När läsrätt blir hämtning

En handläggare frågar efter mönster i liknande ärenden och får tre stycken ur utredningar hon inte arbetar med, om namngivna personer. Hon hade kunnat öppna mapparna. Hon hade inte gjort det.

En läsrätt sattes för den som öppnar det hon känner till: en mapp, en post, ett ärende hon redan står i. En sökande lösning vänder på det. Hon ställer en fråga på vanlig svenska, och systemet hämtar ur allt hon får läsa det som passar frågan.

Hon behöver inte veta att posten finns. Hon behöver inte veta var den ligger. Läsrätten skyddade genom att tillgång krävde att någon visste var hon skulle klicka. Nu är den en hämtningsrätt över hela det hon har åtkomst till.

Det gäller också när behörighetsmodellen är ren och när anropet bär hennes egen identitet. Filtret kan vara rätt. Ytan det skyddar har ändå ändrat karaktär.

Hotet ni är vana vid är den som bryter sig in. Här behöver hon inte det. Hon är redan inne, med en rätt ni gett henne för ett annat slags arbete. Och en läsrätt över en samling ärenden är inte samma sak som rätt till varje uppgift i dem. Sekretessen prövas per uppgift. Frågan gör prövningen i efterhand, på det som redan hämtats.

Så här går det fel

Sökningen öppnas mot de gemensamma utredningsmapparna, med inloggning och med den läsrätt som redan fanns.

Ingen larmade, eftersom kontrollen såg en behörig läsare. Det som anmäls är att verktyget läckte. Det som brast är att läsrätten behandlades som om den redan var en rätt att hämta, och att spåret bara noterade att ett svar lämnades och inte vad som hämtades.

Vad det innebär juridiskt

Sekretess gäller uppgiften, inte mappen. Att någon har åtkomst till en yta där uppgiften ligger ger henne inte rätt till den, och ett röjande har skett när uppgiften visats för den som saknar rätt till den, också när hon själv frågade fram den. Rör uppgifterna hälsa, socialtjänst eller skyddade personuppgifter kan händelsen vara en personuppgiftsincident. Att behörighetskontrollen släppte igenom henne som läsare ändrar inte prövningen. Ni behöver kunna visa vad som hämtades, inte bara att hon fick fråga.

Det här måste någon bestämma

Att en källa som görs sökbar bedöms som en hämtningsyta och inte som en hylla, innan den kopplas in.

Gå igenom vad en person med den bredaste läsrätten i källan kan få fram genom att fråga, och skriv ner om det är acceptabelt. Där svaret är nej hålls källan utanför tills läsrätten är smalare, eller tills hämtningen kräver att hon redan står i just det ärendet.

Och att spåret bär frågan och det hämtade underlaget, inte bara att ett svar lämnades. Utan det går en händelse inte att avgränsa.