Er fødsels- og personnummer sensitiv informasjon?

Er fødsels og personnummer sensitiv informasjon? Nei

Mange frykter misbruk av egne identifikasjonsdata i hverdagen. Å vite om er fødsels og personnummer sensitiv informasjon hjelper deg å forstå personvernet ditt.
Streng regulering beskytter innbyggere mot identitetskrenkelser og uautoriserte bestillinger. Sjekk detaljene for å trygge dine personopplysninger.

Er fødsels og personnummer sensitiv informasjon etter norsk lov?

Hvordan dette spørsmålet skal forstås, avhenger av den juridiske konteksten og hvordan opplysningene faktisk brukes. Rent juridisk svarer svaret nei: fødselsnummer er ikke definert som en sensitiv personopplysning i norsk lov. Paragraf 2 nr. 8 i den tidligere personopplysningsloven spesifiserte dette tydelig, mens bruk av fødselsnummer og lignende identifikasjonsmidler likevel er strengt regulert gjennom paragraf 12. ^[1]

La oss være ærlige: forvirringen rundt om er fødsels og personnummer sensitiv informasjon skaper hodebry for nesten alle som jobber med personvern.

Da jeg først begynte å utarbeide interne rutiner for personvern i norske bedrifter, gjorde jeg en klassisk nybegynnerfeil.

Jeg krypterte absolutt alle kundelister fordi jeg trodde de elleve sifrene automatisk falt under kategorien sensitive opplysninger. Det kostet oss to uker med unødvendig teknisk feilsøking og frustrerte utviklere som satt oppe til klokken elleve om kvelden med brennende øyne foran skjermen. Likevel er det en kritisk felle her som de fleste virksomheter overser når de ber kunder om legitimasjon - jeg skal forklare akkurat hvordan du unngår dette i seksjonen om praktisk etterlevelse lenger ned.

Forveksling mellom generelle personopplysninger og særskilt sensitive opplysninger

Mange blander sammen begrepene i dagligtalen. Det er helt forståelig. I norsk lovverk skiller vi skarpt mellom vanlige personopplysninger, taushetsbelagte opplysninger og det som kalles særlige kategorier av personopplysninger (tidligere omtalt som sensitive personopplysninger i paragraf 2 nr. 8). Helseforhold, politisk oppfatning, religiøs tro og seksuelle forhold regnes som særlig sensitive. Et fødselsnummer forteller i utgangspunktet kun når du er født og hvilket kjønn du ble registrert med. Sjelden har jeg sett et juridisk skille skape så mye praktisk usikkerhet på norske arbeidsplasser.

Hvorfor er ikke personnummer sensitiv informasjon i personopplysningsloven?

Den juridiske vurderingen avhenger av hvilken informasjon selve nummeret faktisk avslører om deg som individ. Et spørsmål som er personnummer sensitiv informasjon dukker ofte opp fordi vi føler at nummeret er privat, men loven ser kun på selve innholdet i dataene. Sifrene avslører ikke helsetilstand, etnisitet eller fagforeningsmedlemskap, og faller derfor utenfor den snevre lovdefinisjonen av en fødselsnummer sensitiv personopplysning.

Det høres kanskje rart ut ved første øyekast. Vi er jo opplært til å passe ekstremt godt på disse elleve sifrene (sammensatt av seks sifre for fødselsdato og fem sifre som utgjør selve personnummeret). I virkeligheten behandler lovgiver fødselsnummer som et unikt identifikasjonsmiddel som krever ekstra beskyttelse, uten å plassere det i samme bås som pasientjournaler. Nøyaktige globale tall på feilklassifisering av slike data er begrenset, men typiske revisjoner i skandinaviske bedrifter viser at godt over halvparten av ansatte feilaktig behandler fødselsnummer på lik linje med helsedata i interne systemer.

Men her er saken som gjør det hele litt mer nyansert. Alle rådgivere sier at du må beskytte fødselsnummeret for enhver pris, men min erfaring etter flere år med sikkerhetsrevisjoner er at overdreven frykt for selve nummeret ofte fjerner fokuset fra den reelle risikoen - nemlig dårlig autentisering. Et fødselsnummer er i praksis bare et brukernavn, ikke et passord; hvis en tjeneste lar noen ta opp lån kun ved å oppgi disse elleve sifrene, er det sikkerhetsrutinen hos bedriften som har sviktet, ikke selve nummeret som er magisk.

Regler for bruk av fødselsnummer i personopplysningsloven paragraf 12

Hvorvidt en virksomhet har lov til å kreve disse sifrene, beror på om det foreligger et reelt og saklig behov i den aktuelle situasjonen. Reglene for personopplysningsloven fødselsnummer og den historiske personopplysningsloven paragraf 12 slår fast at fødselsnummer og andre entydige identifikasjonsmidler kun kan brukes når det er saklig behov for sikker identifisering, og metoden er nødvendig for å oppnå en slik identifisering.

Dette neste punktet overrasker de fleste bedriftseiere. Selv om opplysningen ikke er definert som sensitiv i loven, kan du altså ikke bare samle den inn etter eget ønske.

Forståelsen av bruk av fødselsnummer lov handler om to strenge vilkår som vanligvis må være oppfylt samtidig: Saklig behov: Virksomheten må ha et legitimt og konkret formål som krever at man vet nøyaktig hvem personen er, for eksempel ved rapportering til skattemyndigheter eller opprettelse av bankkonto.

Nødvendighet for sikker identifisering: Det må være umulig eller uforholdsmessig vanskelig å skille personen fra andre ved hjelp av mindre inngripende midler som navn, adresse og fødselsdato.

Frykt for misbruk av fødselsnummer i praksis

Mange kjenner på en sterk frykt for misbruk av fødselsnummer i hverdagen. Det er en reell bekymring. Når uvedkommende får tak i sifrene dine, kan de i dårlig sikrede løsninger forsøke å opprette abonnementer eller bestille varer i ditt navn. Rundt 150 000 nordmenn har opplevd ulike former for identitetskrenkelser i løpet av de siste årene, noe som viser hvorfor streng regulering av identifikasjonsmidler i norsk lov er helt avgjørende for godt personvern. ^[2]

Jeg husker fortsatt følelsen i magen da jeg oppdaget at et treningssenter hadde lagret fødselsnumrene til hundrevis av medlemmer i et åpent regneark. Hendene mine ble helt klamme da jeg innså omfanget. Senteret mente de trengte nummeret for å sende faktura - de tok helt feil, for vanlig navn og fødselsdato holder i massevis før en sak eventuelt går til inkasso. Det tok oss tre dager med intens jobbing å slette dataene trygt og legge om rutinene deres.

Praktisk etterlevelse og håndtering av rettslige krav

Hvordan du bør sikre disse opplysningene i praksis, avhenger av hvilke systemer og risikofaktorer som preger din spesifikke hverdag. Manglende forståelse av hvilke rettslige krav som gjelder for bruk av fødselsnummer fører ofte til at bedrifter enten samler inn for mye data eller sender informasjon ukryptert på e-post. Godt personvern krever at man vurderer risikoen ved hver eneste behandling av personopplysninger.

Her er den kritiske fellen jeg nevnte tidligere i artikkelen: bedrifter som ber om kopi av pass eller førerkort på vanlig e-post for å bekrefte en brukerkonto. Selv om fødselsnummeret i seg selv ikke er en sensitiv personopplysning etter loven, regnes ukryptert e-post som en usikker kanal - på lik linje med et åpent postkort - og det å sende fødselsnummer på denne måten utgjør som regel et brudd på kravene til informasjonssikkerhet hvis informasjonen kan misbrukes. Kort sagt: ikke send det åpent.

Lovverket - og jeg har lest utallige juridiske veiledninger, dommer og forarbeider om dette temaet gjennom årene mens jeg har hjulpet både små oppstartsbedrifter og store organisasjoner med å rydde opp i sine interne databasestrukturer - krever at du alltid bruker den minst inngripende metoden for identifisering, selv om det rent teknisk er mye enklere for utviklerne å bare bruke fødselsnummer som primærnøkkel i kundedatabasen. Velg heller et internt kundenummer. Da sparer du deg selv for enormt mye juridisk ansvar.

Forskjellen på kategorier av personopplysninger i norsk rett

For å rydde opp i usikkerheten rundt hva som defineres som sensitive personopplysninger i norsk lov, hjelper det å sammenligne de tre hovedkategoriene av data direkte mot hverandre.

Alminnelige personopplysninger

• Omfatter alle vanlige opplysninger som kan knyttes til en enkeltperson, som navn, telefonnummer og e-postadresse

• Normal tilgangsstyring og beskyttelse mot uautorisert utlevering i tråd med vanlige rutiner

• Krever et gyldig behandlingsgrunnlag som samtykke, avtale eller berettiget interesse

Fødselsnummer og entydige identifikasjonsmidler

• Ikke definert som sensitiv personopplysning i § 2 nr. 8, men særregulert med strenge tilleggskrav i § 12

• Krav om konfidensialitet ved lagring og forbud mot ubeskyttet overføring i åpne kanaler

• Tillatt kun når det foreligger saklig behov for sikker identifisering og metoden er strengt nødvendig

Særlige kategorier (Sensitive personopplysninger)

• Definert som særskilt beskyttelsesverdige data, inkludert helseforhold, religion, etnisitet og seksuelle forhold

• Svært strenge krav til kryptering, logging av tilgang og grundige vurderinger av personvernkonsekvenser

• Behandling er i utgangspunktet forbudt med mindre det foreligger et eksplisitt unntak i lovverket

Oslo Boligutleie: Fra unødvendig datainnsamling til trygg identifisering

Lars, daglig leder i et mindre eiendomsselskap i Oslo med rundt 400 leietakere, krevde tidligere fullt fødselsnummer på alle interessentskjemaer før visning. Han ønsket å luke ut useriøse søkere tidlig, men møtte stadig sterkere motstand fra boligsøkere som var redde for identitetstyveri.

Etter flere klager forsøkte Lars først å legge til en tekstboks der søkerne måtte samtykke til å oppgi fødselsnummeret. Dette løste ingenting, ettersom et samtykke sjelden er gyldig eller tilstrekkelig når innsamlingen ikke er strengt nødvendig på et så tidlig stadium.

Under en gjennomgang av rutinene innså Lars at selskapet overhodet ikke hadde saklig behov for sikker identifisering før en leiekontrakt faktisk skulle signeres og kredittsjekk utføres. De fjernet feltet fra visningsskjemaet og erstattet det med vanlig fødselsdato og telefonnummer.

Kun den endelige leietakeren ble bedt om å identifisere seg via sikker elektronisk signering ved kontraktsinngåelse. Innen to måneder falt antallet klager på personvern til null, og omtrent 25% flere fullførte søknadsskjemaet på nettsiden.