Hva defineres som sensitive opplysninger?

hva er sensitive personopplysninger: Liste over 8 hovedkategorier

Korrekt identifikasjon av hva er sensitive personopplysninger er nødvendig for å beskytte individers privatliv og oppfylle lovpålagte krav til datasikkerhet. Feilaktig håndtering fører til høy risiko for rettslige sanksjoner og svekket tillit. Virksomheter sikrer etterlevelse ved å implementere robuste rutiner for disse særskilte datatypene. Lær definisjonene for å trygge behandlingen.

Hva regnes egentlig som sensitive personopplysninger?

Sensitive personopplysninger, i juridisk forstand omtalt som særlige kategorier av personopplysninger, er data som krever et ekstra lag med beskyttelse fordi de avslører dype og personlige forhold ved et individ. Feilhåndtering av disse kan føre til diskriminering eller alvorlige inngrep i privatlivet, og derfor er hovedregelen at behandling av slike opplysninger er forbudt med mindre man har et særskilt unntak.

En betydelig andel av alle avviksmeldinger som rapporteres til tilsynsmyndighetene i Europa involverer utilsiktet deling eller tap av sensitive kategorier.^[1] Dette understreker risikoen ved å ikke ha kontroll på definisjonene. Jeg husker min første gjennomgang av et HR-system for noen år siden. Jeg antok bastant at alt som føltes privat var juridisk sensitivt. Det tok meg to uker med dypdykk i lovteksten å innse at loven er langt mer spesifikk enn vår magefølelse. Forvirringen er vanlig. Men den er også kostbar.

Listen over de 10 særlige kategoriene

For å navigere riktig må vi se på hva regnes som sensitive data ifølge lovverket. Det er ikke opp til oss å gjette; det finnes en konkret liste over hva som faller inn under Artikkel 9 i personvernforordningen (GDPR).

Her er de kategoriene som defineres som sensitive: Rase eller etnisk opprinnelse: Opplysninger som direkte eller indirekte avslører bakgrunn. Politisk oppfatning: Medlemskap i politiske partier eller uttalte politiske standpunkt. Religiøs eller filosofisk overbevisning: Tro, livssyn eller medlemskap i tros- og livssynssamfunn. Fagforeningsmedlemskap: Opplysninger om at en person er organisert i en spesifikk fagforening. Genetiske data: Informasjon om arvelige egenskaper som gir unik kunnskap om fysiologi eller helse. Biometriske data: Brukt for unik identifikasjon, slik som ansiktsgjenkjenning eller fingeravtrykk.

Helseopplysninger: Alt fra legejournaler og sykefraværskoder til informasjon om funksjonsnedsettelser. Seksuelle forhold: Informasjon om en persons seksuelle praksis eller preferanser. Seksuell orientering: En persons seksuelle legning. Straffehistorikk: Selv om dette teknisk sett faller under Artikkel 10, behandles det i praksis ofte med samme strenghet som sensitive data.

Det er verdt å merke seg at biometriske data bare regnes som sensitive når de brukes til å identifisere noen unikt. Hvis du bruker ansiktsgjenkjenning for å låse opp din egen telefon, er det sensitivt. Bruker du et kamera for å telle antall mennesker i et rom uten å identifisere hvem de er? Da er det som regel ikke sensitivt. Små nyanser betyr alt her. Sjekk detaljene nøye.

Er personnummer en sensitiv opplysning?

Dette spørsmålet dukker opp i nesten hver eneste workshop jeg holder. Svaret er nei - i hvert fall ikke etter den juridiske definisjonen i GDPR Artikkel 9. Mange lurer på: er personnummer en sensitiv opplysning? Svaret er at det regnes ikke som en særlig kategori av personopplysninger.

Men her er haken. (Den er viktig). Selv om det ikke er sensitivt etter GDPR, er bruken av personnummer strengt regulert i den norske personopplysningsloven paragraf 12. Du kan bare bruke det når det er saklig behov for sikker identifikasjon og metoden er nødvendig. Det er en utbredt misforståelse at personnummeret er det farligste å miste. Faktisk rapporterer mange av norske virksomheter at de er usikre på nøyaktig når de har lov til å be om personnummeret.^[2] Ikke bland sammen konfidensialitet og sensitivitet.

Hvorfor vi ofte tar feil

Vi føler at personnummeret er ekstremt privat fordi det kan misbrukes til ID-tyveri. Det er helt sant. Men loven skiller mellom data som kan skade din økonomi (som personnummer og bankdetaljer) og data som kan føre til forfølgelse eller diskriminering (som religion eller helse). Økonomiske data er konfidensielle, men ikke juridisk sensitive. En rar distinksjon? Kanskje. Men den styrer hvordan du må bygge dine IT-systemer.

Kravene for å behandle sensitive data

Hvis du identifiserer at du håndterer data fra listen over, kan du ikke lenger bare støtte deg på en vanlig interesseavveining. Du må ha et lovlig grunnlag fra Artikkel 6, og i tillegg et unntak fra forbudet i Artikkel 9.

Vanligvis kreves det et uttrykkelig samtykke fra den registrerte, eller at behandling av sensitive personopplysninger er nødvendig for å oppfylle forpliktelser innen arbeidsrett eller sosialrett. For bedrifter betyr dette ofte at de må gjennomføre en DPIA (vurdering av personvernkonsekvenser). Erfaringstall viser at virksomheter som utfører systematiske risikoanalyser reduserer sannsynligheten for alvorlige databrud med opptil 45%.^[3] Sjelden har jeg sett et tiltak med større avkastning enn en skikkelig DPIA. Det er ikke bare papirarbeid. Det er forsikring.

Mange tror at så lenge de har fått et samtykke, er alt i orden. Feil. Samtykket må være frivillig, spesifikt og informert. Hvis en ansatt føler seg presset til å oppgi helseinformasjon for å få en fordel, er samtykket sannsynligvis ugyldig. Her slurver mange. Vær ærlig med deg selv: Er samtykkene deres virkelig frivillige?

Forskjellen mellom alminnelige og sensitive opplysninger

Alminnelige opplysninger

- Krever ett grunnlag fra GDPR Artikkel 6 (f.eks. avtale eller legitim interesse)

- Standard kryptering og tilgangsstyring er ofte tilstrekkelig

- Navn, adresse, e-post, IP-adresse, kjøpshistorikk

Sensitive opplysninger (Særlige kategorier)

- Krever både Artikkel 6 OG et spesifikt unntak i Artikkel 9

- Høyt nivå: Ofte krav om tofaktorautentisering og loggføring av alle oppslag

- Helseopplysninger, politisk tro, fagforeningsmedlemskap, biometri

Lovregulerte (men ikke Artikkel 9)

- Regulert av nasjonal lov (Personopplysningsloven paragraf 12)

- Skal skjermes for uvedkommende, men krever ikke Artikkel 9-håndtering

- Fødselsnummer, d-nummer

HR-tabben hos TechNord: Håndtering av fagforeningslister

Lise, en fersk HR-ansvarlig i et IT-selskap i Trondheim, mottok en liste over ansatte som var medlemmer i en spesifikk fagforening for å beregne lønnsjusteringer. Hun lagret listen i en delt mappe på intranettet slik at avdelingslederne kunne sjekke tallene, uvitende om de strenge reglene for fagforeningsdata.

To dager senere oppdaget en tillitsvalgt at hvem som helst i selskapet kunne se hvem som var organisert. Panikken spredte seg raskt. Lise innså at hun hadde delt sensitive opplysninger uten tilgangsbegrensning, noe som er et direkte brudd på sikkerhetskravene i lovverket.

Gjennombruddet kom da IT-avdelingen stengte mappen og de innså at de manglet en protokoll for 'særlige kategorier'. De lærte at fagforeningsdata alltid skal krypteres og kun være tilgjengelig for personell med tjenestlig behov.

Etter denne hendelsen implementerte TechNord tofaktorautentisering på alle HR-mapper. De reduserte risikoen for feil med anslagsvis 50% og Lise sørget for at alle ledere fikk kursing i hva som faktisk defineres som sensitivt.