Dystopihyllan eller tillit och tyranni

En mig närstående berättade att biblioteket där hen jobbar har en dystopihylla på barn- och ungdomsavdelningen. Så populär är den dystopiska genren för barn att den kräver en egen hylla. Jämfört med den yviga diskussionen om tysthetsnormen på bibliotek känns det här som en viktigare fråga för mig: varför har dystopin blivit ett så dominerande narrativ, så dominerande att även barn måste få en rejäl dos av dyster framtid?

Det är alltid svårt att bedöma sin nutid men detta är bara ett tecken på att vi för närvarande lever i en tid av ett ökande materiellt välstånd, längre livslängd, ett minskat terrorhot (i alla fall i Europa) och, sett i ett längre perspektiv, färre konflikter men med en känsla av att vi vandrar på avgrundens rand. Egendomligt nog är oron i mindre grad riktad mot reella hot som klimatsituationen. Undersökningar liknande den här ger en ganska entydig bild av den bristande tilltron till framtiden bland unga.

Flera av senare tids mest populära serier som The handmaids tale (som bygger på min gamla favorit Atwoods bok) är också dystopier. Inte bara barnen utan även vuxna antingen får sin redan dystra världsbild bekräftad eller influeras till en sådan via masskulturen. Den dystopiska världsbilden fördystrar inte bara den enskilda människans liv utan avspeglar ett samhälle av rädda människor. Att rädda människor är mer lättstyrda och mer beredda att underordna sig starka ledare som säger sig kunna erbjuda skydd är väl utforskat, bland annat av Zygmunt Bauman i verk som den Flytande rädslan.

Det förenande kännetecknet för dystopierna är ett auktoritärt styre vilket känns aktuellt även utanför fiktionens värld. Kanske kan den skräck vi känner för de fiktiva tyrannierna i allt från Harry Potter till vuxenlitteratur omvandlas till en kraft för att förhindra auktoritära tendenser i verkligheten.  Efter att ha läst Timothy Snyders On tyranny, en kort bestseller med hög densitet, funderar jag över om dystopierna på ett olyckligt sätt medverkar till att vi accepterar auktoritära tendenser som oundvikliga. De auktoritära tendensernas återkomst riskerar att urholka demokratin och på sikt leda till tyranni. On tyranny beskriver faktorer som historiskt sett har berett vägen för tyranni och vad en ansvarsfull individ kan göra för att motverka att dessa faktorer får genomslagskraft. Exemplen är hämtade dels från nazismens genombrott i Tyskland, dels det sovjetiska tyranniet. On tyranny ger uppmaningar som att slå vakt om språket, om sanningen, om institutionerna, om integriteten, om yrkesetik och om att våga stå för en egen åsikt. Börjar vi ge vika och kompromissa eller, ännu värre, agera som en del i den kraft som vill underminera demokrati, öppenhet och integritet så kan en snabb förflyttning ske till ett auktoritärt styrelseskick. Exempel på rörelser i den riktningen finns i flera europeiska länder idag och det finns ingen anledning att tro att Sverige skulle vara immunt. Det kan förtjäna att understrykas att förflyttningen mot auktoritära styren i dagens Europa i huvudsak varit interna angelägenheter och jag tänkte därför i detta sammanhang inte fokusera på vår stora stygga granne i öst utan på vad vi kan göra själva.

En möjlig slutsats utifrån den historiska erfarenheten är att ett samhälle som genomsyras av tillit är det som har bäst motståndskraft mot auktoritära styren.  Vi bör alltså inte hålla ögonen öppna enbart för de auktoritära tendenserna utan även för förhållanden i samhället som antingen skapar eller eroderar tillit. Den tillitsdelegation som Ardalan Shekarabi tillsatt är sannolikt ett positivt steg i rätt riktning men otillräckligt eftersom målet för delegationens arbete är att ”styrningen av den offentliga förvaltningen i högre utsträckning ska baseras på tillit”. Det handlar i huvudsak om saker som att föreslå nya styrmodeller i den offentliga förvaltningen som kan ersätta New public management-modeller som visat sig tämligen destruktiva, d.v.s. tillit i förhållandet mellan regeringen och myndigheterna istället för detaljerade och mätbara kontrollprogram. Mycket bra självklart men som sagt otillräckligt för att skapa tillit hos innevånarna i förhållande till staten eller samhället i ett vidare perspektiv.Ändå ska inte verkligen inte myndigheters roll som samhällsbärande institutioner underskattas. Här finns ett samspel mellan att myndigheterna måste göra sitt yttersta för att få förtroende men också att medborgarna, media och debattörer accepterar ett ansvar för myndigheters och andra institutioners möjlighet att fungera.  En uppfordrande maning från Snyder som känns  omodern i dagens skräniga politiska klimat är att vi måste försvara våra institutioner:

It is the institutions that helps us to preserve decency. They need our help as well. Do not speak of ”our institutions” unless you make them yours by acting on their behalf. Institutions do not protect themselves. They fall one after the orher unless each is defended from the beginning. So choose an institution you care about – a court, a newspaper, a law, a labour union – and take its side.

Det här är naturligtvis ett något obekvämt perspektiv, vana som vi är att få gnälla på allt. Jag är dock beredd att köpa Snyders resonemang och ska själv försöka komma bort från slentriangnällandet och bli mer konstruktiv. Min övertygelse om att detta är viktigt stärktes då jag häromdagen läste en terrorismforskare hundvissla om att ”Sverige” accepterar att kriminella spränger polisbilar. Med Snyders text färsk i minnet gjorde jag en ansträngning för att se något som helst positivt i att hen utnyttjar sin stora plattform för att göra den här typen av utspel som knappast har med verkligheten att göra. Jag kan inte se någon sådan positiv effekt – bara att tilliten i samhället minskar. Det måste dock poängteras att försvara institutioner som sådana inte innebär att de inte får kritiseras. Tvärtom måste ett ständigt förbättringsarbete pågå men det måste ske med respekt för institutionerna som just institutioner.

Om vi kan vara överens om premissen att tillit är en motkraft mot auktoritära synsätt så vill jag nu gå ett steg längre och säga att vi som arbetar med frågor inom informationshantering, säkerhet och integritet har en möjlighet att i någon liten mån påverka en förflyttning i rätt riktning. Det kräver dock kulturförskjutning inom kåren mot ett arbete tydligare grundat i värderingar och även en uppgörelse med den anti-intellektuella och delvis auktoritära hållning som alltför ofta präglar synsätt och arbetsformer. Vikten av att förankra säkerhetsåtgärder i värderingar innebär en förståelse av att ”säkerhet” inte har ett existensberättigande i sig själv utan måste vara kopplat till att utveckla och skydda värden i organisationen, och på samhällsnivå; värden för samhället. De materiella värdena är enkla att identifiera men i förhållandet till tillit så är det, som jag uppfattar det, framför allt öppenhet, korrekthet och respekt för den enskildes integritet. Att detta inte faller sig alldeles naturligt för alla som jobbar med säkerhet förstår jag utifrån att ha blivit kallad både integritetsextremist och öppenhetsfundamentalist (med viss glimt i ögat) av kollegor. Och att göra sig fri från det anti-intellektuella handlar väsentligen om att erkänna att informationshantering och säkerhet befinner sig i ett territorium av ständiga dilemman där förmågan till relevanta problemformuleringar är helt central för att vara en positiv kraft. I detta ligger naturligtvis även förmågan att tänka och att kunna ta till sig ny kunskap samt att inse att det inte finns absoluta sanningar. Även här föreställer jag mig en ganska mödosam process för att utveckla kåren mot en mer ändamålsenlig kultur.

Låt mig ta några exempel på frågor där säkerhetsarbete kan stärka eller stjälpa tilliten. Den mest näraliggande proberstenen är dataskyddsförordningen som träder i kraft i maj och vars syfte är stärka den personliga integriteten (och den gemensamma europeiska marknaden). Vi är väl ett antal som både arbetat med informationssäkerhet och integritetsfrågor, t.ex. som PUO, men min personliga erfarenhet är att integritet försätter många säkerhetsmänniskor i ett ambivalent tillstånd. Å ena sidan finns det redan idag lagstiftning som ska skydda integriteten och som förutsätter att informationssäkerheten medverkar till detta, å andra sidan är åtgärder som olika typer övervakning centrala i säkerhetsarbetet. Integritet och övervakning går inte att förena utan en djupare analys där det måste finnas en beredskap för att den övervakning som skulle vara eftersträvansvärd ur ett rent säkerhetsperspektiv inte går att införa på grund av den inskränker den personliga integriteten. Den lagstiftning som redan finns angående integritetsskydd efterlevs i många fall inte. Jag tror inte heller att lagstiftning är tillräckligt utan att relationen mellan värderingar och lagstiftning är mer komplex än vad som framskymtar i dessa mycket seniora jurister debattartikel . Värdering och lagstiftning är helt enkelt inte synonymt (för att ta det mest slitna exemplet otrohet som inte är förbjudet men som det finns en stark värdering kring). För att kunna hantera det återkommande dilemmat mellan integritet (som lagstiftningen kräver) och övervakning måste man ha stöd i värderingar, att verkligen bottna i att integritet är ett viktigt värde och själv aktivt verka för att förbättra den. Lyckas man med det bidrar man till tilliten inte bara genom att slå vakt om integriteten utan även genom att på ett seriöst och öppet sätt visa att världen inte är svart-vitt utan kräver avvägningar och kompromisser.

Integritet har en tendens att frammana svart-vita resonemang och dessutom märkliga motsatsförhållanden som leder tanken fel. Jag har tidigare skrivit om den falska dikotomi (ett argumentationsfel där det förutsätts att det bara finns två alternativ, men där det egentligen skulle kunna vara så att båda dessa alternativ är falska eller att dessa inte behöver utesluta varandra) som använts när det gäller integriteten i sjukvården. Där har nu under 25 år patientsäkerhet ställts mot integritet trots att det är fullt möjligt att uppnå både och. Denna falska motsättning har upprätthållits av sjukvårdens makthavare på olika nivåer och av programvaruleverantörer och är märkligt seglivad och reproduceras i alla sammanhang rörande digitalisering och e-hälsa, explicit och implicit. Ett nytt exempel på detta är den rapport som Myndigheten för vård- och omsorgsanalys publicerade i december . Rapportens syfte är att beskriva Befolkningens inställning till nytta och risker med digitala hälsouppgifter till vilket man haft stöd i enkätundersökning. Trots den goda intentionen att ta reda på befolkningens inställning till tillgången till vårduppgifter menar jag att man hamnar i ett etiskt moras när man läser enkätens beskrivning av verkligheten och de frågor som respondenterna förväntas besvara. Ett exempel på bakgrund:

Sjukvårdspersonal har inte alltid tillgång till dina journaler som förts på andra vårdenheter. Till exempel kan det vara så att läkaren på din vårdcentral inte kan se journalen från specialistläkare som du träffat på sjukhus. Nu tas initiativ för att se till att olika vårdenheter ska kunna se varandras journaler, så att den vårdpersonal du träffar har tillgång till viktig information om dig. Det är bara personal som deltar i vården av dig eller som på andra sätt behöver uppgifterna för sitt arbete som har rätt att läsa din journal. Men detta kan ändå medföra en ökad risk att personal som inte har rätt till det läser dina uppgifter.

Redan beskrivningen sätts förutsättningen att patienten måste gå med på en ökad risk för obehörig åtkomst för att få den självklara nyttan av att behöriga vårdgivare ska få rätt underlag för sin behandling. Samtidigt beskrivs den obehöriga åtkomsten som ett undantag

Andra studier och källor pekar emellertid på att hanteringen av digitala hälsouppgifter inte alltid lever upp till dessa förväntningar på säker hantering.

trots att det är väl känt inte minst genom Datainspektionens försorg att personal som inte alls behöver det har tillgång till känslig information i sjukvården är regel idag, inte ett undantag. När respondenten får frågor som om Vad är din uppfattning om att olika vårdenheter får tillgång till varandras journaler? gissar jag att flertalet förutsätter att det endast är personal som aktivt deltar i respondentens vård som avses. Den falska dikotomin finns ständigt som en bakgrund som när man i intervjuerna frammanar en situation på liv och död:

Anser du att all vårdpersonal som du kommer i kontakt med bör kunna se (allt) ditt journalinnehåll? a. Vilka uppgifter anser du bör vara synliga – om något – för vårdpersonal på till exempel akutmottagningen?

istället för att fråga om respondenten anser att alla inom en region inklusive fotvårdsterapeuter bör få se din psykjournal.

Min generella invändning mot rapporten, vid sidan om den falska dikotomin, är att den riktar hypotetiska frågor om specifika förhållanden där respondenterna med största sannolikhet har mycket litet kunskap som hur informationshanteringen sker, vårdens organisation och rådande säkerhets- och integritetsförhållanden. En radikal tanke är att föreställa sig att enkäten utformats utifrån dagens verkliga situation med frågor som:

Hur upplever du att tusentals anställda som inte alls deltar i din vård har tillgång till all vårdinformation och det heller inte finns rutiner för att i efterhand på ett rimligt effektivt sätt kontrollera eventuell felaktig åtkomst? Detta innebär också en möjlighet att förändra information så att du riskerar allvarlig felbehandling.

Jag tror att den typen att frågor skulle ge en mer rättvisande bild av hur människor faktiskt bedömer sin önskan om integritet. Svarsfrekvensen når inte upp till 30 procent vilket kan vara ett tecken på att många tilltänkta respondenter uppfattade sin förmåga att besvara frågorna som begränsad. Det har inte utgjort något hinder för de slutsatser som presenteras i rapporten.  Jag kommer säkert att återkomma till den här rapporten då den trots sina brister och luddiga slutsatser med säkerhet kommer att användas i olika e-hälsosammanhang som ett stöd för lösningar med bristfälliga integritetskrav. Ur ett tillitsperspektiv är det också negativt inte bara på det sätt som beskrivs i rapporten:

Westins många studier har också påvisat ett starkt samband mellan graden av tillit till institutioner och inställningen till integritetsskydd.

utan också genom att institutionernas förmåga att värna den enskildes integritet påverkar tilliten. Med den integritetssyn som signaleras i rapporten riskerar integriteten att påverkas i negativ riktning vilket i sin tur kan leda till en sänkt tillit. Detta stärks ytterligare av den bild av verkligheten som ges inte rimmar med de granskningar av faktiska förhållanden som gjorts. För mig blir detta ett dubbelfel sett med spaning på tillit: först de verkliga bristerna i sjukvården, därefter att de ignoreras.

Samma osäkerhet om vilken verklighet vi pratar om infinner sig lätt när det gäller säkerhetsåtgärder. Ett uppenbart exempel är övervakningskameror. Vetenskapligt finns det svaga belägg för att övervakningskameror minskar kriminalitet utom då de placeras i parkeringshus. Ändå lyfts övervakningskameror ständigt fram som ett sätt att visa handlingskraft, inte minst för att bekämpa brottslighet i utsatta områden. Jag förutsätter att flertalet som argumenterar för fler kameror är väl medvetna om den bristande effektiviteten i åtgärden men av andra skäl ändå framhärdar i sin argumentation. Som jag ser det leder ineffektiva säkerhetsåtgärder till en falsk trygghet eller till att själva säkerhetsåtgärderna ger belägg för att människor borde känna sig orolig eller till att alerta medborgare inser att de blir ”lurade” av myndigheterna. Inget av dessa tre alternativ skapar en större tillit i samhället. De bör dock få oss som arbetar med säkerhet att fundera över vilka direkta och indirekta konsekvenser vårt säkerhetsarbete kan få och att våga ifrågasätta den reella säkerhetshöjande effekten av olika åtgärder. Avvägningen mellan integritet och vilket annat värde som helst behöver inte med nödvändigt leda till att vilket värde som helst alltid är viktigare.

Den ambivalens som finns hos många säkerhetsmänniskor inför integritetsfrågorna finns i minst lika hög grad inför öppenhet. Öppenhetens betydelse för samhällelig tillit är knappast ifrågasatt av någon och för svenska förhållanden finns det en stor mängd statsvetenskapliga studier om detta så jag finner det överflödigt att länka till någon enskild av dessa studier. Den intresserade kan börja med Bo Rothstein och sedan gå vidare.  Sverige har ju också unika förutsättningar för att ge insyn i myndigheters verksamhet genom offentlighetsprincipen. Även här finns dock ett glapp mellan lagstiftningen och de värderingar som myndigheter och enskilda tjänstemän har. För att offentlighetsprincipen ska fungera i praktiken krävs en vilja att tillhandahålla information även om det kan leda till negativa konsekvenser för myndigheten. Den kultur som finns inom säkerhetsområdet bär på ett arv där huvuduppgiften har varit att säkerställa att hemlig information inte blir tillgänglig för obehöriga. Resultatet blir en osäkerhet som gör att sekretesstämpeln kommer fram för flitigt när det gäller säkerhetsrelaterad information. Att möjligheten att sekretessbelägga information tillämpas i allt vidare utsträckning uppmärksammas av  grävande journalister nyligen.

Öppenheten är basen för tillit men också ett viktigt verktyg för att kunna bedriva den källkritik som är nödvändig i ett klimat där falska nyheter och påverkansaktiviteter florerar. Men även källkritik måste utgå från rimliga värderingar som ger tillit. För mig som är danad i Lauritz Weibulls hårda källkritiska skola är det centralt att det källkritiska förhållningssättet tillämpas även på grunden för de egna utsagorna. Om inte denna princip anses giltig uppfattar jag det som att vi tar ett steg mot den asymmetriska situation som råder under auktoritära regimer där enbart andra nationers påverkansförsök nagelfars medan utsagor som gynnar den egna ståndpunkten okritiskt anammas. Tecken på sådana tendenser av överdrivet välvilligt mottagande har uppmärksammats av bland annat podden Mediespanarna rörande en undermålig rapport om rysk propaganda . Problemet är att de som har det lovvärda syftet att avslöja rysk desinformation själva blir desinformatörer.

Det är dags att avrunda detta långa och pretentiösa inlägg med att komma några förhoppningar inför det nya året, förhoppningar som känns alldeles särskilt aktuella den här veckan då Folk och försvar drar i gång samtidigt som valåret inleds.  En första förhoppning är att vi alla har ett ansvar för att medverka till att skapa tillit i samhället. Vi som arbetar med säkerhet bör låta vårt arbete styras av värderingar som skyddar öppenhet, integritet och demokrati. Vi måste också våga ifrågasätta våra egna sanningar och tillämpa en systematisk källkritik där det också är tillåtet att ha fel. Ta stöd i Timothy Snyders uppmaningar och se hur du kan omsätta dem i ditt arbete.

Läs och se dystopier men motverka att de förverkligas genom att vara extra vaksamma mot alla steg som går i en auktoritär riktning, som inskränker öppenhet och demokrati samt medborgarens möjlighet att hävda sina rättigheter även i förhållande till den egna statsmakten. Undvik att gå in i starkt polariserade lägen som skapar falska dikotomier som att vi antingen är fullständigt naiva eller att ett storkrig står för dörren vilket legitimerar inskränkningar i öppenheten och andra demokratiska rättigheter. Och var inte rädd, rädsla urholkar inte bara själen utan även samhället.

 

Juridik eller arkiv?

Det här kommer att bli ett nördigt inlägg om arkivfrågor eftersom arkivfrågor per se är nördigt eller hur? För läsaren ska kunna sätta inlägget i ett sammanhang ska jag bekänna min bakgrund och därmed även antyda sambandet mellan informationssäkerhet och arkiv.

Min ingång till informationssäkerhet gick via arkiven. Under ett antal år arbetade jag som arkivarie, först på arkivinstitutioner och därefter som landstingsarkivarie. Som så många andra arkivarier hamnade jag i skrået via studier i historia, själv påbörjade jag en forskarutbildning i ekonomisk historia efter att ha läst politisk historia, förvaltningshistoria, naturvetenskapernas idéhistoria o.s.v., o.s.v.  Synsättet att arkivvetenskap (i den mån något sådant ens kan sägas existera) var en stödvetenskap för historieämnet föreföll därför inledningsvis logiskt även för mig. Sedan hände två saker: jag blev väldigt intresserad av metoder för att strukturera information och jag blev tvungen att börja tillämpa detta i en pågående verksamhet, inte bara i avställda arkiv. Jag skrev om proveniensprincipen sett ur det industrihistoriska perspektivet men insåg allt tydligare verksamhetsbehovet i att strukturera information. Det kändes egendomligt att betrakta detta verksamhetsbehov kikande ut från en arkivinstitution och dess behov som är helt annorlunda än verksamhetens. Jag fortsatte att skriva om dessa frågor och vikten av att arkivväsendet omorienterar sig och inte ser sig som en historiens hjälpvetenskap. Istället borde vi vända på processen och se att om arkivarierna specialiserar sig på informationshantering och stödjer verksamheten kommer behovet av långsiktigt bevarande också att hanteras. Däremot gäller inte det omvända. Jag kan väl inte säga att jag fick särskilt mycket gehör för detta utan blev istället betraktad som en arkivvärldens gossen Ruda som en riksarkivarie vänligt uttryckte det.

Nu har jag inte arbetat som arkivarie på många år men interagerar med arkivfrågor nästan dagligen då jag arbetar med informationssäkerhet vilket är naturligt då arkiven kan sägas att jämte krypton vara de informationssäkerhetsåtgärder som förekommit ända sedan antiken. OK, vi kan väl säga signering också så blir det tre antika åtgärdstyper. I vilket fall så sett ur mitt limbo-tillstånd där jag halvvägs utanför, halvvägs innanför arkivvärldens gränser uppfattar jag det som att den desorientering som funnits ända sedan sjuttiotalet fortfarande lever kvar. Jag ska inte här närmare gå in på hur denna desorientering mellan att delta i att utveckla myndigheternas informationshantering år ena sidan och å andra sidan ha blicken fäst vid det historiska materialet. Vad som är glädjande är att regeringen initierat en översyn av arkivområdet under Lars Ilshammars kompetenta ledning. Översynen ska bland annat analysera hur samhällsutvecklingen påverkat kraven på arkivsektorn, se över arkivlagstiftningen och Riksarkivet roll i förhållande till andra myndigheter. Det kan bli spännande!

Inspirerad av detta kommer här tre frågeställningar som kan förtjäna att tas med som faktorer då översynen genomförs och som dessutom är sammankopplade. Först en disclaimer:  i det följande kommer jag liksom som många andra som diskuterar arkivfrågor att strunta i de privata aktörernas behov och praxis gällande dessa frågor och endast ägna mig åt den offentliga sektorn och arkivväsendet i stat, kommun och landsting. Detta är en nästan oförlåtlig avgränsning men eftersom jag här kommer att ta upp några frågeställningar som i första läget framförallt berör det offentliga arkivväsendet finns det en viss logik i detta. Det kan dock inte nog understrykas vikten av att det offentliga arkivområdet idag måste ta mycket större hänsyn till privata aktörer eftersom allt större del av den offentligt finansierade verksamheten utförs av privata aktörer. Ta till exempel inom vården som i efterkrigstiden i all väsentlighet ombesörjdes av offentliga utförare men som sedan nittiotalet alltmer utförs av privata vårdgivare. Vårdinformationen som har ett mycket stort värde under lång tid för den enskilde patienten och ett stort forskningsvärde men lever idag ett osäkert liv eftersom det faktiskt inte längre är tydligt reglerat hur den ska hanteras långsiktigt.

Den första fråga jag tänkte lyfta är frågan är den utpräglade juridifiering som råder gällande arkivhanteringen. I Sverige har arkivväsendet en mycket nära koppling till statsmakten sedan lång tid och numera även en stark koppling i lagstiftningen mellan arkivlagen och offentlighetslagstiftningen. Detta kan ses som en välsignelse och jag tror inte det finns en idag levande arkivarie som inte hämtat legitimitet ur detta faktum och det är självklart att detta ger arkivverksamheten en potentiellt stark ställning i offentliga organisationer (nu blir det ju inte alltid så i praktiken). Men för att travestera femte Moseboken: en välsignelse kan samtidigt vara en förbannelse. Förbannelsen ligger i att samtidigt som offentlighetslagstiftningen definierar arkivens innehåll så definierar den arkivens avgränsning. I arkivlagen sägs att:

3 § En myndighets arkiv bildas av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen och som myndigheten beslutar skall tas om hand för arkivering.

Vad som utgör en myndighets arkiv är alltså en juridisk definition, inte en arkivvetenskaplig. Detta är i sig värt att uppmärksamma men det får även djupgående praktiska konsekvenser. Det måste understrykas att vad som kan utgöra en allmän handling inte är übertydligt. Formuleringar som att ”handlingen ska vara upprättad eller inkommen till myndigheten” leder tankarna till information som liknar pappersdokument och som är vagt relaterade till postgång (detta är också vad som avspeglas i de heliga diarierna som ofta uppfattas som det som definierar vad som är myndighetens allmänna handlingar). Men detta är ju inte den enda information myndigheten använder. Om man jämför dokumenthanteringsplaner med vilka informationsmängder som en myndighet eller kommun verkligen använder för att utföra sina uppgifter är skillnaden ofta stor. Detta blir ganska uppenbart om man gör en processorienterad informationskartläggning där det, vågar jag hävda, alltid kan identifieras betydligt fler informationsmängder än vad som finns redovisat i dokumenthanteringsplanen. Det finns, tror jag, en outtalad föreställning om vad som ska räknas som allmänna handlingar som inte är uppdaterad så att den går att omsätta i en modern myndighets faktiska informationshantering där Skype, molntjänster och även mer traditionella it-system står för merparten av transaktioner. Och när kartan inte stämmer med verkligheten förefaller kartan vinna över verkligheten. Riksarkivet säger även på sina ställen att man jämställer arkivförteckning (som endast ska innehålla allmänna handlingar) och dokumenthanteringsplan:

Här hittar du svar på frågor som rör den andra delen av arkivredovisningen, den som beskriver vilken information som uppstår i myndighetens verksamhet och hur informationen förvaras. Traditionellt kallas denna redovisning för arkivförteckning eller dokumenthanteringsplan. De element som förekommer här är handlingsslag och handlingstyper samt förvaringsenheter.

Det finns också ofta en stark vilja att göra så litet information som möjligt till allmänna handlingar eftersom det uppfattas som negativt att allmänheten ska få tillgång till information som myndigheten vill ha för sig själv. Det kan både ske genom att man kallar information för ”arbetsmaterial” eller genom att man försöker dra ut på statusförändringen till allmän handling genom att kräva exempelvis att ett ”ärende” (detta fullständigt intetsägande begrepp i de flesta icke-exekutiva verksamheter) ska vara avslutat innan en enskild handling blir allmän.

Sammantaget menar jag att juridifieringen av arkivbegreppet, förutom att leda till att många arkivarier uppträder som någon slags barfotajurister istället för informationshanterare, får effekten att en stor diskrepans uppstår mellan det verkliga arkivet och det som kallas myndighetens arkiv. Med detta verkliga arkivet menar jag den information som myndigheten faktiskt använder för att bedriva sin verksamhet och som arkivteoretiskt borde ses som ”arkivet”. Jag tycker att arkivariekåren och arkivväsendet här sviker sin uppgift eftersom väsentlig information och väsentliga sammanhang här förloras.

Den andra frågan jag tänkte ta upp är gallring. Ingen vettig människa kan idag bortse från att det är ett stort problem att mängden information växer exponentiellt. Konsekvenserna blir bristande sökbarhet, bristande integritet, arbetsmiljöproblem, säkerhetsproblem eftersom det inte går att styra dessa gigantiska informationsmängder och faktiskt i slutändan ett miljöproblem. Arkivariens andra huvuduppgift måste därför att på ett professionellt sätt göra gallringsutredningar och sedan se till att information försvinner. Men trots att det i arkivlagen uttryckligen står att allmänna handlingar får gallras så sker detta inte alls med den fermitet som vore nödvändig, kanske beroende på att många arkivarier räds uppgiften och att det på olika sätt sägs att huvudregeln är att alla allmänna handlingar ska bevaras… Det finns också strukturella problem som att myndigheterna inte är sina egna arkivmyndigheter utan måste vänta på att Riksarkivet fattar gallringsbeslutet. Det mest utarbetade stödet för gallring som Riksarkivet tillhandahåller är såvitt jag kan se från 1999.

Även vad gäller gallring leder den ovan beskrivna juridifieringen till principiella problem med mycket stora konsekvenser. Gallring innebär att allmänna handlingar destrueras, när arbetsmaterial förstörs kallas det rensning. Om dokumenthanterings- och gallringsplaner endast omfattar allmänna handlingar innebär det att det i varje myndighet och kommun finns stora mängder av information där styrning saknas och där informationen inte ens är identifierad. Detta hävdar jag är det reella läget vilket är högst bekymmersamt inte minst ur säkerhetssynpunkt där kontroll av informationen är a och o.

Punkt tre på dagens lista (ja, jag hotar med att komma tillbaka till ämnet) är otidsenligheten och bristen på strategi i arkivområdet. Som ändå hyfsat insatt kan jag inte utläsa vad Riksarkivets strategi för långtidsbevarandet är mer än att man gör allt för att statliga myndigheter inte ska komma och försöka dumpa sina arkiv:

  • Leveranser bör inte innehålla handlingar yngre än 10 år. Leveranser med handlingar 10–20 år gamla övervägs särskilt noga med hänsyn till frekvens, sekretesstyngd och andra handläggningsfrågor.

  • Leverans från en och samma arkivbildare bör inte ske tätare än vart tionde år vad gäller pappershandlingar. Digitalt material bedöms utifrån egna, specifika förutsättningar.

På något sätt tycks man helt leva kvar i en pappersverklighet där arkivhandlingar inte fick levereras förrän efter 50 år och då helst inbundna. I en digital verklighet skulle vore den mest rimliga lösningar att man genom tydlig styrning överförde den information som ska bevaras för framtiden till Riksarkivet i samma stund som den skapas. Naturligtvis skulle detta kräva en massiv höjning av informationssäkerheten i Riksarkivets lagring och kommunikation men det skulle samtidigt vara den mest rationella hanteringen av en digital arkivbildning.

Det är möjligt att Riksarkivet har en mängd spännande strategiska diskussioner men dessa måste i så fall föras ut till de myndigheter och kommuner som idag sliter sitt hår och försöka räkna ut vad som förväntas att de ska göra. Och, don´t get me started, det handlar inte om de s.k. e-arkiv som nu försäljs.

Förhoppningsvis kan en klok översyn leda till att desorienteringens dimmor litet börjar upplösas och att en riktning tas ut.

Frånvaron av den goda offentlighetsstrukturen

Den goda offentlighetsstrukturen, eller bristen på sådan, är värd ett blogginlägg till. För att sammanfatta mitt förra inlägg så är det inte bara kraven i OSL som gör att offentlighetsstrukturen inom myndigheter, kommuner och landsting bör prioriteras. Den transparens som ingen politiker, högre tjänsteman eller konsult någonsin missar att närmast religiöst lyfta fram på konferenser och i strategier som en förutsättning för en fungerande demokrati borde innebära att insyn är en central fråga.

Ett annat högaktuellt skäl är att god tillgång till korrekt information från källan är ett av de mest verksamma sätten att bekämpa den farsot av informationspåverkan som bedrivs av både politiska och kommersiella intressen.

Ytterligare en anledning som kanske är mer av motiverande karaktär är att om kravet på systematik och sökbarhet i informationshanteringen (som en god offentlighetsstruktur förutsätter)  realiseras skulle det innebära enorma effektivitetsvinster för den offentliga förvaltningen. Då skulle ju nämligen även medarbetarna på myndigheten eller i kommunen helt plötsligt få arbetsverktyg och en överblick som är  revolutionerande jämfört med i dag. Något som borde ligga helt i linje med de officiella digitaliseringssträvandena. I en kommentar till mitt förra blogginlägg i frågan framkom också att myndigheter ibland får anlita konsulter för att söka fram allmänna handlingar hos andra myndigheter, ett tydligt tecken på bristande insynsmöjligheter även mellan myndigheter.

Trots alla dessa goda anledningar i heta områden är ändå inte offentlighetsstrukturen god och de finns få indicier på att andra än enstaka torra bloggare intresserar sig för frågan. Och när man ändå närmar sig frågan så fastnar man i diarieföringen vilket jag ser som den återvändsgränd vi sprungit i sedan 1970-talet utan att någonsin bromsa in och fundera vad vi håller på med.

Innan jag tittar vidare på några myndigheters mer eller mindre ambitiösa insatser på området ska jag därför skriva litet om diarieföring som fenomen och dess roll som ett klent substitut för en god offentlighetsstruktur. Vad som måste noteras är att det inte finns någon skyldighet för myndigheter att diarieföra information utan skyldigheten är att allmänna handlingar ska vara registrerade. Däremot är kravet på god offentlighetsstruktur obligatoriskt. Varför är det här intressant? Jo, därför att diarieföring inte på något sätt borgar för en god offentlighetsstruktur – snarare tvärtom. Diarieföring är från början ett sätt att dagligen lista in- och utgående korrespondens (därav ordet diarium som litet slarvigt kan översättas som ”dagbok”). Sedan medeltiden och ännu tidigare har detta varit ett sätt för hov, kyrkliga institutioner och en begynnande förvaltning att hålla ordning på korrespondensen. I Sverige finns exempel från bruk och proto-industri där man redan tidigt började föra diarium – eftersom jag ordnade arkivet minns jag med särskild kärlek Långvinds bruk och dess diarium från 1600-talet.

Problemet är bara att diarieföringen sedan 1600-talet inte på något sätt utvecklats i samma takt som övrig informationshantering utan utgör en slags museal kvarleva i dagens förvaltning. Trots att myndigheter har både en och två registratorer (även kommuner och landsting) så ger inte diarieföring vare sig insyn utifrån eller möjlighet till styrning av informationshanteringen internt i myndigheten. Ingen tycks heller ställa krav på att det ska kunna gå att söka information eller registrera den utan personlig hjälp av en registrator. Att diariet omfattar endast en bråkdel av de allmänna handlingar som finns i myndigheten (d.v.s. att endast vissa typer av korrespondens samt dokument som ser ut som pappershandlingar) verkar inte heller väcka oro. Istället lever diarieföringen kvar som en ritual som blir allt mer tom år för år. Fossiliseringen har pågått under årtionden vilket också visar sig vid en snabb sökning på Libris. Sökningen renderar inte i en enda längre text som på djupet analyserar hur diarieföring i traditionell utformning skulle kunna ersättas av sökverktyg som bättre uppfyller andemening i OSL de senaste 30 åren.  En DIVA-sökning är ungefär lika nedslående.

 

 

Diarieföringen sker idag med en stor arbetsinsats och i it-system som utformats för att i mesta mån efterlikna papperskartotek och slippar i tre färger. Det finns ingen formell utbildning till registrator (Mitthögskolan har haft enstaka kurser på arkivutbildningen) utan detta är ett yrke som traderats från kvinna till kvinna och idag är mer en konstform än en funktionell sökfunktion. Det räcker att titta på sökmöjligheten som erbjuds i ett diarieföringssystem för att förstå hur lång bort från en Google-sökning vi är och vilken omöjlig nivå av förförståelse som krävs för att göra en sökning ens inom en myndighet.

För att ge ytterligare ett par exempel på hur det i realiteten ser ut för den som söker på en myndighets webbplats och vill ha insyn, inte bara tillgång till tjänster, så ska jag här beskriva ett par myndigheter som borde ha särskilt intresse för de här frågorna.

Lantmäteriet

Lantmäteriet har varit mycket framgångsrika när det gäller digitalisering och öppna data. När jag gnällt över att öppna data (som ju är näringsinriktade tjänster) prioriterats framför insyn ur ett demokratiskt perspektiv har jag ibland fått det lugnande beskedet att de två frågorna hänger ihop. Den myndighet som satsar ambitiöst på öppna data kommer att vara lika ambitiös när det kommer till insynsperspektivet har varit tanken. Men stämmer det i verkligheten?

Lantmäteriet har visserligen en lockande flik under Om oss som heter Diariet och informationsredovisning. Kan man bli annat än sugen på att kika in där? Under Informationsredovisning  finns en redovisning över olika hjälpmedel som används inom Lantmäteriet som t.ex.:

Informationshanteringsplan, som innehåller upp
gifter hämtade från Arkivförteckningen. Denna sammanställs som ett stöd till verksamheten. Planen beskriver verksamhetens processer och dess handlingstyper. För varje handlingstyp finns beskrivande och styrande information som t ex format, gallring, lagring och förvaring.

Den skulle jag gärna vilja ta del eftersom den ju vore en första ingång för att förstå vilken information som Lantmäteriets processer hanterar. Detta verkar dock bara vara en teaser för planen är inte tillgänglig på webben och det finns heller ingen hänvisning till hur jag skulle kunna ta del av den. Däremot kan jag klicka mig i in informationsredovisningsverktyget Klara där jag kan få ta del av

Historik och information om Lantmäteriets föregångare hittas i informationsredovisningsprogrammet Klara på respektive arkivbildare.

Det är alltså själva arkivredovisningarna som ligger här. Märkligt nog är även det nya materialet ordnat enligt allmänna arkivschemat framtaget 1903 och sammantaget är detta inte ett sätt att presentera information för målgrupper utanför den snäva arkivariekretsen. För att ändå vara någorlunda rättvis kan  en högmotiverad utomstående få ett visst grepp om det historiska materialet men knappast en insyn i dagens verksamhet.

Att det står Diariet och informationsredovisning är missvisande; något diarium kan jag inte hitta utan vad som gäller är att ta personlig kontakt med registratorerna om man inte söker remisser och remissvar samt rapporter som presenteras under egna flikar.

Sammantaget är bedömningen att Lantmäteriet möjligen har en halvgod offentlighetsstruktur när det gäller arkivbildningen men knappast när det gäller pågående verksamhet. Tesen att en satsning på öppna data med automatik leder till samma engagemang i insynsfrågor finner inte särskilt mycket stöd här.

MSB

Det är kanske litet dumt att titta på en myndighet där jag själv arbetat eftersom jag då har en betydligt bättre förförståelse än den vanlige invånaren. Men eftersom MSB har en roll gällande psykologisk försvar (oklart exakt vilken) och i att motverka informationspåverkan tycker jag det är intressant att se om och hur myndigheten själv understödjer källkritik med en god offentlighetsstruktur.

Tyvärr finns inte ens ett diarium tillgängligt (remisser och remissvar finns utlagda). Tanken verkar vara att man ska ringa eller maila registraturen. Med min ”lokalkännedom” uppfattar jag det som att MSB:s webbplats är tämligen orörd sedan myndighetens tillblivelse 2009. Om något ska göras åt detta jungfruliga tillstånd bör en god offentlighetsstrukturen vara ett centralt mål med tanke på de budskap som lämnas till externa parter om vikten av källkritik.

Efter detta tappar jag litet motivationen att närgranska fler myndigheters webbplatser. Jag bläddrar igenom eSams övriga medlemmar, d.v.s. myndigheter som uttryckt ett stort intresse för digitalisering: Migrationsverket, Statens Servicecenter, Arbetsförmedlingen, Kronofogden…  Det ser ungefär likadant ut hos de flesta, i korthet hänvisar man till att ta kontakt med registrator. Det verkar ha formats en icke-uttalad standard för hur liten ansträngning myndigheter tillåts göra för att skapa insyn.

För mig är det förvånande att omvärlden, och då kanske allra mest journalister, finner sig i den dåliga insynen i myndigheters verksamhet och att kritiken som riktas då riktas nästan enbart mot bristande diarieföring och rutiner för utlämnande. Exempel på detta är när Peter Wolodarski idag (15 oktober) riktar en helsida med i och för sig mycket välmotiverad kritik mot UD för att man tar alldeles för lång tid på sig att lämna ut handlingar. Wolodarski utvecklar den kritik som redan framförts av JO om brister i diarieföring och utlämnande. Självklart är detta brister som måste tas på stort allvar och i sitt svar på Facebook säger Margot Wallström att hon ska göra det:

I DN i dag den 15 oktober tar Peter Wolodarski upp de anmärkningar som Utrikesdepartementet fått från Justitieombudsmannen för att inte skyndsamt nog ha lämnat ut information om mejl om Sveriges kampanj till FN:s säkerhetsråd.

Det ska inte råda något tvivel om att jag delar Wolodarskis syn på värdet i offentlighetsprincipen. Öppenhet och transparens är värden som Sverige förknippas med och främjar över hela världen.

I det aktuella fallet begärdes information om drygt 74 000 mejl ut. För vart och ett måste vi ta ställning till om någon uppgift omfattas av sekretess i enlighet med offentlighets- och sekretesslagen. Det är ingen liten uppgift: grovt skattat bedöms detta ärende ta ungefär ett och ett halvt års arbetstid.

JO bedömer att UD inte har handlagt ärendet tillräckligt skyndsamt. I vissa fall har UD, enligt JO, inte heller tagit ställning löpande till registrering av mejl i ärendet. Som departementschef för UD ser jag allvarligt på JO:s anmärkningar. UD har sedan år 2014 sett över och förändrat rutinerna för hur vi hanterar utlämning av handlingar. Förfrågningar om att få ta del av allmänna handlingar är arbetsuppgifter som ska hanteras skyndsamt och gå före annan verksamhet, och vi tillsätter extra resurser vid arbetstoppar. Vi fortsätter nu vårt arbete för att förbättra dessa rutiner

Men även om diarieföringen och utlämnandet skulle fungera oklanderligt enligt de normer som gäller idag menar jag att detta inte på något sätt är tillräckligt för att skapa en god offentlighetsstruktur på det sätt som OSL kräver, bl.a:

2 § Varje myndighet ska upprätta en beskrivning som ger information om
1. myndighetens organisation och verksamhet i syfte att underlätta sökande efter allmänna handlingar,
2. register, förteckningar eller andra sökmedel till myndighetens allmänna handlingar,
3. tekniska hjälpmedel som enskilda själva kan få använda hos myndigheten för att ta del av allmänna handlingar,

Jag hävdar att det med dagens teknik är fullt möjligt att ge offentlighetsprincipen ett reellt innehåll, ge insyn, ge möjlighet till förståelse för vilken information som finns och ge tillgång till allmänna handlingar utan onödiga dröjsmål. Men istället för god offentlighetsstruktur fortsätter vi med en fullständigt obsolet diarieföring.

Varför nöjer vi oss med så litet?  Varför låter vi inte digitaliseringens omvandlande kraft användas här där det är så angeläget?

Test: Offentlighetsstrukturen hos tre myndigheter

I dessa dagar då vikten av att kunna gå till källan för att kontrollera fakta har blivit alltmer uppenbar borde offentlighetsprincipen lyfts fram som den nationalklenod den är bara av det skälet. Så är inte fallet vad jag kan se, trots 250-årsjubileet förra året. I så fall skulle den exempelvis haft en central plats i den nationella digitala strategin men avsnittet Demokratin värnas i digitala miljöer som börjar bra med

Digitalisering bidrar till att skapa förutsättningar för ett öppet och inkluderande demokratiskt samhälle med goda möjligheter att uttrycka och sprida åsikter, idéer och information.

utmynnar endast i förslag rörande medier. Ord som insyn och offentlighetsprincip förekommer överhuvudtaget inte i strategin.

 Tråkigt tycker jag, särskilt med tanke på att insikten om insynens betydelse för ett väl fungerande samhälle fanns (i alla fall med hjälp av vissa politiska påtryckningar) till och med hos Adolf Fredrik (på bilden ovan) som annars mest intresserade sig för att svarva snusdosor. Han undertecknade 1766 lagtexten som motiverade offentlighetsprincipen med:

”Att vi eftersinnat den stora båtnad allmänheten av en rättskaffens skriv- och tryckfrihet tillflyter i det en obehindrad inbördes upplysning uti varjehanda nyttiga ämnen icke allenast länder till vetenskapers och goda slöjders uppodling och utspridande, utan ock gifver en hvar af undersåtarne ymnigare tillfälle att dess bättre känna och värdera ett visligen inrättadt regerings-sätt; ävensom ock denna frihet bör anses för ett af de bästa hjälpmedel till sedernas förbättring och laglydnadens befrämjande, då missbruk och olagligheter genom trycket bliva för allmänhetens ögon ådagalagda.”

 

Dagens ministrar är knappast distraherade av att svarva snusdosor, ändå missas hur gynnsamt insyn är för samhället i de förvaltningspolitiska utspelen.

Men trots allt är ju faktiskt offentlighetsprincipen, om än undanskymt, fortfarande det som gäller för myndigheter, landsting och kommuner. I en digital verklighet skulle också själva innebörden av principen kunna förverkligas, långt bortom tunga ritualer bland uråldriga diarieföringsprinciper och pappershantering. En positiv bieffekt av en mer digital och utvecklad tillämpning är att det också skulle kunna leda till ett indirekt försvar av offentlighetsprincipen som nu ibland ifrågasätts av att den kan vara administrativt tyngande för vissa verksamheter. Det är naturligtvis ett orimligt argument men med en smidigare hantering skulle det återkommande ifrågasättande av enskildas möjlighet till insyn kunna reduceras så att det inte längre utgör ett hot.

I ett tidigare blogginlägg har jag skrivit om behovet av att utveckla offentlighetsprincipen och Peter Seipels viktiga text om de olika tolkningar som är möjliga. Som jag ser det finns det både ett mycket stort behov av att utveckla offentlighetsprincipen samtidigt som möjligheterna att göra det i princip är oändliga. Det som avgör är enbart om det finns en vilja att förbättra insynen eller inte. Att döma av de insatser som hittills gjorts av regeringar oavsett färg de senaste decennierna, då frågor som 24-timmarsmyndigheter, e-förvaltning och digitalisering varit ständigt prioriterade, är viljan inte besvärande intensiv. Faktiskt knappt synlig.

För att inte bara fördomsfullt anta saker har jag gjort ett litet test av nuläget. Offentlighetsprincipen innebär inte enbart att man kan begära ut allmänna handlingar. Myndigheten ska underlätta för den intresserade att få insyn i själva handlingarna men inte bara det; man ska även ha en så kallad god offentlighetsstruktur. Detta beskrivs i offentlighets- och sekretesslagen (OSL) 4 kap. Allmänna åtgärder för att underlätta sökande efter allmänna handlingar, m.m. där det särskilt betonas att en myndighet särskilt ska beakta att enskilda bör ges goda möjligheter att söka allmänna handlingar samt:

Beskrivning av en myndighets allmänna handlingar

2 § Varje myndighet ska upprätta en beskrivning som ger information om
1. myndighetens organisation och verksamhet i syfte att underlätta sökande efter allmänna handlingar,
2. register, förteckningar eller andra sökmedel till myndighetens allmänna handlingar,
3. tekniska hjälpmedel som enskilda själva kan få använda hos myndigheten för att ta del av allmänna handlingar,
4. vem hos myndigheten som kan lämna närmare upplysningar om myndighetens allmänna handlingar, deras användning och sökmöjligheter,
5. vilka bestämmelser om sekretess som myndigheten vanligen tillämpar på uppgifter i sina handlingar,
6. uppgifter som myndigheten regelbundet hämtar från eller lämnar till andra samt hur och när detta sker, och
7. myndighetens rätt till försäljning av personuppgifter.

 

Vad är då rimliga förväntningar på god offentlighetsstruktur idag om man redan 1766 beslutade följande:

”och bör till den ändan uti alla arkiver fri tillgång lämnas att sådana handlingar få avskriva på platsen eller utbekomma i bevittnad avskrift och det vid samma tjänsteansvar som nyss nämnts”

Själv tycker jag att det är en miniminivå utifrån OSL:s krav i ett digitalt Sverige att myndigheters webbplatser ska vara ingången för den enskilde att söka information inte bara om myndighetens tjänster utan om vilka allmänna handlingar som finns i myndigheten. Det bör alltså finnas en beskrivning av myndighetens processer och den information som genereras ur dessa processer alternativt stödjer processerna. Eftersom myndigheter ändå enligt en föreskrift sedan 2008 är skyldiga att ha en processorienterad arkivredovisning borde inte detta vara ett ohemult krav. Sättet att beskriva verksamheten och informationen måste självklart vara så att en utomstående kan förstå den utan att ha kontakt med myndighetens personal, typ registratorer. Det är viktigt att understryka att det inte går att begränsa sig till vilka handlingar som finns registrerade i diariet vilket ju naturligtvis är en bråkdel av alla de allmänna handlingar som finns i myndigheternas it-tjänster och -system. Inte heller kan offentlighetsstrukturen sägas gälla de tjänster som en myndighet har i förhållande till allmänheten – insynen måste riktas främst mot myndighetens egen verksamhet om den ska tjäna de syften som uppställts.

Som utomstående bör jag också ha möjlighet att söka på och identifiera enskilda allmänna handlingar, även detta utan att behöva ta kontakt med myndigheten. Myndigheten bör också i detta sammanhang kunna redovisa väsentliga uppgifter som om på vilket sätt personuppgifter kan ingå i olika handlingar och vilka gallringsbeslut som fattats om olika informationsmängder.

Slutligen bör jag kunna ta del av handlingarna digitalt. Inte heller detta gäller endast de handlingar som finns i diariet utan samtliga allmänna handlingar. En sekretessprövning måste i många fall ske innan utlämnandet men även detta är en rutin som borde kunna effektiviseras och där de handlingar som per definition är offentliga ligger tillgängliga för nedladdning. Så är ju redan fallet med protokoll m.m. från de politiska församlingarna i kommunerna.

För att göra en liten temperaturmätning har jag formulerat, i mitt tycke, tre rimliga frågor för test på några myndigheter/kommuner för att se hur utvecklad deras offentlighetsstruktur är:

  1. Får jag en beskrivning av verksamheten och av de allmänna handlingar som är kopplade till myndighetens processer?
  2. Kan jag själv söka och identifiera enskilda allmänna handlingar?
  3. Kan jag ta del av handlingarna digitalt?

För att börja uppifrån tänkte jag i det här blogginlägget börja med några centrala myndigheter. Med avsikt avstår jag från att testa regeringens hemsida eftersom jag redan tillbringat mycket tid med att snurra runt på den för att söka information – sällan med önskat resultat. Istället tänkte jag titta på några myndigheter som har uppdrag så att de skulle kunna påverka offentlighetsstrukturen hos andra myndigheter alternativt varit delaktiga i nationella digitaliseringsaktiviteter.

Riksarkivet

Riksarkivet har vid sidan om uppdraget om det långsiktiga bevarandet också gett ut föreskrifter om bland annat arkivredovisning vilket är grunden för hur myndighetens allmänna handlingar redovisas. Myndigheten har även ingått i E-delegationen och där haft uppdrag bland annat att genomföra projekt om e-diarium. Riksarkivet har sedan den 1 juli år 2016 i uppdrag att främja arbetet med att tillgängliggöra information och öppna data från statliga myndigheter. Detta är ett axplock av Riksarkivets aktiviteter på området vilket skulle föranleda en att tro att myndighetens egen offentlighetsstruktur är väl utvecklad.

startsidan  finns ingenting som leder en besökare intresserad av Riksarkivets verksamhet och de allmänna handlingar som stödjer den. Jag går via Om Riksarkivet vidare till Om oss och kan då gå in på fliken Organisation som visare den traditionella matrisbilden. Organisationen beskrivs också i fyra ”processområden” vilket känns något motstridigt som begrepp men ger en ganska tydlig bild av vad man sysslar med. Däremot saknas helt uppgifter om vilken information som stödjer processerna.

Jag gör en sökning på diarium för att kanske hitta myndighetens diarium så att jag åtminstone kan se vilka allmänna handlingar som är diarieförda men får då 202 träffar som handlar om olika projekt som Riksarkivet deltagit i för att bland annat utveckla e-diarium. En träff känns aningen ironisk: en nyhetsnotis om en rapport där Riksarkivet framhåller de enorma samhällsvinster som skulle kunna göras med e-diarium och e-arkiv. Det är möjligt att de bland de 202 träffarna döljer sig något litet myndighetsdiarium som jag inte upptäckte när jag skummade igenom söklistan men då är det så väl dolt att i praktiken inte är sökbart.

Vad jag kan se är de enda allmänna handlingar som identifierade, sökbara och även möjliga att ta del av digitalt de remissvar som Riksarkivet skrivit. Det är svårt att säga något annat att det är ett klent resultat för en myndighet som borde hålla fanan högt för en god offentlighetsstruktur.

Pensionsmyndigheten

Pensionsmyndigheten är en stor myndighet och har också varit involverad i flertalet mer eller mindre lösa organisationer inom digitaliseringsområdet som exempelvis E-delegationen. Myndigheten är nu hemvist för eSam, ett medlemsdrivet program för samverkan mellan 21 myndigheter och SKL. Samarbetet syftar till att underlätta och påskynda digitaliseringen av det offentliga Sverige.

På Pensionsmyndighetens webbplats finns betydligt mer av den information jag söker än hos Riksarkivet. Från första sidan kan jag gå in via Om oss och klicka vidare till en föredömligt tydlig box: Lagar, regler och allmänna handlingar. Här finns en länk till en arkivbeskrivning i pdf-format som också ger exempel på handlingar som används i olika ärendeslag/processer. Arkivbeskrivningen redovisar också sökverktyg som finns samt Pensionsmyndighetens gallringsregler. Exemplariskt ur arkivariesynpunkt men sannolikt svårt att koppla informationen till en enskild handling som önskar göra det; t.ex. för att begära ut en enskild handling eller försöka se om en handling som man vill ta del av kommer att gallras.

Dessutom finns ett e-diarium som lider av den svaghet som alla andra diarier har, nämligen att man måste vara registrator för att kunna använda det som söksystem. Heliga åtgärder som att man måste lägga in datum för att kunna få fram resultat är en avgörande nackdel för den som är van att googla men så är inte heller diarieföringssystemen utformade för att ge bredare allmänhet sökmöjligheter.  Eftersom det saknas fritextsökning måste den som söker ha mycket hög grad av förförståelse för att kunna göra en lyckad sökning. Här måste jag veta vilken typ av ärende som Pensionsmyndigheten anser att en handling ingår i eller vem som är ”motpart” för att kunna göra en sökning. När jag skriver in ”digitalisering” får jag exempelvis fram enbart två handlingar eftersom det är de enda handlingar (gissar jag) som har ”digitalisering” i rubriken. Det saknas alltså metadatahantering vilket leder till att en myndighet som har haft väldigt många fingrar i digitaliseringsburken ändå via sitt diarium framstår som helt utanför. Den instruktion till diariet som presenteras visar väl litet på svårigheterna:

Så söker du i e-diariet

  • Ange namn på ett ärende eller motpart. Du kan skriva in hela eller delar av namnet.

  • Du kan söka ärenden inom olika verksamhetsområden.

  • Du kan söka bland pågående ärenden, avslutade ärenden eller alla ärenden.

  • Ett ärende-ID består av ett prefix (till exempel VER), årtal och löpnummer och skrivs på följande sätt: VER 2010-2.

  • Via datumfälten anger du vilket datumintervall sökningen ska göras inom.

  • Sökresultatet sorteras efter datum som du själv kan sortera på.

 

Man kan också gå in via Senast diarieförda handlingar som redovisar diarienummer, ärenderubrik och datum för handlingar som diarieförts de senaste sju dagarna. Även här krävs ofta en hög grad av förförståelse för att kunna tillgodogöra sig informationen och handlingarna är inte läsbara i sig en när de är uppenbart offentliga.

Sammantaget har Pensionsmyndigheten gjort en stark ansats för att få en god offentlighetsstruktur men fortfarande känns det som att det är starkt inifrån-och-ut-perspektiv som präglat det som gjorts. De är olika delar som satts ihop utan att en riktig synergi uppstått och e-diariet som är den enda egentliga sökmöjligheten är dels inte ett fungerande sökverktyg för en utomstående, dels innehåller det endast begränsade delar av de allmänna handlingar som finns inom myndigheten. Det går inte heller att förstå var det förekommer personuppgifter eller vilka handlingar som gallras när.

ESV

En annan viktig myndighet i digitaliseringsbranschen är ESV som ska stödja regeringen och Regeringskansliet med att ta ett helhetsgrepp om digitaliseringen och driva utvecklingen framåt, tillsammans med myndigheterna. Bland annat genom att analysera den offentliga sektorns digitalisering, följa myndigheternas it-användning, utveckla metodstöd och ge stöd inom nyttorealisering. Det är också ett uppdrag som förpliktigar och där ambitionen för den egna verksamhetens digitala hantering borde finnas.

Att döma av ESV:s webbplats ligger myndigheten tyvärr på samma nivå som Riksarkivet med enbart remissvar som tillgängliga allmänna handlingar.

Genomgången av de tre myndigheterna gav inte ett positivt resultat. Jag kan ana flera bakomliggande orsakerna till det dåliga utfallet som inte är knutet till de enskilda myndigheterna utan snarare är generella. Det främsta skälet tror jag är att offentlighetsprincipen obekväm. Bara häromdagen hörde jag en statlig tjänsteman till synes obrydd förklara att hen inte brydde sig om att diarieföra handlingar eftersom det var så jobbigt när utomstående började ringa och fråga om ärendet. Men det obekväma ligger också på en helt annan nivå, kunskap är makt och en tämligen oproblematisk hypotes är att den som har makt gärna vill ha kvar den orubbad. Kanske är det därför det finns så få högljudda förespråkare för verklig insyn bland högre tjänstemän och politiker. En annan orsak är den rådande förvaltningsfilosofin som är och under en längre tid har varit starkt influerad av New Public Management där offentlig sektor ses i huvudsak som en tjänsteleverantör bland andra. Eftersom denna trend har varit i princip synkroniserad med digitaliseringen har demokrati- och insynsaspekter varit kraftfullt nedprioriterade. Ett tredje skäl kan vara den bristande styrning myndigheter internt har av sin informationshantering. Min erfarenhet är att många myndigheter inte styr sin informationsförsörjning på ett systematiskt sätt och därmed kan man inte heller presentera den på ett begripligt sätt utåt. Sannolikt är den bristande sökbarheten och den fragmentariska beskrivningen den samma inifrån som utifrån, något som inte gynnar verksamheter som är helt beroende av sin informationsförsörjning.  Sammantaget finns allt att vinna på att ägna sig åt att utveckla den goda offentlighetsstrukturen vilket alldeles särskilt bör gälla de myndigheter som i någon mån ska utgöra föregångare för andra.

Jag tar gärna emot synpunkter på det jag nu skrivit, om det är missvisande, har felaktiga utgångspunkter eller om jag missat något på de webbplatser jag gått in på.

Informations(säkerhets)skydd

Förslaget till ny säkerhetsskyddslag ger ett intryck av att inte vara fullt genomarbetat i de mer generella avsnitten. I avsnitten om informationssäkerhet förstärks detta intryck. När jag läser om informationssäkerhet känns det redan från början som om jag fått på mig ett par helt annorlunda glasögon som får min vanliga informationssäkerhetsverklighet i ett helt nytt perspektiv. Nya perspektiv brukar vara uppfriskande och klarläggande. Tyvärr kan jag inte säga att det är min upplevelse av utredningens verklighetsbeskrivning. Istället känns det litet som när medeltida munkar beskrev djur de aldrig sett men hört talas om, en vag likhet men ganska långt från förlagan. Man ser liksom att det är en elefant men det liknar inte de elefanter man känner till. ”Informationssäkerhet” är beskrivet från en annan kontinent än min, gissningsvis är den kontinenten Försvarsmakten .

Informationssäkerhet pekas liksom i den gällande säkerhetsskyddslagen ut som en av tre säkerhetsskyddsåtgärder tillsammans med fysisk säkerhet och personalsäkerhet.  Utredningen vill samtidigt utvidga säkerhetsskyddets tillämpning till helt nya verksamheter där det redan finns ett pågående informationssäkerhetsarbete som fyller en mycket viktig funktion bland annat för samhällets robusthet. Dessa två faktorer borde sammantaget lett till att utredningen förhållit sig till den redan existerande verkligheten, försökt ta vara på det redan inarbetade och tillfört endast det som är nödvändigt ur säkerhetssynpunkt.

Utredningen väljer istället en radikalt annorlunda väg och skapar sin egen kontinent utan mer än en tunn landbrygga till det etablerade säkerhetsarbetet, uppfinner sina egna begrepp och metoder. På denna kontinent betyder ”den vedertagna definitionen av informationssäkerhet” den, sett ur det civila perspektivet, stympade definition som används inom Försvarsmakten och säkerhetsskyddsområdet och som fokuserar på sekretess. Jag skriver avsiktligt sekretess och inte konfidentialitet eftersom den utgår från vad som är sekretessbelagt enligt OSL. Den aktivitet som motsvarar informationsklassning är också helt inriktad på sekretessaspekten (mer om detta nedan). Samtidigt skriver utredningen att man vill utvidga säkerhetsskyddslagens informationssäkerhet till att även omfatta riktighet och spårbarhet, i alla fall i någon mening.

Samma ambivalens till lagens tillämpningsområde finns när det gäller hotbilden. Medan man, liksom i gällande lag, avgränsar hoten till att främst gälla antagonistiska hot ska nu informationssäkerheten skydda mot hela hotspektrat s 329:

Säkerhetsskyddet har också en viktig funktion i att ge ett skydd för säkerhetsskyddsklassificerade uppgifter mot andra risker än sådana som beror på brott. Exempel på sådana åtgärder är skydd mot avlyssning och åtgärder för att minska utrymmet för misstag, tekniska brister eller annat som kan medföra oavsiktlig skadlig påverkan på informationen.

Här är visserligen definitionen av informationssäkerhet den samma som för det som beskrivs i en civil verksamhet men då uppstår å andra sidan problemet att sett i den här kontexten skulle det innebära att allt normalt förebyggande informationssäkerhetsarbete kan/ska ses som något som bör styras ur ett säkerhetsskyddsperspektiv.

Över huvud taget är relationen mellan den ordinarie informationssäkerheten och de åtgärder som ska påföras en verksamhet utifrån krav på säkerhetsskydd svårförståelig i utredningens resonemang. Som på sidan 347 t.ex.:

Åtgärder som är förknippade med informationssäkerheten enligt säkerhetsskyddslagen kan inte särskiljas från informationssäkerhet i en vidare bemärkelse. Exempel på detta är skydd mot skadlig kod och användarautentisering som är relevanta åtgärder även för it-system som inte är av betydelse för Sveriges säkerhet. Föreskrifter som meddelas med stöd av lagstiftningen, måste kunna avse informationssäkerheten i stort för de verksamheter som omfattas av säkerhetsskyddslagens krav. Detsamma gäller för tillsyn. En helhetssyn krävs inom detta område och såväl föreskrifter som tillsyn måste kunna omfatta samtliga de relevanta åtgärder som syftar till att ge ett skydd för information.

Detta är ett motsägelsefullt påstående eftersom man i det följande gång på gång visar att den informationssäkerhet som utredningen avser väsentligen skiljer sig från den som tillämpas av t.ex. de organisationer som följer ISO-standarden eller andra etablerade metoder. Betyder det att SÄPO:s alternativt Försvarsmaktens föreskrifter om säkerhetsskydd hegemoniskt ska breda ut sig och tillämpas även i informationshantering som inte faller under lagstiftningen?

Med tanke på att en av utredningens huvudnummer är ett tyngre verksamhetsansvar, det vill säga att offentliga och privata verksamheter ska utföra ganska avancerade manövrar inom säkerhetsskyddsområdet på egen hand, är tydlighet a och o. Myndigheter, kommuner, landsting och privata företag har också ett alltmer krävande verksamhetsstyrt informationssäkerhetsarbete som för den absoluta merparten organisationer är helt dominerande jämfört med säkerhetsskyddet. Dessa två delar måste därför gå att integreras på ett smidigt sätt. Det kräver både tydliga avgränsningar av vad som är vad och samordning av begrepp och metoder där så är möjligt. Som jag tidigare skrivit måste premissen av flera skäl också vara att säkerhetsskyddet ska tillämpas endast där så är nödvändigt och berättigat. Jag ska därför att i det följande se närmare på den centrala aktiviteten klassning och analysera de praktiska konsekvenserna av utredningens förslag.

Informationsklassificering

Tillämpningsområdet av säkerhetsskyddslagen har alltså enligt min mening glidit iväg och blivit otydligt.  Ur informationssäkerhetssynpunkt är det intressant att begrunda utredningens förslag på en tudelad uppdelning hur behovet av skydd ska bestämmas (s 22):

Säkerhetsskyddet ska inriktas mot verksamhet som innebär hantering av säkerhetsskyddsklassificerade uppgifter. Det ska innefatta skydd av uppgifter som är av betydelse för Sveriges säkerhet eller som ska skyddas enligt ett internationellt säkerhetsskyddsåtagande och som till sin natur är sådana uppgifter som avses i bestämmelser om sekretess. Det innebär således en vidare ram än enligt den nuvarande lagen som utgår från begreppet hemliga uppgifter.

Därutöver ska säkerhetsskyddet inriktas mot verksamheter som av annan anledning behöver ett säkerhetsskydd (i övrigt säkerhetskänslig verksamhet). Det motsvarar delvis vad som i dag skyddas inom ramen för skydd mot terrorism, dvs. i huvudsak verksamhet vid skyddsobjekt, flygplatser och vissa verksamheter som ska skyddas enligt folkrättsliga åtaganden om luftfartsskydd, hamnskydd och sjöfartsskydd. Det skyddsvärda området bör inte avgränsas genom regleringen om skyddsobjekt, utan ska utformas så att det även kan innefatta annan säkerhetskänslig verksamhet, t.ex. hantering av it-system eller sammanställningar av uppgifter som är av central betydelse för ett fungerande samhälle eller verksamhet som behöver skyddas på den grunden att den kan utnyttjas för att skada nationen, t.ex. vissa verksamheter inom det kärntekniska området.

Man överger alltså begreppet ”hemlig” och övergår till den övergripande beteckningen ”säkerhetsskyddsklassificerade uppgifter”. Bakgrunden är att släppa kopplingen till offentlighets- och sekretesslagen (OSL) som ju endast är tillämplig på offentliga organisationer.

I dag utgår säkerhetsskyddslagen från att behov av säkerhetsskydd främst handlar om skydd av hemliga uppgifter. Kopplingen till offentlighets- och sekretesslagen kan ge intryck av att säkerhetsskydd främst är en angelägenhet för myndigheter och andra offentliga organ för vilka den lagen är tillämplig. Därutöver handlar det om ett säkerhetsskydd med inriktning att skydda mot terrorism för flygplatser och byggnader, anläggningar m.m. som enligt skyddslagen är skyddsobjekt. Sådana avgränsningar är i dag för snäva och medför eller riskerar att medföra att t.ex. verksamheter som är av betydelse för att upprätthålla grundläggande samhällsfunktioner faller utanför tillämpningsområdet. Ett första steg är en ändrad systematik som bl.a. tydligare innefattar sådan säkerhetskänslig verksamhet som bedrivs hos enskilda.

Att kunna identifiera och klassa information är alltså avgörande för att kunna bedöma vad som ska falla under säkerhetsskyddslagen. Förutom att ringa in vilka uppgifter som är av betydelse för Sveriges säkerhet m.m.också för att definiera ”i övrigt säkerhetskänslig verksamhet” vilket är en utvidgad ersättning för det som skulle skyddas mot terrorism. Som exempel nämns alltså ”hantering av it-system eller sammanställningar av uppgifter som är av central betydelse för ett fungerande samhälle”.  

Utredningen utlovar en beskrivning av hur säkerhetsskyddet ska utvecklas för de två verksamhetstyperna ( verksamheter som innebär hantering av säkerhetsskyddsklassificerade uppgifter och  verksamheter som av annan anledning är säkerhetskänslig (i övrigt säkerhetskänslig verksamhet).). Redan här börjar ett metodologiskt problem. Eftersom begreppet ”verksamhet” aldrig diskuteras så det är svårt att avgöra om en verksamhet avser en organisation, en del av en organisation, en process eller en aktivitet. Jag satsar på att det är en del av en organisation men inte en specificerad funktion utan något mer flytande.

I sina beskrivningar hur det konkreta säkerhetsskyddsarbetet ska utföras beskrivs visserligen en elefant kallad informationssäkerhet som vagt liknar de elefanter som jag känner till men spretar rejält i resonemangen. Jag skulle inte åta mig att ställa upp en logisk sanningstabell över utredningens utsagor.

En central poäng för utredningen är att säkerhetsskyddet som traditionellt varit inriktat på att skydda konfidentialitet nu ska vidgas till att även motverka brister i tillgänglighet och riktighet. Detta sägs samtidigt som man vill göra en internationell anpassning och ha fyra ”informationssäkerhetsklasser”. Vad man säger är alltså att man ska anpassa sig internationellt men samtidigt inte, att man ska ta med skydd för information även i förhållande till riktighet och tillgänglighet men samtidigt inte ta med de aspekterna i informationsklassningen. Även begreppen är motstridiga: man säger att informationen ska ”informationsklassificeras” trots att det enda som avses är en bedömning av behovet av konfidentialitet. Dessutom är de uppgifter som genomgått informationsklassificeringen inte informationsklassificerade som man skulle kunna tro utan säkerhetsskyddsklassificerade. Detta betyder att de ska hanteras i någon av de fyra informationssäkerhetsklasser som utgör säkerhetsskyddet…

För att gå vidare med klassificeringen så vill alltså utredningen att det ska införas fyra informationssäkerhetsklasser av internationell modell. Jag vill resa en stark invändning mot begreppet informationssäkerhetsklasser eftersom det inte är informationssäkerhet som klassificeras utan endast skydd mot obehörig åtkomst. Informationssäkerhet har, som utredningen i ett senare avsnitt framhåller, en etablerad definition där även aspekterna riktighet, tillgänglighet och allt oftare även spårbarhet ingår. Det är direkt vilseledande att använda ”informationssäkerhet” när man endast avser en delmängd. Jag kan faktiskt inte förstå varför man med berått mod vill skapa en källa till ständiga missförstånd och därmed väsentligen försvåra säkerhetsarbetet i de verksamheter där det ska bedrivas. Oansvarigt skulle jag vilja säga och en arrogans mot alla de som i sin dagliga gärning har att reda ut begreppen i sina respektive organisationer för att få litet praktisk verkstad.

Överhuvudtaget är synen på informationssäkerhet och klassning märklig och, jag ber om ursäkt, litet slapp. På sidan 346 slås aspekterna riktighet och tillgänglighet ihop som om de vore jämförbara entiteter trots att alla som arbetat med informationssäkerhet vet att det här högst olika åtgärder som är nödvändiga för de två aspekterna. Man hävdar också:

Riktighets- och tillgänglighetskrav är svårare att indela i nivåer än när det gäller konfidentialitetskrav. Detta på grund av att kraven kan vara mycket varierande i olika verksamheter och system och svårare att uttrycka i generella termer.

Med tanke på att SLA för tillgänglighet är de mest etablerade nivåkraven är första meningen svår att tolka. Att tillgänglighetskraven också styr en verksamhets prioriteringar vid en kris borde göra det än mer angeläget att ha en nivåindelning. För mig med ett osunt intresse för klassning och skyddsnivåer är andra meningen minst lika obegriplig – att kraven är varierande mellan verksamheter borde göra standardisering nödvändig. Enligt förslaget ser den praktiska hanteringen ut så här (s 344):

Vi föreslår därför att säkerhetsskyddsåtgärden informationssäkerhet delas upp i två delmoment. Det första tar sikte på skyddet av säkerhetsskyddsklassificerade uppgifter från det perspektivet att åtgärderna ska förebygga att uppgifterna röjs, ändras, görs otillgängliga eller förstörs. I informationssäkerhetssammanhang brukar man tala om skydd för konfidentialitet, riktighet och tillgänglighet. I denna del är det konfidentialitetsperspektivet som är det framträdande.

I det andra momentet anges att åtgärderna ska förebygga skadlig påverkan på informationstillgångar som annars är av betydelse för säkerhetskänslig verksamhet. I detta fall är det därför enbart riktighets- och tillgänglighetshänsyn som gör sig gällande. Med informationstillgångar avses information och informationssystem i vid bemärkelse, dvs. uppgifter, handlingar och tekniska system som används för att i olika avseenden elektroniskt kommunicera och i övrigt behandla uppgifter. Observera att begreppet har en delvis annan och mer långtgående betydelse i den internationella standarden för ledning av informationssäkerhet (LIS) där även människor ingår i begreppet.

Bortsett från skönhetsfläckar som benämningen av ISO-standarden (”ledning av informationssäkerhet”) är det andra momenten en egendomlig övning. Det handlar om någon slags friåkning och vars konsekvens är lika oklar som grunden för bedömningen. Där värderingen av negativa konsekvenser ur konfidentalitetssynpunkt ska ske i fyra nivåer saknas här helt nivåer, vad som ska bedömas är enbart ”betydelse”. Hur riktighet och tillgänglighet ska hanteras beskrivs ingenstans mer än i en indirekt hänvisning till säkerhetsskyddsanalysen samt här (s. 287):

Överlag ger säkerhetsskyddslagstiftningen i dag intryck av att den del av säkerhetsskyddet som inte handlar om hemliga uppgifter närmast ses som ett kompletterande skydd. En sådan ordning bör inte behållas. Som framgår av våra förslag i avsnitt 16.1, 17.1 och 18.1 föreslås syftet med de olika åtgärdsområdena (informationssäkerhet, fysisk säkerhet och personalsäkerhet) beskrivas med utgångspunkt från såväl de skyddsbehov som finns när en verksamhet hanterar säkerhetsskyddsklassificerade uppgifter som de skyddsbehov som finns i verksamheter som av annan anledning är säkerhetskänsliga. Några skillnader i fråga om åtgärder och förfarandet för de två inriktningarna anser vi inte vara motiverade.

Detta är så konstigt att jag inte riktigt vet hur jag ska reagera, särskilt som just denna utvidgning lyfts fram som en av de centrala förändringarna jämfört med gällande lag.  Frågor som vad detta innebär i praktiken hopar sig. Hur ska man avgöra vilken information  det gäller och i förlängningen vilken utrustning, kommunikationer m.m.  som ska användas? Vilka typer av åtgärder ska vidtas? Kommer staten att kräva att särskilda rutiner, viss utrustning och särskilda tjänster ska användas på samma sätt som när det gäller den säkerhetsklassificerade informationen? Kommer staten att ta på sig att utveckla eller certifiera utrustning? En vital fråga är också om information som bedöms som väsentlig av säkerhetsskyddskäl men enbart sett till krav på tillgänglighet och/eller riktighet (vet inte vad denna typ av information och andra informationstillgångar ska kallas för de är väl inte säkerhetsskyddsklassificerade?) också ska påtvingas säkerhetsskyddsåtgärder som gäller sekretessaspekten. Dessa frågors svar kommer att ha stor påverkan på både offentliga och enskilda organisationer.  Att då inte ägna energi åt att verkligen utreda vad förändringen består i och hur den ska tillämpas är ganska avgörande för hur utredningens kvalitet bör betygsättas.

När man kommer in på välkänd terräng (klassning ur sekretessynpunkt) är man desto mer mångordig. Här vill man främst med hänvisning till Försvarsmaktens förhållanden samt internationell anpassning införa 4 nivåer. Nackdelen är att man hela tiden utgår från att resten av världen fungerar som Försvarsmakten där hantering av säkerhetsskydd kan räknas som en kärnverksamhet. Exempelvis ids man inte ens ta upp frågan om hur verksamheter ska förhålla sig till först de fyra nivåer för informationsklassning som MSB rekommenderar och sedan ytterligare fyra konfidentialitet. Ska information bedömas på en totalt åttagradig skala eller hur tänker man?

Läs mer

Snedtänkt, atomskräck och säkerhetsskydd

Jag lyssnar på det senaste avsnittet av den underbara podden Snedtänkt som handlar om atomskräcken. Programledaren Kalle Lind och historikern Marie Cronqvist pratar om stämningen under kalla kriget och särskilt om skräcken för atomkriget som föranledde omfattande mer eller mindre välbetänkta åtgärder. Det är svårt att undvika att göra jämförelser med nutiden där atomkriget blivit cyberkrig med samma ryssar med tillägget av terrorister. Förmedlade hot och ständiga konfliktbudskap ger en förkrigsatmosfär vilken i sin tur ger grogrund till fake news och låga krav på sanningshalt inte bara hos ryssarna. Som Aiskylos skrev för sisådär 2500 år sedan; krigets första offer är sanningen. Det är helt enkelt inte särskilt lätt i en sådan samhällsstämning försöka inta en rationell hållning till hotbilder och rimliga säkerhetsåtgärder.

Med detta som bakgrund läser jag utredningen SOU 2015:25 som har ett grått omslag och en titel som är helt befriad från den putslustighet som många andra utredare hängett sig åt: ”En ny säkerhetsskyddslag”. Förtroendeingivande.

Säkerhetsskydd är ett svårhanterligt område. Samtidigt som det är något som alla vill ha i någon form finns det mycket starka skäl att det ska ha en så begränsad tillämpning som möjligt. Säkerhetspolisen (och Försvarsmakten) har mycket stora befogenheter som inskränker medborgarens normala fri- och rättigheter samtidigt som de åtgärder som vidtas ska skydda bland annat dessa rättigheter. Denna balansgång är alltid svår i en demokrati genom det asymmetriska informationsövertaget där de som representerar SÄPO och Försvarsmakten alltid kan hävda att de känner till hot som de tyvärr inte kan avslöja men som motiverar mer resurser och mer inflytande för säkerhetstjänsten. Bristen på transparens omöjliggör också för utomstående att bedöma säkerhetsskyddets effektivitet, så även för uppdragsgivaren. Dialogen mellan myndigheter och uppdragsgivare blir därför annorlunda jämfört med andra myndigheter som nagelfars i fråga om effektivitet i förhållande till behov och de resurser som tillförts. Dessutom innebär mandatet att SÄPO kan ålägga organisationer att genomföra olika typer av säkerhetsåtgärder (även tekniska lösningar) som inte organisationen själv valt, något som kan ha påverkan på organisationens ekonomiska förhållanden.

Därför måste dessa inskränkningar av rättigheter minimeras och starka motiv till inskränkningarna finnas och att den transparens som saknas i genomförande måste ersättas med så offentliga och tydliga spelregler som möjligt. Beslutsfattare, medborgare och andra aktörer har rätt att förvänta sig en förutsägbarhet i myndighetsutövningen och att element av godtycklighet är bannlysta. Förutsägbarhet bör i det här fallet innebära både att det är klart när lagen är tillämplig och vad konsekvenserna blir av att lagen ska tillämpas. Ytterligare en viktig utgångspunkt är att säkerhetsskydd inte är det enda sättet att skydda för samhället viktiga resurser och att hänsyn måste tas till att myndigheter och andra organisationer bedriver ett aktivt säkerhetsarbete som utgår från andra regelverk. För att säkerhetsskydd ska bli aktuellt räcker det inte med att en verksamhet är viktig eller känslig, brister i skyddet måste leda till risker för rikets säkerhet samt de övriga skyddsvärden som finns definierade. Detta är min utgångspunkt i läsningen av förslaget där jag först kommer att titta på några principiella frågor och i ett senare inlägg mer specifikt på de delar som gäller informationssäkerhet.

För utredningen står det klart att det behövs ett utvidgat säkerhetsskydd, något som framför allt uttrycks som negation. Utrednings ledmotiv är ”för snävt” som beskrivningen av dagens säkerhetsskydd, jag räknar till drygt 30 tillfällen där ”snävt” används i olika sammansättningar – oftast med ”allt för”. Säkert är det få som inte delar utredningens uppfattning att tiderna förändras och hoten ser annorlunda ut, däremot behöver inte per definition en förändring innebära utvidgning.

Den utvidgning som utredningen föreslår är att:

  • Fler verksamheter ska kunna falla under säkerhetsskyddet
  • Flera organisationer ska kunna falla under säkerhetsskyddet
  • Inom informationssäkerhetsområdet ska inte enbart konfidentialitet utan även riktighet och tillgänglighet bedömas

Förändringen är inte bara i omfattning utan ligger även djupare, i själva definitionen av vad som ska skyddas.

Vad är det egentligen som ska skyddas?

I den nuvarande lagstiftningen används begreppet rikets säkerhet som det som är styrande för vad lagen avser att skydda. Begreppet har traditionellt innehållit tre dimensioner: verksamhet, skyddsaspekt och typ av hot. Verksamhet har framför allt avsett den centrala statsmakten och militära förhållanden. Skyddsaspekten har varit konfidentialitet; obehörig åtkomst av information. Hot har varit relaterat till brott; på senare tid antagonism och terrorism. Med dessa ganska distinkta avgränsningar har det varit möjligt att identifiera vilken verksamhet och vilken information som omfattats av lagstiftningen liksom att vidta åtgärder för att förhindra obehörig åtkomst.

I förslaget till ny säkerhetsskyddslag förskjuts samtliga dessa parametrar. När det gäller verksamhet skriver utredningen:

I dag utgår säkerhetsskyddslagen från att behov av säkerhetsskydd främst handlar om skydd av hemliga uppgifter. Kopplingen till offentlighets- och sekretesslagen kan ge intryck av att säkerhetsskydd främst är en angelägenhet för myndigheter och andra offentliga organ för vilka den lagen är tillämplig. Därutöver handlar det om ett säkerhetsskydd med inriktning att skydda mot terrorism för flygplatser och byggnader, anläggningar m.m. som enligt skyddslagen är skyddsobjekt. Sådana avgränsningar är i dag för snäva och medför eller riskerar att medföra att t.ex. verksamheter som är av betydelse för att upprätthålla grundläggande samhällsfunktioner faller utanför tillämpningsområdet. Ett första steg är en ändrad systematik som bl.a. tydligare innefattar sådan säkerhetskänslig verksamhet som bedrivs hos enskilda. Vi föreslår att beskrivningen av säkerhetsskyddet ska utgå från två huvudsakliga inriktningar. Säkerhetsskyddet ska inriktas mot verksamhet som innebär hantering av säkerhetsskyddsklassificerade uppgifter. Det ska innefatta skydd av uppgifter som är av betydelse för Sveriges säkerhet eller som ska skyddas enligt ett internationellt säkerhetsskyddsåtagande och som till sin natur är sådana uppgifter som avses i bestämmelser om sekretess. Det innebär således en vidare ram än enligt den nuvarande lagen som utgår från begreppet hemliga uppgifter. Därutöver ska säkerhetsskyddet inriktas mot verksamheter som av annan anledning behöver ett säkerhetsskydd (i övrigt säkerhetskänslig verksamhet). Det motsvarar delvis vad som i dag skyddas inom ramen för skydd mot terrorism, dvs. i huvudsak verksamhet vid skyddsobjekt, flygplatser och vissa verksamheter som ska skyddas enligt folkrättsliga åtaganden om luftfartsskydd, hamnskydd och sjöfartsskydd. Det skyddsvärda området bör inte avgränsas genom regleringen om skyddsobjekt, utan ska utformas så att det även kan innefatta annan säkerhetskänslig verksamhet, t.ex. hantering av it-system eller sammanställningar av uppgifter som är av central betydelse för ett fungerande samhälle eller verksamhet som behöver skyddas på den grunden att den kan utnyttjas för att skada nationen, t.ex. vissa verksamheter inom det kärntekniska området.

Att säkerhetskänslig verksamhet idag också kan vara privat är inte mycket att orda om. Däremot öppnar den sista meningen upp för en definition som liknar begreppet ”samhällsviktig verksamhet” som MSB:s definition  är:

En verksamhet som uppfyller minst ett av följande villkor:

  • Ett bortfall av, eller en svår störning i verksamheten som ensamt eller tillsammans med motsvarande händelser i andra verksamheter på kort tid kan leda till att en allvarlig kris inträffar i samhället.
  • Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkningarna blir så små som möjligt.

Med samhällsviktig verksamhet menas de verksamheter, anläggningar, noder, infrastrukturer och tjänster som upprätthåller den funktion som de ingår i och är verksamhet som är av avgörande betydelse för upprätthållandet av viktiga samhällsfunktioner. Samhällsviktig verksamhet kan vara av nationell, regional eller lokal betydelse. Vad som är samhällsviktigt kan variera beroende på vilka situationer vi ställs inför och i takt med att samhället utvecklas.

Var gränsen går mellan ”säkerhetskänslig” å ena sidan och ”samhällsviktig” å andra sidan framstår i alla fall inte för mig som uppenbart. I kapitel 13.1 presenteras ett försök att utreda inom vilka samhällssektorer finns särskilda skyddsvärda funktioner (som då ska omfattas av säkerhetsskyddslagen). Inte heller efter att ha studerat det blir skiljelinjen distinkt även om man här försöker ringa in mer exakt vad det är som avses. Ett rättesnöre skulle kunna ha varit att säkerhetskänslig verksamhet måste vara av nationell betydelse men inte heller detta håller när man på sidan 245 skriver:

Det bör därför krävas ett kvalificerat skyddsbehov utifrån för samhället fundamentalt viktiga funktioner för att åtgärder enligt säkerhetsskyddslagstiftningen ska vara motiverade. Dessa funktioner kan, trots kravet på nationell betydelse, finnas i en regional eller till och med i en lokal kontext.

Situationen förbättras inte heller av att utredningen föreslår på oklara grunder att begreppet ”rikets säkerhet” ska bytas ut mot ”Sveriges säkerhet”. Orsaken att frångå det inarbetade begreppet till ett med mer territoriell konnotation sägs någonstans vara en vilja att vidga begreppets tillämpning samtidigt som det i den egentliga förklaringen skrivs:

Benämningen rikets säkerhet ska ersättas med Sveriges säkerhet vilket endast är en språklig ändring.

Att det kan råda osäkerhet kring den nya lagens tillämpningsområde är olyckligt. En risk är att en allt för vid tillämpning leder till att medborgares grundlagsfästa rättigheter inskränks (information görs otillgänglig, övervakning sker, personkontroller införs, ekonomiska förhållanden påverkas, arbetsmöjligheter försvåras) i ett alltför stort antal verksamheter som  efter beslut av SÄPO börjar hanteras i extraordinära former. Denna risk förstärks av oklarheten i vem som ska avgöra om en verksamhet är säkerhetskänslig eller inte.  En intressant fråga är vad som händer om en organisation själv genom en säkerhetsskyddsanalys kommer fram till att det saknas säkerhetskänslig verksamhet medan SÄPO hävdar motsatsen. Frågan blir ännu intressantare om man betänker a) det är ett vinstdrivande företag b) säkerhetsskydd kostar avsevärda resurser.

Det är också litet svårt att se en förståelse för de beroendekedjor som finns i dagens samhälle och hur svårt det är att avgränsa enskilda verksamheter. Utan tydliga avgränsningar skulle väsentliga delar av det svenska näringslivet inom it, telekom, kraft, livsmedel, bank och finans, vård och omsorg samt underleverantörer till dessa i värsta fall kunna omfattas av säkerhetsskyddslagstiftningen. Alternativt skulle lagen kunna tillämpas på ett sätt som skulle kunna vara konkurrenspåverkande, som att i vissa sektorer skulle underleverantörer ses som säkerhetskänsliga, i andra inte.

Ytterligare en risk är att oren uppdelning mellan samhällsviktig respektive säkerhetskänslig verksamhet skulle kunna påverka krishanteringsförmågan. Om en allvarlig händelse definieras som i första hand något som ska hanteras av SÄPO kan det leda till att det återställande krisarbetet försvåras exempelvis genom att information hemligstämplas.

I nästa inlägg alltså mer om informationssäkerhet i förslaget.

 

Hallå – vem är det jag talar med?

Jag satt egentligen och skrev om förslaget till ny säkerhetsskyddslag. Den är en uppgift som kräver sin kvinna och man unnar sig kanske en stund av rekreerande slösurfande emellanåt. Twitter är den digitala motsvarigheten till lösgodis fast mer irriterande och nu har jag börjat observera ett ”nytt” irriterande fenomen. Det kan tyckas som en struntsak men ju mer jag tänker på det så är det inte det. Jag menar de offentliga chefer som skriver på Twitter och andra sociala medier med twitterbiografier som ”Enhetschef på myndigheten X men twittrar som privatperson” eller ”Avdelningschef på myndigheten Y men tweetsen är mina egna”. Sedan fylls deras flöden av myndighetsmeddelanden, bilder på dem själva i olika myndighetssammanhang samt inte minst en massa åsikter i frågor relaterade till deras myndighetsutövning.

På en nivå är jag beredd att utbrista ”skaffa dig ett liv” – om man som privatperson är fullkomligt besatt av sitt jobb mår man nog inte så bra. Men naturligtvis är det inte så att de här cheferna egentligen agerar som privatpersoner utan som en del i sin yrkesroll, i vissa fall uppmuntrat av arbetsgivaren. Många myndigheter tycks se det som ett egenvärde att enskilda tjänstemän är synliga i sociala medier, litet oklart varför om ni frågar mig.

Men om nu myndighetsledningen tycker det är bra att cheferna i verksamheten är ute och visar sig i sociala medier varför gör de då inte officiellt som myndighetsföreträdare utan som ”privatpersoner”? Jag kan bara se två skäl till detta vilka båda rimmar illa med svensk förvaltningstradition och med de förväntningar som medborgare har rätt att ha i förhållande till sina myndigheter.

Det första är att man vill slingra sig undan offentlighetsprincipen. Teorin är att om man skriver om myndighetens verksamhet som privatperson som kommer inte vare sig tweets man själv skriver eller tweets som riktas till en att räknas som allmänna handlingar. Ursprungligen var nog skälet att det är litet knöligt att diarieföra och lagra tweets och att det därför är frestande att komma på kreativa lösningar för att undvika det. Men jag tror att det numera, vid sidan om en administrativ slapphet, skapats en mystisk frizon där även generaldirektörer gör uttalande i sakfrågor blandat med kommentarer om fotboll. Rent strikt betraktas information kopplat till myndighetens ärenden som allmänna handlingar oavsett om de kommer in eller skickas ut i form av flaskpost eller twitter men detta tycks ha kommit bort i den allmänna villervallan. Den bristande kontrollen över myndighetens information liksom att lagar inte efterlevs är frågor av vikt i ett informationssäkerhetsperspektiv.

Allvarligare är kanske ändå det andra, möjligen outtalade skälet, till att chefer släpper loss i sociala medier förklädda till privatpersoner. För att ta ett axplock har jag sett personer i chefspositioner eller motsvarande: retweeta opinionsbildare inom det egna myndighetsområdet med starkt berömmande ord, retweeta rapporter med klart tvivelaktigt vetenskapligt värde med lika berömmande ord, upprört kritisera regeringen för att den egna verksamheten (d.v.s. myndighetens, inte privatpersonens) fått för litet medel samt i förklenande ordalag beskrivit enskilda folkvalda. Intrycket är i många fall att myndigheterna bedriver lobbyverksamhet genom sina ”privata” chefer som i sin tur retweetar opinionsbildare som ställföreträdande kommunikatörer av myndighetens linjer. Med tanke på att de retweetade opinionsbildarna inte är särskilt nyanserade i sina åsikter rör sig intrycket av myndigheten allt längre från det litet gråa men förtroendeingivande till en hetsig åsiktsförmedlare.

Det måste understrykas att jag inte på något sätt vill minska offentligt anställdas möjligheter att uttrycka åsikter, delta i den allmänna debatten eller vara politiskt aktiva. Snarare tvärtom, jag tycker att det vore högst önskvärt att fler människor på olika sätt är engagerade i samhället. Vad jag vänder mig emot är att offentligt anställda chefer opinionsbildar inom sina egna verksamhetsområden och därmed skapar en flytande gräns mellan å ena intresse- och lobbygrupper och å andra sidan myndigheten. Kalla mig konservativ men det är ett faktum att svenska tjänstemän inte är politiskt tillsatta och ska inte politisera myndigheternas verksamhet på det sätt som jag menar att ovanstående tweets är exempel på. Tjänstemannen får inte heller förväxlas med privatpersonen eftersom det skapar förvirring och minskar förtroendet för myndigheterna. Och, inte minst, när nu betydelsen av källkritik och av att kunna identifiera vem som står bakom ett budskap förefaller det orimligt att myndigheter agerar som så dåliga exempel.

Tema e-demokrati: Låt inte Öppna data skymma offentlighetsprincipen

Insynen i den offentliga verksamheten och tillgången till allmänna handlingar gynnar medborgarens individuella rättssäkerhet liksom medborgarens kontroll över de offentliga institutionernas funktion. Dessutom, vilket känns alltmer betydelsefullt, kan tillgången till allmänna handlingar göra att det offentliga samtalet har stöd i relevanta fakta och gemensam kunskap. Sammantaget finns det alltså alla skäl till att se den svenska offentlighetsprincipen, med den unika rätt den ger medborgarna till insyn, som en oskattbar tillgång för demokratiutveckling. Att offentlighetsprincipen helt handlar om informationshantering borde ha lett till att den ägnats stort intresse i e-demokratisammanhang.

Nu för ju visserligen e-demokrati i sig en tynande tillvaro i digitaliseringssatsningarna men det är ändå häpnadsväckande att offentlighetsprincipen snarare motverkas än utvecklas. Departement, myndigheter och kommuner verkar alltför ofta göra sitt bästa för att undvika att lämna ut även den information som helt uppenbart är allmän och offentlig. KU och JO kritiserar departement och myndigheter för deras förhalande och försvårande av utlämningsärenden, utan synbarlig effekt. Det har gått så långt att det t.o.m. startats tjänster för att ge stöd för den som vill begära ut allmänna handlingar hos trilskande myndigheter  Offentlighetsprincipen inskränks också genom allt fler krav på sekretess, inte minst uppges ofta säkerhetsaspekter vara skälet till önskan om sekretess.

2 kap Tryckfrihetsförordningen (TF) handlar om allmänhetens rätt att ta del av allmänna handlingar. Det är en rättighet som lagstiftaren inser inte är så lätt att komma i åtnjutande av om medborgaren inte känner till vilken information som hen har rätt att del av. Förvaltningslagen innehåller därför krav gällande serviceskyldighet, tillgänglighet och öppenhet som tillsamman brukar kallas god offentlighetstruktur. Det betyder att departementet/myndigheten/kommunen inte bara ska ta ställning till de begärande om utlämning av allmänna handlingar som medborgare lyckas formulera på fri hand. Man ska också orientera medborgaren om vilka handlingar som finns och rimligen hur de är relaterade till verksamheten. Det ska vara möjligt för medborgaren att få en överblick över myndighetens information och vilka handlingar som skulle vara lämpliga att begära ut om man är intresserad av en viss fråga. Detta gäller naturligtvis även för den insyn som den granskande journalistiken behöver.

För c.a. 15 år sedan gjorde jag ett test av 20 kommuner, 20 landsting och 20 myndigheter för att se hur väl de levde upp till kravet på god offentlighetsstruktur. Resultatet var nedslående. Visserligen hade några lagt ut sina diarier på sin webbplats men eftersom diariesystemen är utformade för registratorer var de oanvändbara som sökverktyg även för mig som  är specialist inom området. De kräver en förförståelse för organisationen som ingen utomstående har, till exempel vilken organisatorisk enhet som hanterar en viss fråga, vad ärendetypen kallas, vad dokumenttypen kallas o.s.v. Min slutsats var att den goda offentlighetsstrukturen var obefintlig. Vid en stickprovskontroll i dag är läget i princip oförändrat. Gå in på valfri myndighet, landsting, region eller kommun och testa, de flesta är i nivå med regeringen själva där man efter mycket letande på webbplatsen kan komma fram hit ett dokument som mycket översiktligt beskriver handlingar som kan finnas. De myndigheter som häromveckan uppmanade till bättre källkritik kan inte heller ses som några föredömen då gäller att erbjuda allmänheten möjligheter att ta del av de allmänna handlingar som skulle kunna utgöra motvikt till falska nyheter. Goda undantag kan finnas som när kommuner gör en ansträngning för att ge insyn i nämnders beslutshandlingar, i övrigt är det ett tämligen kompakt mörker.

Tanken att digitaliseringen kan vara ett kraftfullt redskap för att utöka medborgarens möjlighet till insyn som fanns på 1970-talet har dött någonstans på vägen. Ända in i slutet av nittiotalet förekom i it-kommissionens hägn flera goda ansatser där jag särskilt vill lyfta fram Peter Seipels beskrivning av hur offentlighetsprincipen kan tolkas på ett minimalistiskt respektive ett maximalistiskt sätt.

Man kan urskilja tre olika slag av handlingsoffentlighet: ärendeinsyn, verksamhetsinsyn och kunskapsinsyn. Den första kategorin ger endast möjligheter till insyn i handlingar hänförliga till ett bestämt ärende. Sökanden måste kunna identifiera ärendet i fråga och de begärda handlingarna måste ha ett klart samband med detta. Principen kan tolkas olika snävt: vad som är ett ärende kan t.ex. uppfattas på olika vis och sambandet mellan handling och ärende kan vara av mer eller mindre formell art. Den andra kategorin ger en mer omfattande insyn och förutsätter inte att begärda handlingar har anknytning till något visst av sökanden identifierat ärende. Den begränsas av sitt syfte att ge möjligheter till inblick i myndigheternas verksamhet. Begränsningen kan t.ex. i praktiken utformas som en ändamålsprövning inriktad på att utlämnandet måste vara nödvändigt för att ge möjlighet att bedöma rättsenligheten och lämpligheten av myndighetens åtgärder. Den tredje kategorin innebär i sin mest extrema form att myndigheternas hela informationsinnehav skall stå till allmänhetens fria förfogande och lämnas ut i begärda urval och former. Informationsinnehavet betraktas som en gemensam tillgång som alla i samhället har varit med om att bygga upp och därför också bör få tillgodogöra sig.

Det innebär inte att han bortser från de intressekonflikter som en mer omfattande insyn för med sig:

Att en enskild önskar viss insyn i en myndighets verksamhet är inte detsamma som att myndigheten är intresserad av att ge sådan insyn. Snarare uppstår det ofta konflikter mellan önskemål om insyn och önskemål om insynsbegränsning. Det ligger i offentlighetsprincipens natur att ge upphov till sådana konflikter. De gäller inte bara den enskilde informationssökaren kontra den ”drabbade” myndigheten utan generellt, på samhällsnivå. En vidsträckt öppenhet har sina fördelar men också sitt pris.

Jag uppmuntrar alla att läsa Seipel och reflektera över insynens för- och nackdelar. Insynen är den korrigerande kraften som, förutom att skapa ett bättre offentligt samtal och medvetna medborgare, motverkar korruption och maktmissbruk. Borde inte detta vara oerhört angelägna frågor idag?

Trots digitaliseringens möjligheter finns det få tecken på att de tagits tillvara när det gäller att förbättra insynen i myndigheters verksamheter eller i olika beslutsprocesser. Senare års utredningar och andra nationella insatser som E-delegationen, Digitaliseringskommissionen, eSam och regeringens Vision ägnar inget intresse åt hur insynen skulle kunna förbättras. Istället lever vi kvar i den petrifierade diarieföringen omgiven av brusande internet där medborgarens möjlighet till insyn ständigt minskar istället för ökar.

Denna negativa utveckling skyms av de entusiastiska insatser som görs under beteckningen Öppna data som ibland framställs som relaterad till demokratiska värden. Att Öppna data skulle stärka demokratin är dock tveksamt. EU:s PSI-direktiv som blivit Lag (2010:566) om vidareutnyttjande av handlingar från den offentliga förvaltningen  har som sitt syfte att:

att främja utvecklingen av en informationsmarknad genom att underlätta enskildas användning av handlingar som tillhandahålls av myndigheter.

Öppna data handlar alltså om näringspolitik och inte om demokrati. Även om jag inte på något sätt vill nedvärdera betydelsen av näringspolitik skulle det i denna tid av ganska vinglig demokratisk utveckling sitta bra med en rejäl satsning på offentlighetsprincipen. Ardalan Shekarabis tillitsreform borde inte enbart sträcka sig till tilliten inom myndigheterna utan även omfatta tilliten till myndigheterna. Förbättrad insyn är kanske det mest verkningsfulla medlet för att förbättra tilliten till förvaltningen. Det är också dags att styra bort från New Public Management även i detta avseende och låta myndigheter vara något mer än bara tjänsteleverantörer. Mitt förslag är att Shekarabi och Alice Bah Kuhnke slår sig ihop, lyfter blicken från Öppna data och gör en långsiktig satsning på offentlighetsprincipen som en del av digitaliseringen.

Tema e-demokrati: E-demokrati i de nationella satsningarna på digitalisering

Min uppfattning är att den svenska demokratitraditionen är en deltagardemokrati och att vi bör utveckla demokratin i en deliberativ riktning inte minst eftersom det skulle gynna den samhälleliga tilliten. I ett tidigare inlägg har jag framfört att digitalisering kan vara ett verksamt stöd för att göra detta men att det kräver en uttalad linje från regeringen samt konkreta åtgärder i digitaliseringsarbetet. Jag har också hävdat det är inom den konstitutionella komponenten av demokratin, d.v.s. när det gäller individuella rättigheter, rättssäkerhet och maktdelning, som den offentliga digitaliseringen främst kan ha positiv effekt eftersom den är inriktad på förvaltningsfrågor.

Om digitaliseringen ska stärka demokratin måste denna aspekt alltså vara framlyft i de nationella satsningar som initierats av regeringen eller andra centrala offentliga aktörer. Jag ska här göra ett snabbt svep över digitaliseringsområdet och se hur demokratifrågan hanterats.

Det finns en historia inom e-demokratiområdet i Sverige där frågan fanns med i de fyra it-kommissionerna som avlöste varandra mellan 1994 och 2003, och även i regeringens it-politiska strategigruppens rekommendationer från 2006. Men är utvecklandet av e-demokrati en viktig del av dagens digitaliseringssträvanden?

Det finns två aktuella urkunder för det nu pågående digitaliseringsarbetet. Först kom den It i människans tjänst– en digital agenda för Sverige 2011 .   Därefter regeringens strategi för en digitalt samverkande statsförvaltning Med medborgaren i centrum från 2012 .

Den digitala agendan

I den digitala agendan spänns bågen i demokratifrågor:

It ska vara ett stöd för medborgardialog samt bidra till att öka medborgarnas kunskap, samhällsengagemang, insyn och inflytande. En levande demokrati där individer har möjlighet att påverka beslut som rör den egna vardagen är målet för demokratipolitiken.  Inom ramen för arbetet med att stärka demokratin är prioriterade frågor goda möjligheter till insyn och inflytande, lokal- och kommunal demokrati, förstärkta möjligheter till inflytande i den demokratiska processen samt vidgat inflytande med hjälp av e-verktyg. Därför är det positivt om it är ett stöd för medborgardialog samt bidrar till att öka medborgarnas kunskap, samhällsengagemang, insyn och inflytande.

Tyvärr utmynnar målbilden i ett åtgärdsförslag som närmast är en icke-åtgärd:

Under de kommande åren är det en gemensam utmaning för stat, kommun och landsting att utveckla användningen av it som stöd i dialogen med medborgarna. Detta bör ske på ett sätt som stärker demokratin genom att utveckla en transparent demokrati och ge medborgarna ökad möjlighet att utöva inflytande i de demokratiska beslutsprocesserna. Regeringen stödjer därför bl.a. fortsatt Sveriges Kommuner och Landstings projekt Medborgardialog med stöd av it som ska pågå till 2013.

Lustigt nog ägnas betydligt mycket mer engagemang åt hur demokratiutveckling via digitalisering kan ingå som en viktig del i svensk biståndspolitik än åt hur den inhemska demokratiutvecklingen kan stärkas.

Det finns också ett flertal hänvisningar till den proposition som lade grunden för E-delegationens arbete men som också skapade en varaktig dimma kring syftet med digitaliseringen; är det för medborgaren, förvaltningen eller för näringen som olika åtgärder vidtas? Ett mycket påtagligt exempel på detta är när en ökad tillgänglighet till offentlig information framställs som ett demokratiprojekt men det egentliga syftet visar sig vara att företag ska kunna vidareutnyttja offentlig information i kommersiella syften. Detta är en följd av kombinationen av den svenska offentlighetsprincipen och EU:s PSI-direktiv vilket verkligen skulle förtjänat att få de olika syftena förtydligade.

Regeringens strategi för en digitalt samverkande statsförvaltning Med medborgaren i centrum

Denna dubbelhet följer med in i målen för regeringens strategi Med medborgaren i centrum där ett av målen är:

Öppenhet. Vi ska ta hjälp av det digi­tala för att stärka demokratin och, öka transparensen och bidra till mer tillväxt genom öppna data.

Litet längre fram trycker man på de demokratiska värden som kan stärkas:

Insyn och öppenhet är grundläggande förut­sättningar för demokratiskt ansvarsutkrävande och det är därför viktigt med transparens och tillgång till information om den statliga för­valtningen. Digitala tjänster ger möjlighet att förverkliga offentlighetsprincipen på ett sådant sätt att information inte bara görs tillgänglig på begäran. Ett exempel är Openaid.se, som publi­cerar information om det svenska biståndet.

De enda inriktningar i strategin som skulle kunna påverka demokratiska värden är tillsättandet av informationshanteringsutredningen och en förstudie om ökad transparens i Regeringskansliets remisshantering. Såvitt jag kan se innehåller inte förslaget till myndighetsdatalag som blev resultatet av informationshanteringsutredningen några förslag för att förbättra insynen, däremot ett antal förslag rörande integritet som ledde till invändningar av en rad remissinstanser. Om transparensen i remisshanteringen förbättrats är jag osäker på.

E-delegationen och Digitaliseringskommissionen

Sammantaget kan man säga att det har funnits en del ambitioner i demokratifrågor, om än vaga, i regeringens styrning av digitaliseringen. De organ som tillsatts för att realisera regeringens ambitioner kan inte heller sägas ha tagit e-demokratin vidare.

E-delegationen, en kommitté som tillsattes 2009 och fortlevde till 2015, fick av regeringen uppdraget att:

beakta den utveckling som sker inom området e-demokrati, dvs. användning av it i demokratiska processer.

Men delegationen gjorde själv en avgränsning ”av uppdraget och har inte beaktat demokratifrågor.” som man skriver i sitt slutbetänkande. E-delegationens efterföljare eSam (eSam är ett medlemsdrivet program för samverkan mellan myndigheter och Sveriges Kommuner och Landsting (SKL) om digitaliseringen av det offentliga Sverige) nämner inte demokratifrågan över huvud taget.

Digitaliseringskommissionen som haft regerings uppdrag att bistå Regeringskansliet i den fortsatta utvecklingen av digitaliseringspolitiken, bl.a. genom att ta fram underlag lämnar inte heller i sitt slutbetänkande några förslag på att förbättra e-demokratin. Däremot innehåller temarapporten Det sociala kontraktet i en digital tid från 2016 ett antal uppsatser som anknyter till demokratifrågor inklusive den personliga integriteten. Uppsatserna är av mycket varierande kvalitet där några ha ett språkbruk som knappast setts i statliga utredningar, som på sidan 66 för att ta ett exempel:

Sett ur det här perspektivet tycks många av sjukvårdens praktiker, där patienters önskemål om att slå ihop journaler inte hörsammas med hänvisning till den personliga integriteten, närmast perversa.

Lyckligtvis är inte nivån på argumentation den samma i hela rapporten men den innehåller å andra sidan mycket få förslag för att förbättra demokratin med hjälp av digitalisering. Undantaget är Ulf Bjerelds och Marie Demkers diskussion om hur digitaliseringen kan underlätta för de politiska partierna att stärka sin ställning som länk mellan medborgarna och de beslutsfattande institutionerna.

Efter denna genomgång tycker jag mig kunna konstatera att det saknas en tydlig och uttalad linje gällande e-demokrati från den här regeringen liksom från de tidigare. De generella initiativ som regeringen tagit för att uppmuntra en ökad digitalisering har inte heller kommit att handla om att stärka demokratin. E-delegationen avgränsade till och med bort det uppdrag de fått av regeringen om att beakta utvecklingen inom området e-demokrati. Bristen på engagemang är förvånande eftersom detta borde vara en angelägen uppgift då demokratin såsom vi känner den tycks alltmer hotad av auktoritära krafter.  Uppriktigt tror jag också att de digitala verktygen kan skapa möjligheter att pigga upp en förstelnad och litet rostig demokrati.  Men, som Anders R Olsson påpekade för redan för mer än femton år sedan, detta sker inte av sig själv utan förutsätter en uthållig vilja.

Jag ska återkomma till ett par frågor där digitaliseringen verkligen kan påverka demokratin i antingen positiv eller negativ riktning.

 

 

 

 

 

 

 

 

 

 

 

 

 

Vart leder den nationella säkerhetsstrategin?

Innan jag fortsätter diskutera e-demokrati måste jag göra ett inlägg om en aktualitet: den nationella säkerhetsstrategin som presenterades på försvarsområdets Almedalen Folk och försvar. Det är med viss förväntan jag läser strategin där ett helt avsnitt ägnas åt Informations- och cybersäkerhet, digitala risker, illustrerat av ett stridsflygplan.

Det positiva med strategin är att det litet intrasslat beskrivs att digitaliseringen förutsätter bättre informationssäkerhet även om det känns som beskrivningen känns som ihopklippt från några gamla dokument. Förväntan på att strategin ska innehålla något substantiellt och inriktande om informationssäkerhet avklingar tyvärr snabbt och stridsflygplanet visar sig vara en ganska kongenial illustration. Fokus ligger helt och hållet på att upprätthålla funktionalitet i samhällsviktig verksamhet, mycket litet om ens något sägs om integritet, mänskliga rättigheter, riktighet, kvalitet eller effektivitet i verksamheten. När tillit nämns är det tillit till digitaliseringen som nämns (!) medan demokratifrågan är mycket avlägsen. Detta att jämföra med den nationella strategi för informationssäkerhet  som togs fram 2009 som hade som målbild:

  • Medborgares fri- och rättigheter samt personliga integritet.

  • Samhällets funktionalitet, effektivitet och kvalitet.

  • Samhällets brottsbekämpning.

  • Samhällets förmåga att förebygga och hantera allvarliga störningar och kriser.

  • Näringslivets tillväxt.

  • Medborgares och verksamheters kunskap om, och förtroende för informationshantering och IT-system.

Den nu aktuella nationella säkerhetsstrategin omfattar hela säkerhetsområdet men skiljer sig också åt från andra strategier, inklusive den tidigare informationssäkerhetsstrategin, genom att inte ange några mål. Istället inleds strategin med något som kallas ”Våra nationella intressen”.  Huruvida dessa intressen är tillgodosedda idag eller inte är oklart eftersom strategin raskt kastar sig över till ”hot” och ”åtgärder”. Det ger en särskild prägel åt strategin eftersom den inte förmedlar några mål som skulle innebära nya möjligheter utan istället anlägger en defensiv hållning. Detta är ganska långt ifrån regeringens offensiva inriktning inom digitaliseringsområdet.

Utmaningar som frammanas inom cyber- och informationssäkerhetsområdet anges de endast som förekommande i form av antagonistiska hot:

Några exempel på sådana utmaningar är antagonistis­ka hot såsom informationsoperationer och elektroniska angrepp mot skyddsvärda informations- och kommunika­tionssystem, t.ex. i form av datain­trång, sabotage eller spionage, exempelvis mot totalförsvarets verksamhet. It-angrepp för att bedöma, påverka eller störa samhällsviktiga funktioner som ett förstadium till en väpnad konflikt hör också hit. It-angrepp riskerar också att otillbörligt påverka utgången av demokratiska val.

Tyvärr finns det ju inget bra kunskapsunderlag om de bakomliggande orsakerna till störningar i informationshanteringen och hur de fördelas  mellan antagonistiska respektive icke-antagonistiska incidenter. Som jag tidigare skrivit finns det indikationer att de vanligast förekommande incidenterna är av typen uppdateringsproblem och programvarufel. Detta stämmer även med den bild jag har efter rätt många år i branschen även detta liksom andra utsagor i frågan får ses som löst grundade antaganden eller anekdotiska bevisföringar. Det är därför synd att strategin ensidigt inriktar sig på de antagonistiska hoten eftersom det riskerar att ge det fortsatta arbetet en slagsida som gör effektiviteten i nationella informationssäkerhetsarbetet mer begränsad. Ytterligare en negativ aspekt med att uttala en så tydlig inriktning är att det ger intrycket av att det finns kvalitativt kunskapsunderlag i frågan. Det kan i sin tur leda till att det nödvändiga arbetet med att hitta former för att skapa och ständigt uppdatera ett sådant kunskapsunderlag inte initieras.

Vilka åtgärder föreslås då för att komma till rätta med den allvarliga situation som målats upp? Ja, det är ganska svårt att se några mer konkreta åtgärder vid sidan om sådant som redan finns eller redan är beslutat. Det talas om de risk- och sårbarhetsanalyser respektive säkerhetsanalyser som redan är föreskrivna, om it-incidenter, om förslaget på ny säkerhetsskyddslag och om den nationell strategi för informations- och cybersäkerhet som bl. a. bygger på NIS-direktivet som håller på att tas fram. I övrigt rader som:

Därtill bör arbetet med de globala dimensionerna av informations- och cybersäkerhets­frågorna intensifieras.

Vilket väl kan betyda vad som helst.

Kanske är det fel att förvänta sig något annat än det som redan framförts i andra sammanhang i den här typen av dokument, särskilt som den nationella strategin för informations- och cybersäkerhet är i antågande. Det känns ändå som ett förlorat tillfälle att inte använda en strategi för att beskriva ett framtida önskvärt tillstånd och försöka skapa en helhetsbild.

Med denna bakgrund vill jag föra fram tre centrala önskemål på vad som borde ingå i den kommande informationssäkerhetsstrategin:

  • Analysera och redovisa vilka olika syften som informationssäkerheten ska tjäna på samhällsnivå, även de som ligger vid sidan om att upprätthålla funktionalitet i beredskapssyfte. Till exempel hur informationssäkerheten ska kunna stärka tilliten i viktiga samhällsfunktioner genom att säkerställa integritet, effektivitet och kvalitet.

  • Skapa organisatoriska former där olika informationssäkerhetsintressen kan samverka i en gemensam styrmodell – om informationssäkerheten annekteras och görs om till ett rent försvarsintresse kommer digitalisering, effektivitet, integritet och demokrati inte att kunna hanteras på ett rimligt sätt

  • Skapa ett bättre kunskapsunderlag – det är  särskilt viktigt att myndigheter går i bräschen och arbetar evidensbaserat i dessa faktaresistenta tider

Både mål och åtgärder måste motsvara alla de olika behov som som informationssäkerhetsarbetet ska täcka. Om strategin för informations- och cybersäkerhet inte klarar att omfatta andra aspekter än funktionalitet i ett beredskapsperspektiv kommer det att orsaka stora problem i den offentliga verksamheten. Myndigheter, kommuner, landsting och även företag i välfärdsbranscher kommer då att bli tvungna att själva försöka skapa lösningar för att upprätthålla helhetsperspektivet på informationssäkerhet. Resultatet blir fler stuprör istället för ökad standardisering och på sikt kanske ett nytt begrepp fastställas som täcker helheten och som kan ersätta ”informationssäkerhet”.