Hva betyr sensitiv informasjon?

Hva betyr sensitiv informasjon: Definisjon og eksempler

Å forstå hva betyr sensitiv informasjon er avgjørende for å beskytte personvernet og unngå lovbrudd. Feilhåndtering av disse opplysningene medfører stor risiko for enkeltpersoner og strenge reaksjoner for virksomheter. Lær regelverket å kjenne for å sikre trygg og lovlig datahåndtering i hverdagen.

Hva betyr sensitiv informasjon i praksis?

Sensitiv informasjon omfatter opplysninger om personens politiske meninger, religion, filosofi, fagforeningstilknytning, genetiske data, biometriske data som unikt identifiserer personen, seksuelle forhold eller orientering. Slike opplysninger krever et strengere vern enn vanlige personopplysninger fordi misbruk kan føre til alvorlige konsekvenser for enkeltmennesket, som diskriminering eller krenkelse av privatlivets fred. Når virksomheter behandler denne typen data, stiller personvernforordningen (GDPR) langt høyere krav til sikkerhet og rettslig grunnlag.

Hvorfor stilles det strengere krav til særskilte kategorier?

Skillet mellom ulike typer opplysninger kan virke komplekst i starten. Det handler i bunn og grunn om sårbarhet. Opplysninger som avslører sensitive sider ved et individ – som tro eller helseforhold – krever et ekstra lag med beskyttelse mot uautorisert innsyn og urettmessig behandling.

Typisk sett opplever organisasjoner at en del av dataene de samler inn inneholder en eller annen form for personrelatert informasjon, men det er bare en liten brøkdel som faller inn under personopplysninger særskilte kategorier. Det er her mange trår feil fordi de behandler alt likt.

De ulike kategoriene som omfattes av strengt vern

For å forstå hva betyr sensitiv informasjon, må vi se nærmere på de konkrete gruppene som er spesifisert i regelverket. Dette er ikke en tilfeldig samling, men områder som historisk sett har vært knyttet til diskriminering og stigmatisering. Politiske og filosofiske opplysninger: Hva du stemmer, eller hvilke dypere livssyn du har. Fagforeningstilknytning: Medlemskap i organisasjoner som ivaretar arbeidstakernes rettigheter. Biometriske og genetiske data: Unike kjennetegn som ansiktsgjenkjenning eller DNA som kan knyttes direkte til deg.

Helse og seksuelle forhold

Helseopplysninger er kanskje den mest vanlige formen for sensitive data som folk flest kommer borti i hverdagen. Dette kan være journaler, sykmeldinger eller opplysninger om funksjonsnedsettelser. Seksuelle forhold og orientering faller inn under nøyaktig samme strenge regime, noe som betyr at selv en HR-avdeling må trå svært varsomt ved eksempler på sensitiv informasjon.

Unntak fra hovedregelen om forbud mot behandling

Hovedregelen i personvernet er at det er strengt forbudt å samle inn og behandle denne typen opplysninger. Det finnes imidlertid visse unntak fra denne hovedregelen som gjør det mulig for for eksempel helsevesenet eller offentlige organer å utføre oppgavene sine. Et typisk unntak er dersom den anmodede personen har gitt et uttrykkelig og frivillig samtykke til behandlingen, eller om det er strengt nødvendig av hensyn til arbeidsrettslige forpliktelser.

Når det gjelder helsepersonell og forsikringsselskaper, skjer mye av behandlingen av slike data med hjemmel i lovpålagte plikter fremfor rent samtykke. Det betyr at systemene må være rigget for maksimal sikkerhet uansett.

Sammenligning: Vanlige personopplysninger vs særskilte kategorier

Vanlige personopplysninger

• Moderat, kan som regel håndteres med standard IT-sikkerhet.
• Navn, e-postadresse, telefonnummer og IP-adresse.
• Kan behandles med grunnlag i berettiget interesse eller alminnelig samtykke.
• Ingen generell regel om forbud; tillatt så lenge det finnes et lovlig formål.

Sensitiv informasjon (Særskilte kategorier)

• Svært høyt, kan føre til direkte skade eller diskriminering for individet.
• Politisk syn, religion, helsedata og biometriske kjennetegn.
• Krever særskilt unntak i lovverket eller eksplisitt, dokumentert samtykke.
• Hovedregel om totalforbud mot innsamling med mindre spesifikke unntak gjelder.

Bedriften som feilvurderte ansattdata

Kari, en leder i en mellomstor bedrift i Oslo, ønsket å kartlegge trivsel og helseutfordringer blant de ansatte ved å sende ut et detaljert spørreskjema om medisinske diagnoser og fagforeningsmedlemskap.

Første forsøk: Skjemaet ble sendt ut via en åpen plattform der dataene ble lagret ukryptert. Ingen tenkte over at dette var sensitive opplysninger.

Etter en uke innså de feilen da en ansatt reagerte kraftig på at helseopplysninger var synlige for HR-medarbeidere uten taushetsplikt. De måtte trekke tilbake skjemaet umiddelbart.

Resultat: Bedriften innførte strengere rutiner, slettet alle innsamlede data og lærte at selv interne undersøkelser krever at man forstår hva betyr sensitiv informasjon i praksis.