Hva er regnet som sensitive personopplysninger?

Hva er sensitive personopplysninger: Særlige kategorier

Hva er sensitive personopplysninger er avgjørende å forstå for å sikre riktig håndtering av private opplysninger. Kunnskap om disse strenge reglene beskytter mot alvorlige konsekvenser ved regelbrudd. Utforsk detaljene for å unngå risiko og ivareta personvernet på en sikker måte.

Hva er regnet som sensitive personopplysninger?

Sensitive personopplysninger, som i personvernforordningen (GDPR) omtales som særlige kategorier av personopplysninger, omfatter informasjon som kan avsløre svært private og sårbare sider ved et menneske.^[1] Slike data krever et ekstra høyt beskyttelsesnivå fordi feilbehandling eller lekkasjer kan utsette den som rammes for alvorlig risiko som diskriminering, utpressing eller krenkelse av privatlivet.

De lovbestemte kategoriene i GDPR

Forordningen definerer en spesifikk liste over hva som faller inn under denne strenge kategorien.^[2] Utgangspunktet i norsk og europeisk rett er et generelt forbud mot å samle inn og behandle slike opplysninger, med mindre strenge unntak eller uttrykkelig samtykke foreligger.

Helseopplysninger: Informasjon om fysisk eller psykisk helsetilstand, sykdomshistorikk eller medisinsk behandling. Politiske, religiøse eller filosofiske oppfatninger: Slike data avslører hva et menneske tror på, hvilken religion de tilhører, eller hvilket parti de støtter.

Fagforeningsmedlemskap: Opplysninger om hvorvidt en person er organisert i en fagforening. Genetiske og biometriske data: Biometriske opplysninger for entydig identifikasjon (for eksempel ansiktsgjenkjenning eller fingeraftrykksdata) samt genetisk materiale. Seksuelle forhold eller legning: Opplysninger om en persons seksuelle orientering eller intime privatliv. Rasemessig eller etnisk opprinnelse: Informasjon som knytter en person til en spesiell etnisk gruppe eller folkeslag.

Forskjellen på vanlige og sensitive opplysninger

Alle sensitive opplysninger er personopplysninger, men langt fra alle personopplysninger er sensitive. Vanlige opplysninger som navn, e-postadresse, telefonnummer eller ordinær kjøpshistorikk har et lavere beskyttelsesnivå. Mange lurer på om fødselsnummer er sensitivt. Svaret er at fødselsnummer formelt sett ikke regnes som en særlig kategori etter GDPR.^[4] Likevel krever det stor varsomhet og strenge sikkerhetstiltak fordi det er en unik identifikator som kan misbrukes til identitetstyveri.

Hvorfor krever disse opplysningene ekstra beskyttelse?

Når virksomheter håndterer informasjon om helse eller politisk tilhørighet, er konsekvensene ved et datainnbrudd eller en feilutsendt e-post drastiske. Helseopplysninger eller informasjon om seksuell orientering lar seg sjelden gjøre hemmelige igjen dersom de først lekker ut på avveie. Derfor stiller Datatilsynet knallharde krav til tilgangsstyring, kryptering og internkontroll i bedrifter som behandler slike data.

Mange små bedrifter tror feilaktig at et passord på datamaskinen gir nok sikkerhet. Ved en internrevisjon vil mangelen på klare tilgangsprosedyrer for personal- eller helsedata raskt avdekke kritiske sikkerhetshull.

Praktiske utfordringer ved håndtering i bedrifter

Å etterleve reglene for særlige kategorier betyr at du må dokumentere nøyaktig hvorfor du samler inn opplysningene, hvem som har tilgang, og når de skal slettes. Det er ikke nok at informasjonen er kjekk å ha for driftens skyld. Typiske feil oppstår når HR-avdelinger lagrer sykemeldinger eller fagforeningskontingenter i åpne mapper på intranettet uten tilstrekkelig sikring.

Sikkerhetstiltak og ansvar ved datainnbrudd

Dersom sensitive opplysninger kommer på avveie, plikter virksomheten å vurdere hendelsen opp mot personvernregelverket. Om bruddet medfører risiko for enkeltmenneskers rettigheter, skal det meldes til Datatilsynet innen 72 timer.^[8] Manglende etterlevelse kan føre til reaksjoner og sanksjoner. Her er ansvaret klinkende klart: du må ha rutiner på plass før uhellet er ute, ikke etter.

Sammenligning av opplysningsklasser under personvernregelverket

Vanlige personopplysninger

Moderat, men kan gi ubehag som uønsket markedsføring.

Regulert av GDPR generelt, krever saklig behandlingsgrunnlag.

Standard og tilstrekkelig informasjonssikkerhet.

Navn, telefonnummer, e-post og adresse.

Fødselsnummer og ID-er

Høy risiko for identitetstyveri og svindel.

Ikke definert som sensitivt, men krever særskilt varsomhet.

Streng kontroll og begrenset tilgang.

Norsk fødselsnummer og personnummer.

⭐ Særlige kategorier (Sensitive)

Svært høy, fare for diskriminering og utpressing.

Strengt utgangsforbud med mindre spesifikke unntak gjelder.

Maksimal beskyttelse, sterk kryptering og minimal tilgang.

Helse, religion, politikk, biometri og fagforening.

Håndtering av helseopplysninger i en norsk bedrift

Line, en HR-leder i en mellomstor bedrift i Oslo, mottok uventet en e-post med detaljerte medisinske journaler fra en ansatt som søkte om tilrettelegging på kontoret.

Først lagret hun filen i en felles, ubeskyttet mappe på serveren slik at hele teamet skulle ha rask tilgang under saksbehandlingen, noe som viste seg å være en alvorlig tabbe da uvedkommende nesten fikk innsyn.

Etter å ha oppdaget feilen med tilgangsstyringen, flyttet hun umiddelbart dokumentet til et kryptert arkiv med begrensede brukerrettigheter, og slettet kopien fra fellesområdet.

Hendelsen lærte bedriften å skjerpe rutiene for håndtering av sensitive data, noe som forhindret fremtidige personvernbrudd og sikret at de slapp reaksjoner fra Datatilsynet.