Hvilke personoplysninger er følsomme?

Hvilke personoplysninger er følsomme: Når fakta mangler

At vide præcist hvilke personoplysninger er følsomme beskytter mod alvorlige juridiske konsekvenser og store økonomiske tab. Fejlagtig håndtering af data resulterer i brud på privatlivets fred og skader virksomhedens omdømme. Læs videre for at forstå vigtigheden af korrekt databehandling og undgå unødvendige sanktioner i praksis.

Hvilke personoplysninger er følsomme ifølge GDPR?

Følsomme personoplysninger er en udtømmende liste af særlige kategorier defineret i Datatilsynets regler og GDPR. Disse omfatter race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, samt genetiske data og biometriske data (når de behandles for at identificere en person). Helbredsoplysninger og oplysninger om seksuelle forhold eller seksuel orientering hører også til her.

Det lyder måske som en simpel liste. Det er det bare ikke. Mange virksomheder og foreninger kæmper dagligt med usikkerhed om, hvilke regler der gælder ifølge Datatilsynet, specielt når det kommer til gråzoner. Jeg har selv siddet over for et Excel-ark fyldt med medarbejdernotater, med pulsen oppe og ondt i maven, da jeg pludselig indså, at vi behandlede ulovlige helbredsoplysninger. Det kostede tre dages oprydning at få styr på. Lad os være ærlige - de fleste af os har nok begået den type fejl på et tidspunkt.

Men der er en meget specifik faldgrube, som mange mindre organisationer fuldstændig overser - jeg vil forklare præcis, hvad det er i afsnittet om daglig drift længere nede.

Oversigt over følsomme oplysninger ifølge lovgivningen

For at forstå rammerne for databeskyttelsesforordningen, skal vi se på de præcise definitioner. Hvis en oplysning falder uden for disse specifikke kategorier, er det en almindelig oplysning - uanset hvor privat den ellers måtte føles. Et bankkontonummer er for eksempel utroligt privat, men det er ikke klassificeret som en følsom personoplysning.

Forvirring om forskellen på almindelige og følsomme personoplysninger

Mange lever i konstant frygt for at overtræde databeskyttelsesforordningen ved behandling af data. Forskellen er nemlig ikke altid logisk for en lægmand. Almindelige personoplysninger er typisk navn, adresse, e-mail, økonomi og skatteforhold. De følsomme data er dem, der potentielt kan bruges til at diskriminere en person.

En undersøgelse viser, at mange IT-ansvarlige i mindre virksomheder har svært ved at foretage denne klassificering korrekt i deres daglige arbejde. Mange tror for eksempel, at et CPR-nummer hører til de særlige kategorier af personoplysninger. Men nej. I Danmark udgør CPR-nummeret en såkaldt fortrolig oplysning, som kræver ekstra sikkerhed, men det er ikke en følsom oplysning ifølge EUs definitioner.

Manglende overblik over hvad der tæller som helbreds- og biometriske data

Helbredsoplysninger er ikke kun lægejournaler eller diagnoser. En registrering af, at en medarbejder er sygemeldt på grund af stress, eller at en kunde har brug for en kørestolsrampe, er også helbredsoplysninger. Biometriske data dækker over fingeraftryk eller ansigtsgenkendelse - men kun når de bruges til at identificere dig. Hvis du bare har et billede af en ansat på en hjemmeside, er det almindelige data. Bruger du samme billede i et ansigtsgenkendelsessystem ved indgangen? Så er det biometriske og dermed følsomme personoplysninger gdpr-mæssigt.

Konkrete eksempler på håndtering i virksomheder

Her er den faldgrube, jeg nævnte tidligere: ustrukturerede fritekstfelter i jeres CRM-system. Virksomheder implementerer ofte sikre systemer, men lader et kommentarfelt stå åbent. Her skriver sælgeren måske: Kunden aflyste mødet på grund af en svær depression. Boom. Pludselig behandler virksomheden ulovlige helbredsoplysninger uden at vide det. Ved at konvertere fritekstfelter til foruddefinerede rullemenuer reducerer virksomheder typisk denne type GDPR-fejl betydeligt. ^[3]

Tjekliste til compliance for mindre foreninger

Små foreninger har sjældent en juridisk afdeling. Så hvor starter man? Først og fremmest skal I identificere jeres data. Spørg jer selv, om I overhovedet har brug for at kende medlemmernes religion eller fagforening. I 99 procent af tilfældene er svaret nej. Slet det. Hvis I indsamler helbredsdata (for eksempel allergi før en foreningsmiddag), skal I indhente et udtrykkeligt samtykke først, og slette informationen, så snart arrangementet er slut.

Sammenligning af Datakategorier

For at lette forståelsen af Datatilsynets regler, kan vi inddele data i tre primære niveauer baseret på kravene til behandling.

Almindelige personoplysninger

Navn, adresse, e-mail, kundenummer, købshistorik

Identificerbar information uden risiko for alvorlig diskrimination

Kræver saglig grund, f.eks. opfyldelse af en kontrakt eller legitim interesse

Fortrolige oplysninger

CPR-nummer, straffeattest, oplysninger om indkomst

National særregel i Danmark, som kræver skærpet sikkerhed

Kræver specifik lovhjemmel eller udtrykkeligt samtykke

Følsomme personoplysninger (Særlige kategorier)

Helbred, religion, biometri, race, seksualitet, fagforening

EU-defineret udtømmende liste af meget beskyttelsesværdige data

Udgangspunktet er et forbud mod behandling, undtagen ved udtrykkeligt samtykke

Sikkerhed i den lokale idrætsforening i Aarhus

Jens, en frivillig formand på 42 år for en mellemstor idrætsforening i Aarhus, stod over for en stor GDPR-udfordring. Han var rædselsslagen for at overtræde reglerne efter at have læst om store bøder og overvejede at slette alt medlemsdata.

I starten forsøgte han at gemme alle fysiske medlemslister med helbredsnoter om børnenes astma i et aflåst skab på kontoret. Det fejlede katastrofalt. Under en turnering i weekenden fik et barn et anfald, og trænerne kunne ikke få adgang til akutnotaterne, fordi Jens havde nøglen derhjemme.

Han indså, at sikkerhed ikke betød utilgængelighed. Vendepunktet kom, da han oprettede et krypteret digitalt system, hvor han adskilte de almindelige kontaktoplysninger fra helbredsoplysningerne. Trænerne fik kun midlertidig læseadgang til astma-noterne under selve træningen, efter forældrene havde givet udtrykkeligt samtykke via en sikker formular.

Efter to måneder kørte systemet gnidningsfrit. Foreningen fik reduceret deres ukontrollerede datamængde på papir med 100 procent. Jens kunne sove roligt om natten, velvidende at børnenes sikkerhed var i top, og at Datatilsynet ville godkende deres procedure.