Det förutsätter att arbetet bedrivs förvaltningsmässigt, som om det bedrivits i Sverige, att servicen till medborgarna inte påverkas negativt och att effekter inte uppstår på rättsutövningen i annat land.

Hantering av personuppgifter ska göras enligt den allmänna dataskyddförordningen (GDPR) inom EU och gentemot övriga länder enligt särskilda överenskommelser eller utifrån individuella överväganden.

Säkerhetskänsliga uppgifter är dessutom föremål för särskild lämplighetsbedömning där det alltid ska övervägas om arbetet verkligen bör utföras i annat land. 

Myndighetsutövning kan i vissa fall ske från utlandet

Inget i svensk rätt hindrar att myndighetsutövning med rättsverkningar i Sverige utförs från utlandet. Arbetet sker inte rättsligt i utlandet, utan i Sverige, då arbetstagare handlägger ärenden i ett annat land men för en svensk myndighet i myndighetens administrativa system.

Arbete som sker via dator i ett annat land kan ofta utföras på samma sätt som om arbetsuppgifterna utförts från huvudarbetsplatsen eller hemmet i Sverige. Att arbeta på det sättet kan anses ligga inom ramen för en svensk myndighets uppgifter och utgöra myndighetsutövning i Sverige. Sådant arbete kan bedrivas under längre tid och svensk rätt fortsatt tillämpas. Myndighetsutövningen får normalt inte några konsekvenser i det andra landet.

De möjliga invändningarna mot det arbetssättet skulle kunna vara att det leder till bristande tillgänglighet och sämre möjligheter att upprätthålla en god service för medborgare i Sverige. Ifall serviceskyldigheten inte kan upprätthållas kan myndighetsutövningen inte anses äga rum i Sverige.

Myndighetsutövning i form av faktiskt handlande som får effekter i annat land, exempelvis att en polis ingriper mot en medborgare eller att en tulltjänsteman beslagtar egendom, är endast möjlig då den tillåts av det landet där den sker. Myndighetsutövningen äger då rum i ett annat land och faller utanför tillämpningsområdet för svensk rätt. Faktiskt handlande som inte utgör myndighetsutövning och som inte har konsekvenser i annat land är dock sannolikt tillåtet, till exempel administration, allmän planering eller annan handläggning för svensk myndighet.

Ny praxis och betydelsen av arbetets anknytning till Sverige

Tre nyare avgöranden inom socialförsäkringsområdet, ett från Högsta Förvaltningsdomstolen (HFD 2022 ref 16) och två från kammarrätterna (Kammarrätten i Jönköping i mål nr 3200-17 och Kammarrätten i Stockholm i mål nr 3721-20), tydliggör att det är arbetets anknytning till Sverige och arbetsuppgifternas karaktär som är avgörande för om arbetet ska anses vara utfört i Sverige eller inte. 

Avgörandena är samstämmiga och visar följande:

• Bedömningen av i vilket land arbetet i rättslig mening sker görs i det enskilda fallet och utifrån arbetets koppling till Sverige.
• Var arbetet rent fysiskt utförs är en omständighet som ska beaktas bland andra omständigheter såsom arbetets karaktär, vilken typ av verksamhet arbetsgivaren bedriver i Sverige och var arbetstagaren är anställd. Anknytning i övrigt, såsom bosättning eller folkbokföring, saknar betydelse för den bedömningen.
• Distansarbete från utlandet kan bedömas utgöra arbete i Sverige både om det pågår i kortare eller längre perioder, beroende på omständigheterna.  

Arbetsuppgifter som innefattar hantering av personuppgifter

Ärendehandläggning som innefattar personuppgifter är tillåten förutsatt att den sker inom EU, enligt den allmänna dataskyddsförordningen (EU) 2016/679 (GDPR) och att säkerhetskänsliga uppgifter inte röjs.

GDPR gäller vid hantering av personuppgifter inom EU. Arbete som utförs i Sverige eller inom EU ger inte upphov till olika överväganden för de enskilda länderna enligt GDPR. Förordningen gäller på samma sätt inom hela området. 

Vad gäller uppgifter som kan överföras till ”tredje land” måste en annan nivå av försiktighet iakttas. Frågorna regleras i GDPR i artiklarna 44-50. Här talas bland annat om adekvat skyddsnivå, artikel 45, och lämpliga skyddsåtgärder, artikel 46.

Av betydelse för hanteringen av personuppgifter är framför allt om de kan begäras in av myndighet i ”tredje land” och göras tillgängliga för sådan myndighet. För den bedömningen är i första hand sätet för den som kan ha tillgång till uppgifterna avgörande, men också var arbetet fysiskt utförs.

Arbete (och tillgängliggörande av uppgifter) i tredje land, utanför EU, förutsätter adekvata skyddsåtgärder. Vid den bedömningen spelar personuppgifternas känslighet en viktig roll men också vilket land det rör sig om och tidpunkten när bedömningen görs. I förhållande till ett antal länder finns så kallade adekvansbeslut, till exempel fattades ett sådant beslut avseende USA sommaren 2023. De besluten innebär att EU avtalar med annat land att motsvarade skyddsnivå som gäller enligt GDPR tillämpas för hantering i det landet.

Överväganden som ska göras kring tillåtlighet avser hantering av uppgifter och är inte knutna till klassning av befattning/tjänst.

Arbetsuppgifter som innefattar hantering av säkerhetskänsliga uppgifter 

Uppgifter som kan vara säkerhetskänsliga är föremål för nationell reglering och nära knutna till respektive stat. Denna typ av uppgifter (som kan men inte måste vara personuppgifter) behöver därmed skyddas på ett annat sätt än personuppgifter som inte är säkerhetskänsliga. 

Vid distansarbete från utlandet med uppgifter som kan vara säkerhetskänsliga måste därför särskilda lämplighetsöverväganden göras och en högre skyddsnivå säkras.

Övervägandena som ska göras kring lämplighet/tillåtlighet avser hantering av uppgifter och är inte knutna till klassning av befattning/tjänst.

Överväganden om var arbetet faktiskt utförs blir desamma som i fråga om myndighetsutövning. Skyddsåtgärder kan alltså till stora delar vara desamma. Däremot kan lämplighetsbedömningar vid hantering av säkerhetskänsliga uppgifter ställa andra krav på hanteringen och i slutänden leda till att den inte anses lämplig. 

I Sverige skyddas säkerhetskänsliga uppgifter av säkerhetsskyddslagen (2018:585) och Säkerhetsskyddsförordningen (2021:955) samt av kompletterande föreskrifter utfärdade av Säkerhetspolisen och Försvarsmakten.

Säkerhetskänsliga uppgifter skyddas normalt av sekretess enligt Offentlighets- och sekretesslagen (2009:400), antingen av försvarssekretess enligt 15 kap 2§ (som också omfattar uppgifter om civilt försvar) eller utrikessekretess enligt 15 kap 1§.

Eftersom konsekvenserna av otillåten hantering blir allvarligare för säkerhetskänsliga uppgifter kan det vara motiverat att ställa strängare krav på arbetets anknytning till Sverige som en extra försiktighetsåtgärd. Det är också motiverat utifrån att säkerhetsskyddet inte bara omfattar informationssäkerhet utan även fysisk säkerhet och personalsäkerhet.

En annan extra försiktighetsåtgärd som kan övervägas är att skilja på hanteringen av uppgifter utifrån risk för skada för Sveriges säkerhet. En möjlig gränsdragning är då att inte tillåta arbete i utlandet vad avser kvalificerat hemliga eller hemliga uppgifter. Med lämpliga säkerhetsåtgärder skulle däremot arbete med konfidentiella eller begränsat hemliga uppgifter kunna utföras i utlandet (se indelningen i de fyra klasserna i 2 kap 5§ säkerhetsskyddslagen (2018:585)