Får man skicka sekretessbelagda uppgifter via mejl?

Question

Hej!

Jag tänker begära ut utgående mail från två personer i skolledningen i mitt barns skola via offentlighetsprincipen. Kommunen har svarat att de kan lämna ut men att de maskar sekretessmaterial. Jag förstår den delen. Men är det inte ett lagbrott att skicka sekretessuppgifter med mail om elever när man är kommunanställd? Så har jag fått lära mig i och med att det är så lätt att hacka mail. Om det är så att det är fel undrar jag vart man vänder sig med detta och vad konsekvensen kan bli för den som skickat sekretessmaterial med mail? Hur är det om en biträdande rektor skickar ut fullständig frånvaro (alla datum och lektioner för ett läsår) via mail? Är det att anses som offentlig handling eller är det sekretess på det?

Vänligen,
K

Answer 1

Hej, tack för att du vänder dig till Lawline med din fråga!

Regler kring offentlighetsprincipen och rätten att ta del av allmänna handlingar hittar du i Tryckfrihetsförordningen (TF). Bestämmelser om sekretess hittas i Offentlighets- och sekretesslagen (OSL).

Allmänna handlingar

I enlighet med offentlighetsprincipen har alla rätt att ta del av allmänna handlingar, 2 kap. 1 § TF. En allmän handling är en handling som har inkommit till en myndighet och är förvarad hos denna, 2 kap. 4 § TF. Rätten att ta del av allmänna handlingar får endast begränsas om något av skyddsändamål i 2 kap. 2 § TF träffas. En av punkterna är exempelvis skydd för enskildas personliga och ekonomiska förhållanden. En uppgift som är belagd med sekretess får inte röjas för varken enskilda eller andra myndigheter, 8 kap. 1 § OSL. Detta gäller om inget annat anges i lagen.

Får man skicka sekretessbelagda allmänna handlingar via e-post?

Det finns ingenting i TF eller OSL som hindrar någon från att skicka ut personuppgifter via mail. Något som däremot blir aktuellt är EU:s Dataskyddsförordning, mer känd som GDPR. EU:s förordningar är direkt tillämpliga i medlemsländerna och gäller precis som vanlig lag i Sverige. Alla verksamheter som hanterar personuppgifter måste följa GDPR. Kommunen och skolan hanterar mycket personuppgifter och träffas därför av förordningen. För dem och alla andra myndigheter som har en skyldighet att lämna ut allmänna handlingar är det därför mycket viktigt att ha koll på GDPR. Exempelvis ska man undvika att skicka integritetskänsliga uppgifter per mejl, 9.1 i GDRP, vilket bland annat innefattar en persons hälsa eller genetiska uppgifter. 

När det gäller personuppgifter som skickas per mejl är huvudregeln att detta i möjligaste mån inte ska ske. Helst ska sådana uppgifter därför skrivas ut och skickas per post till den som begär ut dem. Uppgifter får skickas per mejl om mejlet är skyddat med kryptering. Detta har sin grund i att alla personuppgifter som behandlas måste skyddas, så att ingen obehörig kommer åt dem och för att de inte ska användas på ett otillåtet sätt.

Vart vänder man sig vid överträdelse?

Då man anser att en behandling av personuppgifter som rör en själv har behandlats på ett felaktigt sätt kan man rapportera detta till tillsynsmyndigheten, artikel 77 i GDPR. I Sverige är vår tillsynsmyndighet Integritetsskyddsmyndigheten, IMY. Här finns instruktioner för hur du skickar in ett klagomål.

Får man skicka uppgifter om ett barns närvaro och frånvaro?

Närvaro och frånvaro räknas inte som känsliga uppgifter. De är alltså inte skyddade av sekretess och får därför begäras ut i enlighet med offentlighetsprincipen.

Sammanfattning

Det strider inte mot TF eller OSL att skicka information per mejl, men detta ska dock undvikas i enlighet med GDPR som är en EU-förordning som är direkt tillämplig i Sverige. Sekretessbelagd information ska därför inte skickas med mejl om de inte är krypterade. Närvaro och frånvaro är inte känsliga uppgifter och får därför begäras ut av vem som helst. Då man anser att ens personuppgifter missbrukats kan man vända sig till IMY och få sitt ärende prövat.

Hoppas du fick svar på din fråga!

Med vänlig hälsning,