JO dnr 7919-2017

I augusti 2017 publicerade Svenska Dagbladet två artiklar om att regionpolischefen AA använt sin privata e-postadress för kommunikation i tjänsten med personer inom polisen och för att vidarebefordra mejl till sig själv från sin polisiära e-postadress. Enligt tidningens granskning hade AA genom den privata e-postadressen skickat sammanlagt 666 mejl och tagit emot 178 mejl under det senaste året. I artiklarna anges att mejlen bl.a. innehöll ekonomiunderlag och uppgifter om polisens underrättelseverksamhet och satsningar på prioriterade områden.

Mot bakgrund av uppgifterna i artiklarna inledde jag en utredning om AA:s användning av sin privata e-postadress i tjänsten.

Polismyndigheten uppmanades att yttra sig över AA:s användning av sin privata e-postadress i tjänsten och redogöra för myndighetens rutiner och riktlinjer för användning av e-post i tjänsten samt för registrering av mejl som utgör allmänna handlingar.

Polismyndigheten (chefen för rättsavdelningen BB) yttrade sig efter att ha gett berörda befattningshavare tillfälle att lämna upplysningar.

Polismyndigheten lämnade följande redogörelse för bakgrunden och myndighetens riktlinjer.

I […] artiklar i massmedia, publicerade den 11–12 augusti 2017 [– – –] uppgavs sammanfattningsvis att regionpolischefen AA under ”det senaste året” vid ett stort antal tillfällen hade använt sin privata e-postadress för tjänstrelaterade mejl och att mejlen, i vart fall till viss del, varit av känslig karaktär.

Med anledning av de aktuella tidningsuppgifterna och efter en anmälan av AA själv, genomfördes en utredning vid avdelningen för särskilda utredningar (SU) avseende misstanke om tjänstefel under perioden 2015-07-31–2017-08-14. Som ett led i utredningen gjorde SU en analys av AA:s utgående e-posttrafik under perioden 2017-01-01–2017-08-01. Vid analysen undersöktes särskilt om AA hade skickat någon känslig eller sekretessbelagd information från sin polisiära e-postadress till sin privata e-postadress. Utöver e-postloggen undersöktes också vissa mejl och bilagor som hade valts ut på grundval av rubrik och mottagare. Undersökningen visade inte att något av de undersökta mejlen hade innehållit någon känslig eller sekretessbelagd information som skulle kunna föranleda misstanke om brott. Inte heller framkom någon annan omständighet som gav anledning att anta att AA:s användande av sin e-post hade varit brottslig på något annat sätt. Med hänvisning till det nu sagda beslutade en åklagare vid Åklagarmyndighetens särskilda åklagarkammare att inte inleda någon förundersökning mot AA.

Särskilt om den s.k. mobilitetslösningen

I samband med att Polismyndigheten bildades i januari 2015 skapades en ny teknisk lösning – mobilitetslösningen – för att göra det möjligt för poliser i yttre tjänst att ha tillgång till bl.a. e-post i sin mobiltelefon. Den version av mobilitetslösningen som introducerades under 2015 var utformad så att användaren var tvungen att använda ett Apple-ID vid ”starten” av sin mobila enhet (telefon, iPad etc.) för att kunna göra vissa ”gratisköp” i AppStore som behövdes för att registrera enheten och ladda ned appar som skulle användas för aktivering i mobilitetslösningen. Det var av olika anledningar inte möjligt att använda det arbetsrelaterade e-postkontot för detta. I stället råddes användarna att använda en privat e-postadress för att göra de nödvändiga gratisköpen [– – –].

Den beskrivna lösningen som använts för att aktivera den mobila enheten innebar dock inte att avsikten var att den privata e-postadress som använts för att aktivera den mobila enheten skulle användas för att skicka e-post i tjänsten. Det har inte heller behövts något Apple-ID för detta. Det har hela tiden varit möjligt att enbart använda det tjänsterelaterade e-postkontot även om det också varit möjligt att aktivera och använda det e-postkonto som var knutet till aktuellt Apple-ID. Det finns dock inte något som hindrar att mejl skickas från en tjänsterelaterad e-postadress till en privat. Efter att registreringsprocessen förbättrats under 2017 behövs det numera inte något Apple-ID för registrera tjänstemobiler.

Under perioden 2015-01-01–2018-01-10 gällde Polismyndighetens handbok för e-posthantering (PM 2015:18) och E-postguiden – en handbok om funktioner och anpassningar i Polisens e-postmiljö. Dessa dokument [– – –] upphävdes den 10 januari 2018 och ersattes av Polismyndighetens nu gällande riktlinjer för e-posthantering (PM 2017:22).

I 2015 års handbok finns bl.a. information om vad som gäller beträffande diarieföring, gallring och arkivering av e-post, såväl intern som extern. Av handboken framgår att informationen bygger på Polismyndighetens interna föreskrifter och allmänna råd om postbehandling och diarieföring (PM 2015:24, FAP 181-1).

Den 21 juni 2016 trädde Polismyndighetens riktlinjer för mobil elektronisk utrustning (PM 2016:43) i kraft. Bestämmelserna i dokumentet gäller för arbetstagare som blivit tilldelad mobil it-utrustning i samband med sin anställning. Med mobil it-utrustning avses mobiltelefon, surfplatta eller motsvarande. I riktlinjerna behandlas bl.a. regler om allmän handling (avsnitt 3), säker hantering (avsnitt 4) och frågor om privat användande av utrustningen (avsnitt 6).

Av PM 2015:18 (avsnitt 2.3) framgår att alla medarbetare vid Polismyndigheten som har en personlig e-postadress i myndighetens e-postsystem (@polisen.se) ansvarar för att e-brev som kommer in eller skickas hanteras på ett korrekt sätt i enlighet med vad som anges i handboken. Vidare sägs att medarbetaren – under iakttagande av vissa villkor – får använda den personliga e-postadressen för privat bruk. I handbokens avsnitt 3 behandlas vad som får skickas via e-post. Bl.a. sägs att information som har ett särskilt högt skyddsvärde endast får skickas med e-post från Polismyndighetens e-postsystem till myndigheter som har anslutit sig till det s.k. SGSI-nätverket. I avsnittet anges också att det är avsändarens ansvar att ta ställning till om det är lämpligt att skicka den aktuella informationen via e-post. Vidare upplyses att om extern e-post skickas via internet kan detta jämföras med att skicka ett vykort eftersom utomstående då kan läsa allt som står i mejlet.

Polismyndigheten redovisade följande synpunkter från AA.

Av de uppgifter som AA har lämnat och den övriga utredningen i ärendet framgår att han under en period har använt sin privata e-postadress inom ramen för mobilitetslösningen för att skicka och ta emot e-postmeddelanden som haft anknytning till hans utövande av tjänsten som regionpolischef. AA har vidare redovisat de förutsättningar som gällde för att kunna använda mobilitetslösningen [– – –] och hänvisat till att han vid användandet av sin privata e-postadress hela tiden har iakttagit reglerna i Polismyndighetens handbok för e-posthantering (PM 2015:18).

AA har framfört att det ur hans perspektiv främst har varit fråga om ett fel i handhavandet av e-postappen i tjänstetelefonen till följd av appens utformning. I appen var både det privata e-postkontot och det tjänsterelaterade inlagda, med det privata kontot som förvalt. Det betyder att det krävdes en åtgärd för att det tjänsterelaterade kontot skulle aktiveras i appen när ett e-postmeddelande skulle skickas. Det hände dock att han i brådskande arbetssituationer använde det förinställda e-postkontot för att få en snabb hantering av e-posten. AA menar också att det var ganska svårt att vid hanteringen av e-post se vilket e-postkonto som var aktiverat vid varje tillfälle och att det därför fanns en risk för förväxling av kontona. Den risken är känd av it-avdelningen som sedan lång tid arbetat för en lösning av problemet. Sedan hösten 2017 är den privata e-postadressen markerad med röd text för att uppmärksamma användaren på att det är denna som är aktiverad. Den funktionen fanns dock inte under den tidsperiod som nu är ifråga. Mot bakgrund av det nu sagda menar AA sammanfattningsvis att det från hans sida inte har varit fråga om ett medvetet val av den privata e-postadressen

AA har vidare framhållit att de e-postmeddelanden han skickat från sin privata e-postadress har varit av olika slag, bl.a. tidningsartiklar, reklam, massutskick, kallelser till möten, mötesanteckningar, statistik och e-post från chefer och deras medarbetare av icke-känslig natur. Merparten av e-posten handlar endast om artiklar, reklam och kallelser vilket AA också anser vara av stor betydelse för bedömningen i ärendet. Han har också framhållit att uppgifterna i tidningsartiklarna om antalet mejl inte stämmer eftersom det finns en hel del dubbletter av meddelanden i de e-postlogglistor som lämnats ut. Sedan sensommaren 2017 har han endast undantagsvis använt sin privata e-postadress i tjänsten enligt gällande regler.

Polismyndigheten redovisade följande bedömning.

AA:s användande av en privat e-postadress i tjänsten

AA har använt sin tjänstemobil för att skicka ett flertal tjänsterelaterade e-postmeddelanden från sin polisiära e-postadress till sin privata e-postadress och vice versa. Det har, som även AA själv synes mena, varit fråga om åtgärder som han har vidtagit inom ramen för sin tjänst som regionpolischef. Enligt Polismyndighetens mening har det alltså inte, utom möjligen i några enstaka fall, varit fråga om ett privat användande av telefonen från AA:s sida.

Eftersom AA har använt en privat e-postadress har den tjänsteinformation som skickats varit åtkomlig för utomstående. Som redovisats ovan har i myndighetens styrdokument tydligt upplysts om att extern e-post som skickas via internet kan jämföras med att skicka ett vykort.

Utredningen ger visserligen inte stöd för att det har varit fråga om några känsliga eller sekretessbelagda uppgifter i de aktuella mejlen. Polisanställda ska emellertid vid utförandet av sitt uppdrag agera på ett sätt som stärker förtroendet hos allmänheten. Redan risken för att en polisanställds hantering av mejl i tjänsten kan uppfattas som mindre omsorgsfull ur ett säkerhetsperspektiv innebär därför, enligt Polismyndighetens mening, att det kan ifrågasättas om hanteringen har skett på ett godtagbart sätt.

AA har anfört att det som inträffat inte berodde på ett medvetet val av den privata e-postadressen utan snarare en praktisk hantering för stunden av okänslig e-post. Även om polisens mobilapplikation för mobilitetslösningen var utformad på ett sätt som medförde risk för förväxling av e-postkonton, har myndighetens styrdokument inte anvisat möjligheten att använda en privat e-postadress i tjänsten. Tvärtom har det tydligt upplysts om riskerna med extern e-postkommunikation via internet. Utgångspunkten för Polismyndighetens bedömning är därför att en omsorgsfull användare av polisens mobilitetslösning, för att undvika risk för ett ifrågasättande av e-posthanteringen utifrån ett säkerhetsperspektiv, rimligen måste använda lösningen med stor omsorg och noggrannhet. Användaren måste således bl.a. bemöda sig om att kontrollera att den privata e-postadressen inte används i tjänsten. Detta gäller särskilt om lösningen medger den förväxlingsrisk som AA pekat på.

Mot angiven bakgrund och med beaktande av att myndighetens styrdokument inte har anvisat möjligheten att använda en privat e-postadress i tjänsten samt att det tydligt upplysts om riskerna med extern e-postkommunikation via internet, borde AA ha iakttagit större omsorg vid hanteringen av polisens mobilitetslösning och undvikit att använda sin privata e-postadress i tjänsten.

Även om det saknas stöd för slutsatsen att känsliga eller sekretessbelagda uppgifter har röjts anser Polismyndigheten sammanfattningsvis att AA inte borde ha använt sin privata e-postadress i tjänsten och särskilt inte i den omfattning som skett.

Registrering av e-post

När det gäller frågan om Polismyndighetens rutiner och riktlinjer för registreringen av e-postmeddelanden som utgör allmänna handlingar kan följande anföras.

Mobilitetslösningen är utformad på ett sådant sätt att alla e-postmeddelanden som skickas till eller från AA:s personliga e-postadress – oavsett om meddelandet skickas från eller till en polisrelaterad eller en privat e-postadress – registreras i Polismyndighetens e-postlogg.

Av 6 kapitlet 1 § i Polismyndighetens arbetsordning framgår att det åligger den enskilde arbetstagaren att se till att meddelanden som utgör allmänna handlingar diarieförs.

Avslutande synpunkter

Vad som framkommit i utredningen visar inte annat än att det som inträffat är att betrakta som ett enskilt fall. Det kan trots detta finnas skäl att i myndighetens riktlinjer förtydliga att en privat e-postadress inte ska användas i tjänsten, såvida inte det är motiverat med hänsyn till att det föreligger en nödsituation eller liknande.

Grundläggande regler om allmänna handlingars offentlighet finns i 2 kap. tryckfrihetsförordningen (TF). Kapitlet har den 1 januari 2019 genomgått vissa språkliga och redaktionella ändringar varvid flera av bestämmelserna fått ett nytt paragrafnummer (se SFS 2018:1801). Nedan hänvisas till de paragrafnummer som numera gäller.

Enligt 2 kap. 4 § TF är en handling allmän om den förvaras hos en myndighet och enligt 9 eller 10 § är att anse som inkommen dit eller upprättad där.

Enligt huvudregeln i 2 kap. 9 § TF anses en handling ha kommit in till en myndighet när den har anlänt dit eller kommit en behörig befattningshavare till handa.

Brev eller annat meddelande som är ställt personligen till den som innehar befattning vid en myndighet anses som allmän handling, om handlingen gäller ett ärende eller annan fråga som ska handläggas av myndigheten och inte är avsedd för mottagaren endast som innehavare av annan ställning ( 2 kap. 8 § TF ). En handling som enligt denna bestämmelse är att anse som allmän, har denna egenskap oavsett om den har anlänt till myndighetens lokaler eller

Huvudregeln är att allmänna handlingar ska registreras så snart de har kommit in till eller upprättats hos en myndighet. Handlingar som inte omfattas av sekretess behöver dock inte registreras om de hålls ordnade så att det utan svårighet kan fastställas om de har kommit in till eller upprättats hos myndigheten. Om det är uppenbart att en allmän handling är av ringa betydelse för myndighetens verksamhet, behöver den varken registreras eller hållas ordnad. (Se 5 kap. 1 § offentlighets- och sekretesslagen , OSL.)

Bestämmelsen i 5 kap. 1 § OSL om att allmänna handlingar ska registreras så snart de har kommit in eller upprättats innehåller inte någon bestämd tidsgräns. JO har emellertid uttalat att handlingar i normalfallet bör registreras senast påföljande dag eller så snart det är praktiskt möjligt (se JO 2007/08 s. 565, dnr

^3579-2005).

Av utredningen framgår att AA har använt sin privata e-postadress i tjänsten för att kommunicera med andra anställda inom Polismyndigheten samt för att skicka mejl till och från sin e-postadress i Polismyndighetens e-postsystem. Enligt uppgifter i massmedia har det handlat om ungefär 850 skickade och mottagna mejl under en tidsperiod på ett år. AA har invänt att det inte varit fråga om denna mängd meddelanden eftersom de e-postloggar som tidningsartiklarna hänvisar till innehåller en del dubbletter. Även om samtliga mejl skulle ha en dubblett skulle det handla om drygt 400 mejl under ett år. Oavsett det exakta antalet kan jag därmed konstatera att AA:s användning av sin privata e-postadress i tjänsten varit omfattande.

Polismyndigheten har utförliga riktlinjer och anvisningar för användningen av e-post vid myndigheten. Som Polismyndigheten anger i sitt yttrande har myndigheten i dessa inte anvisat möjligheten att använda en privat e-postadress i tjänsten. Det har visserligen – såvitt jag kunnat se – inte heller uttryckligen angetts att privata e-postadresser inte får användas i tjänsten. Av de noggranna anvisningar som ges framstår det dock som klart att det inte ska förekomma, i vart fall inte annat än i rena undantagsfall.

Av de riktlinjer som gäller för e-postanvändningen framgår tydligt att mejl som sänds till och från externa e-postadresser, utanför nätverket för säker kommunikation mellan vissa myndigheter, är oskyddade och kan läsas av utomstående. Det måste därmed stå klart för en polisanställd att det finns en risk för att uppgifter i ett mejl till eller från en privat e-postadress röjs.

Att använda sig av en privat e-postadress i tjänsten innebär också en risk för att hanteringen av allmänna handlingar försvåras. Polismyndigheten har visserligen uppgett att alla e-postmeddelanden som sänts till eller från en polisiär e-postadress registreras i myndighetens e-postlogg. Om en privat e-postadress

Som jag konstaterat ovan har AA använt sin privata e-postadress i tjänsten i stor omfattning. Han har själv framhållit att hans användning av den privata e-postadressen till viss del beror på utformningen av den e-postapplikation som Polismyndigheten tillhandahöll. Den privata e-postadressen var förvald, och det krävdes en aktiv åtgärd för att använda den polisiära e-postadressen. Det var också svårt att se vilken e-postadress som användes. Detta bidrog till att han använde det förinställda kontot, vilket skedde i brådskande arbetssituationer. Det har enligt AA inte varit fråga om ett medvetet val utan ett sätt att i stunden praktiskt hantera meddelanden som inte var känsliga.

Av utredningen framgår att den tekniska lösning som Polismyndigheten har tillhandahållit har inneburit en risk för förväxling av e-postadresserna och att det inte varit helt enkelt att använda den polisiära e-postadressen. Jag har mot den bakgrunden viss förståelse för att AA kommit att använda sin privata e-postadress. Å andra sidan har AA som regionpolischef ett ansvar för att verksamheten i regionen bedrivs enligt de författningar och styrdokument som gäller, och han ska som chef vara ett föredöme för andra. Det har därmed ålegat honom att vara särskilt noggrann i sin egen mejlkommunikation i tjänsten.

Utredningen visar inte att några känsliga eller sekretessbelagda uppgifter röjts på grund av att AA använt en privat e-postadress. Det har inte heller framkommit att AA använt sin privata e-postadress i tjänsten för att kommunicera med någon utanför Polismyndigheten. Enligt hans egna uppgifter har han inte heller underlåtit att diarieföra några allmänna handlingar. Användningen har dock medfört en risk för att känsliga och sekretessbelagda uppgifter kunde komma att röjas. Den har också inneburit en risk för att allmänna handlingar inte blev diarieförda och för att handlingsutlämnanden försvårades. Vidare har det funnits en risk för misstankar om att den privata e-postadressen använts för att kringgå handlingsoffentligheten. Användningen har varit av sådan omfattning att AA, mot bakgrund av de nu angivna omständigheterna, inte kan undgå kritik. Jag har vid den bedömningen beaktat att det är av särskild betydelse för Polismyndighetens verksamhet att gällande föreskrifter följs.

Avslutningsvis kan jag konstatera att det är anmärkningsvärt att Polismyndigheten under den aktuella tidsperioden tillhandahållit ett system som