En begäran om en allmän handling ska inte avslås bara för att handlingen innehåller personuppgifter. Myndigheten behöver identifiera handlingen, bedöma om den är allmän, pröva eventuell sekretess och lämna ut det som får lämnas ut. GDPR upphäver inte den svenska offentlighetsprincipen.
För registrator, handläggare och systemägare är den praktiska uppgiften att få denna kedja att fungera skyndsamt utan att hemliga uppgifter följer med i en bilaga. Här får ni en arbetsgång med ett ifyllt exempel, kontroll av maskering och förslag till besked. Exemplen beskriver fiktiva ärenden; sekretessprövningen måste göras mot de verkliga uppgifterna och den tillämpliga bestämmelsen.
1. Börja med vilken rättighet personen använder
En begäran om en viss kommunal handling är något annat än en begäran om tillgång till egna personuppgifter enligt artikel 15 GDPR. Den som använder offentlighetsprincipen behöver inte själv förekomma i handlingen. Den som begär registerutdrag kan i stället vilja veta hur egna uppgifter behandlas, även när informationen finns utspridd i flera system.
Tolka begäran utifrån innehållet. Personen behöver inte ange rätt paragraf. Om ett meddelande innehåller båda typerna av begäran kan ni behöva hantera dem parallellt och förklara skillnaden. Använd inte GDPR:s månadsfrist som en generell handläggningstid för allmänna handlingar. Tryckfrihetsförordningen kräver att handlingar som får lämnas ut på stället tillhandahålls genast eller så snart det är möjligt, och att en begäran om kopia behandlas skyndsamt. Se tryckfrihetsförordningen, 2 kap..
En tredje typ av ärende är dataportabilitet: den rätten har egna villkor och gäller vissa uppgifter i ett återanvändbart format. Hänvisa internt till arbetsgången för artikel 20 när den faktiskt är relevant. Ett krav på att få en myndighetshandling ska inte automatiskt styras över till ett formulär för dataportabilitet.
2. Hitta handlingen och bedöm om den är allmän
En handling kan vara text, bild eller en upptagning som kräver tekniska hjälpmedel för att läsas. Grundfrågan är om den förvaras hos myndigheten och har kommit in eller upprättats enligt reglerna i tryckfrihetsförordningen. Det räcker inte att kontrollera om dokumentet har ett diarienummer.
E-post, ärendebilagor och uppgifter i verksamhetssystem kan därför behöva ingå i sökningen. Samtidigt är inte varje internt utkast eller varje säkerhetskopia en allmän handling. För minnesanteckningar finns särskilda regler, bland annat om sakuppgifter och om materialet tagits om hand för arkivering. Klassificera det faktiska materialet i stället för att använda mappnamnet ”arbetsmaterial” som ett färdigt juridiskt svar.
Om begäran gäller en sammanställning ur ett digitalt system behöver ni bedöma reglerna om rutinbetonade åtgärder och eventuella rättsliga begränsningar. Det är en annan prövning än att säga att ingen identisk rapport redan finns sparad. Låt systemägaren förklara vad som tekniskt krävs och låt behörig handläggare göra den rättsliga bedömningen.
För en praktiskt fungerande sökning behöver registrator veta vilka system som finns, vilka verksamheter som ansvarar för dem och hur material kan tas fram. Använd kartläggningen av IT-system och dataflöden för att hitta rätt ägare. Undvik att skicka hela begäran med onödiga personuppgifter till en stor intern distributionslista bara för att hitta någon som känner igen ärendet.
3. Fråga inte rutinmässigt efter identitet eller syfte
En myndighet får enligt 2 kap. 18 § tryckfrihetsförordningen inte efterforska vem den sökande är eller syftet med begäran mer än vad som behövs för att pröva om det finns hinder mot utlämnande. En inloggad e-tjänst bör därför inte vara den enda praktiska vägen för varje begäran.
I vissa fall kan sekretessprövningen kräva kompletterande information. Beskriv då vilken fråga informationen behövs för och begränsa frågan till det behovet. Kräv inte personnummer eller en identitetshandling som standardbilaga till alla förfrågningar. För själva identifieringsuppgiftens användning finns dessutom den svenska prövningen av personnummer och samordningsnummer.
En kontaktadress för att skicka ett svar är inte samma sak som ett krav att redovisa identitet och avsikt. Erbjud ett praktiskt alternativ när personen vill vara anonym. Om begäran är oklar kan ni hjälpa personen precisera vilken handling eller period som avses utan att fråga varför innehållet är intressant.
4. Pröva sekretess för de faktiska uppgifterna
Att en handling är allmän betyder inte att alla uppgifter i den är offentliga. Identifiera tillämplig sekretessbestämmelse, dess räckvidd och eventuella skaderekvisit. Prövningen kan bli olika för uppgifter i samma dokument. En sekretessmarkering eller avsändarens önskemål är en signal att kontrollera frågan, inte ett bindande beslut om utlämnande.
GDPR är inte ett allmänt sekretessrekvisit. Däremot finns exempelvis 21 kap. 7 § offentlighets- och sekretesslagen, som gäller när det kan antas att personuppgiften efter utlämnandet kommer att behandlas i strid med angiven dataskyddsreglering. Bestämmelsen behöver prövas på sina egna villkor. Att någon begär många uppgifter eller att handlingen innehåller namn innebär inte i sig att myndigheten kan hoppa över den bedömningen. Se offentlighets- och sekretesslagen.
Kontrollera särskilt uppgifter som tillsammans kan avslöja var en hotad person befinner sig. Det kan handla om plats, anhöriguppgifter och ett ärendes sammanhang även när bostadsadressen tagits bort. Ett system med skyddsmarkeringar behöver stödja en sådan bedömning. För skolans hantering beskriver rutinen för skyddade personuppgifter hur spridning genom vardagliga kontaktvägar kan begränsas.
Prövningen ska gälla regler som faktiskt är i kraft vid beslutet. Konsoliderade lagtexter kan visa både nuvarande och framtida lydelser. Kontrollera ikraftträdandet när ni hämtar en bestämmelse till beslutsmallen; en framtida lydelse ska inte smygas in genom att den råkar stå längre ned på samma webbsida.
5. Ifyllt exempel: utlämnande av en inkommande skrivelse
En person begär en skrivelse om belysningen på ett kommunalt gångstråk. Skrivelsen har kommit in till kommunen och innehåller en sakbeskrivning, avsändarens namn och kontaktuppgifter. I bilagan finns dessutom uppgifter som kan avslöja en hotad persons bostadsadress. Handläggaren får konkret underlag om hotbilden och bedömer att förutsättningarna i 21 kap. 3 § OSL är uppfyllda för dessa adressuppgifter.
Det fiktiva beslutet blir att lämna ut skrivelsen med de skyddade uppgifterna maskerade efter kontroll av övriga tillämpliga regler. Myndigheten undanhåller inte hela handlingen bara för att en del omfattas av sekretess. Handläggaren kontrollerar också om andra formuleringar eller bilagor indirekt avslöjar samma adress.
| Kontrollpunkt | Anteckning i exemplet |
|---|---|
| Begäran | Inkommen skrivelse om belysning på angivet gångstråk |
| Handlingens status | Förvarad hos kommunen och inkommen |
| Sekretessfråga | Uppgifter som avslöjar hotad persons bostadsadress |
| Bedömning | Konkret hotbild; tillämpligt skydd enligt 21 kap. 3 § OSL |
| Utlämnad del | Sakbeskrivning och övrigt innehåll efter individuell prövning |
| Kontroll | Maskering och bilagor granskade; dold text och metadata kontrollerade |
| Besked | Information om begränsningen och möjlighet att begära myndighetens prövning |
Spara en intern anteckning som förklarar bedömningen utan att röja den skyddade uppgiften i det externa beskedet. Det kan vara nödvändigt att hålla isär beslutsmotiveringen och ett underlag med mer detaljerad hotinformation. Den som ska kunna ompröva ärendet behöver förstå grunden, samtidigt som den sökande ska få ett begripligt besked om begränsningen.
6. Kontrollera maskering och leverans separat
Gör en utlämningskopia. Ändra inte originalhandlingen genom att permanent ta bort uppgifter ur akten. Kontrollera att en svart ruta verkligen tar bort den bakomliggande texten i utlämningskopian och att filen inte innehåller kommentarer, tidigare versioner eller ett separat textlager där uppgiften finns kvar.
Granska även filnamn, dokumentegenskaper, bilagor och e-posttrådar. Om en kopia ska skickas elektroniskt behöver ni kontrollera att det är den beslutade versionen som bifogas och att adressen är rätt. En korrekt sekretessprövning skyddar inte mot att handläggaren råkar skicka originalfilen från samma mapp.
Rätten att ta del av en handling innebär inte en obegränsad rätt att välja elektroniskt leveransformat. Tryckfrihetsförordningen har särskilda regler om kopior och upptagningar för automatiserad behandling. Kontrollera även eventuella särskilda regler om elektroniskt utlämnande och avgifter i den egna verksamheten. Låt inte en teknisk diskussion om format försena en skyndsam prövning av själva rätten till innehållet.
Om leveransen innehåller integritetskänsliga uppgifter som får lämnas ut till just den mottagaren behöver kanalen och åtkomstskyddet motsvara risken. Metoden för kryptering av personuppgifter kan hjälpa systemägaren välja skydd. Kryptering avgör däremot inte om mottagaren rättsligt får ta del av uppgiften.
7. Ge rätt besked när något inte lämnas ut
Ett informellt besked från en anställd om att handlingen inte lämnas ut ska innehålla information om möjligheten att begära myndighetens prövning och att ett skriftligt myndighetsbeslut behövs för att kunna överklaga. Reglerna finns i 6 kap. 3 § OSL. Även ett partiellt utlämnande behöver hanteras så att den sökande förstår att delar har undanhållits.
I exemplet kan ett första besked formuleras: ”Vi lämnar ut skrivelsen med vissa adressuppgifter maskerade efter sekretessprövning enligt 21 kap. 3 § offentlighets- och sekretesslagen. Du kan begära att myndigheten prövar denna begränsning. Ett skriftligt beslut från myndigheten krävs för att du ska kunna överklaga.” Anpassa beskedet efter vem som faktiskt har beslutat och komplettera ett formellt beslut med korrekt överklagandehänvisning.
Låt rutinen ange vem som får fatta beslut och vem som träder in vid frånvaro. En begäran ska inte bli liggande för att den enda personen som känner till mallen är ledig. Eskalera rättslig osäkerhet snabbt och dokumentera vilket material som behövs för att avgöra den.
8. Skilj utlämnande från webbpublicering och arkiv
Att en handling kan lämnas ut efter begäran betyder inte att hela handlingen utan vidare bör publiceras sökbart på internet. Webbpublicering har en annan spridning, andra risker och behöver en egen rättslig bedömning. IMY förklarar att GDPR inte hindrar nationellt reglerat utlämnande men att sekretess kan begränsa det. Se IMY:s svar om offentlighetsprincipen.
Arkivfrågan är också separat. Myndigheten behöver följa tillämpliga regler om bevarande och gallring, bland annat arkivlagen. Ett beslut att maskera utlämningskopian innebär inte ett beslut att gallra originalet. Ett beslut att bevara originalet innebär inte fri intern åtkomst eller automatisk publicering. Håll dessa tre beslut åtskilda i rutinen så att registrator, webbansvarig och arkivansvarig kan utföra rätt åtgärd.
För dokumentation av kamerabevakning av allmänt intresse finns särskilda minimikrav som behöver samordnas med arkivreglerna. Arbetsgången för kameraförteckningen skiljer bedömningsunderlagets bevarande från lagringen av själva inspelningarna.