Trafikverket lägger sig platt i förhandling

Trafikverket lägger sig platt i förhandling Microsoft är orubbliga Albert Palmén

Under det senaste halvåret har Sveriges Radio varit flitiga på att rapportera om Trafikverkets uppköp av molntjänster. Det är svårt att veta var denna historia börjar men under våren och sommaren 2026 påbörjar Sveriges Radio sin publicering av sina artiklar.

Det pågick diskussioner om hur och till vilken grad som Trafikverket skulle använda Microsoft Teams i organisationen. Trafikverkets egna interna it-personal varnade för säkerhetsrisker när information lagras och överförs i molnet. Det visade sig dessutom att man missat att diarieföra promemorian med synpunkterna vilket leder till att informationen bara finns tillgänglig för de som redan vet att den existerar. Samtidigt så visar det sig att Microsoft sitter i en arbetsgrupp med uppdrag att analysera och rekommendera en molnlösning - en rekommendation som senare valdes. Något som Trafikverkets it-direktör, Niclas Lamberg, först förnekar men senare tvingas medge deras delaktighet.

I augusti fortsatte Sveriges Radio rapporteringen om Trafikverket och deras användande av molntjänster. Det framkommer att Trafikverket har ställt 18 minimikrav som tillägg till avtalet med Microsoft. Men de var inte villiga att möta några av dessa krav. Efter fortsatta diskussioner bantade Trafikverket sin lista till endast tre krav - men Microsoft fortsatte att sätta sig emot kraven och i slutändan lade sig Trafikverket platt.

Detta betyder att Trafikverket har tagit Microsoft till hjälp för att rekommendera hur man kan använda deras molntjänster och sedan låtit dem ensidigt bestämma villkoren för hur denna tjänst ska fungera.

Jag har tagit del av Trafikverkets lista med avtalskrav. I denna artikel kommer jag att fokusera på de tre prioriterade kraven - vilka av naturliga skäl är de mest angelägna.

Uppsägning av avtal

Microsoft är känt för att använda långa och komplexa avtal. Trafikverkets jurister har uppenbart noterat att Microsoft kan säga upp avtalet ensidigt utan orsak. Microsoft vill tjäna pengar och kommer inte slumpmässigt att säga upp avtal - om detta skulle ske finns det en väldigt stark anledning. Ett sådan scenario kan vara att tredje part utövar påtryckningar som kan leda till att avtalet sägs upp.

Microsofts rätt att säga upp avtal utan orsak

Microsoft har ingen rätt att säga upp detta Volymavtal helt eller delvis utan orsak under Avtalstiden. Alla Microsofts rättigheter att säga upp Volymavtalet i förväg av andra orsaker än vad som uttryckligen anges i denna bilaga rörande Minimikrav, eller Volymavtalets huvudavtal, ska anses vara ogiltiga.

Om myndigheten inte skulle kunna använda sina Microsoft-licenser får den stora problem med att utföra sitt uppdrag. Det finns andra lösningar som kan ersätta Microsofts produkter. Men att byta kommer att ta tid. Mer än de 30–60 dagar som en Microsoft-uppsägning skulle ta. Trafikverket har i dag strax över 14 000 användarlicenser och utöver det väldigt många andara licenser.

Jämför detta med att Trafikverket skulle hyra lokaler under en femårsperiod. Myndigheten skulle sedan investera tid och pengar till att anpassa lokalerna efter sina behov. Men fastighetsägaren kan när som helst säga upp hyresavtalet utan orsak. Detta hade aldrig accepterats. Men när det gäller mjukvara är det tydligen helt i sin ordning.

Konfidentialitet och offentlighetsprincipen

Trafikverket är, som alla andra myndigheter, skyldig att lämna ut handlingar till allmänheten när dessa kräver det. Det är tack vare denna princip som jag har haft möjlighet att ta del av avtalet som Trafikverket undertecknat med Microsoft samt de olika kravlistorna.

Offentlighetsprincipen är central för att myndigheter ska kunna granskas och ställas till svars för sina handlingar. Svenska folket behöver följa myndigheternas beslut och direktiv men samtidigt har de möjlighet att granska och kritisera det arbete som sker. Myndigheten arbetar aktivt för att följa denna tradition.

Konfidentialitet

Oavsett vad som anges i Standardvillkoren är Microsoft medvetet om att Trafikverket på grund av bestämmelser i författning kan vara tvunget att på begäran lämna ut vissa uppgifter som härrör från Microsoft. Vid en förfrågan om utlämnande av sådana uppgifter har Trafikverket en laglig skyldighet att med hänsyn till gällande författningar på området pröva om uppgifterna kan lämnas ut eller om det helt eller delvis gäller sekretess. Skulle Trafikverket efter sådan prövning finna att uppgifter ska lämnas ut till tredje part ska Trafikverket informera Microsoft om sådant utlämnande.

Microsoft har inget att vinna på offentlighetsprincipen. Det är en fördel om avtal, priser och förhandlingar inte sprids då detta kan påverka deras konkurrensmöjligheter. I avtalet skriver Microsoft bland annat:

CONFIDENTIALITY. Any information related to the terms of this agreement, or to the terms of the agreement between Customer and Microsoft is confidential information and you may not disclose such confidential information to any third party other than Customer.

Trafikverket har redan brutit mot detta genom att med stöd av offentlighetsprincipen lämna ut hela avtalet. Det går här att argumentera för att Trafikverket nu har begått ett avtalsbrott och att Microsoft då har rätt att säga upp avtalet.

Personuppgifter och data

Trafikverket lyfter problematiken med att använda potentiellt känslig data i Microsofts molnlösning och försöker förbättra situationen genom att förtydliga hur personuppgifter ska behandlas.

Lagring, behandling och överföring av personuppgifter och andra uppgifter

Alla personuppgifter och andra uppgifter ska lagras inom EU/EES, i tredje land eller hos bolag/organisation som EU-kommissionen har bekräftat har en lämplig nivå av dataskydd till följd av ett adekvansbeslut eller till följd av att bolaget/organisationen är del av EU-US Data Privacy Framework samt ta hänsyn till vad som åligger en offentlig myndighet enligt OSL eller annan svensk lagstiftning. Detta krav är gällande under hela Avtalstiden, och oavsett situation.

Problemet är större än personuppgifter. Trafikverket hanterar mycket mer än bara personuppgifter som är känsliga - det handlar om publik infrastruktur som kan vara känslig i en situation av kris eller krig. Transportstyrelsen var i blåsväder med början 2015 när de lade ut driften av fordons- och körkortsregistret till IBM. Men det är ju inte samma sak här… eller?

USA har en lagstiftning med den komiska förkortningen FISA (Foreign Intelligence Surveillance Act). Jockum Hilden skriver i sin artikel Mitigating the risk of US surveillance for public sector services in the cloud vad denna innebär:

In other words, US tech companies are compelled to assist the US government and cannot inform their customers that they have been targeted.

Detta betyder att de amerikanska myndigheterna kan kräva att få tillgång till data, oavsett var i världen den finns, och amerikanska tjänsteföretag har inget val än att lämna ut den. De får dessutom inte informera sina kunder att så har skett.

Microsoft skriver i ett svar till Sveriges Radio att de kommer att bestrida begäranden från amerikanska myndigheter som strider mot europeisk lag. Microsoft hamnar i kläm mellan amerikansk och europeisk lagstiftning. Microsoft är ett amerikanskt företag med huvudkontor i USA. Vilken väg Microsoft väljer att ta när detta sker kan vi bara spekulera om - men jag är övertygad om att de kommer i tysthet ge de amerikanska myndigheterna det de begär. Vem vet? Kanske har de redan delat information.

Ett större problem

Här har jag pratat om några av de problem som dyker upp när en svensk offentlig aktör använder sig av ett amerikanskt bolag. Problemet i sig är ju inte att det är Microsoft eller USA som har hamnat under luppen här. Problemet är större. Om svenska myndigheter och den svenska staten på riktigt ska kunna skydda vår suveränitet behöver de äga sina digitala plattformar.

Om företaget hade varit svenskägt och tjänsterna driftats i Sverige hade riskerna för dataläckage varit mindre. Går detta att lösa?

Svenska myndigheter har tillsammans väldigt stora kostnader för de it-system som idag används. Genom att bilda ett eget företag eller en myndighet med ansvar för att ta fram och driva en plattform nationellt skulle en säkrare lösning som dessutom är mer kostnadseffektiv skapas. Det är en omställning som inte kan göras över en natt. Det handlar om hundratusentals användare och specialutvecklade lösningar som skulle behöva migreras till nya plattformar. Ett projekt som skulle ta minst ett decennium. Men ju längre vi väntar med att starta detta projekt, ju längre tar det innan vi kan vara klara.