Hva anses som sensitive opplysninger?

hva anses som sensitive opplysninger: Bøter på 20 millioner euro

Forståelse av hva anses som sensitive opplysninger er nødvendig for å beskytte virksomheten mot alvorlige økonomiske følger. Feilaktig håndtering av disse dataene forverrer skadene ved sikkerhetsbrudd og fører til tyngre juridisk ansvar. Ved å identifisere informasjonen korrekt unngår man unødvendige sanksjoner og sikrer trygg behandling av personvern. Lær de faktiske reglene her.

Hva er egentlig sensitive personopplysninger?

Hva som anses som sensitive opplysninger kan ofte virke forvirrende, og tolkningen avhenger av den spesifikke konteksten. Generelt sett, i personvernlovgivningen (GDPR), er dette informasjon som krever ekstra streng beskyttelse fordi misbruk kan få alvorlige konsekvenser for individet. behandling av sensitive personopplysninger er som hovedregel helt forbudt, med mindre man har et spesifikt unntak i loven eller et eksplisitt samtykke.

Men det er én type informasjon som nesten alle tror er sensitiv - og som loven vurderer helt annerledes. Jeg skal avsløre denne vanlige misforståelsen når vi ser nærmere på personnummer lenger nede.

La oss være ærlige - da jeg først begynte å jobbe med personvern, plasserte jeg nesten all personlig informasjon i samme boks. Det var en tabbe. Å behandle alt som sensitivt gjør systemer unødvendig trege og komplekse. Virkeligheten er at loven opererer med svært spesifikke særlige kategorier personopplysninger gdpr som krever tiltak.

De 6 særlige kategoriene du må kjenne til

Loven er tydelig på hva som faller inn under de såkalte særlige kategoriene av personopplysninger. Hvis bedriften din håndterer noe av dette, må varsellampene blinke.

1. Helseopplysninger

Dette er kanskje den mest åpenbare kategorien. Det inkluderer pasientjournaler, medisinske diagnoser, informasjon om legebesøk, sykefravær, allergier og til og med graviditet. Selv det faktum at noen har kjøpt en bestemt type medisin på resept, er hva regnes som helseopplysninger.

2. Biometriske og genetiske data

Fingeravtrykk, irisskanning eller ansiktsgjenkjenning brukt for å unikt identifisere en person. Gentester og DNA-analyser faller også inn her. Dette er opplysninger som - i motsetning til et passord - aldri kan endres hvis de først kommer på avveie. Tenk over det.

3. Tro og overbevisning

Informasjon om en persons politiske, filosofiske eller religiøse overbevisning. Dette kan være medlemskap i et politisk parti, tilknytning til et bestemt trossamfunn, eller til og med donasjoner til visse ideologiske organisasjoner.

4. Etnisk og rasemessig opprinnelse

All informasjon som avslører en persons rase eller etniske bakgrunn er strengt beskyttet for å forhindre diskriminering.

5. Seksuell orientering og forhold

Data om en persons seksualitet eller seksuelle forhold er dypt privat og utgjør en kjerne i de sensitive kategoriene.

6. Fagforeningsmedlemskap

Historisk sett har informasjon om hvem som er fagorganisert blitt brukt til å diskriminere arbeidere. Derfor nyter dette ekstra lovbeskyttelse i dag.

Straffbare forhold: En beskyttet gråsone

Selv om det ikke teknisk sett er en særlig kategori, behandles informasjon om straffbare dommer og lovovertredelser med nesten samme strenghet. Opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling krever eget rettslig grunnlag.

Er personnummer sensitiv informasjon?

Her er den vanlige misforståelsen jeg nevnte tidligere. Mange spør meg: er personnummer sensitiv informasjon? Svaret er faktisk nei - i hvert fall ikke formelt sett under EUs personvernregler.

Personnummer og kontonummer regnes ikke som særlige kategorier. Overraskende? Absolutt. Men selv om de ikke er juridisk sensitive, defineres de som fortrolig informasjon. De er underlagt svært strenge nasjonale krav, og du kan ikke bruke personnummer med mindre det er saklig behov for sikker identifisering. Så selv om merkelappen er annerledes, er den praktiske håndteringen omtrent like streng.

Hvorfor dette skillet er kritisk for bedrifter

Det å feilklassifisere data kan bli dyrt. Feilhåndtering av disse særlige kategoriene øker typisk kostnaden ved et datainnbrudd med opptil 45 prosent. Ulovlig behandling kan i verste fall utløse administrative bøter på inntil 20 millioner euro, eller 4 prosent av global omsetning. ^[2]

Jeg har sett selskaper forsøke å unngå problemet ved å la være å kartlegge dataene sine. Ikke gjør dette. Å ignorere risikoen fjerner ikke ansvaret. Du må vite nøyaktig hva er sensitive personopplysninger datatilsynet og hvor de biometriske dataene dine ligger lagret, hvem som har tilgang, og når de skal slettes.

Sammenligning: Typer av personopplysninger

Alminnelige personopplysninger

- Lavt til middels, men krever fortsatt grunnleggende sikring

- Lovlig hvis du har et gyldig behandlingsgrunnlag (for eksempel en kontrakt eller berettiget interesse)

- Navn, e-postadresse, telefonnummer, bilskilt, IP-adresse

Fortrolig informasjon

- Høyt. Identitetstyveri er en reell trussel hvis dataene lekkes

- Lovlig kun når det er et saklig behov for sikker identifisering

- Personnummer, bankkontonummer, passnummer

Sensitive opplysninger (Særlige kategorier)

- Svært høyt. Kan føre til alvorlig diskriminering eller sosial skade for individet

- Som hovedregel forbudt. Krever unntak i lov eller uttrykkelig samtykke

- Helseopplysninger, etnisk bakgrunn, fagforeningsmedlemskap, seksuell legning

Håndtering av helseopplysninger i en liten klinikk

Lise, en fysioterapeut med egen klinikk, håndterte ukentlig over 100 pasientjournaler. Hun sendte regelmessig behandlingsplaner og diagnoser (helseopplysninger) via vanlig e-post til pasientene, i den tro at så lenge hun ikke brukte personnummer, var det trygt.

Problemene startet da en pasient med IT-bakgrunn påpekte at vanlig e-post ikke er kryptert for sensitive data. Lise fikk panikk og kjøpte et tungt, dyrt enterprise-system for sikker kommunikasjon. Systemet var så komplisert at de ansatte begynte å skrive notater på papir i stedet for å bruke programvaren.

Vendepunktet kom etter en måned med frustrasjon. Lise forsto at hun hadde overkomplisert det. I stedet for et separat enterprise-system, aktiverte hun en ende-til-ende kryptert pasientportal som allerede lå som en modul i bookingsystemet hennes, men som hun aldri hadde slått på.

Etter denne enkle endringen falt antall e-poster med helsedata til null. Pasientene logget sikkert inn via en portal, og Lise sparte rundt 12 timer i måneden på administrasjon, samtidig som hun endelig var innenfor lovens strenge krav.