Anonymisera personuppgifter i e-post
En e-posttråd är den svåraste texten en organisation äger: den är skriven av flera personer, den innehåller signaturer, citat av citat, och uppgifter ingen tänkte på som personuppgifter när de skrevs. Så här ser arbetet ut när det görs ordentligt.
Det är inte bara namnen
Direkta identifierare — namn, personnummer, e-postadresser, telefonnummer — är den lätta halvan. Den svåra halvan är kombinationen: en roll, en ort, ett datum och ett ärendeslag pekar tillsammans ut en person lika säkert som ett namn, utan att någon enskild uppgift gör det. Det är därför två frågor måste ställas om varje text, inte en. Finns det någon identifierare kvar? Och går det att ur sammanhanget förstå vem som avses?
Sök och ersätt räcker inte, och misslyckas tyst
Ett reguljärt uttryck hittar personnummer och e-postadresser. Det hittar inte 'handläggaren du pratade med i tisdags', 'chefen på enheten' eller ett namn som stavats fel. Värre: det ger ett kvitto på att något gjorts, vilket får texten att kännas kontrollerad. En metod som inte kan hitta det svåra ska inte heller få se ut som om den har letat.
Den som tar bort ska inte vara den som kontrollerar
Om samma steg både tar bort personuppgifter och intygar att de är borta finns ingen kontroll — bara ett påstående. Låt en annan modell, eller åtminstone en annan körning med ett annat syfte, läsa resultatet och svara på de två frågorna ovan. Det som inte klarar kontrollen ska hållas tillbaka automatiskt, inte flaggas för någon att titta på när de hinner.
En människa sist, alltid
Ingen automatik ska få publicera eller exportera text på egen hand. Den sista grinden är en person som läser och godkänner. Det är också där organisationen får sin faktiska kvalitetskontroll: den som godkänner ser om svaret blev begripligt, inte bara om det blev avidentifierat.
Radera originalet, och var ärliga om varför det går
Ett original som ligger kvar är den enda kopplingen tillbaka till personen. Radera det när anonymiseringen är klar. Det är säkert att göra just för att källmejlet finns kvar i e-postsystemet — verktyget håller en arbetskopia och ska aldrig bli arkivet. Uppmuntra aldrig någon att rensa inkorgen för att verktyget nu har texten.
Kort sagt
Anonymisering är en kedja, inte ett steg: ta bort, låt något annat kontrollera, håll tillbaka det som inte klarar sig, låt en människa godkänna, radera originalet. Varje led som saknas gör de andra svagare — och ingen av dem gör resultatet garanterat rent.