AD 2009 nr 95

Parter:

Jusek; Staten genom Skatteverket; B.B.

Nr 95

Jusek

mot

Staten genom Skatteverket

samt

Staten genom Skatteverket

mot

Jusek och B.B i Sollentuna.

Mellan staten och bl.a. Jusek gäller varandra i allmänhet avlösande kollektivavtal, Allmänt löne- och förmånsavtal (ALFA).

B.B. är medlem i Jusek. Han anställdes hos Skatteverket år 2002 som IT- tjänsteman och har sedan år 2005 sysslat med den tekniska administrationen. Den 28 juni 2007 beslutade Skatteverkets personalansvarsnämnd att avskeda B.B. från anställningen. Som grund för avskedandet angavs bl.a. att B.B. hade grovt åsidosatt sina åligganden mot arbetsgivaren genom att avsiktligt åstadkomma skador på Skatteverkets datasystem. B.B:s sista anställningsdag var den 2 juli 2007.

Mellan parterna har uppkommit tvist i frågan om det har förelegat laglig grund för avskedandet av B.B., alternativt saklig grund för uppsägning av honom. Tvist har vidare uppkommit i frågan om B.B. har vidtagit handlingar som innebär att han har ådragit sig skadeståndsskyldighet gentemot staten genom Skatteverket.

Jusek har (i mål A 69/08) yrkat att Arbetsdomstolen ska förklara avskedandet av B.B. ogiltigt och förplikta staten att till honom betala allmänt skadestånd med 200 000 kr jämte ränta enligt 6 § räntelagen från den 8 april 2008 till dess betalning sker.

För det fall Arbetsdomstolen skulle finna att det inte har funnits laglig grund för avskedande men väl saklig grund för uppsägning, har Jusek i andra hand yrkat att Arbetsdomstolen ska förplikta staten att till B.B. betala dels allmänt skadestånd med 100 000 kr jämte ränta enligt 6 § räntelagen från den 8 april 2008, dels ekonomiskt skadestånd med sammanlagt 106 800 kr motsvarande lön under en uppsägningstid om tre månader varav 33 250 kr under juli 2007, 35 600 kr under augusti 2007, 35 600 kr under september 2007 och 2 350 kr under oktober 2007 jämte ränta enligt 6 § räntelagen från den 25:e i varje månad med början i juli, allt till dess betalning sker.

Staten har bestritt käromålet i dess helhet. De yrkade beloppen avseende ekonomiskt skadestånd med ränta har vitsordats som skäliga i och för sig.

Staten har för egen del (i mål A 106/08) yrkat att Arbetsdomstolen ska förplikta B.B. att till staten betala skadestånd med 425 890 kr jämte ränta enligt 6 § räntelagen från den 16 juni 2008 till dess betalning sker.

Arbetstagarparterna har bestritt statens yrkande. Endast sättet att beräkna ränta har vitsordats som skäligt.

Parterna har yrkat ersättning för rättegångskostnader.

Till utveckling av talan har parterna anfört i huvudsak följande.

Jusek

B.B. är född år 1960 och har varit bosatt i Sverige sedan år 1983. Han talar bra svenska, men hans kunskaper i att skriva svenska är bristfälliga. B.B. är utbildad i systemvetenskap vid universitetet i Örebro. Han har kunskaper om IT-system, informationssystem, verksamhets- och systemutveckling, programmering och förvaltning av IT-system. B.B. kan identifiera och lösa problem som är typiska för IT-verksamheten. Han kan även bedöma hur IT-system påverkar en specifik verksamhet. Under åren 1997-2002 var B.B. anställd vid Ericsson Radio och arbetade som Unixtekniker och projektledare. B.B. anställdes hos Skatteverket i augusti 2002 som IT-tjänsteman/Unixtekniker.

Från år 2005 och fram till dess att B.B. avskedades bestod hans arbetsuppgifter i att tekniskt administrera och utveckla skatteverkets nätverksövervakningssystem Net Node Manager (NNM). Detta innebar att B.B. skulle utveckla programvaran, övervaka felsituationer, generera larm, skapa återställningsrutiner, upparbeta dokumentation tillhörande alla installationer och larm som skapades eller förändrades samt aktivt följa upp och säkerställa att larmflödet för installerade komponenter fungerade. Han skulle även dokumentera och utveckla och "drifta" miljön genom att editera filer, dvs. ändra filer.

Skatteverket har två olika övervakningssystem, NNM och OpenView Operations (OVO). NNM är en programvara som övervakar utrustningen i ett nätverk som t.ex. routrar och switchar. En router är en dator som kopplar samman flera olika lokala datanätverk. En switch är en nätverkskomponent som styr datatrafik mellan olika mottagare i ett nätverk. Programvaran OVO övervakar såväl servrar som datorer och allt som finns i datorerna, dvs. hårddisk, programvara, processorer och filsystem. NNM och OVO är installerade separat i olika servrar och systemen är inte beroende av varandra. Om det uppstår ett fel i nätverket sänds det omedelbart ett larm från NNM till olika dataskärmar som är bemannade av operatörer. Operatörerna tar oftast emot larmet som ett textmeddelande. Motsvarande gäller för OVO om det t.ex. skulle uppstå ett i fel i en server.

Såväl NNM som OVO är bemannade av operatörer som har tillgång till minst två dataskärmar varav en skärm som avser NNM och en som avser OVO. Vissa larm som kommer in till NNM sänds även över till OVO genom en funktion som heter OPCMSG. Larmfunktionen i NNM respektive OVO upphör inte att fungera för den händelse funktionen OPCMSG skulle försvinna. Larm kommer fortfarande att registreras i NNM respektive OVO och operatören kan vidta de åtgärder som behövs.

B.B. har kunskaper om Skatteverkets nätövervakningsystem. Han har som tekniskt ansvarig för NNM full insikt i de konsekvenser som varje åtgärd kan föranleda i systemen. När B.B. anställdes genomförde man en säkerhetsprövning enligt säkerhetsskyddslagen. För att kunna fullgöra sina arbetsuppgifter har B.B. tilldelats s.k. rootbehörighet. B.B. hade tillgång till den dator där NNM var installerad. Datorn hade beteckningen U 30230.

B.B:s arbetsuppgifter bestod till viss del i att dokumentera nätövervakningssystemet. Den 12 april 2007 hölls ett möte mellan ombudsmannen M.A. och sektionschefen C.L. om B.B:s arbetsuppgifter. Vid mötet diskuterades bl.a. om B.B. kunde få hjälp av Skatteverkets tekniske skribent när han utförde dokumentation. Någon sådan hjälp erbjöds emellertid inte från Skatteverkets sida. I sitt arbete med att förbereda dokumentation måste B.B. ta bort och ändra filer som inte användes i systemet, dvs. filer som inte påverkade funktionaliteten. Han måste med ett annat uttryck "rensa i katalogen". B.B. har i sitt arbete med dokumentation tillfälligt flyttat vissa filer till sin hemkatalog och sedan fört tillbaka filerna till systemet när han vidtagit de ändringar som varit nödvändiga. Genom att radera och flytta filer underlättas dokumentationen av kvarvarande relevanta filer som är viktiga för systemets funktionalitet. B.B. skapade själv filerna för att uppnå tekniska lösningar i syfte att effektivisera produktionsmiljön för operatörerna.

Händelseförloppet

B.B. arbetade den 22 maj 2007 som vanligt i övervakningssystemet NNM. Under förmiddagen upptäckte han att även en annan person var inloggad i NNM och att denne person sökte efter kommandot OPCMSG, dvs. den funktion som kopplar ihop NNM med OVO. Samma person sökte även information om hur NNM-servern var installerad och kopierade över information från NNM- servern till en annan server. Den inloggade personen var Ö.L. som normalt arbetar i nätövervakningssystemet OVO. B.B. blev konfunderad och orolig över situationen. Han tog kontakt med sektionschefen C.L. och förklarade att det var nödvändigt att ta kontakt med Ö.L. för att ta reda på vad denne gjorde i NNM- servern. C.L. svarade att han hade för avsikt att kontakta Ö.L. och att B.B. inte skulle lägga sig i saken. Eftersom B.B. inte fick någon förklaring till vad som pågick i systemet uppmanade han C.L. att ta kontakt med verksamhetschefen A.N. C.L. reagerade inte på uppmaningen. En stund senare bad B.B. C.L. att komma in i hans kontorsrum för att de tillsammans skulle titta på dataskärmen och se vad som pågick i systemet. C.L. blev då irriterad och uttalade "är du dum eller schizofren". B.B. blev upprörd, och det uppstod argumentation mellan honom och C.L. Det är möjligt att B.B. gestikulerade med armarna, men han hotade inte C.L. på något sätt.

Den 23 maj 2007 arbetade B.B. som vanligt i nätövervakningssystemet NNM. Något fel i datasystemet märktes inte den dagen.

B.B. kom dagen därpå, den 24 maj 2007, inte till arbetet. Han var sjukskriven och återkom inte till arbetet förrän den 4 juni 2007. Under sjukskrivningsperioden förekom det inte några kontakter mellan honom och Skatteverket med anledning av vad som hänt i nätövervakningssystemet.

När B.B. återvände till arbetsplatsen den 4 juni 2007 var han omedveten om att det uppstått ett problem i nätövervakningssystemet. När han försökte logga in med sin s.k. rootbehörighet kunde han inte komma in i systemet. Han vände sig därför till sin tidigare chef V.H., som inte kände till vad som hänt. B.B. vände sig då till C.L. som informerade honom om att han inte längre hade tillgång till sin dator. C.L. meddelade även att det skulle hållas ett möte kl. 09.00 samma dag men gav inte något besked om vad som skulle avhandlas. Vid mötet deltog B.B., sektionschefen C.L. och enhetschefen M.L. C.L. inledde mötet med att anklaga B.B. för att ha förstört nätövervakningssystemet och visade honom en händelserapport som hade upprättats av IT-tjänstemannen D.Å. Vid mötet påstod C.L. att B.B., i syfte att hämnas på arbetsgivaren, flyttat filer och saboterat systemet genom att ta bort den koppling som funnits mellan NNM och OVO. M.L. försökte vid flera tillfällen att tysta ned C.L. så att B.B. skulle få möjlighet att ta del av D.Å:s rapport. B.B. förnekade det som lades honom till last och förklarade att övervakningssystemet under alla omständigheter var intakt. B.B. förklarade även att han var villig att åtgärda eventuella problem och att det bara skulle ta honom några minuter att göra detta. C.L. var inte villig att lyssna på B.B. och hänvisade till en internutredning som pågick. B.B. gavs därför inte möjlighet att medverka till att lösa de problem som uppstått. Sedan B.B. ögnat igenom händelserapporten sade han att han inte förstod vad rapporten gick ut på och vilka problem som skulle ha orsakats av honom.

Samma dag kl. 13.00 hölls ett nytt möte. Vid mötet deltog förutom B.B. även C.L., M.L. och PA-specialisten A.G. Vid mötet vidhöll arbetsgivarföreträdarna de anklagelser som framförts tidigare. Därutöver anklagades B.B. för att han inte hade utfört sina arbetsuppgifter att dokumentera. B.B. erbjöd sig på nytt att medverka till att rätta till eventuella fel i systemet. Vid mötet diskuterades även B.B:s arbetsuppgifter. B.B. framhärdade i att han hade utfört dokumentationsarbetet och att dokumentationen hade skickats till C.L. När mötet avslutades förklarade C.L. att B.B. var arbetsbefriad och att han inte behövde infinna sig på arbetsplatsen. Detta bekräftades den 7 juni 2007 genom e-post. Beslutet innebar att B.B. skulle vara arbetsbefriad så länge internutredningen pågick men i vart fall fram till den 29 juni 2007.

Anmälan till Skatteverkets personalansvarsnämnd

Den 7 juni 2007 anmäldes B.B. till Personalansvarsnämnden. Av anmälan framgår att man den 25 maj 2007 hade upptäckt att det inte längre kom något larm från nätövervakningssystemet och att sektionschefen därför gett medarbetare på Service Center i uppgift att undersöka varför. Man hade upptäckt att det saknades ett stort antal centrala filer och scripts. Händelsen registrerades som en säkerhetsincident den 30 maj 2007 och det tillsattes en internutredning, som genom logg-uttag skulle söka klarlägga händelseförloppet. Eftersom utredningen enligt anmälan snart visade att det var B.B. som hade orsakat det hela beslutade arbetsgivaren att alla behörigheter till Skatteverkets IT-miljö skulle dras in för honom.

Av Skatteverkets anmälan framgår vidare att loggarna som togs fram i den påbörjade internutredningen visade att B.B. den 22 maj kl. 16.24, dvs. nio minuter efter den rapporterade hotsituationen, hade använt sina s.k. rootbehörigheter till att helt ta bort vissa filer ur nätövervakningssystemet samt att han flyttat vissa andra filer till sin hemkatalog. Vid analysen av materialet gjorde Skatteverket bedömningen att det hela skett avsiktligt eller av misstag. Det var även uppenbart för arbetsgivaren att det var B.B. som flyttat på samt tagit bort "arbetande" filer i nätövervakningssystemet i syfte att orsaka skada för arbetsgivaren. Den skada som B.B. de facto tillfogat arbetsgivaren var enligt Skatteverket omfattande. Skadan innebar att larm för intern datakommunikation i Solna och mellan Solna och orter i regionerna inte fungerade korrekt. Under perioden den 1 juni till och med den 7 juni 2007 kl. 12.00 hade ca 500 larm avseende datakommunikation inkommit, vilka hade fått sorteras och bedömas manuellt i stället för maskinellt på grund av B.B:s agerande, vilket därmed försenat felsökningen. De direkta kostnaderna för att reparera systemet till en rudimentär nivå beräknades av Skatteverket uppgå till minst en halv miljon kronor. Det angavs att det i dagsläget var omöjligt att mäta de totala kostnaderna för att återställa de senaste tio årens utvecklingsarbete, men arbetsgivaren räknade med miljonbelopp. Mot bakgrund av den omfattande skada som hade kunnat konstateras och som B.B. uppsåtligen orsakat arbetsgivaren hemställde Skatteverket i anmälan att ansvarsnämnden skulle besluta om omedelbart avskedande av B.B.

Den 7 juni 2007 överlämnades underrättelse och varsel om avskedande, alternativt uppsägning.

Det fortsatta utredningsarbetet

Till grund för avskedandet har Skatteverket bl.a. åberopat vad som framkommit genom den händelserapport som IT-tjänstemannen D.Å. upprättade den 1 juni 2007. Av rapporten framgår att larmen upphörde den 22 maj 2007 kl. 13.38 medan det i Skatteverkets anmälan till personalansvarsnämnden har angetts att det var den 25 maj 2007 som man upptäckte att larmen upphört.

Skatteverket anlitade även externa konsulter vid Hewlett Packard för att utreda vad som hänt i nätövervakningssystemet. Hewlett Packards rapport, som är daterad den 18 juni 2007, anger en ny tidpunkt då nätövervakningen skulle ha upphört. I rapporten fastställs denna tidpunkt till den 23 maj 2007. Vidare anges det i rapporten att funktionsbortfallet skett den 22 maj 2007 kl. 16.14.54 samt att två personer varit inloggade som root på den aktuella servern vid den aktuella tidpunkten. Den ena av dessa var en person X som varit inloggad kl. 16.12-16.23. Under rubriken "Analys av trapd.conf filen på servern U30230" anges att funktionsbortfallet uppkommit redan kl. 16.10.

Det påstås i rapporten att en person X flyttat tre filer som medfört vissa i rapporten angivna konsekvenser i nätövervakningssystemet. Personen X hade flyttat scriptet Create_NodeDownFile.Switch.ovpl till sin hemkatalog vilket medfört att det inte längre skickades några larm när en övervakad switch gick ned. Denna fil utgör enligt Juseks uppfattning en extrafil/testfil som har skapats av B.B. Filen flyttades till B.B:s hemkatalog kl. 16.10, men flyttades senare tillbaka av honom. Åtgärden att flytta tillbaka filen har inte antecknats i rapporten och åtgärden medförde inte något funktionsbortfall i systemet. Vidare anges att person X hade flyttat scriptet Create_Server_UnixFile.ovpl till sin hemkatalog, vilket medfört att det inte längre skickades några larm när en övervakad Unix Server gick ned. Denna fil utgör enligt Juseks uppfattning en fil som skickar en kopia på larm från NNM till OVO. Filen utgör en extrafil/testfil som skapats av B.B. Filen har inte med funktionaliteten att göra. Även om operatören skulle ta bort filen kommer man att upptäcka larm i OVO när servern går ned eftersom OVO:s huvuduppgift är att upptäcka fel i en server. Denna fil flyttade B.B. till sin hemkatalog för att därefter flytta tillbaka filen. Detta har inte antecknats i rapporten. Slutligen anges att användare X har flyttat skriptet Check_NodeDownFile.ovpl.org.org till sin hemkatalog vilket medfört att det inte längre skickades några larm när en övervakad router var återställd efter fel. Enligt Jusek kopplar inte den angivna filen NNM till OVO. Det finns inget anrop till OPCMSG i denna fil. Filen utgör en extrafil/testfil som överhuvudtaget inte påverkar funktionaliteten.

I rapporten anges att X raderat en sound and sms-fil vilket medfört att det inte längre skickades några larm när en övervakad switchs interface gick ned. Personen X har även raderat två andra filer, vilket medfört att det inte längre skickades några larm för övervakade DMZ servrar. Vid tvisteförhandlingarna uppgav Skatteverket att sound and sms-filen samt DMZ filerna inte varit nödvändiga för produktionen, dvs. inte nödvändiga för systemets funktionalitet. Filerna har dock varit aktiva i produktionsmiljön. Trots detta påstås det i rapporten att åtgärden att ta bort filerna har medfört ett funktionsbortfall.

Skatteverket har utöver det som anges i rapporten gjort gällande att B.B. kl. 16.10 har försökt att flytta eller radera ett program som heter /opt/OV/bin/ovrequestd. Enligt B.B. går det inte att flytta eller radera programmet, som inte har något med NNM att göra. Vidare påstår Skatteverket att B.B. den 22 maj kl. 16.14.54 skulle ha tagit bort automatiska åtgärder för två larm genom att radera EXEC-raden i definitionen för larmen OVRouterDown samt OVRouter_Up i filen trapd.conf. Det anges dock inte i Hewlett Packards rapport att B.B. skulle ha raderat dessa filer.

Avskedandet

Den 19 juni 2007 hölls det överläggningar mellan parterna med anledning av det tilltänkta avskedandet. Vid överläggningen medgav Skatteverket att larmfunktionen i NNM fortfarande var intakt men att larmsystemet var satt ur funktion. Skatteverket medgav även att kopplingen från NNM till OVO fallerat förut samt att B.B. inte varit förhindrad att återställa den flyttade filen på grund av att hans behörighet dragits in. Skatteverket medgav även att B.B. skapat de aktuella filerna.

Den 28 juni 2007 beslutade Personalansvarsnämnden att avskeda B.B. samt polisanmäla honom såsom skäligen misstänkt för sabotage, alternativt grov skadegörelse. Av protokollet från personalansvarsnämndens möte framgår att nämnden lagt följande omständigheter till grund för avskedandet. B.B. har inte utfört sin huvudsakliga arbetsuppgift att dokumentera larm/scripts/traps i systemet. B.B. har den 22 maj 2007 tagit bort vissa filer och flyttat andra filer från Skatteverkets övervakningssystem vilket medfört skador i nätövervakningssystemet.

Enligt Jusek är det endast de omständigheter som finns omnämnda i Personalansvarsnämndens beslut som får läggas till grund för bedömningen av avskedandefrågan i Arbetsdomstolen.

Den 9 september 2008 beslutade Västerorts åklagarkammare att lägga ned förundersökningen angående grov skadegörelse. Beslutet motiverades med att det inte gick att bevisa att B.B. haft sådant uppsåt som krävs för att förfarandet skulle vara brottsligt.

Sammanfattning av grunderna för Juseks talan

B.B. har inte grovt åsidosatt sina åligganden mot arbetsgivaren på det sätt som Skatteverket gör gällande i personalansvarsnämndens beslut. Det föreligger därför inte ens saklig grund för uppsägning.

Staten

Skatteverket är en förvaltningsmyndighet som i huvudsak hanterar skatteärenden samt ärenden avseende folkbokföring, fastighetstaxering och bouppteckningar. För att verksamheten ska kunna bedrivas på ett fullgott och säkert sätt krävs det ett väl fungerande IT-system. Skatteverket är helt beroende av sitt IT-system. En förutsättning för att Skatteverket ska kunna behålla och stärka allmänhetens förtroende för verksamheten krävs att den information som hanteras inom ramen för verksamheten är tillgänglig, korrekt och skyddad mot otillbörlig insyn. Skatteverket bedriver ett informationssäkerhetsarbete och har därför installerat ett nätövervakningssystem som benämns NNM.

B.B. var tidigare anställd hos Skatteverket som IT-tjänsteman och var placerad vid Service Center som är en sektion inom Driftenheten. Driftenheten är en enhet inom Underhållskontoret som i sin tur ingår i Verksamhetsstöd för Skatteverket.

B.B. fick genomgå en säkerhetskontroll innan han anställdes vid Skattemyndigheten. Han placerades därefter i säkerhetsklass tre enligt säkerhetsskyddslagen. I säkerhetsklass tre placeras anställda som får ta del av vissa sekretessbelagda uppgifter, som är av betydelse för rikets säkerhet. Det ställs därför särskilt höga krav på sådana IT-tjänstemän i fråga om ansvarskänsla, omdöme och pålitlighet.

B.B. hade flera ansvarsområden, men hans huvudsakliga arbetsuppgift var att uppdatera dokumentation tillhörande alla installationer samt larm/scripts/traps som skapades eller förändrades. Han skulle även aktivt följa upp och säkerställa att larmflödet för installerade komponenter fungerade. B.B. skulle alltså löpande se till att det centrala övervakningssystemet NNM fungerade. B.B. hade tilldelats s.k. rootbehörighet i nätövervakningssystemet. En användare som innehar rootbehörighet har tekniskt sett obegränsade möjligheter att vidta olika åtgärder i systemet. B.B. hade en förtroendeställning och det ålåg honom att på bästa sätt bevaka, tillvarata och skydda Skatteverkets intressen.

Skatteverket har ett ledningssystem för informationssäkerhet, SKV LIS, som är ett styrmedel med riktlinjer och rutiner för att uppnå informationssäkerhet. SKV LIS innehåller grundläggande krav för hur informationssäkerhetsarbetet ska bedrivas och riktar sig till alla medarbetare på Skatteverket. SKV LIS innehåller även riktlinjer och anvisningar för den tekniska infrastrukturen. Som exempel kan nämnas att ändringar i driftmiljön endast får ske genom beställning och under kontroll av löpande drift. Systemägaren ska underrättas om det sker ändringar i operativsystem, databaser, produktionsnivå etc.

Händelseförloppet

Skatteverket har med stöd av arbetsledningsrätten och inom ramen för B.B:s arbetsskyldighet muntligen och skriftligen instruerat honom att utföra sina huvudsakliga arbetsuppgifter, nämligen att dokumentera system. Trots kontinuerliga uppmaningar och påminnelser underlät B.B. att utföra detta arbete. Skatteverket försökte på olika sätt att tillmötesgå hans önskemål om mer berikande arbetsuppgifter. Skatteverket bekostade därför ett antal kompetensutvecklande kurser. Dessa insatser innebar emellertid inte att Skatteverket på något sätt gav avkall på kravet att B.B. skulle utföra dokumentationsarbete.

B.B. uttryckte sig vid ett flertal tillfällen kränkande och nedlåtande mot olika chefer vid Skatteverket. Han uppvisade även ett aggressivt och hotfullt beteende. B.B:s verbala hot och kränkningar riktade sig främst mot sektionschefen C.L. Ett sådant tillfälle ägde rum den 22 maj 2007. B.B. bad då C.L. att komma till hans kontorsrum. B.B. var upprörd och påstod att någon annan person, nämligen Ö.L., varit inne i hans arbetsdator och tittat på "hans" script och konfigurering. B.B. anklagade C.L. för att ligga bakom det påstådda intrånget. C.L. försökte förklara att Ö.L. agerade helt i enlighet med Skatteverkets instruktioner. B.B. började att skrika och uttala sig hotfullt samtidigt som han viftade med armarna på ett sådant sätt att C.L. befarade att han skulle utsättas för fysiskt våld. C.L. lämnade därför rummet. Skatteverket bestrider att C.L. kallat B.B. "dum eller schizofren". Den hotfulla situationen anmäldes senare till Skatteverkets säkerhetsansvarige och rapporterades även i enlighet med instruktionerna i Incident 2000. Händelsen den 22 maj 2007 resulterade i att Skatteverket beslutade att tilldela B.B. en erinran som han tog del av först den 4 juni 2007 i samband med ett möte som ägde rum samma dag.

Den 25 maj 2007 hade Skatteverket upptäckt att det inte längre kom några larm från nätövervakningssystemet samt att funktionsbortfallet redan hade skett den 22 maj 2007. Upptäckten resulterade i en anmälan i enlighet med Incident 2000. Skatteverket tillsatte även en internutredning i syfte att klarlägga de bakomliggande skälen till nätövervakningssystemets bristande funktionalitet.

Genom den händelserapport som D.Å. hade upprättat inom ramen för internutredningen framkom sammanfattningsvis följande. B.B. hade på eftermiddagen den 22 maj 2007, dvs. omedelbart efter mötet med C.L., med avsikt eller genom grovt vårdslöst handlande raderat och flyttat ett antal arbetande filer i nätövervakningssystemet. Detta hade medfört bristande funktionalitet i systemet. Det som hänt var att B.B. tagit bort den förbindelse som fanns mellan NNM och OVO. Åtgärden medförde att operatörerna inte längre kunde se några larm med tillhörande åtgärdsbeskrivningar i systemet. Det konstaterades i rapporten att det skulle komma att krävas ett omfattande arbete för att utreda och analysera konsekvenserna av B.B:s handlande och för att återställa nätövervakningssystemets funktion. I rapporten gjordes även bedömningen att det var nödvändigt att anlita extern expertis för detta ändamål.

Med hänsyn till vad som framkommit genom internutredningen beslutade Skatteverket den 31 maj 2007 att återkalla B.B:s rootbehörighet. Skatteverket ansåg att det var viktigt att få till stånd ett möte med B.B. Ett sådant möte ägde rum den 4 juni 2007. Vid mötet deltog B.B., enhetschefen för driftenheten M.L., sektionschefen C.L. och PA- specialisten A.G. Vid mötet avböjde B.B. att ha en facklig representant närvarande. Syftet med mötet var att han skulle få möjlighet att yttra sig över de omständigheter som framkommit i samband med internutredningen.

Mötet inleddes med att B.B. fick ta del av den skriftliga erinran som Skatteverket tidigare hade skickat till honom. Han läste igenom handlingen och kommenterade den genom att avge en rad negativa omdömen om C.L. Han vägrade att skriva under att han mottagit handlingen. Därefter frågade C.L. om B.B. hade några kommentarer till D.Å:s händelserapport. Inledningsvis förnekade B.B. att han raderat filer. Han medgav dock senare att han hade flyttat och tagit bort filer som han själv hade skapat. Han menade att filerna hade flyttats till hans hemkatalog och "att det bara var att flytta tillbaka allt". När C.L. påpekade att filerna varit i drift medgav B.B. att han var väl medveten om konsekvensen av att ta bort sådana filer ur systemet. Han medgav även att han kände till Skatteverkets säkerhetsrutiner. På frågan om han kände till funktionalitet som skickar utvalda ärenden till operatörerna svarade B.B. ja och tillade "ja, jo det finns några rader i något script". C.L. ställde då frågan "inser du inte att det fattas funktionalitet ?" varvid B.B. svarade "jo, men det är ju bara att ringa mig".

Mot bakgrund av vad som framkom vid mötet den 4 juni 2007 anser Skatteverket att B.B. inte varit villig att svara på frågor rörande de åtgärder han vidtagit i nätövervakningssystemet och att han underlåtit att medverka till att avhjälpa de skador som uppkommit i systemet.

Vid mötet togs även frågan om den bristande dokumentationen upp. B.B. påstod först att han skickat den efterfrågade dokumentationen, men sade sedan att dokumentationen fanns i hans hemkatalog och att han kunde plocka fram den om han bara fick tillbaka sina behörigheter.

Hewlett Packards rapport

B.B. visade ingen vilja att medverka till att avhjälpa de skador som uppstått i systemet. Skatteverket gav därför Hewlett Packard i uppdrag att försöka verifiera omfattningen av skadan och fastställa vilken funktionalitet som försvunnit vid incidenten samt skapa en rutin för att återställa nätverksövervakningen. Hewlett Packard beskrev säkerhetsincidenten enligt följande. "Efter en inledande analys av incidenten upptäcker man att det har försvunnit ett antal skript som används vid larmhanteringen i nätverksövervakningen. Det konstateras att en person X har loggat in på övervakningsservern och flyttat samt raderat ett antal skript vilket har fått till följd att inte alla larm ifrån Skatteverkets unixservrar, switchar samt routrar rapporteras från Net Node Manager (NNM) till HP OpenView Operations (OVO). Skatteverket har genom en uppspelning av personen X sudoshell logfil kunnat konstatera att några skript har flyttats till användare X hemmakatalog på servern samt att några skript har tagits bort från maskinen".

För att Hewlett Packard skulle kunna utföra uppdraget utan att förstöra eventuella bevismaterial krävdes det en ominstallation av NNM på en ny maskin. Hewlett Packard skapade även bilder (image) av diskarna i de system som skulle bli föremål för s.k. forensisk analys.

När Hewlett Packard analyserade den dator som fanns i B.B:s arbetsrum kunde man inte påträffa några filer som varit direkt kopplade till säkerhetsindicenten. Detta berodde på att Hewlett Packard saknade det verktyg som krävdes för att göra en sådan analys. Vid en senare analys med hjälp av en särskild programvara konstaterade IT-forensikern A.R. att åtgärderna i systemet hade skett från B.B:s dator.

Eftersom B.B:s dator fortfarande var i produktion och inte kunde tas ur drift beslutade Hewlett Packard efter samtal med Skatteverket att den aktuella servern skulle analyseras "live". Analysen gjordes genom kontroll av operativsystem och applikationer på servern. Hewlett Packard spelade även upp sudoshell-loggar som fanns sparade på systemet. Uppspelningen skedde genom ett speciellt program som genererar tidsstämplar i uppspelningen. Detta innebär att man kan se exakt när en åtgärd har vidtagits i systemet.

Hewlett Packard konstaterade att en person X vidtagit ett antal åtgärder som inneburit funktionsbortfall i nätövervakningssystemet. Den 22 maj 2007 kl. 16.10 flyttade X ett antal namngivna filer. Åtgärden medförde att vissa delar av funktionaliteten försvann ur systemet. Något senare, kl. 16.14.54, tog X bort EXEC filen vilket ledde till att ytterligare en funktion försvann ur systemet.

Sammanfattningsvis konstaterade Hewlett Packard att de åtgärder som vidtagits i systemet hade lett till att funktionalitet för att övervaka när en router, switch eller Unixserver gick ned hade försvunnit från OVO. Förbindelsen mellan NNM och OVO hade skurits av, vilket innebar att det inte längre skickades några larm från NNM till OVO. Genom analys av sudoshell-loggar kunde Hewlett Packard konstatera att bortfallet av funktionalitet varit direkt orsakat av att en person X raderat samt flyttat ett antal filer som använts i larmhanteringen. Det gick emellertid inte att fastställa huruvida åtgärderna skett med avsikt eller av annan orsak. Hewlett Packards bedömning var emellertid att en person som jobbar med NNM förstår vilka konsekvenser det får om man vidtar de aktuella åtgärderna. En person som arbetar med NNM är normalt mycket aktsam när han arbetar i kataloger som innehåller applikationer för NNM. Eftersom det inte gick att fastställa vilka filer eller kataloger som hade ändrats, flyttats eller tagits bort vid tidigare tillfällen rekommenderade Hewlett Packard en ominstallation av servern U30230.

Grunderna för statens bestridande

Det står genom den tekniska utredningen klart att de aktuella ingreppen i datasystemet har vidtagits av B.B. Han har genom sitt handlande grovt åsidosatt sina åligganden mot Skatteverket. Det har därför förelegat laglig grund för avskedandet. I vart fall skulle det ha förelegat saklig grund för uppsägning av personliga skäl. Främst åberopas att B.B. den 22 maj 2007 avsiktligt har saboterat datasystemet. Dessutom åberopas B.B:s uppträdande tidigare samma dag mot C.L. samt att han under en längre tid trots tillsägelser inte har utfört sina huvudsakliga arbetsuppgift, nämligen att dokumentera ändringar i datasystemet.

Jusek har gjort gällande att staten skulle vara förhindrad att till stöd för avskedandet åberopa vad som förekom mellan B.B. och C.L. den 22 maj 2007. I första hand görs gällande att anställningsskyddslagen inte har den innebörden att händelsen inte får åberopas. Händelsen ligger i linje med vad som angivits till grund för avskedandet.

Statens yrkande om skadestånd

B.B:s åtgärder har medfört en väsentligt försämrad funktionalitet i systemen. Larmanordningen avseende störningar i datakommunikationen mellan regionala användare och de centrala övervakningssystemen slogs ut. Skatteverket tvingades att hantera mer än 500 larm manuellt i stället för maskinellt. Skatteverkets IT-säkerhetsrutiner aktiverades i sin helhet. Detta är en extraordinär insats som endast inträder när det bedöms föreligga ett allvarligt hot mot Skatteverkets IT-produktion.

Skatteverket har tvingats att ta på sig kostnader för att utreda och analysera konsekvenserna av B.B:s handlande samt för att återställa nätövervakningssystemets funktionalitet. Arbetet har utförts av konsulter från Hewlett Packard och eWork Scandinavia AB. Kostnaderna för detta har uppgått till 251 520 kr. Ett stort arbete har också utförts av Skatteverkets egna tjänstemän. Det handlar om arbete under sammanlagt 371 timmar med en kostnad om 470 kr per timme. Det sammanlagda skadeståndsbeloppet uppgår därmed till 425 890 kr.

Det anförda innebär att B.B. har ådragit sig skadeståndsansvar enligt skadeståndslagen mot Skatteverket. Det görs i första hand gällande att han i den mening som avses i 4 kap. 1 § skadeståndslagen inte handlade i tjänsten när han vållade skadan. För det fall Arbetsdomstolen skulle finna att B.B. vållat skadan i tjänsten, gör Skatteverket gällande att det föreligger synnerliga skäl för att ändå ålägga B.B. skadeståndsansvar med hänsyn till handlingens beskaffenhet, hans förtroendeställning, Skatteverkets intresse och övriga omständigheter.

Jusek och B.B.

B.B. har varken uppsåtligen eller av grov vårdslöshet vållat Skatteverket någon skada genom att avlägsna eller flytta arbetande filer ur Skatteverkets nätövervakningssystem. B.B. har inte heller vållat Skatteverket någon skada genom att inte medverka till att återställa systemets funktion.

Frågan om en eventuell skadeståndsskyldighet för B.B. ska som staten har anfört bedömas med ledning av skadeståndslagens bestämmelser. Enligt Juseks mening förutsätter ett skadeståndsansvar för B.B. att det föreligger sådana synnerliga skäl som anges i 4 kap. 1 § skadeståndslagen. Sådana synnerliga skäl föreligger inte i detta fall.

Det bestrids att Skatteverket har haft kostnader för att utreda och analysera konsekvenserna av B.B:s handlande och för att återställa systemets funktion. Kostnaderna är inte hänförliga till de åtgärder som B.B. utfört i systemet. I alla händelser kan arbetstagarparterna inte vitsorda att kostnaderna har uppgått till det belopp som angetts av staten.

Domskäl

B.B. anställdes år 2002 hos Skatteverket som IT-tjänsteman. Han avskedades från anställningen den 28 juni 2007 genom beslut av Skatteverkets personalansvarsnämnd.

Tvisten i målen gäller dels frågan om det har förelegat laga skäl för Skatteverkets åtgärd att skilja B.B. från hans anställning som IT- tjänsteman, dels frågan om B.B. har ådragit sig skyldighet att utge skadestånd till staten.

Utredningen i målet

Målet har avgjorts efter huvudförhandling. Vid denna har på begäran av Jusek hållits förhör under sanningsförsäkran med B.B. samt vittnesförhör med ombudsmannen M.A., teknologie magistern P.B., programmeraren A.R.I. och kontorschefen H.J. På begäran av staten har hållits vittnesförhör med enhetschefen M.L., sektionschefen C.L., PA-specialisten A.G., enhetschefen P.L., systemadministratören D.Å., IT-teknikern Ö.L., konsulten H.L., konsulten P.L., IT-teknikern E.B., Unix-teknikern L.W., övervakningsförvaltaren T.F., driftplaneraren V.H. och IT-forensikern A.R. Dessutom har åberopats skriftlig bevisning.

Har det förelegat laga grund för att skilja B.B. från anställningen?

Staten har i målet åberopat i huvudsak tre olika omständigheter till grund för avskedandet: B.B. har enligt staten dels varit ovillig att utföra sin huvudsakliga arbetsuppgift att dokumentera händelser i datasystemet, dels uppträtt hotfullt mot C.L. den 22 maj 2007 samt dels samma dag med avsikt skadat datasystemet genom att flytta och radera filer i detta.

Jusek har bestritt samtliga påståenden och har tillagt att staten i målet är förhindrad att åberopa vad som inträffade mellan B.B. och C.L. den 22 maj 2007.

Arbetsdomstolen väljer att inrikta sina överväganden på vad som framkommit i målet med anledning av statens påståenden om att B.B. har saboterat Skatteverkets datasystem.

Beträffande datasystemet kan översiktligt anges följande, som är ostridigt i målet. Skatteverkets nätverk övervakas automatiskt genom ett system benämnt Network Node Manager (NNM), som fångar upp och registrerar fel som uppkommer i systemet. NNM har i sin tur förbindelse med en serverövervakning som benämns OpenView Operations (OVO). I syfte att skapa god överblick över nätverkets funktion skickas endast vissa viktigare larm över från NNM till OVO, som hanteras av ett antal operatörer.

Vad som inträffade den 22 maj 2007 i datasystemet har kunnat utredas detaljerat med hjälp av loggarna i systemet. Vilka åtgärder som i och för sig vidtogs i systemet är inte tvistigt mellan parterna i målet. Däremot har parterna skilda uppfattningar i frågan om det var B.B. som har vidtagit samtliga aktuella åtgärder.

Utredningen i målet innehåller bl.a. den incidentrapport som Hewlitt Packard utarbetat på Skatteverkets uppdrag. I rapporten beskrivs händelsen på följande sätt.

23 maj 2007 upptäcks att delar av Skatteverkets nätverksövervakning plötsligt har försvunnit. Efter en inledande analys av incidenten upptäcker man att det har försvunnit ett antal skript som används vid larmhanteringen i nätverksövervakningen. Det konstateras att en person X har loggat in på övervakningsservern och flyttat samt raderat ett antal skript vilket har fått till följd att inte alla larm ifrån Skatteverkets unixservrar, switchar samt routrar rapporteras från Network Node Manager (NNM) till HP OpenView Operations (OVO). Skatteverket har genom en uppspelning av personen X:s sudohell logfil kunnat konstatera att några skript har flyttats till användare X:s hemmakatalog på servern samt att några skript har tagits bort ifrån maskinen.

I rapporten beskrivs ett stort antal åtgärder i datasystemet i kronologisk ordning. Det är särskilt två åtgärder som är av intresse i målet. De vidtogs kl. 16.10 respektive kl. 16.14.54.

Beträffande den åtgärd som vidtogs kl 16.10 har framkommit följande. Åtgärden innebar att en datafil med beteckningen "Check_NodeDownFile.ovpl.org.org" flyttades bort ur systemet så att filen inte längre var operativ. Åtgärden resulterade i ett funktionsbortfall för nätverkslarm till operatörerna i OVO på så sätt att förbindelsen mellan NNM och OVO bröts. Operatörerna kunde därmed inte längre se larmen från nätverket.

B.B. har bekräftat att det var han som vidtog denna åtgärd. Han har emellertid gjort gällande att han gjorde detta som ett led i sitt vanliga arbete och att han flyttade tillbaka filen till systemet dagen därpå, den 23 maj 2007, dvs. den sista dagen före hans frånvaro från arbetsplatsen på grund av sjukdom.

I denna del av målet har lämnats uppgifter bl.a. av IT-forensikern A.R. Han har uppgett bl.a. följande. Han har tidigare i egenskap av IT-expert varit bl.a. avdelningsdirektör i SÄPO och departementssekreterare inom regeringskansliet. På statens uppdrag har han analyserat nätverkssystemet med hjälp av särskild utrustning. Därvid kunde bl.a. bekräftas att det var B.B. som vidtog åtgärden kl. 16.10. Dessutom framgår av loggfilerna att B.B. dagen därpå, den 23 maj 2007, inte flyttade eller kopierade någon fil som påverkade funktionen för larm i systemet. Slutsatsen blir att B.B. flyttade bort den aktuella filen och därefter inte flyttade tillbaka den i systemet.

A.R:s uppgifter om vad som framkommit genom hans tekniska undersökning motsägs inte av någon annan utredning i målet. Uppgifterna får anses klart vederlägga B.B:s uppgift om att han till systemet förde tillbaka den fil som flyttats bort den 22 maj 2007 kl. 16.10. Det betyder att B.B. genom den åtgärden åstadkom det funktionsbortfall som har beskrivits i det föregående och som innebar att operatörerna inte kunde se de viktigare larm som var avsedda att skickas över från NNM till OVO. Av utredningen framgår alltså klart att redan denna av B.B. vidtagna åtgärd medförde en mycket allvarlig funktionsstörning i datasystemet.

Beträffande den åtgärd som vidtogs kl. 16.14.54 har framkommit följande. Åtgärden innebar en ändring av konfiguration i en fil benämnd "trapd.conf". Åtgärden fick enligt A.R:s uppgifter inför domstolen till följd att det nu inte heller kom några larm i NNM om att den fil som borttagits kl. 16.10 saknades i systemet.

B.B. har förnekat att det var han som vidtog åtgärden kl. 16.14.54.

A.R. har uppgett följande. Det går inte att med utgångspunkt i loggarna säga vem som vidtog åtgärden kl. 16.14.54. Vid den tidpunkten var nämligen två personer inloggade i systemet med den särskilda behörighet som krävdes. Däremot måste framhållas att det finns ett logiskt samband mellan de olika åtgärderna på så sätt att åtgärden kl. 16.14.54 kan sägas ha inneburit en upprensning av systemet som resulterade i att åtgärden kl. 16.10 inte kunde upptäckas. Detta talar starkt för att åtgärderna har vidtagits avsiktligen och med vetskap om konsekvenserna.

I denna del har även lämnats uppgifter av konsulten P.L., som var en av de anställda hos Hewlitt Packard som i maj 2007 anlitades för att undersöka de skador som uppkommit i datasystemet. P.L. har uppgett följande. Vid undersökningen konstaterades att det den 22 maj 2007 kl. 16.14.54 fanns två personer som var inloggade och som tekniskt sett hade möjligheter att vidta den aktuella åtgärden. Den ene var IT- administratören E.B. P.L. frågade denne om han hade vidtagit någon åtgärd av det aktuella slaget och fick ett nekande svar. Den andre var någon som var inloggad på B.B:s dator.

E.B. har uppgett följande. Han har under många år varit anställd på Skatteverket och arbetar nu som administratör av NNM. Han arbetade ibland med konfigurationsfiler av det aktuella slaget och kan mycket väl ha varit inloggad vid tillfället även om han inte nu kan minnas detta säkert. Det var dock inte han som vidtog den aktuella åtgärden kl. 16.14.54.

Av utredningen kan Arbetsdomstolen dra slutsatsen att åtgärden kl. 16.14.54 tekniskt sett har kunnat utföras endast av E.B. och B.B. Det har i utredningen inte förekommit något som ger anledning till antagandet att det var E.B. som vidtog denna åtgärd. Av betydelse för bedömningen är vidare dels det tidsmässiga sambandet mellan åtgärderna kl. 16.10 och 16.14.54, dels det logiska och funktionsmässiga samband som förelåg mellan de båda ingreppen i systemet. Det senare sambandet kan enkelt uttryckas så att den första åtgärden tog bort en larmanordning i systemet, och den andra åtgärden tog bort ett larm som skulle signalera att den första larmanordningen inte fungerade. Arbetsdomstolen kommer till slutsatsen att det i målet är styrkt att B.B. har vidtagit inte bara åtgärden kl. 16.10, som han medgivit, utan även åtgärden kl. 16.14.54.

Mot bakgrund av att B.B. var en mycket erfaren IT-administratör kan det inte råda någon tvekan om att han hade fullt klart för sig de tekniska konsekvenserna av de båda nu aktuella ingreppen i Skatteverkets datasystem. Domstolens slutsats måste mot den bakgrunden bli att åtgärderna vidtogs avsiktligen och med full vetskap om att skador skulle uppkomma i datasystemet.

B.B:s handlande innebär att han grovt åsidosatt vad som ålegat honom som anställd hos Skatteverket. Det har därför förelegat laga grund för avskedandet av honom.

Med detta ställningstagande saknar Arbetsdomstolen anledning att gå in på de övriga omständigheter som staten har anfört som grund för sin talan.

Frågan om B.B:s skadeståndsskyldighet

Arbetsdomstolens ställningstagande i det föregående innebär att B.B. har vidtagit åtgärder som lett till skador på Skatteverkets datasystem samt att åtgärderna har vidtagits i syfte och med full vetskap om att skador skulle uppkomma i datasystemet.

Frågan om B.B:s skyldighet att utge skadestånd är att bedöma enligt reglerna i skadeståndslagen. I 4 kap. 1 § skadeståndslagen finns en särskild bestämmelse om arbetstagares skadeståndsansvar. Bestämmelsen innebär att arbetstagaren är ansvarig för skada som han vållar genom fel eller försummelse i tjänsten endast i den mån synnerliga skäl föreligger med hänsyn till handlingens beskaffenhet, arbetstagarens ställning, den skadelidandes intresse och övriga omständigheter. Som framgår av lagtexten är det en förutsättning för tillämpning av denna regel att det är fråga om en skada som arbetstagaren har vållat genom fel eller försummelse i tjänsten. Med det sistnämnda uttrycket har lagstiftaren avsett att skapa en avgränsning mot fall där arbetstagaren handlar som privatperson eller för annans än arbetsgivarens räkning (se prop. 1972:5 s. 555).

Som redan konstaterats har B.B. genom raderandet av datafilerna uppsåtligen vållat Skatteverket skada. Agerandet har ägt rum under sådana omständigheter och i ett sådant sammanhang att mycket talar för att han får anses ha handlat som privatperson eller för annans än arbetsgivarens räkning. Med en sådan bedömning skulle hans handlande inte bedömas ha blivit utförda i tjänsten i den mening som avses i 4 kap. 1 § skadeståndslagen (jfr AD 1998 nr 80 och 2002 nr 38). Arbetsdomstolen anser sig emellertid inte ha anledning att ta ställning till den nu antydda frågan. Det kan nämligen inte råda någon tvekan om att det i alla händelser föreligger synnerliga skäl för det skadeståndsanspråk som staten har fört fram.

Slutsatsen av det anförda blir att B.B. är skyldig att utge ersättning för skada som kan visas ha uppkommit hos Skatteverket som en följd av hans åtgärder i datasystemet den 22 maj 2007.

Staten har yrkat ersättning med sammanlagt 425 890 kr. Arbetstagarparterna har inte vitsordat något belopp som skäligt. Av utredningen framgår att Skatteverket har anlitat två konsultföretag inom databranschen, Hewlett Packard och eWork Scandinavia AB, för arbetet med att återställa datasystemets funktion. Skatteverkets kostnader för dessa konsultföretag har uppgått till 251 520 kr. Arbetsdomstolen anser inte att det finns anledning att ifrågasätta statens ersättningskrav i denna del. Återstoden av ersättningskravet, 173 370 kr, avser arbete som har nedlagts av tjänstemän hos Skatteverket. Skadeståndet i denna del bör enligt domstolens mening bestämmas genom en skälighetsbedömning. Arbetsdomstolen kommer då till uppfattningen att B.B. bör förpliktas att utge ett sammanlagt skadestånd till staten genom Skatteverket om 300 000 kr.

Rättegångskostnader

Utgången innebär att Juseks talan ska avslås, medan statens skadeståndstalan ska bifallas i den utsträckning som nyss har angetts. Vid denna utgång ska Jusek förpliktas att ersätta statens rättegångskostnader i mål nr A 69/08. Det rättegångskostnadsbelopp som staten har yrkat avseende det målet har av Jusek vitsordats som skäligt.

Vidare bör Jusek och B.B. förpliktas att med hälften vardera utge ersättning för statens rättegångskostnader i mål nr A 106/08, dvs. målet avseende statens skadeståndsanspråk. Skäligheten av det belopp som yrkats har arbetstagarparterna överlämnat till Arbetsdomstolen att bedöma. Domstolen anser att det yrkade beloppet framstår som skäligt.