Hvad er følsom personoplysning?

Hvad er følsomme personoplysninger i GDPR?

Forstå de vigtige regler og grundlæggende principper for hvad er følsomme personoplysninger for at undgå misforståelser og sikre korrekt datahåndtering. Sæt dig ind i de specifikke kategorier, så du beskytter fortrolige oplysninger optimalt.

Hvad er følsomme personoplysninger?

Følsomme personoplysninger, også kaldet særlige kategorier af personoplysninger, omfatter data om race, etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, samt fagforeningsmæssigt tilhørsforhold. Det inkluderer også behandling af genetiske og biometriske data med det formål entydigt at identificere en person.

Men der er én afgørende fejl, som koster danske virksomheder dyrt under GDPR - og jeg vil afsløre den i afsnittet om helbredsoplysninger nedenfor.

Lovgivningen eksisterer for at beskytte vores mest private informationer mod misbrug. Mange mindre virksomheder har svært ved at klassificere disse data korrekt, hvilket ofte fører til utilsigtede datalæk.^[1] Det lyder måske overvældende. Det er det også. Men når man først forstår de grundlæggende kategorier, bliver det meget nemmere at navigere i reglerne.

Forskellen på almindelige og særlige kategorier af personoplysninger

Mange forveksler almindelige oplysninger med hvad er følsomme oplysninger gdpr. Et navn, en adresse eller en e-mailadresse er personoplysninger, men de falder ikke ind under den strenge kategori af følsomme data. Selv et CPR-nummer er i lovens forstand ikke en følsom personoplysning, selvom det er fortroligt.

Jeg begik selv denne fejl, da jeg hjalp med at starte en webshop for syv år siden. Jeg troede, at alle data bag et login var ekstremt følsomme. Resultatet? Jeg spildte tre måneder og titusindvis af kroner på et overkompliceret sikkerhedssystem for almindelige leveringsadresser. I virkeligheden er reglerne meget mere specifikke. Man skal beskytte alt, men man skal beskytte følsomme data dobbelt så godt.

Det er simpelt. Navn er almindeligt. Helbred er følsomt. Sådan er det.

Eksempler på følsomme personoplysninger i praksis

Lad os se på, hvordan disse regler udspiller sig i virkeligheden. De fleste virksomheder behandler følsomme data uden overhovedet at tænke over det.

Helbredsoplysninger og den skjulte fælde

Her er den afgørende fejl, jeg nævnte tidligere: Allergier og kosthensyn. Mange HR-afdelinger spørger rutinemæssigt nye medarbejdere, om de har allergier i forbindelse med bestilling af firmafrokost. Hvis du gemmer denne information systematisk i en database, behandler du pludselig helbredsoplysninger. Det er strengt forbudt uden udtrykkeligt, frivilligt samtykke. Løsningen er ofte at lade cateringfirmaet håndtere det anonymt.

Biometriske data personoplysninger

Biometri bruges overalt i dag. Brugen af biometriske data personoplysninger til adgangskontrol på danske arbejdspladser er steget betydeligt de seneste fem år.^[2] Men - og det kommer bag på mange - et almindeligt portrætfoto er ikke biometri. Det bliver først biometrisk, når billedet bruges i et ansigtsgenkendelsessystem, der kortlægger ansigtstræk matematisk for at identificere personen automatisk.

Sammenligning: Almindelige vs. Følsomme Data

Almindelige personoplysninger

• Skatteoplysninger, gæld, stillingsbetegnelse, ansøgninger

• Navn, adresse, e-mail, telefonnummer

• Kan ofte behandles ud fra legitim interesse eller opfyldelse af en kontrakt

• Standard sikkerhedsforanstaltninger som kryptering og adgangskontrol

Særlige kategorier (Følsomme)

• Fagforeningsmæssigt tilhørsforhold

• Biometriske data, genetiske data, race eller etnisk oprindelse

• Kræver som udgangspunkt udtrykkeligt samtykke fra den registrerede

• Skærpede sikkerhedskrav, ofte krav om konsekvensanalyse (DPIA) ved store mængder

HR-chefens biometriske mareridt

Mette, HR-chef i en mellemstor IT-virksomhed i Aarhus, ville implementere et nyt tidsregistreringssystem med fingeraftryk for at undgå mistede adgangskort. Medarbejderne var skeptiske, men ledelsen pressede på for at få det indført hurtigt.

Hendes første forsøg slog fejl. Hun rullede systemet ud med en simpel informationsmail, da hun troede, at det faldt under virksomhedens legitime interesse. To uger senere modtog hun en formel klage fra tillidsrepræsentanten, og Datatilsynet varslede et kontrolbesøg.

Efter tre dages panik og intensiv læsning af GDPR-reglerne indså hun fejlen. Fingeraftryk er biometriske data. Det kræver frivilligt, specifikt samtykke, og vigtigst af alt: et fuldt funktionelt alternativ til dem, der siger nej.

Hun implementerede straks en alternativ pinkode-løsning ved siden af scanneren. Inden for to uger gav 85% af de ansatte frivilligt samtykke til fingeraftryksløsningen, og virksomheden undgik en potentiel bøde. Hun lærte på den hårde måde, at genveje i databeskyttelse aldrig betaler sig.