Personnummer i en akt

Den som håller i akten är personuppgiftsansvarig.

Inte leverantören av ärendesystemet, inte kommunen, inte någon annan. Verksamheten som håller i akten svarar för den – och för varje kopia som lämnar huset.

En akt är samtidigt en allmän handling. Den som begär ut den har rätt att få den, efter en sekretessprövning. De två sakerna hänger ihop: det är samma akt som ska lämnas ut och samma akt som ska skyddas. Det ena upphäver inte det andra.

Ofta finns uppgifter om hälsa i akten – intyg, utredningar, bedömningar. Det räknas som känsliga personuppgifter, och de har ett starkare skydd än namnet och adressen.

Fyra stunder då kopian går iväg.

• Till en anhörig eller vårdnadshavare

  Akten kopieras och mejlas. Hamnar den hos någon annan än den som skulle ha den, eller hos en adress som skrivits fel, är det en personuppgiftsincident – inte en pinsamhet i ett mejl.

• När ärendet byter handläggare

  Överlämningen ska innehålla det nästa steg behöver, inte hela arkivet. Personnummer är sällan en del av det.

• När en annan myndighet begär den

  Socialtjänst, polis eller en annan kommun. Kopian går vidare till en handläggare – och stannar sedan i deras system, med de uppgifter som följde med.

• Till arkivet

  Underlag som ska bevaras lever kvar i decennier. Det som rensas bort innan det läggs undan är borta för gott, och det som inte rensas ligger i en fil ingen längre öppnar.

Innan filen skickas.

• Personnumren

  I texten, i tabeller, i rubriker och i bilagor. Rensa dem i filen, inte med en ruta ovanpå.

• Det som ligger utanpå sidan

  Metadata, kommentarer, formulärfält och bokmärken. Där står ofta namn och nummer kvar efter att sidan setts över.

• Kontrollen efteråt

  Sök i den färdiga filen på några siffror ur ett nummer. Finns de kvar är filen inte rensad, hur svart rutan än ser ut.

• Beviset

  En rapport per fil: vilken sida, hur många nummer, när. Den är svaret den dag någon frågar vad som skickades.

Om det går fel.

En akt som hamnat hos någon som inte skulle ha den ska anmälas till IMY inom 72 timmar, om den kan leda till risk för den registrerade.

Klockan räknas från att verksamheten fick kännedom, inte från att det hände. Det är därför en vanlig fredagseftermiddag är den sämsta tiden att upptäcka det på. Så räknas de 72 timmarna.

Det enklaste sättet att slippa anmälan är att aldrig skicka med numret. En akt utan personnummer är fortfarande en akt – den går att läsa, pröva och arkivera.