Fylkesmannen opprettholder Moss kommunes vedtak om delvis avslag på krav om innsyn i dokumenter om bruk av nettsky

B. Waldron Juridisk avdeling Deres ref.: Vår ref.: 2016/8347 326.1 CLM Vår dato: 10.4.2017 Fylkesmannen opprettholder Moss kommunes vedtak om delvis avslag på krav om innsyn i dokumenter om bruk av nettsky Vi viser til din klage i epost av 21.11.2016 over Moss kommunes avslag på krav om innsyn i dokumenter knyttet til sak om kommunens bruk av nettskyen Microsoft Office 365. Vi mottok dokumentene i saken fra kommunen den 16.12.2016. Etterspurte dokumenter ble mottatt her 1.2.2017, og 15.3.2017. Fylkesmannen har behandlet saken i medhold av lov av 19. mai 2006 nr. 16 om rett til innsyn i dokument i offentleg verksemd (offl.) 32. Fylkesmannen legger til grunn at du har klagerett i saken, og at klagen er kommet inn i rett tid, jf. offl 32, jf. forvaltningsloven kap. VI. Vilkårene for å behandle klagen er derfor oppfylt. Fylkesmannens vedtak Moss kommunes vedtak av 13.12.2016 om delvis avslag på krav om innsyn opprettholdes, jf. offl. 13 jf. fvl. 13 første ledd nr. 2, offl. 14, 15 annet og tredje ledd, og 24 tredje ledd. Klagen din har ikke ført frem. Fylkesmannens vedtak er endelig og kan ikke påklages, jf. forvaltningsloven 28 tredje ledd. Dokumentene i saken fremgår av oversendelsesbrevet til Moss kommune av 16.12.2016 og brev av 1.2.2017. Sakens bakgrunn I e-post til kommunen 2.11.2016 ba du om innsyn i brev av 21.9.2012 fra Datatilsynet til Moss kommune med tittel «Tilbakemelding Bruk av nettskyen Microsoft Office 365 Moss kommune». Du ba også om saks- og dokumentnummer til dette dokumentet i kommunen, samt innsyn i alle dokumenter arkivert i samme sak. Kommunen har i vedtak av 15.11.2016 avslått ditt krav om innsyn i dokumentene. Den viser til at dokumenter som gjelder dokumentasjon fra Microsoft om skyløsningen og selve avtalegrunnlaget mellom Microsoft og Moss kommune, inneholder bedriftssensitiv informasjon om tekniske innretninger, fremgangsmåter og annen informasjon. Informasjonen utgjør drifts- og Besøk: Vogtsgate 17, Moss Post: Postboks 325 1502 Moss Sentralbord: 69 24 70 00 Faks: 69 24 70 01 Org.nr 974 760 460 E-post: x@x.x www.fylkesmannen.no/ostfold

forretningshold hos Microsoft, som det er av særlig konkurransemessig betydning å hemmeligholde. Kommunen viser til at dokumentene kan unntas fra offentlighet i medhold av offentliglova 13, jfr. forvaltningslovens 13, første ledd nr. 2. Egen risikovurdering av skytjenester og vurderinger som er gjort med hensyn til informasjonssikkerhet i eksisterende og fremtidig løsning, har kommunen unntatt fra offentlighet med hjemmel i offl. 24 tredje ledd. Den viser til at en offentliggjøring vil øke sårbarheten på en måte som innebærer en økt sikkerhetsrisiko for kommunen. Når det gjelder dokumentasjon vedrørende kommunens interne saksforberedelser og interne vurderinger i tilknytning til anskaffelse av skytjenester, unntar kommunen disse dokumentene med henvisning til offl. 14. Bestemmelsen begrenser innsynsretten for organinterne dokumenter. Dokumentasjonen som inneholder råd og veiledning innhentet fra ekstern rådgiver for bruk i den interne saksforberedelse unntar kommunen i medhold av offl. 15, tredje ledd, jf. 15, annet ledd. Du klaget på avslaget i epost av 21.11.2016 og anfører: Avslaget som er hjemlet i offl. 24 gjelder opplysninger og ikke hele dokumenter. Avslaget som er hjemlet i offl. 14 gjelder ikke dokumenter som er blitt sendt ut av organet. Avslaget som er hjemlet i offl. 15 andre ledd gjelder deler av dokumenter og ikke hele dokumenter. Videre er det et krav at unntak skal være påkrevd av hensyn til en forsvarlig ivaretakelse av det offentlige sine interesser i saken. Avslaget som er hjemlet i offl. 13 gjelder opplysninger og ikke hele dokumenter. Dvs. det er kun disse opplysningene som evt. skal sladdes, ikke hele dokumenter. Taushetsplikten forutsetter at det er tale om opplysninger som er av konkurransemessig betydning å holde tilbake. Det er altså ikke opp til virksomheten selv å definere hva som er en forretningshemmelighet. Som eksempel vises det til Fylkesmannens avgjørelse i sak 2010/24674, som gjaldt innsyn i anbud på barnevernstjenester i Oslo kommune, og Fylkesmannens i Oslo og Akershus sitt vedtak (oktober 2003) i forbindelse med en klage på nektelse av innsyn i Oslo kommunes avtale med Pareto Securities om salg av kommunens aksjer i Hafslund Energi. Sivilombudsmannen legger også klare føringer for tolkningen av hva som er en forretningshemmelighet i sak 2008/571 I denne sammenheng er det grunn til å trekke frem Justis- og politidepartementets uttalelse om åpenhet i forarbeidene til den nye offentleglova 19. mai 2006 nr. 16. Det fremgår i Ot.prp. nr. 102 (2004-2005) kapittel 9 punkt 9.4 at: «Departementet meiner at det er behov for auka innsyn i dokument i saker om offentlege innkjøp. Ein høg grad av innsyn i innkjøpsprosessen vil kunne føre til at det ikkje blir teke utanforliggjande omsyn når midlane til det offentlege blir disponert, og dermed motverke korrupsjon og andre uheldige tilhøve. På denne bakgrunn ba du om at saken behandles på nytt. Dersom avslaget opprettholdes for hele eller deler av dokumentet, ba du om at klagen oversendes klageinstans, jf. offl. 32 med kopi til oss. Kommunen har i sin klagebehandling den 13.12.2016, tatt klagen delvis til følge. Den har gitt innsyn i dokumentet «Spørsmålsliste til Microsoft Live edu og Office 365», og viser til at dokumentet ikke inneholder forretningshemmeligheter eller opplysninger som av konkurransemessige hensyn bør tilbakeholdes.

Kommunen har også gitt delvis innsyn i brev fra Datatilsynet til kommunen av 21.9.2012 «Tilbakemelding Bruk av nettskyen Microsoft Office 365 Moss kommune». Den viser til at brevet inneholder vurderinger av informasjonssikkerheten i eksisterende og fremtidig løsning, og vil derfor utleveres sladdet, da deler av dette sier noe om tilstanden i Moss kommune ved behandling av personopplysninger. Den viser til at offentlighet om slike forhold vil gjøre kommunen sårbar, og det gis derfor kun delvis innsyn i medhold av offl. 24, tredje ledd. For de øvrige dokumenter i saken, har ikke kommunen funnet grunn til å ta klagen til følge. Vi finner det ikke nødvendig å referere ytterligere fra sakens dokumenter da vi forutsetter at disse er kjent. Vi har bedt kommunen om å oppgi hjemmel for unntak for hvert enkelt dokument. Vi har ikke mottatt dette, men finner likevel under tvil at vi har tilstrekkelige opplysninger til å kunne behandle saken. Fylkesmannens vurdering Hovedregelen om innsyn fremgår av offl. 3: Saksdokument, journaler og liknande register for organet er opne for innsyn dersom ikkje anna følgjer av lov eller forskrift med heimel i lov. Dokumentasjon om skyløsningen og avtalegrunnlaget Kommunen har unntatt dokumenter fra Microsoft om skyløsningen og avtalegrunnlaget mellom kommunen og Microsoft med hjemmel i offl. 13, jf. forvaltningsloven 13 første ledd nr. 2. I offl. 13 første ledd heter det at opplysninger som er underlagt taushetsplikt i lov eller medhold av lov, er unntatt fra innsyn. Det er denne bestemmelsen og forvaltningsloven 13 nr. 2 som kommunen har vist til når den har unntatt avtalen fra innsyn. Forvaltningsloven 13 første ledd nr. 2 lyder: Enhver som utfører tjeneste eller arbeid for et forvaltningsorgan, plikter å hindre at andre får adgang eller kjennskap til det han i forbindelse med tjenesten eller arbeidet får vite om: 2) tekniske innretninger og fremgangsmåter samt drifts- eller forretningsforhold som det vil være av konkurransemessig betydning å hemmeligholde av hensyn til den som opplysningen angår. Bestemmelsen skal hindre en spredning av opplysninger som kan føre til økonomisk tap for vedkommende bedrift, enten direkte eller ved at konkurrenter utnytter opplysningene. Taushetsplikt vil også være nødvendig eller i hvert fall ønskelig for å sikre et tillitsforhold mellom bedriften og det offentlige både for samarbeid i alminnelighet og for å gi større sikkerhet for at det gis riktige og fullstendige opplysninger. Etter vår vurdering finner vi at opplysningene i avtalen gjelder drift og forretningsforhold i Microsoft, og spørsmålet blir om det er av konkurransemessig betydning å hemmeligholde disse. Det må her foretas en konkret vurdering av opplysningenes innhold og hvilke følger det kan få om de blir gjort kjent. Det vil si at begrunnelsen må knytte seg til de konkrete forhold i saken og vise hvilke omstendigheter og hensyn som ligger til grunn for avslaget.

Kommunen har i sitt avslag vist til at avtalen inneholder bedriftssenitiv informasjon om tekniske innretninger og fremgangsmåter og annen informasjon som det er av særlig konkurransemessig betydning å hemmeligholde. Den har ikke angitt nærmere hvilke konkrete konkurransemessige utslag og virkninger en offentliggjøring vil få. Etter vår vurdering er opplysningene av en slik art at de kan utnyttes av konkurrenter i egen forretningsdrift. En offentliggjøring av dokumentene vil derfor kunne skade konkurranseevnen og den fremtidige forhandlingsposisjonen til Microsoft. Spørsmål om merinnsyn etter offl. 11 er ikke aktuelt i dette tilfellet. Bestemmelsen om merinnsyn gjelder bare i saker hvor det kan gjøres unntak fra innsyn. Opplysninger underlagt taushetsplikt skal unntas, jf. formuleringen «er unnatekne» i offl. 13. I utgangspunktet er det de taushetsbelagte opplysningene som skal unntas etter forvaltningsloven 13, ikke hele dokumentet. Offl. 12 bokstav c) åpner imidlertid for at man kan unnta hele dokumentet dersom de taushetsbelagte opplysningene utgjør den vesentligste delen av vedtaket. Vi finner at dokumentene i sin helhet kan unntas etter denne bestemmelsen. Moss kommunes risikovurderinger Kommunen har unntatt dokument som inneholder vurderinger om informasjonssikkerhet i eksisterende og fremtidig løsning, med hjemmel i offl. 24 tredje ledd. I sin klagebehandling har Moss kommune gitt delvis innsyn i brevet fra Datatilsynet av 21.9.2012 «Tilbakemelding bruk av nettskyen Microsoft office 365 Moss kommune», og klagebehandlingen gjelder derfor også de deler av dette dokumentet som er sladdet. Offl. 24 tredje ledd lyder: Det kan gjerast unntak frå innsyn for opplysningar når unntak er påkravd fordi innsyn ville lette gjennomføringa av straffbare handlingar. Det same gjeld opplysningar der unntak er påkravd fordi innsyn ville utsetje enkeltpersonar for fare, eller lette gjennomføringa av handlingar som kan skade delar av miljøet som er særleg utsette, eller som er trua av utrydding. Unntak etter denne bestemmelsen forutsetter at de aktuelle opplysningene er av en slik karakter at de er nyttige ved utføring av straffbare handlinger. Det kreves også at det må være en viss fare for at opplysningene faktisk vil bli brukt på denne måten. Det er ikke noe vilkår at den som ber om innsyn kan mistenkes for å skulle bruke opplysningene til kriminelle formål, men opplysningene må objektivt sett kunne brukes slik. I veilederen til offentlighetsloven er det vist til at IKT-anlegg tilhørende forvaltningen kan være omfattet av unntaket. Vi er her enig i kommunens vurdering om at en offentliggjøring vil øke sårbarheten i kommunen som innebærer en økt sikkerhetsrisiko. Selv om kommunen kan unnta dokumentene fra innsyn, er den etter offl. 11 forpliktet til å vurdere om det likevel skal gis innsyn i dokumentet. Organet bør gi innsyn dersom hensynet til offentlig innsyn veier tyngre enn behovet for unntak, jf. 11 annen setning. Det fremgår ikke at kommunen har vurdert merinnsyn. Dette er en saksbehandlingsfeil som kan føre til at avgjørelsen er ugyldig dersom feilen ikke antas å ha hatt innvirkning på vedtakets innhold, jf. fvl. 41. I dette tilfellet får ikke feilen avgjørende betydning da vi mener at det ikke er grunnlag for merinnsyn i dette tilfellet. Etter vår oppfatning veier hensynet til å unngå at det gis

opplysninger som kan brukes til et kriminelt formål tyngre, enn allmennhetens behov for innsyn i de aktuelle dokumenter. Vi mener derfor ikke at det er grunnlag for merinnsyn i dette tilfellet. Unntaket gjelder opplysningene, og ikke hele dokumentet. Vi er imidlertid også her av den oppfatning at dokumentene i sin helhet kan unntas etter offl. 12 bokstav c) da de utgjør den vesentligste delen av dokumentene. Interne saksforberedelser og vurderinger I dette tilfellet synes det som at kommunen har unntatt følgende dokumenter med hjemmel i 14 og 15: Notater datert 29.9.2011 og 27.9. 2012 fra advokat Kristin Haram til databehandler i Moss kommune i forbindelse med avtalen med Microsoft. Et udatert notat benevnt «Juridiske betraktninger rund Databehandleravtale ifm Azure», utarbeidet av Malin Tønseth, Terje Jensen og Morgen Stange Bye. Brev av 2.4.2014 fra advokatfirmaet Simonsen Vogt Wiig som inneholder tolkning av arkivloven 9 bokstav b opp mot bruk av skytjenester. Fylkesmannen presiserer at offl. 14 som utgangspunkt ikke kan benyttes som unntakshjemmel for dokumenter som er sendt mellom kommunen og en ekstern advokat. Et dokument regnes ikke lenger som organinternt etter 14 når det er sendt ut av kommunen. Dokumentene som kommunen har avslått innsyn i inneholder råd og veiledning innhentet fra eksterne for bruk i kommunens interne saksforberedelse. Notat fra møter med disse vil kunne unntas med hjemmel i offl. 15 andre og tredje ledd som lyder: Det kan vidare gjerast unntak for delar av dokument som inneheld råd om og vurderingar av korleis eit organ bør stille seg i ei sak, og som organet har innhenta til bruk for den interne saksførebuinga si, når det er påkravd av omsyn til ei forsvarleg ivaretaking av det offentlege sine interesser i saka. Unntaka i paragrafen her gjeld tilsvarande for dokument om innhenting av dokument som er nemnde i første og andre ledd, og innkallingar til og referat frå møte mellom overordna og underordna organ, mellom departement og mellom eit organ og nokon som gir råd eller vurderingar som er nemnde i andre ledd. Innsyn etter offl. 15 andre ledd kan bare nektes når det er nødvendig ut fra en forsvarlig ivaretakelse av det offentliges interesser i saken. At det er nødvendig er et strengt krav, og innebærer at det må være en reell fare for at innsyn vil føre til skade av et visst omfang på de aktuelle interesser, jf. veileder til offentleglova. Videre vil unntaket kunne ivareta behovet for å gjøre unntak for råd og vurderinger som et offentlig organ innhenter i forbindelse med at det er involvert i forhandlinger. Unntaket gjelder imidlertid bare dokument om hvordan mottakerorganet bør stille seg i en sak, og ikke alle grunnlagsdokumentene. Etter vår vurdering kan vurderinger som kommunen har innhentet fra eksterne advokater unntas etter denne bestemmelsen. Dokumentene inneholder opplysninger om sårbare og kritiske forhold knyttet til teknisk drift i kommunen og håndtering av personopplysninger. Når det gjelder notat fra drøfting mellom ekstern advokat, Microsoft og kommunen kan dette unntas med hjemmel i tredje ledd. Bakgrunnen for dette unntaket er at et drøftingsmøte ofte vil være et alternativ til å innhente en uttalelse. Det er også et vilkår at formålet med møtet er å bidra til organets, her kommunens, saksforberedelse. Det skal i slike tilfeller tas en selvstendig

vurdering. Vi viser til vår vurdering av andre ledd som er sammenfallende. Vi er således av den oppfatning at referatet kan unntas etter denne bestemmelsen. I brevet datert 2. oktober 2014 redegjør advokat Malin Tønseth for arkivloven 9 bokstav b og skytjenester. Det følger av veilederen pkt. 7.3.4.2 at det ikke vil være grunnlag for å unnta generelle redegjørelser om rettsspørsmål med hjemmel i 15 andre ledd. Men dersom en slik generell redegjørelse er flettet sammen med råd og vurderinger gjennom hele dokumentet, kan det være grunnlag for å unnta hele dokumentet fra innsyn. Veilederen nevner rettslige redegjørelser i enkeltsaker som et eksempel på tilfelle der dette kan være aktuelt. Etter vår oppfatning er det derfor grunnlag for å unnta hele dokumentet fra innsyn med hjemmel i 15 andre ledd. Selv om kommunen kan unnta dokumentet fra innsyn, er den etter offl. 11 forpliktet til å vurdere om det likevel skal gis innsyn i dokumentet (såkalt merinnsyn). Organet bør gi innsyn dersom hensynet til offentlig innsyn veier tyngre enn behovet for unntak, jf. 11 annen setning. Vi er av den oppfatning at hensyn til ivaretakelse av offentlige interesser i dette tilfellet veier tyngre enn hensynet til allmennhetens behov for innsyn. Etter 15 andre og tredje ledd er det kun opplysninger som kan unntas, ikke hele dokumentet. Unntak er når råd og vurderinger flettet sammen gjennom hele dokumentet, som i dette tilfellet. Vi finner også at dokumentene kan unntas med hjemmel i offl. 12 første ledd bokstav c). Med hilsen Gøril Hjelseth e.f. seniorrådgiver Cathrine Lied Meyer seniorrådgiver Dokumentet er elektronisk godkjent Kopi til: Moss kommune Postboks 175 1501 Moss