjorde fel som inte dokumenterade anmälan och vidarebefordrade den till vederbörande kontor. Det berodde enbart på slarv från hans sida. Anledningen till att han gjorde dataslagningar rörande AA var för att utröna om det låg någon substans i den anonyma anmälan.

Försäkringskassan anser att BB mot bakgrund av den mängd frågetransaktioner hon gjort och hennes begäran att få vara anonym varit väl medveten om att hon inte haft behörighet att blanda sig i handläggningen av AA:s ärende.

Vad gäller DDs agerande anser försäkringskassan att det handlar om brister i det förvaltningsrättsliga förfarandet som ter sig mycket anmärkningsvärda. GG:s befattning med ärendet har däremot inte varit behäftad med brister. Vad slutligen gäller CC har hans handläggning av ärendet utvisat stora brister. Försäkringskassan anser att CC, som inom Helsingsborgskontoret arbetar med PEK- ärenden, härigenom får anses ha haft behörighet att företa den första men inte de följande frågetransaktionerna. Den första transaktionen gällde nämligen en 030-bild, som utvisar den anmäldes identitet och adress. Eftersom CC därigenom måste ha sett att det rörde sig om en person som tillhörde ett annat lokalkontor borde han då ha vidarebefordrat anmälan till det kontoret.

Avslutningsvis har försäkringskassan redogjort för vilka regler som gäller för behörigheten att använda dataregistret och hur man från kassan informerar om detta. Därav framgår följande.

Regler gällande behörighet att använda dataregistret och kassans information om gällande behörighetsregler

I Riksförsäkringsverkets föreskrift 1993:22, som har upphört att gälla fr.o.m. juli 1998, stadgades om ADB-säkerhet vid den tekniska hanteringen av ADB-systemet rörande ADB-säkerhet, driftsansvar, systemansvariga tjänstemän samt regler om bestämmande av behörighet för de tjänstemän som tilldelats behörighetskort.

En tjänsteman har endast behörighet att ta del av de uppgifter han behöver för att kunna utföra sina arbetsuppgifter. Behörigheten följer alltså av tjänsteåliggande, inte av innehavet av det s.k. behörighetskortet. I systemet är inbyggt möjligheten att göra begränsningar i behörighetskortets användningsområde. Detta innebär att behörighetskort för t.ex. en handläggare inom pensionsområdet begränsas till att omfatta endast de registeruppgifter som han behöver tillgång till för att kunna utföra sitt arbete.

Denna erinran torde rättsligt inte ha större värde än den s.k. tystnadspliktsförbindelsen, vilken endast tjänar som upplysning om förekomsten av tystnadsplikt, som följer av SekrL och som gäller för tjänstemannen alldeles oavsett om han har skrivit på någon förbindelse eller ej.

Försäkringskassan informerar kontinuerligt om behörighetsregler och kontroll rörande efterlevnaden av datasäkerhets- och sekretessföreskrifter och även information särskilt om bestämmelserna i SekrL.

Med anledning av det inträffade har informationsinsatserna förstärkts och regelverket har ingående behandlats vid två temadagar under mars 1999 för försäkringsenhetens lokalt funktionsansvariga för förvaltningsrätt och sekretess. Vidare har kassans ledning nyligen vid konferens för lokalkontorens chefer framhållit, att ledningen ser allvarligt på förseelser rörande sekretess och ADB-säkerhet och att arbetet med utarbetande av policy- dokument för den nya Skånekassan är påbörjat, vari kommer att ingå en sanktionsrutin vid konstaterade förseelser.

AA har tagit del av remissvaret. Han har förklarat sig inte ha något att tillägga.

I Riksförsäkringsverkets före den 1 juli 1998 gällande föreskrifter (RFFS 1993:22) om ADB-säkerheten hos Riksförsäkringsverket och de allmänna försäkringskassorna angavs i 14 § att de ADB-system som innehåller personuppgifter eller är av väsentlig betydelse för verksamheten skall skyddas av behörighetskontrollsystem, om det inte är uppenbart obehövligt. Den anställde skulle inte ges vidare behörighet att ta del av eller påverka innehållet i sådana ADB-system än vad han behövde för att kunna sköta sina arbetsuppgifter. Behörigheten gällde endast rätt att utnyttja registren för handläggning av tjänsteärenden. Behörigheten var personlig och fick inte överlåtas.

Enligt 21 § i den då gällande datalagen (1973:289) kunde den som olovligen beredde sig tillgång till upptagning för automatisk databehandling dömas för dataintrång till böter eller fängelse i högst två år.

Av utredningen framgår att BB vid sammanlagt 24 tillfällen under tiden den 26 januari–den 22 juni 1998 gjort förfrågningar rörande AA i socialförsäkringens ADB-register, trots att hon inte handlagt något ärende rörande honom och han dessutom tillhörde ett annat lokalkontor. BB har hävdat att det enbart var hennes starka engagemang för att försäkringskassans verksamhet skall vara effektiv som låg bakom hennes handlande. Det stora antalet förfrågningar i ADB-registret, vilka skett under flera månader, ger dock intryck av att det även skulle kunna finnas

Jag anser det vidare klarlagt att BB olovligen berett sig tillgång till socialförsäkringens dataregister. De objektiva rekvisiten i 21 § datalagen är således uppfyllda. Omständigheterna är sådana att jag har övervägt att inleda förundersökning. Vid en samlad bedömning av vad som inträffat har jag emellertid stannat för att avstå från en sådan åtgärd. Jag har därvid beaktat BB:s påståenden om att hon dels endast haft socialförsäkringens effektivitet i åtanke, dels inte förstått att hon överskred sin behörighet när hon gick in i dataregistret. Jag anser därför att BB:s handlande mer utmärkts av oförstånd och bristande kunskap om gällande regler än av en medveten önskan att skada AA. Jag stannar därför vid att rikta synnerligen allvarlig kritik mot BB för hennes agerande.

DD

Av utredningen framgår att DD, efter sitt samtal med BB, den 14 maj 1998 antecknat i AA:s journal att hon mottagit en anonym anmälan rörande denne. Detta gjorde hon trots att hon visste vem uppgiftslämnaren var. Hon har därefter, den 27 juli 1998, vid ett telefonsamtal med AA vidhållit att det var en anonym anmälan och också lagt till en mer detaljerad beskrivning av den som ringde. Jag anser att det är synnerligen anmärkningsvärt att en tjänsteman vid försäkringskassan medvetet ljuger om en uppgift. DD förtjänar allvarlig kritik för sitt agerande.

CC

Som försäkringskassan angett i sitt remissvar har CC förfarit felaktigt dels genom att företa förfrågningar som han saknade behörighet till, dels genom att underlåta att efter dokumentation av det anonyma samtalet vidarebefordra ärendet till behörigt kontor. För vad nu sagts förtjänar han kritik.

Övrigt

I övrigt har inte något framkommit som motiverar ett uttalande från min sida. JO är inte heller behörig att pröva frågor om skadestånd.

Ärendet här avslutas.