Er et navn persondata?

er et navn persondata? Ja, det er personoplysninger

Forståelsen af om er et navn persondata er afgørende for sikker håndtering af informationer, da overholdelse beskytter mod juridisk ansvar. Mange organisationer fejler ved ikke at klassificere navne som beskyttede data korrekt i deres systemer. Læs om de grundlæggende principper for at sikre fuld overensstemmelse med reglerne og undgå komplikationer.

Er et navn persondata? Her er det korte svar

Ja, et navn er altid defineret som en personoplysning under GDPR. Det skyldes, at et navn er en information, der direkte eller indirekte kan bruges til at identificere en bestemt fysisk person. Uanset om der er tale om et fornavn, efternavn eller et fuldt navn, betragtes det juridisk som en almindelig personoplysning, der skal håndteres efter databeskyttelsesreglerne.

I EU og Danmark betyder det, at de fleste af alle virksomheder og organisationer kommer i kontakt med persondata dagligt,^[1] blot ved at gemme kundelister eller modtage e-mails.

Da navnet er den mest direkte vej til identifikation, udløser det automatisk kravene i databeskyttelsesforordningen. Det handler ikke kun om det fulde navn - selv et kaldenavn kan være persondata, hvis det i den givne kontekst gør det muligt at udpege dig. Men der er en vigtig nuance, som mange overser, og den handler om, hvor unikt navnet er. Jeg forklarer denne udfordring med de meget almindelige navne længere nede under afsnittet om identifikationskraft.

Hvorfor kategoriseres navne som persondata under GDPR?

Kernen i GDPR (General Data Protection Regulation) er at beskytte den enkelte persons ret til privatliv. En personoplysning er defineret som enhver form for information, der relaterer sig til en identificeret eller identificerbar fysisk person. Da dit navn er din primære identitetsmarkør, falder det direkte ind under denne definition. Det er dog vigtigt at skelne mellem, at et navn er en almindelig oplysning og ikke en følsom oplysning som eksempelvis helbredsoplysninger eller politisk overbevisning.

Mange tror fejlagtigt, at persondata kun er noget, der findes i store databaser. Men i virkeligheden gemmer navne sig overalt. Undersøgelser af virksomhedsdata viser, at op mod 80% af ustruktureret data - det vil sige dokumenter, e-mails og billeder - indeholder navne eller andre personhenførbare informationer. Jeg husker tydeligt, da jeg første gang skulle rydde op i en gammel kundebase. Jeg troede, det var nok at slette CPR-numre, men indså hurtigt, at selve listen med navne og tilhørende købshistorik stadig udgjorde en massiv mængde persondata, som vi ikke bare måtte lade ligge på en ubeskyttet server.

Skelnen mellem almindelige og følsomme oplysninger

Det er afgørende at forstå hierarkiet i databeskyttelse. Navne placeres i kategorien for almindelige personoplysninger eksempler. Selvom de skal beskyttes, er kravene til behandling mindre strenge end ved følsomme oplysninger. Typiske eksempler på almindelige oplysninger inkluderer: Navne: Fornavne, efternavne og mellemnavne. Kontaktoplysninger: Adresse, privat telefonnummer og personlig e-mail. Identifikationsnumre: Kundenumre eller medlemsnumre. Online identifikatorer: IP-adresser eller cookies (hvis de kan kobles til en person).

Hvornår er et navn ikke nok til identifikation?

Dette er et af de mest debatterede emner inden for dataret: Er et navn persondata, hvis der findes 15.000 personer med det navn? Svaret er næsten altid ja. Selvom navnet alene er almindeligt, vil det i en specifik kontekst - f.eks. på en lønningsliste eller i en medlemsportal - hurtigt kunne kobles til andre data, der gør personen unik. Identifikationskraften stiger eksplosivt, så snart to uafhængige datapunkter kombineres.

I praksis ser vi, at risikoen for fejlidentifikation falder betydeligt, når blot et fødselsår eller en by tilføjes til et almindeligt efternavn.^[3]

Det betyder dog ikke, at man kan omgå GDPR ved at sige, at navnet er for almindeligt til at tælle. Lovgivningen er indrettet således, at hvis det er muligt for den dataansvarlige at finde frem til personen bag navnet ved at bruge rimelige hjælpemidler, så er der tale om persondata. Det tog mig lang tid - faktisk flere år med implementering af IT-systemer - at acceptere, at vi altid skal behandle navne med forsigtighed, uanset hvor generiske de virker ved første øjekast.

Hvad med navne i arbejdsmæssig sammenhæng?

Der hersker ofte forvirring om, hvorvidt medarbejderes navne på en virksomheds hjemmeside eller i en professionel e-mailsignatur er beskyttet. Svaret er et klart ja. Selvom du optræder i din egenskab af professionel, er dit navn stadig din personoplysning. Virksomheder skal derfor have et behandlingsgrundlag og kende til gdpr regler for navne for at vise dit navn offentligt - ofte er dette baseret på en interesseafvejning, hvor virksomhedens behov for at præsentere sine ansatte vejer tungere end den ansattes behov for anonymitet.

Interessant nok ser vi en tendens til, at virksomheder i stigende grad begrænser eksponeringen af navne i kundeservice-chats for at beskytte medarbejderne mod chikane. I nogle sektorer er eksponeringen af medarbejdernavne faldet betydeligt de seneste år til fordel for fornavne eller medarbejder-ID. D^[4] et er en hårfin balancegang mellem gennemsigtighed over for kunden og beskyttelse af den enkeltes data. Men her er den krølle, jeg nævnte i starten: Man skal passe på ikke at over-implementere.

Vent et øjeblik. Mange tror, at de skal have skriftligt samtykke fra alle kunder for blot at skrive deres navn på en faktura. Det er en myte. Lovgivningen tillader behandling af navne, hvis det er nødvendigt for at opfylde en kontrakt eller følge en retlig forpligtelse (som bogføringsloven). Man skal bare huske at slette oplysningerne igen, når de ikke længere er nødvendige.

Navne vs. Andre Identifikatorer under GDPR

Navn (Fornavn/Efternavn)

• Høj - den primære sociale identitetsmarkør

• Almindelig personoplysning

• Kræver retsgrundlag, men sjældent samtykke ved aftaler

CPR-nummer

• Absolut - entydig identifikation af alle borgere

• Oplysning af fortrolig karakter (særregler)

• Meget strenge krav til kryptering og adgangskontrol

Pseudonymiseret data

• Lav - kræver en 'nøgle' for at genkende personen

• Stadig betragtet som persondata

• Reduceret risiko, men stadig omfattet af GDPR

Lokalforeningens udfordring med medlemslisten

Mads, formand for en mellemstor idrætsforening i Aarhus, stod over for at skulle publicere en liste over klubmestre på foreningens hjemmeside. Han antog, at navne på vindere var offentlig information og lagde hele listen ud uden videre overvejelser.

Kort efter modtog han en klage fra et medlem, der ikke ønskede sit navn søgbart på Google af personlige årsager. Mads forsøgte at argumentere for, at 'navne er jo bare navne', men indså hurtigt, at han manglede juridisk rygdækning.

Han indså, at foreningen ikke havde indhentet samtykke til offentliggørelse af navne på nettet. Han fjernede straks listen og erstattede den med en tekst, hvor medlemmer selv kunne vælge at blive nævnt.

Efter denne rettelse faldt antallet af klager til nul. Foreningen implementerede en ny politik, hvor 100% af alle medlemmer nu aktivt tager stilling til navneeksponering ved indmeldelse, hvilket har styrket tilliden i klubben markant.