Diarienr: 2235-19-2.4.2 / Beslutsdatum: 23 jul 2019

Kritik mot ett universitet för handläggningen av ett ärende om utlämnande av allmänna handlingar

Justitiekanslerns beslut

Justitiekanslern riktar kritik mot Linnéuniversitetet för brister i handläggningen av ett ärende om utlämnande av allmänna handlingar.

Justitiekanslern gör även vissa uttalanden om Linnéuniversitetets handläggning av en begäran om radering eller utplåning av personuppgifter.

Bakgrund

Linnéuniversitetet (universitetet) mottog i maj 2018 ett skadeståndsanspråk mot staten, vilket i juni samma år överlämnades till Justitiekanslern (dnr 3877-18-4.2). Sökanden begärde skadestånd bl.a. för påstått felaktig personuppgiftsbehandling under åren 2016 – 2018 från universitetets sida. Han anmälde i samma ärende att universitetet inte hade tagit ställning till en begäran från honom år 2016 om att utfå allmänna handlingar.

Sökanden hade i maj 2016 begärt att få ut viss e-postkorrespondens mellan flera anställda vid universitetet, efter att först ha fått ta del av loggarna. Handläggare vid universitetet meddelade den 26 maj 2016 att e-postmeddelandena inte skulle lämnas ut eftersom det rörde sig om intern korrespondens som inte innehöll någon allmän handling. Sökanden vidhöll sin begäran och den 16 juni 2016 avslogs begäran genom beslut av universitetsdirektören.

Sökanden överklagade beslutet till Kammarrätten i Jönköping som den 2 augusti 2016 undanröjde beslutet och återförvisade målet till universitetet för fortsatt handläggning. I skälen för beslutet anfördes bl.a. att ärendet inte ansågs utrett på ett tillfredsställande sätt från universitetets sida. Det framgår vidare att varken universitetsdirektören eller domstolen haft tillgång till e-postmeddelandena i sig, utan endast till loggarna. Den 25 augusti 2016 avvisade Högsta förvaltningsdomstolen universitetets överklagande av beslutet. Kammarrättens beslut vann således laga kraft. Universitetet tog därefter inte på nytt ställning till sökandens tidigare framställda begäran att få ut e-postmeddelandena.

Under perioden april 2016 – maj 2018 begärde sökanden enligt egen uppgift vid flera tillfällen att universitetet skulle radera personuppgifter om honom, framför allt digitalt eller manuellt hanterade brottmålsdomar och andra uppgifter om de förhållanden som framgick av domarna. Han begärde också att få information om universitetets personuppgiftsbehandling rörande honom. Enligt sökanden hade universitetet under perioden 2016 – 2018 inte fattat något beslut med anledning av hans framställningar. På fråga från Justitiekanslern i skaderegleringsärendet förklarade universitetet att något formellt beslut inte hade fattats i tiden efter begäran om radering i maj 2018.

Med anledning av vad som hade framkommit i dessa frågor beslutade Justitiekanslern att inleda ett tillsynsärende gällande universitetets handläggning av utlämnande av allmän handling samt av begäran om radering eller utplåning av personuppgifter och information om personuppgiftsbehandling.

Utredningen

Justitiekanslern har inhämtat ett yttrande från universitetet. I yttrandet har sammanfattningsvis följande anförts.  

Utlämnande av allmän handling

Hos universitetet är allmänna handlingar sökbara i universitetets centrala diarium samt i specialsystem för administration i olika avseenden. Den tjänsteman – registrator eller annan – som tar emot en begäran om att utfå en handling behandlar begäran skyndsamt, vilket innebär omedelbart när begäran framställts.

Om ingen tveksamhet föreligger lämnas handlingen ut på det sätt som begärts. Det kan vara vid personligt besök eller genom e-post alternativt vanlig post. Om tveksamhet däremot råder om handlingen ska lämnas ut eller inte får den som vill få ut handlingen återkomma med en skriftlig begäran. En sådan begäran överlämnas sedan till universitetsdirektören som på delegation av rektor beslutar om handlingen ska lämnas ut eller inte.

Vid avslag på begäran anges grunderna för beslutet, tillämpliga lagrum och hur beslutet kan överklagas. Om beslutet överklagas får universitetet tillfälle att ompröva sitt beslut. Ligger beslutet fast vidarebefordras överklagandet med ett yttrande till kammarrätten. Skulle kammarrätten undanröja ett beslut och återförvisa ärendet har universitetet att fatta ett nytt beslut i frågan om handlingen ska lämnas ut eller inte. Vid nytt avslag ska beslutet innehålla en överklagandehänvisning och expedieras till den som begärt att få ut handlingen.

Efter kammarrättens återförvisning i det aktuella fallet bedömde universitetsdirektören att de begärda e-postmeddelandena fortfarande inte skulle lämnas ut eftersom det inte rörde sig om allmänna handlingar. Kammarrätten hade inte tagit ställning till om innehållet i e-postmeddelandena var sådant att det var fråga om allmänna handlingar. Universitetets bedömning ledde till beslutet att överklaga kammarrättens beslut. Sedan överklagandet hade avvisats fattade universitetet inte något ytterligare beslut i ärendet. Universitetet vidhåller sitt tidigare beslut att inte lämna ut handlingarna.

Till överklagandet bifogades det enda utskrivna exemplaret av e-postmeddelandena. Handlingarna har inte returnerats från domstolen. De elektroniska handlingarna har vid det här laget gallrats, eftersom meddelandena bedömts utgöra handlingar av tillfällig eller ringa betydelse. Gallringen skedde i enlighet med tillämpningsbeslut som bygger på Riksarkivets föreskrifter och allmänna råd.

Begäran om radering av personuppgifter m.m.

Universitetet har två dataskyddsombud som leder en dataskyddsgrupp. Ombudens arbete ingår i universitetets övergripande säkerhetsorganisation som årligen följer upp säkerhetsarbetet och återrapporterar till universitetsledningen.

Efter en begäran om information om personuppgiftsbehandling eller om radering av personuppgifter samordnar dataskyddsombudet arbetet. Ansvariga tjänstemän i universitetets systemorganisation verkställer sökningar och bedömer i samråd med dataskyddsombuden och arkivarier om begäran kan tillmötesgås. Vid behov gör även berörd fakultet eller institution personuppgiftssökningar i sina eventuella register och forskningsprojekt.

En begäran hanteras omedelbart när den inkommit. Den som begärt radering av personuppgifter meddelas om och när åtgärden utförts. Ett eventuellt avslag meddelas genom skriftligt beslut av universitetsdirektören. Beslutet innehåller uppgift om hur det kan överklagas.

I det aktuella fallet begärde sökanden under perioden augusti 2015 – april 2016 vid flera tillfällen information om universitetets personuppgiftsbehandling rörande honom. Den första begäran återtogs av sökanden. Vid de andra två tillfällen som begäran framställts svarade universitetet och översände i samband med det registerutdrag och kopior av personakt.

I mars 2018 begärde sökanden att personuppgifter rörande en brottmålsdom skulle raderas. Universitetet svarade en vecka senare att det inte fanns någon digitalt hanterad brottmålsdom att radera samt att sökanden kunde få ett beslut med fullföljdshänvisning om han så önskade. I maj 2018 begärde sökanden ett beslut med sådan hänvisning. Universitetet meddelade – i sitt yttrande till Justitiekanslern i skaderegleringsärendet – att manuellt hanterade uppgifter skulle sparas tills ärendet var slutfört och senare gallras vid arkivering av personakten.

Rättsliga utgångspunkter

Offentlighet och sekretess

Grundläggande regler om allmänna handlingars offentlighet finns i 2 kap. tryckfrihetsförordningen (TF). Offentlighetsprincipen kommer till uttryck i att var och en har rätt att ta del av en allmän handling, dvs. en handling som förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos en myndighet, förutsatt att handlingen inte omfattas av sekretess (2 kap. 1, 2 och 4 §§ TF).

Med handling avses enligt 2 kap. 3 § TF inte bara en framställning i skrift eller bild utan även en upptagning som endast med tekniska hjälpmedel kan läsas, avlyssnas eller uppfattas på annat sätt. En handling anses ha upprättats hos en myndighet när den expedierats eller när det ärende den hänför sig till har slutbehandlats eller annars när handlingen har justerats eller färdigställts på annat sätt (2 kap. 10 § TF). Undantag gäller för bl.a. minnesanteckningar i den mån de inte expedierats eller tagits om hand för arkivering (2 kap. 12 § TF).

Den som begär ut en allmän handling som får lämnas ut ska enligt 2 kap.   15 § TF genast eller så snart det är möjligt och utan avgift få ta del av handlingen på stället på ett sådant sätt att den kan läsas eller avlyssnas eller uppfattas på annat sätt (vissa undantag föreskrivs i paragrafen). Om handlingen innehåller sekretessbelagda delar ska den i övriga delar göras tillgänglig för sökanden i avskrift eller kopia. Begäran om att få ut handlingen ska som huvudregel prövas av den myndighet som förvarar handlingen (2 kap. 17 § TF). Om någon annan än riksdagen eller regeringen avslår en begäran att få ta del av en handling får sökanden överklaga beslutet (2 kap. 19 § TF).

Ovan redovisade bestämmelser i TF gäller enligt dess nuvarande lydelse. Vid tidpunkten för den aktuella begäran om att utfå allmän handling hos universitetet tillämpades en äldre lydelse av lagen. Såvitt gäller regleringen i ovan redovisade avseenden är dock det materiella innehållet i allt väsentligt oförändrat efter den lagändring som trädde i kraft den 1 januari 2019.

I offentlighets- och sekretesslagen (2009:400) finns bestämmelser om sekretessprövningen och hur allmänna handlingar ska hanteras.

Personuppgiftslagen och EU:s dataskyddsförordning

Den 25 maj 2018 började EU:s dataskyddsförordning (dataskyddsförordningen) att gälla som svensk lag och samma dag upphörde personuppgifts-lagen (1998:204; PUL) att gälla. Enligt övergångsbestämmelserna till lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) gäller dock PUL fortfarande i vissa särskilt angivna situationer. Så är bl.a. fallet när det i annan lag eller förordning finns bestämmelser som innehåller hänvisningar till PUL eller vid överklagande av beslut som meddelats med stöd av PUL. En pågående behandling av personuppgifter ska annars bedömas enligt den nya lagstiftningen från och med den 25 maj 2018.

I 23–26 §§ PUL föreskrivs vilka skyldigheter som den personuppgiftsansvarige har när det gäller information till den registrerade om personuppgiftsbehandling rörande hen. Sådan information ska bl.a. innehålla uppgift om ändamålen med behandlingen. Artiklarna 12–15 i dataskyddsförordningen utgör en motsvarande men mer omfattande reglering av de skyldigheter som numera åvilar den personuppgiftsansvarige i detta avseende.

Personuppgifter som inte behandlats i enlighet med PUL, eller med föreskrifter utfärdade med stöd av PUL, ska enligt 28 § snarast rättas, blockeras eller utplånas på begäran av den registrerade. En rätt till rättelse och radering av personuppgifter finns även i artiklarna 16 och 17 i dataskyddsförordningen. Rätten till radering gäller bl.a. för personuppgifter som inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats och för personuppgifter som har behandlats på olagligt sätt.

En personuppgiftsansvarig myndighets beslut om bl.a. information och rättelse kan enligt 52 § PUL överklagas till allmän förvaltningsdomstol. Detsamma gäller för tiden efter den 25 maj 2018 beslut enligt bl.a. artiklarna 12.5 och 15–17 i dataskyddsförordningen, dvs. beslut avseende information till den registrerade, rättelse och radering (7 kap. 2 § dataskyddslagen).

Enligt 5 a § PUL behöver ett antal av lagens paragrafer (bland dem ovan redovisade 23–26 §§ och 28 §) inte tillämpas på behandling av uppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som strukturerats på närmare angivet sätt. Undantag gäller dock för sådana fall när behandlingen innebär en kränkning av den registrerades personliga integritet. Utrymmet för en förenklad hantering av uppgifter i ostrukturerat material saknar motsvarighet i dataskyddsförordningen.

Justitiekanslerns bedömning

Utlämnande av allmän handling

Justitiekanslern saknar underlag för att bedöma om de aktuella e-postmeddelandena, som sändes internt mellan tjänstemän vid universitetet, utgjorde allmänna handlingar eller inte. Det står dock klart att universitetet haft en skyldighet att behandla sökandens begäran om att utfå meddelandena enligt reglerna om utfående av allmän handling. Så har också inledningsvis skett, genom universitetsdirektörens beslut i juni 2016. Bedömningen gjordes då att det inte var fråga om allmänna handlingar och att de därmed inte skulle lämnas ut.

Som framgått ovan vann kammarrättens beslut om undanröjande och återförvisning laga kraft den 25 augusti 2016 när Högsta förvaltningsdomstolen avvisade universitetets överklagande. Innebörden av att universitetets beslut från juni 2016 hade undanröjts var att sökandens begäran från maj 2016 om att utfå e-postmeddelandena på nytt behövde behandlas. Så borde ha skett skyndsamt efter att kammarrättens beslut vunnit laga kraft. Det framgår för övrigt av universitetets yttrande att myndigheten är medveten om att ett nytt beslut krävs i den situationen. Utredningen visar dock att något nytt beslut aldrig fattades i det aktuella fallet.

Universitetets underlåtenhet att efter den 25 augusti 2016 genom ett överklagbart beslut skyndsamt ta ställning på nytt till sökandens begäran om att utfå e-postmeddelandena har stått i strid med bestämmelserna i TF. Universitetet förtjänar kritik för dessa brister i handläggningen.

Enligt universitetets yttrande synes det krävas att den som begärt en allmän handling ska återkomma skriftligen för att få ett formellt och överklagbart myndighetsbeslut. Justitiekanslern vill påtala att ett sådant krav inte är förenligt med lag.

Begäran om radering av personuppgifter m.m.

Av utredningen i skaderegleringsärendet framgår att sökanden via ombud i mars 2018 begärde dels radering med stöd av 28 § PUL av digitalt hanterade brottmålsdomar rörande honom, dels information enligt 26 § PUL om vilka brottmålsdomar och andra uppgifter om brottsligt agerande som universitetet behandlade rörande honom. Det svar universitetet lämnat – att en brottmålsdom förvarades hos universitetet men inte digitalt – får anses uppfylla universitetets skyldigheter enligt PUL.

Det ska i sammanhanget också anmärkas att Justitiekanslern i skaderegleringsbeslutet kom fram till att den delvis automatiserade personuppgiftsbehandling som faktiskt hade skett – genom att uppgifter om brottmålsdomen förekommit i olika e-postmeddelanden tjänstemän emellan, såvitt framgick av utredningen – avsåg uppgifter i en sådan ostrukturerad samling uppgifter på vilken 26 och 28 §§ PUL inte behöver tillämpas annat än om den registrerades personliga integritet kränkts (se 5 a § PUL). Vidare bedömde Justitiekanslern att den manuella hanteringen av brottmålsdomen hade skett på ett sådant sätt att uppgifterna inte kunde anses ha ingått i ett register och att PUL eller dataskyddsförordningen därmed inte var tillämpliga överhuvudtaget på den behandlingen (se 5 § andra stycket PUL).

I maj 2018 återkom emellertid sökanden med en förnyad begäran. Han krävde då radering av såväl digitalt som manuellt hanterade personuppgifter om brottmålsdomar eller förhållanden redovisade i domarna. Från och med den 25 maj 2018 hade universitetet att tillämpa dataskyddsförordningen, som inte medger någon förenklad hantering av uppgifter i ostrukturerade personuppgiftssamlingar. Universitetet var således skyldigt att fatta ett beslut i vart fall i fråga om radering av de digitalt hanterade uppgifterna. Något beslut meddelades dock aldrig med anledning av begäran i maj 2018. I samma skrivelse hade sökanden begärt skadestånd av staten bl.a. på den grunden att universitetet behandlat personuppgifter i strid med PUL och dataskyddsförordningen. Eftersom anspråket skulle handläggas av Justitiekanslern överlämnade universitetet skrivelsen hit. I ett yttrande två månader senare upplyste universitetet om att de manuellt behandlade uppgifterna om brottmålsdomen skulle gallras och därmed raderas i samband med arkivering av personakten.

Av sökandens yttranden i skaderegleringsärendet framgår att han enligt egen uppfattning framställt en begäran om radering av personuppgifter vid fler tillfällen än vad universitetet vidgått i detta ärende. Ord står mot ord i den delen och Justitiekanslern får i sin bedömning utgå från universitetets uppgifter om att begäran om radering framförts av vid två tillfällen, nämligen via sökandens ombud i mars och maj 2018. Det framstår som fullt möjligt att sökanden kan ha framfört önskemål vid exempelvis muntliga kontakter dessförinnan utan att tjänstemän vid universitetet haft anledning att uppfatta det som formella framställningar enligt PUL.  

Som tidigare nämnts besvarade universitetet aldrig sökandens begäran i maj 2018 om radering av vissa personuppgifter. Så borde naturligtvis ha skett, även om den skrivelse i vilken begäran framfördes också innehöll ett skadeståndsanspråk som skulle handläggas av annan myndighet. Sammantaget anser dock Justitiekanslern att omständigheterna inte är sådana att någon kritik ska riktas mot universitetet i den delen. Omständigheterna i ärendet belyser däremot vikten av att en myndighet är noggrann med att utröna vad som från den enskildes sida ska ses som en formell begäran om t.ex. radering eller information enligt, numera, dataskyddsförordningen och vad begäran i så fall exakt tar sikte på. Vidare är viktigt att myndigheten i sitt svar till den enskilde håller isär olika punkter i begäran och besvarar var och en på ett tydligt sätt.

Med dessa uttalanden avslutas ärendet.