Hva anses som sensitiv informasjon?

hva anses som sensitiv informasjon? Mennesker og 4% gebyrrisiko

Det er avgjørende å vite hva anses som sensitiv informasjon for å beskytte personvernet og sikre bedriftens omdømme. Manglende kunnskap om juridiske grenser fører ofte til kostbare feil og uønskede hendelser. Ved å identifisere personopplysninger riktig oppfyller virksomheten sine forpliktelser. Lær de grunnleggende prinsippene for å forhindre økonomisk tap og sikre trygg databehandling.

Hva anses som sensitiv informasjon i dag?

Begrepet sensitiv informasjon kan virke uklart, men juridisk sett er det strengt definert gjennom GDPR som særlige kategorier personopplysninger. Dette er informasjon som krever ekstra beskyttelse fordi feilhåndtering kan føre til betydelig risiko for den enkelte, inkludert diskriminering eller krenkelse av privatlivet.

I min tid som konsulent innen personvern har jeg sett utallige bedrifter gjøre den samme feilen: De tror alt som er privat er sensitivt, eller omvendt. Sannheten er at lovverket trekker en veldig skarp linje. Rundt 82 prosent av alle databrudd skyldes menneskelige faktorer og personlig uvitenhet om disse skillene.^[1] Det er ikke mangel på teknologi som er problemet, men mangel på forståelse for hva vi faktisk sitter med mellom hendene.

De juridiske kategoriene for sensitive opplysninger

For å vite hva anses som sensitiv informasjon, må vi se på artikkel 9 i personvernforordningen. Dette er una uttømmende liste, noe som betyr at hvis det ikke står her, er det juridisk sett ikke en særlig kategori - selv om det føles aldri så privat for deg.

Følgende informasjon regnes som sensitiv: Helseopplysninger: Alt fra diagnoser og legebesøk til medisinbruk og sykefravær. Biometriske data: Fingeravtrykk eller ansiktsgjenkjenning når formålet er unik identifikasjon. Etnisk eller rasemessig opprinnelse: Informasjon om din bakgrunn. Politisk, religiøs eller filosofisk overbevisning: Hvilket parti du stemmer på eller hvilken kirke du tilhører. Fagforeningsmedlemskap: Dette er et viktig punkt som mange overser i arbeidslivet. Seksuelle forhold eller legning: Private detaljer om samliv og orientering. Genetiske opplysninger: Data om dine arveegenskaper.

Det som er interessant - og her bommer mange - er at personnummer (fødselsnummer) ikke står på denne listen. Vent litt. Betyr det at det ikke er viktig? Nei. Men det betyr at det behandles under et annet sett med regler i personopplysningsloven. Jeg har selv opplevd å måtte forklare dette til IT-sjefer som nektet å tro meg. De trodde personnummeret var selve definisjonen på sensitiv data.

Er personnummer sensitiv informasjon?

Dette er kanskje det spørsmålet jeg får oftest: er personnummer sensitiv informasjon? Svaret er et teknisk nei, men et praktisk ja. I Norge anses ikke fødselsnummer som en særlig kategori etter GDPR artikkel 9. Likevel stiller personopplysningsloven § 12 strenge krav til bruken. Du kan bare behandle fødselsnummer når det er et saklig behov for sikker identifikasjon og metoden er nødvendig.

Tenk på det slik: Hvis naboen din får vite at du har pollenallergi (helseopplysning), er det sensitivt. Hvis de får vite fødselsnummeret ditt, er det en sikkerhetsrisiko, men ikke nødvendigvis en krenkelse av privatlivets fred på samme måte. Men fordi personnummeret er nøkkelen til så mange tjenester, skal det beskyttes nesten like strengt som sensitive data. I praksis bør du behandle det med samme forsiktighet som en legejournal.

Hvorfor skillet mellom konfidensielt og sensitivt er avgjørende

Mange blander sammen begrepene og forstår ikke alltid forskjell på konfidensiell og sensitiv informasjon. En forretningsstrategi eller et passord er konfidensielt - det er hemmeligheter bedriften eier. Sensitive data er opplysninger som tilhører et menneske. Dette skillet er viktig fordi brudd på GDPR kan medføre svært høye gebyrer, ofte opptil 4 prosent av en virksomhets globale årsomsetning.^[2]

Jeg husker en gang jeg jobbet med en mindre HR-avdeling. De sendte ut lister over fagforeningskontingent på åpen e-post. For dem var det bare tall. Men for de ansatte var det en avsløring av politisk og organisasjonsmessig tilhørighet. Da jeg påpekte at dette var et brudd, ble de først defensive. Men når vi så på risikoen for de ansatte når det gjaldt potensielle konflikter, endret tonen seg fort. Det handler om respekt for den enkeltes integritet.

Klassifisering av opplysninger

Det er avgjørende å vite hvordan ulike datatyper skal håndteres for å unngå sanksjoner og identitetstyveri.

Sensitive opplysninger (Art. 9)

- Legeerklæringer, fagforeningsmedlemskap, religiøs tro

- Krever særskilt hjemmel eller uttrykkelig samtykke fra personen det gjelder

- Må alltid krypteres ved sending og krever to-faktor autentisering for tilgang

Alminnelige personopplysninger

- Navn, adresse, e-postadresse, telefonnummer

- Kan ofte behandles basert på berettiget interesse eller avtale

- Krav til konfidensialitet, men lavere teknisk terskel enn særlige kategorier

Beskyttelsesverdige (f.eks. Personnummer)

- Fødselsnummer og d-nummer

- Krever saklig behov for sikker identifikasjon i henhold til norsk lov

- Skal ikke sendes på e-post uten kryptering eller portal-løsning

E-post-tabben i Borettslaget

Styrelederen i et borettslag i Oslo skulle sende ut varsel om økt husleie. Ved en feil la han ved et dokument som inneholdt detaljerte grunner for betalingsutsettelse for tre naboer, inkludert informasjon om sykdom og rusbehandling.

Han innså feilen ti minutter etter utsendelse, men da hadde allerede 120 beboere mottatt informasjonen. Han forsøkte å 'angre' e-posten, men det fungerte ikke for de fleste mottakerne. Panikken var merkbar da han forsto rekkevidden.

Istedenfor å late som ingenting, kontaktet han Datatilsynet og de berørte partene umiddelbart. Han innså at mangelen på rutiner for dobbeltsjekk av vedlegg var den faktiske årsaken til bruddet.

Borettslaget måtte implementere et nytt fildelingssystem med passordbeskyttelse. Selv om de unngikk kjempegebyr på grunn av åpenheten, tok det over et år å gjenopprette tilliten i nabolaget.

Denne informasjonen er kun ment som veiledning og utgjør ikke juridisk rådgivning. Lover om personvern kan variere basert på spesifikke omstendigheter og jurisdiksjon. Ved konkrete juridiske spørsmål bør du rådføre deg med en personvernombud eller en advokat med ekspertise på GDPR.