Namn på personer anställda vid två kriminalvårdsanstalter omfattas av totalförsvarssekretess enligt Högsta förvaltningsdomstolen (HFD). Tjänstetitlar och löneuppgifter är däremot offentliga. Namn på kökspersonal, hälso- och sjukvårdspersonal samt lärare inom anstalterna anses dock vara offentliga uppgifter. HDF den 5 november 2025 i mål nr 4499-25. 

Bakgrund

En person begärde att få ta del av sekretessprövade handlingar från ett mål som tidigare avgjorts av Kammarrätten i Jönköping. Handlingarna innehåller sammanställningar av namnuppgifter, titlar och löner avseende samtliga anställda vid två kriminalvårdsanstalter. I första hand begärde klaganden att få ta del av listor på all personal. I andra hand begärde hen att få ta del av listor med uppgifter endast om kökspersonal, hälso- och sjukvårdspersonal samt lärare vid anstalterna.

Kammarrätten beslutade att avslå begäran, förutom rörande uppgifterna om löner. Som skäl angavs att en sammanställning av uppgifter om identiteten avseende samtliga anställda vid en anstalt inom Kriminalvården bedöms vara av sådant slag att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det intresse som skyddas av försvarssekretessen enligt 15 kap. 2 § offentlighets- och sekretesslagen (2009:400) (OSL). 

Kammarrätten ansåg inte att det fanns någon anledning att göra en annan bedömning när det gällde andrahands-yrkandet om listor med kökspersonal, hälso- och sjukvårdspersonal samt lärare. Även i det fallet bedömde kammarrätten att det var fråga om ett stort antal namnuppgifter samt titlar som i sammanställd form är uppgifter av sådant slag att ett utlämnande typiskt sett kan medföra skada för de intressen som är ägnade att skyddas genom 15 kap. 2 § OSL.

Den som begärde ut uppgifterna verkade ha god insyn i Kriminalvårdens verksamhet och påtalade för HFD att uppgifterna om kökspersonal, hälso- och sjukvårdspersonal samt lärare omfattade inte mer än cirka 15 personer. Personen lyfte även att enligt Kriminalvårdens reviderade säkerhetsskyddsanalys omfattas uppgifter om anstalter i klass två inte av säkerhetsskydd samt hänvisade till MSB:s vägledning för sekretess i risk- och sårbarhetsanalyser, där det bland annat framgår att

”Uppgifter som omfattas av försvarssekretess rör alltid rikets säkerhet. Om uppgifter bedöms omfattas av försvarssekretess aktualiseras även reglerna om säkerhetsskyddsklassificering och hantering enligt Säkerhetsskyddslagen (2018:585) för uppgifterna.”

Högsta förvaltningsdomstolens bedömning

HFD konstaterar att Kriminalvården är en del av rättsväsendet och vars verksamhet omfattas av Sveriges totalförsvar. HFD menar att en ingående kartläggning av myndigheter som ingår i Sveriges totalförsvarsplanering typiskt sett antas medföra risker för skada för landets försvar eller vålla fara för rikets säkerhet på något annat sätt. 

Om ackumulerade uppgifter

HFD påpekar att en handling, som innefattar en sammanställning med uppgifter om identiteten på samtliga anställda vid en kriminalvårdsanstalt – oberoende av anstaltens storlek och klassning från säkerhetsskyddssynpunkt – kan mot ovanstående bakgrund normalt antas medföra risker för de intressen som skyddas av bestämmelsen om försvarssekretess i 15 kap. 2 § OSL. 

Allt är inte försvarssekretess

När det gäller uppgifter om verksamhetsställe och tjänstetitlar på personalen anser HFD att ett sådant utlämnande inte medför någon risk för skada för de intressen som skyddas av bestämmelsen om försvarssekretess. Dessa uppgifter sedda för sig skyddas inte heller av sekretess enligt någon annan bestämmelse i lagen. Uppgifter om verksamhetsställe och tjänstetitlar på personalen vid de båda anstalterna ska därför lämnas ut.

När det gäller listorna med uppgifter om kökspersonal, hälso- och sjukvårdspersonal samt lärare konstaterar HFD att sådan personal kan omfattas av försvarssekretess men eftersom begäran rörde uppgifter om ett begränsat antal anställda på två verksamhetsställen och det inte finns något som tyder på att begäran om utfående av de aktuella uppgifterna ingår i en kartläggning som kan antas skada landets försvar eller på annat sätt vålla fara för rikets säkerhet och dessa uppgifter kan därför lämnas ut. 

Försvarssekretess, men inte säkerhetsskydd!? 

Säkerhetspolisen, Försvarsmakten och Myndigheten för samhällsskydd och beredskap (MSB) är av uppfattningen att om en uppgift omfattas av försvarssekretess (15 kap. 2 § OSL) är uppgiften automatiskt säkerhetskänslig och omfattas därmed av säkerhetsskyddslagens bestämmelser. Se Försvarsmaktens Reglemente Säkerhetstjänst 2021 avsnitt 3.1.1. s. 80 där det framgår att: 

”Sekretessbestämmelsen 15 kap. 2 § OSL (försvarssekretessen) kommer alltid röra säkerhetskänslig verksamhet. Uppgifter som omfattas av den sekretessen kommer alltid vara säkerhetsskyddsklassificerade.”

Säkerhetspolisens vägledning i säkerhetsskydd – Informationssäkerhet, oktober 2023, avsnitt 2.1 s. 9 där det framgår att:

”En uppgift som omfattas av försvarssekretess kommer alltid vara säkerhetsskyddsklassificerad.” 

samt MSBs vägledning som citerats ovan under bakgrund.

Hur går detta ihop då? Hur ska myndigheterna kunna hantera sina personallistor, tidredovisningssystem, lönesystem, friskvårdsbidrag med mera om dessa uppgifter anses vara säkerhetskänsliga eftersom säkerhetsskyddsregelverkets hanteringsregler då måste gälla för de samlade uppgifterna? 

Här kommer det kluriga och det gäller att hålla tungan rätt i mun.

Alla som arbetar med säkerhetsskydd vet att säkerhetsskyddslagstiftningen inte är riskbaserad och att Sverige AB inte har någon riskaptit. Det finns inget utrymme att ta risker när det handlar om Sveriges säkerhet. Alla sårbarheter ska hanteras på ett eller annat sätt. I alla andra fall än när det gäller säkerhetsskydd är dock riskbaserat arbetssätt ”the golden standard”.

Då är det värt att notera att 15 kap. 2 § OSL har ett så kallat rakt skaderekvisit uppgifterna omfattas av sekretess endast om ”det kan antas” att det skadar landets försvar eller på annat sätt ”vållar fara” för rikets säkerhet. Märk också att HFD talar om ”risker för de intressen som skyddas av bestämmelsen” och att för vissa av uppgifterna med för utlämnande inte ”någon risk för skada”.  Det finns alltså en avgörande skillnad mellan sekretess enligt OSL och säkerhetsskyddslagstiftningen här.

Säkerhetspolisen, Försvarsmakten och MSB verkar ha tagit starkt intryck av 1 kap. 2 § andra stycket säkerhetsskyddslagen (2018:585) (SSL) där det tydligt framgår att med säkerhetsskyddsklassificerade uppgifter avses uppgifter som ”rör säkerhetskänslig verksamhet” och som ”därför” omfattas av sekretess enligt OSL. Men man kan inte sluta läsa där för att få fullständig förståelse för hur det hänger ihop.

Alla säkerhetsskyddsklassificerade uppgifter ska nämligen delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften ”kan medföra” för Sveriges säkerhet, 2 kap. 5 § SSL. Det innebär alltså att verksamhetsutövaren är skyldig att analysera den skada som röjande kan medföra, det görs i säkerhetsskyddsanalysen. (Notera skillnaden i ordalydelsen jämfört med 15 kap. 2 § OSL). Eftersom SSL inte är riskbaserad måste bedömningen bygga på kausalitet mellan ett eventuellt röjande och den skada som skulle kunna uppstå. Det är också därför som en domstol kan komma fram till att ett röjande – i straffrättslig mening – inte har skett eftersom omständigheterna inte tyder på det, men myndigheten som drabbats av det misstänkta röjandet ändå måste utgå från att uppgiften har kommit ut. Jfr t.ex. transportstyrelseskandalen 2017. 

Med andra ord kan man fråga sig om Säkerhetspolisen, Försvarsmakten och MSB  skulle behöva uppdatera sina vägledningsdokument och nyansera påståendena om att uppgifter som omfattas av försvarssekretess alltid kommer att vara säkerhetsskyddsklassificerad. Det rimliga bör vara att när det uppmärksammas att en uppgift omfattas av försvarssekretess måste verksamhetsutövaren säkerställa att skyddsvärdet analyseras i säkerhetsskyddsanalysen. Om säkerhetsskyddsanalysen kommer fram till att den samlade uppgiftsmängden inte uppnår ringa skada, ska samlingen inte vara säkerhetsskyddsklassificerad och kan därmed inte heller anses vara säkerhetskänslig. Om verksamhetsutövaren kommer fram till att samlingen ska inplaceras i säkerhetsskyddsklass är den såklart säkerhetskänslig, säkerhetsskyddsanalysen behöver därmed uppdateras med detta skyddsvärde (om det inte redan framgår) och alla relevanta säkerhetsåtgärder måste vidtas för samlingen baserat på kraven enligt den säkerhetsskyddsklass som verksamhetsutövaren bedömt att samlingen ska vara indelad i.

Kartläggning, men ändå inte

En fråga som är intressant att fundera kring, är att HFD menar när det gäller annan personal än kökspersonal, hälso- och sjukvårdspersonal samt lärare kan utlämnande medföra en ingående kartläggning av myndigheter som ingår i Sveriges totalförsvarsplanering och att det typiskt sett antas medföra risker för skada för landets försvar eller vålla fara för rikets säkerhet på något annat sätt. Samtidigt menar HFD – när det gäller kökspersonal, hälso- och sjukvårdspersonal samt lärare – finns det inte något som tyder på att begäran om utfående av de aktuella uppgifterna ingår i en kartläggning som kan antas skada landets försvar eller på annat sätt vålla fara för rikets säkerhet. Hur ska domstolen ha det? Är den enskilda begäran en kartläggning eller inte? 

Kanske menar HFD att det med namnen på anställda är det typiskt sett en kartläggning, men för viss personal, kökspersonalen m.fl., är det inte en typisk kartläggning. Det borde väl snarare vara omständigheterna kring begäran som bör vara vägledande för om det handlar om kartläggning eller inte. Såvitt jag kan se av domen är det egentligen ingen skillnad på omständigheterna annat än att det verkar vara relativt få personuppgifter när det kommer till kökspersonal, hälso- och sjukvårdspersonal samt lärare. Kanske är det detta som fäller avgörandet. 

Hackad rättsordning   

Den observante läsaren uppmärksammar också på att den som begärde ut uppgifterna i detta fall vände sig direkt till Kammarrätten för att få ut uppgifterna från domstolen. Det var inte en begäran om utlämnande från Kriminalvården – som ursprungligen ”äger” uppgifterna. 

I och med att Kammarrätten nekade utlämnande blir det automatiskt HFD som ska pröva ärendet enligt 33 § förvaltningsprocesslagen (1971:291). Det var nämligen Kammarrättens beslut i första instans som prövades. Prövningstillstånd blir alltså inte aktuellt i detta fall. Det är ett innovativt sätt att få vägledande avgöranden från HFD utan att behöva gå vägen genom att ansöka om prövningstillstånd.  

Den myndighet som vill skydda sig mot denna typ av prövningar gör således klokt i att inte skicka de uppgifter som är föremål för prövning till Kammarrätten – där de blir en inkommen och därmed allmän handling – utan Kammarrätten kan bjudas in till myndigheten för att ta del av uppgifterna på plats hos den myndighet som ursprungligen fått begäran. 

Uppslag för säkerhetsskyddstillsyn 

Det är uppenbart att samlingen av uppgifter i detta fall finns hos såväl Kammarrätten i Jönköping samt Kriminalvården, kanske också hos HFD. Det står också klart att samlingen omfattas av försvarssekretess enligt 15 kap. 2 § OSL. Det antyds av den som begärt ut uppgifterna att det i Kriminalvårdens säkerhetsskyddsanalys anges att anstalter i klass 2 inte omfattas av säkerhetsskydd.

Det finns således anledning för tillsynsmyndigheten (Säkerhetspolisen) att kontakta domstolarna och fråga om hur dessa samlingar hanteras. Om det finns ett resonemang i säkerhetsskyddsanalysen, hur uppgiftssamlingen delats in i säkerhetsklass enligt 2 kap 5 § SSL och hur myndigheterna i övrigt hanteras informationssystem där uppgiftssamlingen framgår. 

Man kan också fråga sig om de intagna (internerna/klienterna) får veta namnen på de anställda vid anstalterna. HFD påpekar nämligen att en sammanställning av uppgifter om namnen på samtliga anställda vid en kriminalvårdsanstalt – oberoende av anstaltens storlek eller klassning från säkerhetsskyddssynpunkt omfattas av försvarssekretess. Undrar om Kriminalvården håller med om det? Här har domstolen alltså obiter dicta uttalat sig om sekretessen för andra uppgifter de som prövas för kriminalvårdens anstalter. 

Men detta blir naturligtvis frågor för ett särskilt tillsynsärende – om Säkerhetspolisen väljer att inleda några sådana. 

HFDs dom den 5 november 2025 i mål 4499-25