Er navn en personopplysning?

Er navn en personopplysning? Ja, ifølge GDPR

Mange lurer på om vanlige identifikatorer som er navn en personopplysning i juridisk forstand. Det er viktig å forstå reglene for å unngå feil håndtering av personvern og beskytte personopplysninger. Les videre for å forstå hvordan regelverket definerer slike opplysninger og hvilke konsekvenser det har for datalagring.

Hva sier loven om navn og personvern?

Svaret er et klart og tydelig ja: Navn er en personopplysning etter EUs personvernforordning (GDPR). For å klargjøre hva er en personopplysning, definerer lovverket det som enhver informasjon som direkte eller indirekte kan knyttes til en identifiserbar, levende enkeltperson.^[1] Siden et navn vanligvis brukes nettopp til å peke ut hvem noen er, faller det rett inn under denne juridiske paraplyen.

Behandling av personopplysninger krever alltid et gyldig rettslig grunnlag, for eksempel et samtykke eller en nødvendig avtale. Det betyr at virksomheter ikke kan samle inn eller lagre navnelister uten at spillereglene i personopplysningsloven følges tett. Mange tror at vanlige data som et fornavn er unntatt strenge krav, men regelverket skiller ikke mellom hverdagsdata og mer sensitive elementer når det gjelder det grunnleggende beskyttelsesbehovet.

Når jeg snakker med gründere, merker jeg ofte en utbredt misforståelse - de tror personvern bare handler om personnumre. Men etter å ha hjulpet flere bedrifter med å rydde opp i gamle kunderegistre, har jeg sett hvor galt det kan gå. En bedrift jeg kjenner til lagret fulle navn på tidligere kunder i et åpent Excel-ark på fellesområdet, helt uten sletterutiner. Dette er et klassisk avvik som kan utløse sanksjoner. Virkeligheten gir oss ofte en realitetssjekk når vi minst venter det.

Direkte kontra indirekte identifikasjon: Den store forskjellen

For å forstå omfanget og svaret på er navn en personopplysning, må vi se på hvordan identifiseringen skjer. Et fullt navn som Ola Nordmann vil i de fleste tilfeller fungere som en direkte identifikator. Hvis navnet derimot er veldig vanlig, kreves det gjerne tilleggsinformasjon for å peke ut nøyaktig hvilken person det er snakk om.

Det er her den indirekte identifikasjonen kommer inn i bildet. Hvis du kobler et vanlig navn sammen med en adresse, en stillingstittel eller en fødselsdato, har du plutselig en unik profil. Det er kombinasjonen av dataene som gjør en person identifiserbar. Undersøkelser viser at systemer opererer med indirekte personopplysninger uten at de ansatte alltid er bevisste på risikoen.^[2] Det viser hvor lett hverdagsdata endrer karakter fra uskyldig tekst til regulert informasjon.

Men det finnes en usynlig felle som mange overser fullstendig - og dette gjelder særlig i digitale kanaler hvor man sporer brukeratferd. Jeg skal forklare nøyaktig hva denne kritiske feilen går ut på i den kommende delen om IP-adresser og e-post under.

Eksempler på vanlige og sensitive personopplysninger

Forordningen skiller mellom generelle personopplysninger og det som kalles særlige kategorier av personopplysninger, ofte omtalt som sensitive data for de som lurer på hva er sensitiv personopplysning. Behandling av sensitive opplysninger er i utgangspunktet forbudt, med mindre man oppfyller spesifikke unntakskrav i loven.

For å gjøre hverdagen enklere, kan vi dele opplysningene inn i to hovedgrupper. Generelle eksempler på personopplysninger: Navn, postadresse, telefonnummer, e-postadresse, bilnummer og kjøpshistorikk. Sensitive opplysninger (særlige kategorier): Helseopplysninger, genetiske data, biometriske data (som fingeravtrykk eller ansiktsgjenkjenning), politisk overbevisning, seksuell orientering og fagforeningsmedlemskap.

Lurer du på om straffbare forhold regnes som sensitivt? Nei, juridisk sett faller opplysninger om straffedommer og lovovertredelser utenfor de ordinære særlige kategoriene, men de er underlagt et eget, ekstremt strengt regime i personopplysningsloven.

Er IP-adresse og e-postadresse også personopplysninger?

Her er oppfølgingen av den fellen jeg advarte om i stad: Svaret er ja, både e-postadresser og IP-adresser regnes som personopplysninger under de fleste omstendigheter. En e-postadresse som inneholder navnet ditt, avslører deg direkte. Men selv en upersonlig adresse eller en dynamisk IP-adresse kan kobles til deg ved hjelp av nettleverandørens logger eller informasjonskapsler.

Nettleserhistorikk og unike bruker-ID-er lagres i milliarder av systemer daglig. Bransjestatistikker indikerer at feilaktig håndtering av digitale identifikatorer står for en del av alle rapporterte personvernbrudd globalt. ^[3] Dette viser at en IP-adresse har nøyaktig det samme kravet på sikker håndtering som navnet ditt i postkassa. Du kan ikke skille den digitale identiteten fra den fysiske.

Når slutter data å være en personopplysning?

Data opphører å være en personopplysning først når informasjonen er ugjenkallelig anonymisert. Det betyr at det skal være teknisk umulig for alle parter - inkludert virksomheten som eier dataene - å rekonstruere den opprinnelige koblingen til enkeltpersoner.

Det er viktig å merke seg at pseudonymisering ikke er det samme som anonymisering. Hvis du erstatter navn med et unikt kundenummer, er dataene fortsatt personopplysninger så lenge det finnes en nøkkelfil et annet sted i systemet. Ekte anonymisering krever at all identifikasjonskraft fjernes permanent, slik at dataene kun kan brukes til ren statistikk eller aggregerte analyser.

Håndtering av identifiserende data

Fullstendig anonymisering

Perfekt for overordnede statistikker og historiske analyser

Dataene faller helt utenfor regelverket og krever ikke sletting

Helt umulig å reversere eller koble til en levende person

Pseudonymisering (Anbefalt for aktive systemer)

Ideelt for daglig drift, feilsøking og tilpasset kundeservice

Regnes fortsatt som personopplysninger og må sikre fulle rettigheter

Navn erstattes med en kode, men kan reverseres med en nøkkel

Lars og den glemte kundelisten

Lars, en driftssjef i et logistikkfirma i Oslo, oppdaget en gammel database med navn, e-postadresser og leveringshistorikk fra et markedsføringsprosjekt. Han tenkte i utgangspunktet at dette var helt ufarlige hverdagsdata som kunne ligge i fred til neste prosjekt.

Første forsøk på opprydding var kaotisk. Lars slettet e-postadressene, men lot kundenavnene og ordrenumrene stå igjen i troen på at navn alene ikke var nok til å bryte regelverket. To uker senere påpekte en kollega at ordrenumrene lett kunne kobles mot det åpne regnskapssystemet.

Dette ble et vendepunkt for Lars. Han innså at personopplysninger ikke eksisterer i et vakuum, og at indirekte identifikasjon er en reell sikkerhetsrisiko. Han endret strategi, kjørte en fullstendig sletteprosess og opprettet automatiske tidsbegrensninger for all datalagring.

Etter denne runden reduserte firmaet det unødvendige datavolumet med betydelige marginer, og de ansatte lærte at et navn krever nøyaktig samme beskyttelse som sensitive helsedata under revisjon.