Ett registerutdrag ska innehålla alla personuppgifter som rör den person som söker ett registerutdrag, varifrån dessa uppgifter kommer, vad som är ändamålet med behandlingen, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut och om möjligt under vilken period uppgifterna kommer att lagras (artikel 15).
Jag har ägnat en del tid åt att kontakta organisationer i syfte att ta reda på hur registerutdragen kommer att hanteras efter den 25 maj – och resultatet är, tycker jag, väldigt intressant. Till att börja med kan sägas att de flesta jag varit i kontakt med tycker att deras egen tolkning är ganska självklar och man har generellt ägnat ganska lite tid till omvärldsbevakning och att fundera över vad artikel 15 egentligen säger. Man kan i huvudsak säga att det finns två tolkningar:
- VI LÄMNAR UT ALLT
Kategori 1 har tolkat artikel 15 som att allt rörande en person ska lämnas ut. Här ingår alltså inte bara personuppgifterna i de register som organisationen hanterar, utan även de handlingar i vilka personuppgifter förekommer. För exempelvis en myndighet, eller annan offentligt organisation, kan detta innebära väldigt mycket uppgifter. En person kan förekomma i ärenden med en stor mängd olika handlingar, handlingar som förutom de egna personuppgifterna kanske också innehåller uppgifter om andra personer som ingår i ärendet. Vad gör man då med de personuppgifterna? Här finns flera olika tillvägagångssätt – somliga tänker sig att uppgifter rörande andra personer ska raderas, medan andra har en annan tolkning och har för avsikt att lämna ut handlingarna i sin helhet (om de inte omfattas av annan sekretess). I det senare fallet rör det sig uteslutande om offentliga organ som är vana vid att hantera utlämnande av allmän handling. Organisationer inom kategori 1 väntar på en anstormning av utlämnanden, och diskuterar i termerna att de kommer behöva lämna ut hundratals papper vid varje begäran. - VI LÄMNAR BARA UT REGISTERUPPGIFTER
Kategori 2 har tolkat samma artikel som att det enda som behöver lämnas ut är de register, i vilka personuppgifter förekommer. Detta skulle exempelvis kunna innebära att man tillhandahåller diarieuppgifter, men att man inte tillhandahåller tillhörande handlingar. Om en person sedan önskar ta del även av handlingarna får denna återkomma med ytterligare en begäran (som hos offentliga organisationer då oftast tolkas som en begäran om allmän handling, vilket även genererar möjligheten att ta betalt för de kopior som lämnas ut).
Sen finns ytterligare frågetecken som är oberoende av ovanstående tolkningar. Några organisationer har fäst stor vikt vid hanteringen av ostrukturerad data och har satt begränsningar kring hur e-post och gemensamma filytor får användas i syfte att få kontroll över hur personuppgifter hanteras. Andra har valt att till en början fokusera på den strukturerade datan. Någon organisation har funderat över om uppgifter som loggas vid olika typer av åtkomst utgör registeruppgift och därför ska lämnas ut? Och hur ska man se på backuper? Kan en uppgift anses som raderad när den tagits bort i ett verksamhetssystem, även om den fortfarande finns kvar i en backup – kanske i flera år? Och hur söker vi i så fall reda på uppgiften när någon begär ut ett registerutdrag?
Hur ser din organisation på registerutdrag? Vilka utmaningar har ni råkat på?
