Er et kontonummer en personopplysning?

Er et kontonummer en personopplysning? Svaret er ja

Mange lurer på om er et kontonummer en personopplysning og hvilke regler som gjelder for deling. Feilaktig håndtering medfører risiko for sanksjoner og brudd på personvernet. Forståelse av regelverket beskytter sensitive data og sikrer lovmessig lagring. Lær de juridiske kravene for å unngå økonomiske og administrative konsekvenser.

Er et kontonummer en personopplysning?

Ja, et kontonummer er en personopplysning, da det kan brukes til å identifisere en person. Det regnes imidlertid juridisk som en alminnelig personopplysning og ikke som en særlig kategori (sensitiv informasjon), men oppbevaringen må likevel skje på en sikker måte for å beskytte folks privatliv.

Mange lurer på om bankdetaljer faller inn under personvernet. Spørsmålet oppstår ofte i forbindelse med regnskapsføring, netthandel eller når man deler betalingsinformasjon med bedrifter. Hvordan lovverket klassifiserer dette, har mye å si for hvordan virksomheter må behandle opplysningene.

Hva som definerer en personopplysning i personvernforordningen

I henhold til personvernforordningen defineres en personopplysning som enhver opplysning om en identifisert eller identifiserbar fysisk person. Et kontonummer knytter seg som regel til en bestemt konto eiet av en enkeltperson, enten direkte eller gjennom IBAN og andre bankidentifikatorer.

Direkte og indirekte identifisering

Selv om et rent kontonummer i et isolert regneark kan virke anonymt for utenforstående, vil det i de fleste praktiske sammenhenger kunne knyttes til en fysisk person ved hjelp av enkle tilleggsopplysninger, som navnet på kontoinnehaveren eller transaksjonshistorikk. Det gjør det til en identifiserbar opplysning.

Når en bedrift lagrer slike opplysninger, har de et ansvar for å sikre at informasjonen ikke kommer på avveie. Personvernforordningen stiller strengt krav til at all behandling av økonomiske data skjer med et eksplisitt formål og med tilstrekkelig teknisk sikkerhet.

Er et bankkontonummer en særskilt kategori av opplysninger?

Det er en vanlig misforståelse at alle personopplysninger som kan oppleves som følsomme eller private, automatisk regnes som særlige kategorier av personopplysninger (tidligere kalt sensitive personopplysninger). Særlige kategorier omfatter helseopplysninger, politisk oppfatning, religion og biometriske data.

Forskjellen på alminnelige og sensitive opplysninger

Et kontonummer regnes som en alminnelig personopplysning, ikke en særlig kategori. Det betyr likevel ikke at det er fritt frem for hvem som helst å samle det inn. Terskelen for å samle inn alminnelige personopplysninger er lavere enn for sensitive, men reglene om sikkerhet, lagringstid og behandlingsgrunnlag gjelder fullt ut.

Misbruk av bankdetaljer kan føre til økonomisk tap eller ID-tyveri. Derfor behandler Datatilsynet og finansinstitusjoner slike data med stor forsiktighet, selv om den juridiske definisjonen plasserer dem under de alminnelige kategoriene.

Lovlig lagring og behandling av kontonummer i bedrifter

Bedrifter som mottar og lagrer kontonumre fra kunder eller ansatte, må ha et gyldig behandlingsgrunnlag. Dette kan for eksempel være oppfyllelse av en avtale, slik som utbetaling av lønn eller refusjon av utlegg, eller lovpålagte krav knyttet til bokføring.

Krav til sletting og sikkerhet

Bokføringsloven krever at visse regnskapsbilag som inneholder transaksjonsdetaljer og kontonumre, lagres i fem år. Når denne lagringsfristen utløper, plikter virksomheten å slette eller anonymisere opplysningene på en sikker måte.

Lagring i åpne e-poster eller usikrede regneark er en hyggelig felle for mange små bedrifter. For å unngå brudd på personvernreglene bør systemene som håndterer slike data være sikret med adgangskontroll og kryptering.

Sammenligning av opplysningsklasser i personvernet

Alminnelige personopplysninger

• Krever et gyldig behandlingsgrunnlag som avtale eller samtykke
• Kontonummer, navn, e-postadresse og telefonnummer
• Regulert av personvernforordningens generelle prinsipper om sikkerhet og formål

Særlige kategorier (Sensitive data)

• Krever særskilte unntak i lovverket samt ekstra sikkerhetstiltak
• Helseopplysninger, fagforeningsmedlemskap og religion
• Strengere forbud mot innsamling med mindre særskilte unntak foreligger

Bedriftsrutiner for utbetaling og lagring

Kari drev en liten nettbutikk i Oslo og samlet inn kundenes kontonumre manuelt i et felles dokument på kontorpulten for å håndtere refusjoner ved retur.

Hun tenkte ikke over at dokumentet lå ubeskyttet tilgjengelig for alle innleide medarbeidere i systemet.

Etter en gjennomgang av personvernrutinene oppdaget hun at dette brøt med prinsippene om sikker lagring og dataminimering.

Hun krevde deretter at alle refusjoner skulle gå gjennom en sikret betalingsløsning, og slettet det gamle dokumentet, noe som reduserte risikoen for datainnbrudd betraktelig.