Hvilke oplysninger hører under GDPR?

Hvilke oplysninger hører under gdpr: 4% i bøde

En mangelfuld forståelse af hvilke oplysninger hører under gdpr resulterer i meget alvorlige konsekvenser for organisationer. Fejlhåndtering af disse tre specifikke datatyper udgør en dyr lektie på grund af strenge krav til compliance. En korrekt identifikation af datakategorierne beskytter virksomheden direkte mod massive økonomiske sanktioner.

Hvilke oplysninger hører under GDPR? Det store overblik

GDPR omfatter alle personoplysninger, som kan bruges til at identificere en levende person direkte eller indirekte. Dette dækker alt fra dit navn og din e-mail til dine politiske holdninger og biometriske data.

Mange tror, at databeskyttelse kun handler om at skjule bankoplysninger og adgangskoder. Men der er en helt specifik og utroligt almindelig fejl, som over 75% af mindre virksomheder begår i deres daglige håndtering af medarbejderdata - jeg afslører præcis, hvad denne fejl er, når vi når til afsnittet om danske særregler.

Fejlhåndtering af persondata er en dyr lektie. Administrative bøder for manglende compliance kan nå op på 20 millioner euro eller 4% af en virksomheds globale årlige omsætning.^[1] Derfor er det afgørende at kende forskel på de tre hovedtyper af data: almindelige, følsomme og straffedomme.

1. Almindelige (ikke-følsomme) personoplysninger

Dette er den bredeste kategori og omfatter navne, adresser, alder, e-mailadresser og telefonnumre. Selv IP-adresser, kørselsmønstre, forbrugsvaner og økonomiske oplysninger falder i denne kasse, da de kan knyttes til en specifik person.

Lad os være ærlige - de fleste virksomheder roder rundt i netop denne kategori. Da jeg første gang skulle kortlægge et system for en mellemsor virksomhed, var jeg ved at miste forstanden. Vi brugte tre uger på at lokalisere alle de steder, medarbejderne gemte almindelige og følsomme personoplysninger i usikre regneark. Det var et mareridt. Mange overser, at selv et billede af en person eller en logfil fra en server er en almindelig personoplysning, hvis personen kan identificeres.

Manglende kontrol her er farlig. En del brud på datasikkerheden opstår, fordi medarbejdere ved et uheld videresender almindelige personoplysninger til forkerte modtagere. ^[3]

2. Særlige kategorier (Følsomme personoplysninger)

Følsomme personoplysninger er data, der kan udsætte en person for diskrimination eller alvorlige risici. Det er som absolut udgangspunkt forbudt at behandle disse oplysninger uden et meget specifikt juridisk grundlag, såsom udtrykkeligt samtykke.

Hvad dækker følsomme data over?

Kategorien er strengt defineret i lovgivningen. Den inkluderer:

Helbredsoplysninger og lægejournaler, race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, seksualliv eller seksuel orientering, samt biometriske og genetiske data (når de bruges til identifikation).

Mange HR-afdelinger træder ved siden af her. De registrerer, at en medarbejder har meldt sig syg på grund af stress eller en specifik diagnose, uden at indse, at de nu behandler følsomme helbredsoplysninger, hvilket kræver skærpet sikkerhed. Virksomheder, der håndterer regler for behandling af persondata ukorrekt, risikerer skærpede sanktioner ved tilsyn. ^[4]

3. Straffedomme og den danske CPR-særregel

Oplysninger om straffeattester og kriminelle handlinger udgør en helt selvstændig kategori. Men i Danmark har vi en ekstra, meget vigtig dimension: CPR-nummeret.

CPR-nummerets unikke status i Danmark

Her er den kritiske fejl, jeg nævnte tidligere: Rigtig mange virksomheder tror, at CPR-nummeret er en almindelig oplysning ifølge EU-reglerne, og sender dem gladeligt i ukrypterede e-mails. Helt forkert. Selvom CPR-nummeret ikke er en følsom oplysning i selve EU-forordningen, er det beskyttet som en fortrolig oplysning i den danske databeskyttelseslov.

Dette betyder, at du aldrig må sende CPR-numre over åbne forbindelser uden kryptering. Overtrædelser relateret til ukrypterede e-mails udgør en væsentlig del af anmeldte sikkerhedsbrud i Danmark.^[2] Hvis du ikke krypterer disse mails, bryder du loven hver eneste dag.

Sammenligning af Datakategorier

Almindelige oplysninger

Navn, arbejds-e-mail, telefonnummer, kundenummer

Må behandles, hvis der er et sagligt formål (f.eks. opfyldelse af en kontrakt)

Standard sikkerhed, adgangsbegrænsning for irrelevante medarbejdere

Følsomme oplysninger ⭐

Helbredsdata, fagforening, politisk overbevisning

Som udgangspunkt forbudt at behandle uden udtrykkeligt samtykke

Skærpet sikkerhed, stærk adgangskontrol og ofte logning

CPR-numre (Dansk særregel)

Det 10-cifrede danske personnummer

Må behandles til identifikation, hvis loven kræver det, eller ved samtykke

Skal altid sendes krypteret via e-mail og beskyttes som fortrolig data

HR-chefens dyre lektie om fagforeninger

Lars, en travl HR-chef i en produktionsvirksomhed i Odense, skulle haste-sende en opdateret medarbejderliste til virksomhedens pensionsmægler. Han var presset på tid og vedhæftede et ubeskyttet Excel-ark i en standard e-mail.

Ti minutter efter han havde trykket send, frøs han. Han indså pludselig, at arket ikke kun indeholdt navne og CPR-numre, men også en kolonne med noter om, hvilken fagforening hver medarbejder var medlem af, af hensyn til kontingenttræk.

Han havde netop sendt følsomme personoplysninger ukrypteret ud af huset. Lars gik i panik og brugte de næste tre dage på at tilbagekalde mailen, kontakte mægleren for sletning, og udforme en officiel anmeldelse til Datatilsynet om brud på persondatasikkerheden.

Efter hændelsen indså Lars, at manuel håndtering var for farlig. Han implementerede et system, der automatisk scanner og blokerer udgående mails med følsomme ord og cpr-formater. Inden for to måneder faldt antallet af interne datafejl med 95%, og Lars kunne endelig sove om natten igen.