Maska allmän handling: från begäran till utlämnad fil

Du maskar, eller maskerar, en allmän handling när delar av den omfattas av sekretess. Resten av handlingen ska lämnas ut, och de sekretessbelagda uppgifterna tas bort ur en kopia, aldrig ur originalet. Du prövar varje uppgift för sig, och sökanden ska få veta att hen kan begära myndighetens prövning och ett skriftligt beslut.

Hur du kontrollerar själva filen står i Kontrollera maskering i PDF och Maska personuppgifter i Word.

Vad säger lagen om att maska en allmän handling?

Regeln om maskning står i tryckfrihetsförordningen (TF), inte i offentlighets- och sekretesslagen (OSL). Enligt TF 2 kap. 15 § första stycket ska en handling som inte kan lämnas ut utan att en sekretessbelagd del röjs göras tillgänglig i övriga delar, i avskrift eller kopia.

En begränsning av rätten att ta del av handlingar ska stå i en särskild lag (TF 2 kap. 2 §), och i praktiken är det OSL.

Hur avgör jag vilka uppgifter som ska maskas?

eSam påpekar att ”en prövning alltid måste göras i varje enskilt fall som uppgifter begärs utlämnade” (eSam, vägledning ES2022-01, avsnitt 3.2.2.3). Hur stark sekretessen är avgörs i regel av paragrafens skaderekvisit (samma vägledning, avsnitt 3.2.2.2):

Tre saker att komma ihåg:

• En sekretessmarkering är inget beslut. Den är en anteckning om att det kan antas att uppgiften inte får lämnas ut (OSL 5 kap. 5 §). Pröva ändå varje uppgift när handlingen begärs.
• Sekretessen gäller inte mot den som skyddas. Som huvudregel gäller den inte mot personen själv, och hen kan häva den helt eller delvis (OSL 12 kap. 1–2 §§).
• Varje maskning behöver en paragraf. Notera den. Du behöver den om sökanden begär ett beslut.

Får man maska med GDPR som grund, och ska personnummer maskas?

GDPR ensamt räcker inte som grund. Dataskyddsförordningen och dataskyddslagen ska inte tillämpas i den utsträckning det skulle strida mot TF (1 kap. 7 § lagen (2018:218)). Artikel 86 i dataskyddsförordningen tillåter att personuppgifter i allmänna handlingar lämnas ut enligt nationell rätt. Grunden för att maska ska därför finnas i OSL. En sådan bestämmelse är 21 kap. 7 §: sekretess gäller om det kan antas att uppgiften efter utlämnandet kommer att behandlas i strid med dataskyddsreglerna.

Ett personnummer omfattas inte av sekretess bara för att det är ett personnummer. Stockholms universitets vägledning för den som lämnar ut handlingar säger att de fyra sista siffrorna normalt inte ska maskas, eftersom maskning kräver stöd i OSL. Vissa bestämmelser i OSL skyddar dock uttryckligen personnummer, till exempel 39 kap. 3 § fjärde stycket för personal hos vissa myndigheter där personalen riskerar våld.

Ska ett personnummer maskas, till exempel i ett socialtjänstärende, behöver du hitta alla former av det:

• med och utan bindestreck: ÅÅMMDD-NNNN och ÅÅMMDDNNNN
• med plustecken för den som har fyllt 100 år: ÅÅMMDD+NNNN (folkbokföringslagen 18 §)
• med sekelsiffror: ÅÅÅÅMMDD-NNNN
• med mellanslag, eller delat över två rader
• som samordningsnummer, där dagen i födelsetiden är ökad med 60 (lagen om samordningsnummer 2 kap. 8 §)

Hur snabbt måste handlingen lämnas ut?

Det finns ingen fast tidsgräns, men kravet är strängt. En begäran om kopia ska behandlas skyndsamt (TF 2 kap. 16 §). Enligt JO ska myndigheten normalt ge besked samma dag. Några dagars fördröjning kan godtas om prövningen kräver det, och ett omfattande material kan motivera något mer. Varje dröjsmål behöver kunna motiveras, och delutlämnanden kan påskynda handläggningen (JO dnr 3792-2025).

Måste handlingen lämnas ut digitalt?

Inte alltid. En myndighet behöver inte lämna ut en digital handling (en upptagning för automatiserad behandling) i annan form än utskrift, i större utsträckning än vad som följer av lag (TF 2 kap. 16 §). Tusch kan gå att läsa i motljus, så en sådan kopia bör kopieras igen (The National Archives, Redaction toolkit). I en fil kan texten ligga kvar under en svart ruta.

Får jag maska i ett gratis webbverktyg?

Det beror på var filen behandlas. Om handlingen behandlas på tjänstens servrar kan uppgifterna bli tillgängliga för den som driver tjänsten. Enligt förarbetena till 10 kap. 2 a § OSL räknas det som att uppgiften röjs (eSam, Molnfrågan).

Paragrafen, som gäller sedan 1 juli 2023, tillåter ändå att uppgifter lämnas till någon som på myndighetens uppdrag endast bearbetar eller lagrar dem tekniskt, om det inte är olämpligt (OSL 10 kap. 2 a §). Utan ett sådant uppdrag måste du pröva om sekretess hindrar uppladdningen. Fråga ditt dataskyddsombud innan du laddar upp något.

Hur maskar man digitalt så att det håller?

1. Maska en kopia. Originalet ska vara orört.
2. Ta bort texten ur filen och ersätt den med en synlig markering. En svart ruta ovanpå texten döljer den bara på skärmen. Brittiska riksarkivet skriver att informationen ska tas bort ur själva filens data, inte bara ur det som visas (Redaction toolkit).
3. Kontrollera utfilen. Sök efter det du maskat, försök kopiera texten och se över metadata och bilder.

Maskningen ska bevara handlingens sammanhang, så att sökanden ser var något är maskat och hur mycket. Öppna data-utredningen grundar det på praxis (RÅ 1993 ref. 3) och anser att en digital maskning ska synas (SOU 2020:82, s. 48–50).

Sekretess är ett förbud att röja en uppgift, även genom att lämna ut en allmän handling (OSL 3 kap. 1 §). En maskning som går att återskapa kan därför vara ett röjande. FRA skrev i sitt remissvar på utredningen att det är svårt att garantera vid digital maskning att det maskade inte går att återskapa. Brott mot tystnadsplikt kan begås även av oaktsamhet, utom i ringa fall (BrB 20 kap. 3 §).

IMY skriver i en rapport om utlämnande med hjälp av AI att en AI-baserad maskeringstjänst inte fungerar helt felfritt. Den är ett arbetsstöd, och resultatet ska alltid granskas noggrant.

Vad ska sökanden få veta när något har maskats?

Den anställde som ansvarar för handlingen prövar i första hand. I tveksamma fall ska hen låta myndigheten pröva, om det kan ske utan onödigt dröjsmål. Sökanden ska informeras om att hen kan begära myndighetens prövning och att det krävs ett skriftligt beslut av myndigheten för att kunna överklaga (OSL 6 kap. 3 §). Ett beslut att inte lämna ut en handling överklagas till kammarrätt (6 kap. 7–8 §§).

Skriv det i följebrevet. Med dina noteringar om paragraferna går ett beslut fort att fatta.

Gäller samma regler för a-kassor?

Bara för vissa ärenden. En arbetslöshetskassa jämställs med en myndighet i ärenden enligt lagen (2024:506) om arbetslöshetsförsäkring och i ärenden om medlemsavgift för arbetslös medlem (OSL 2 kap. 4 § och bilagan). Det gäller alltså handlingar i de ärendena, inte allt som kassan har.

Sekretessen står i 28 kap. 13 § OSL och gäller uppgifter om en enskilds personliga förhållanden. Den har ett rakt skaderekvisit: sekretess gäller om det kan antas att den enskilde eller en närstående lider men om uppgiften röjs. Begär medlemmen ut sitt eget ärende gäller sekretessen till skydd för medlemmen som huvudregel inte mot hen (12 kap. 1 §). Uppgifter om andra personer i ärendet ska fortfarande prövas.

Checklista: från begäran till utlämnad fil

1. Registrera begäran. Fråga bara om identitet eller syfte om det behövs för att pröva utlämnandet (TF 2 kap. 18 §). Ge besked normalt samma dag.
2. Läs hela handlingen. En sekretessmarkering är en anteckning, inte ett beslut.
3. Pröva varje uppgift mot en bestämmelse i OSL och skriv ner paragrafen.
4. Lämna ut det som är klart medan du prövar resten.
5. Maska en kopia. Ta bort texten ur filen och ersätt den med en synlig markering.
6. Kontrollera utfilen: sök, kopiera text, se över metadata och bilder.
7. Informera sökanden om myndighetens prövning och om skriftligt beslut.
8. Dokumentera vad som lämnades ut, vad som maskades och med stöd av vilken paragraf.

Hur kan ett maskeringsprogram hjälpa till?

Privera är ett Windowsprogram från Itha AB som föreslår vad som ska maskas i PDF och Word-filer (DOCX), till exempel namn och personnummer. Dokumenten bearbetas lokalt på din dator och skickas inte till Itha AB eller någon underleverantör. Internet behövs för språkmodellen, licensen och uppdateringar, men dokumenten skickas inte med.

Text du maskar tas bort ur den exporterade filen, och i bilder och skannade sidor skrivs de maskerade pixlarna om. Originalet finns kvar hos dig. Exporten kontrolleras och stoppas om en kontroll underkänns. Kontrollerna granskar de maskeringar du har valt och bevisar inte att allt känsligt har hittats. OCR och språkmodellen kan missa uppgifter, så granska förslagen och kontrollera den sparade filen.

Vissa fynd är dolda som förval, till exempel myndigheter, domstolar, kommuner och regioner, ensamma ortnamn och avsändarens egna kontaktuppgifter i brevhuvudet. Panelen visar hur många som är dolda per kategori, och du kan ta fram dem. Programmet ersätter inte sekretessprövningen enligt OSL. Läs mer under Säkerhet och Pris och köp.