Maska personuppgifter i Word: här ligger de kvar

För att maska personuppgifter i Word ska du radera uppgiften i en kopia av filen. Svart markeringsfärg, en ruta ovanpå eller vit text räcker inte, och uppgifter ligger ofta kvar där du inte ser dem: i spårade ändringar, kommentarer, sidhuvud, fotnoter, bilder och dokumentegenskaper. Gå igenom alla de ställena och kontrollera den färdiga filen innan du lämnar ut den.

Guiden handlar om uppgifter om andra personer i en handling som ska lämnas ut eller skickas, till exempel en tjänsteskrivelse eller ett protokoll.

Anonymisera, maska eller pseudonymisera – vad är skillnaden?

• Maska (eller maskera) betyder att ta bort identifierare. eSam skriver att maskning "bygger på att ta bort alla uppenbart personliga identifierare" och att metoden ofta behöver kombineras med andra (eSam, ES2022-01).
• Pseudonymisera betyder att ersätta uppgiften, till exempel med "Person A". IMY skriver: "Pseudonymisering är inte en metod för anonymisering utan en säkerhetsåtgärd." Pseudonymiserade uppgifter räknas fortfarande som personuppgifter (IMY). Samma sak följer av dataskyddsförordningen, skäl 26.
• Anonymisera kräver enligt eSam att åtgärden är oåterkallelig och att personen inte går att identifiera.

eSam skriver att kopplingen ofta går att återskapa "så länge datat som innehåller grundidentiteter finns kvar". Originalet finns kvar hos dig. Därför är "anonymisera" ofta fel ord för det du gör med en Word-fil. Ordet avidentifiering används ibland för båda och ibland bara för anonymisering. eSam undviker därför ordet, eftersom det kan leda till missförstånd (ES2022-01, avsnitt 2.1.4).

Varför räcker inte svart markeringsfärg eller vit text i Word?

Svart markeringsfärg, en svart ruta och vit teckenfärg ändrar bara hur texten ser ut. Texten finns kvar och går att kopiera och söka fram.

NSA:s vägledning är tydlig: att förminska en bild, täcka ett avsnitt med en svart ruta eller göra teckenfärgen osynlig fungerar inte. "The item must be deleted." (NSA, rapport I333-015R-2005). Rapporten är från 2005 och skrevs för dåtidens Word-versioner, men principen är generell.

Lita inte på att Words egen kontroll hittar den sortens döljande. Microsoft skriver att Dokumentkontroll inte kan identifiera text som dolts med andra metoder, "t.ex. vit text mot en vit bakgrund", och inte heller objekt som täcks av andra objekt (Microsoft Support).

Var ligger personuppgifterna kvar i en Word-fil?

Brittiska riksarkivet varnar för att filer från kontorsprogram kan innehålla ändringshistorik, granskningsspår och inbäddad metadata som gör att raderad information går att återskapa (The National Archives, Redaction toolkit).

Tabellen bygger på vad Dokumentkontroll letar efter (Microsoft Support) och NSA:s påminnelse om fotnoter och bildtexter (NSA). Textrutor, skärmdumpar och inbäddade objekt har vi lagt till själva.

Räcker det att ta bort namnet?

Nej. Det avgörande är om uppgiften, "enskilt eller i kombination med andra uppgifter", kan knytas till en levande person (IMY, Personuppgifter). eSam ger telefonnummer, registreringsnummer på fordon, diarienummer och IP-adress som exempel på indirekta personuppgifter (eSam, ES2022-01, s. 6).

Titta därför också efter:

• telefonnummer, e-postadresser och adresser
• registreringsnummer på fordon och diarienummer
• roller som bara en person har, till exempel "skolans kurator"
• ovanliga händelser, datum och orter som tillsammans pekar ut någon

Bilder på personer kan vara personuppgifter även om inga namn nämns, enligt samma sida hos IMY.

Vad som faktiskt ska maskas i en allmän handling avgörs av sekretessprövningen i det enskilda fallet. Det som inte omfattas av sekretess ska lämnas ut, även om det är personuppgifter (2 kap. 15 § tryckfrihetsförordningen). Dataskyddsförordningen ska inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen (1 kap. 7 § dataskyddslagen, 2018:218).

Hos a-kassorna gäller reglerna om allmänna handlingar när kassan prövar ärenden enligt lagen (2024:506) om arbetslöshetsförsäkring eller ärenden om medlemsavgift för arbetslös medlem. I den verksamheten jämställs a-kassan med en myndighet (2 kap. 4 § offentlighets- och sekretesslagen och bilagan).

Så maskar du en Word-fil steg för steg

1. Arbeta i en kopia. Välj Arkiv > Spara som och ge kopian ett namn som inte i sig avslöjar något. Maska aldrig originalet. Både NSA och brittiska riksarkivet ger det rådet.
2. Stäng av Spåra ändringar. Godkänn eller avvisa varje spårad ändring så att inga ligger kvar. Ta bort alla kommentarer.
3. Radera uppgiften och ersätt den. Skriv en markör, till exempel [personuppgift borttagen], eller en etikett som Person A. Brittiska riksarkivet rekommenderar en markör som [redacted], så att det syns att något har tagits bort men utrymmet inte avslöjar vad (avsnitt 9.4).
4. Gå igenom allt utanför brödtexten: sidhuvud, sidfot, fotnoter, slutnoter, bildtexter och textrutor.
5. Gå igenom varje bild. Ta bort bilder med personuppgifter, eller redigera en kopia av bilden i ett bildprogram så att pixlarna skrivs över, och klistra in den nya. Beskurna delar av en bild finns kvar i filen (Microsoft Support, Beskär en bild). Ta bort dem: välj bilden, välj Bildformat > Komprimera bilder och markera Ta bort beskurna områden i bilder. Ska alla bilder i filen rensas avmarkerar du Använd endast på den här bilden.
6. Kör Dokumentkontroll. Välj Arkiv > Info > Felsök > Kontrollera dokument. Ta bort dokumentegenskaper, dold text och anpassade XML-data. Kontrollen för sidhuvud, sidfot och vattenstämplar tar bort allt innehåll där, så välj den bara om det är vad du vill. Microsoft varnar för att borttagningen inte alltid går att ångra, så kör kontrollen på kopian.

När passar etiketter som "Person A" bättre än svarta rutor?

Etiketter gör texten lättare att läsa. De passar när ett ärende ska delas eller användas i utbildning och läsaren behöver förstå vem som gjorde vad.

Tänk på tre saker:

• Samma person ska få samma etikett genom hela texten, också i sidhuvud, fotnoter och bildtexter.
• Etiketten ska inte avslöja något, till exempel genom initialer.
• Texten blir pseudonymiserad, inte anonym. Det är fortfarande personuppgifter, eftersom originalet finns kvar hos dig och kopplar tillbaka.

Ska jag lämna ut Word-filen eller en PDF?

Att spara som PDF rensar inte allt. Word kan ta med dokumentegenskaper och spårade ändringar i PDF:en. Välj Spara som eller Spara en kopia och filtypen PDF. I PDF-alternativen väljer du Dokument, inte Dokument som visar markeringar, och avmarkerar Dokumentegenskaper (Microsoft Support, Spara som PDF).

Enligt NSA kopieras bilder som ligger ovanpå text i Word oförändrade till PDF:en med samma layout (NSA). Rapporten gällde Adobes verktyg 2005, men rådet står sig: radera allt i Word innan du konverterar.

En myndighet är inte skyldig att lämna ut en elektronisk handling i annan form än utskrift, i större utsträckning än vad som följer av lag (2 kap. 16 § tryckfrihetsförordningen). Formatet är alltså ett val. Väljer du PDF, kontrollera den på samma sätt: sök efter värdena, kopiera ut texten och granska egenskaperna.

Hur kontrollerar jag Word-filen innan den lämnas ut?

1. Sök efter varje värde du har maskat: namn, personnummer, telefonnummer. Sök också på delar, till exempel bara efternamnet.
2. Visa allt som är dolt. Klicka på Visa/dölj ¶ på fliken Start, så visas även text som formaterats som dold. Välj också att visa alla markeringar på fliken Granska, så att ändringar och kommentarer syns.
3. Granska egenskaperna under Arkiv > Info: författare och vem som senast sparade.
4. Öppna texten i ett annat program. Klistra till exempel in all text i Anteckningar. Vit text och text som ligger under en bild syns då. Men bara brödtexten följer med, så kontrollera sidhuvud, sidfot, fotnoter, kommentarer, textrutor och bilder var för sig (NSA).
5. Kontrollera varje bild i full storlek, också bilder som har beskurits.

Låt gärna en kollega göra kontrollen.

Hur hanterar Privera Word-filer?

Privera är ett Windowsprogram som föreslår personuppgifter att maskera i PDF- och Word-filer. Dokumenten bearbetas på din dator och skickas inte till Itha AB. Word-filen visas med rubriker, tabeller och sidhuvud, men sidbrytningar kan skilja sig från Word. Text i stödda bilder läses med OCR. Vid export kontrolleras XML-texten och de maskerade bildpixlarna, och dokument- och bildmetadata rensas. Inbäddade dokument och bildformat som inte kan kontrolleras stoppar exporten. Då kan du konvertera en kopia till PDF och analysera den igen. PowerPoint och Excel stöds inte.

Läget som i appen heter Avidentifiera ersätter uppgifterna med läsbara etiketter, till exempel Person A. Namnformer som programmet känner igen som samma person får samma etikett. Är programmet osäkert får de olika etiketter, som du kan slå ihop när du granskar. Trots lägets namn blir texten pseudonymiserad, inte anonym. Kontrollerna bevisar inte att allt har hittats, så granska förslagen och kontrollera utfilen. Läs mer under Säkerhet och Pris och köp.