Hva er sensitivt innhold?

Hva er sensitivt innhold: 10M vs 20M euro sanksjoner

Feil håndtering av sensitive opplysninger skaper store økonomiske konsekvenser for både store og små virksomheter under personvernforordningen. Mangelfull sikkerhet medfører risiko for store gebyrer og tapte verdier. Å forstå hva er sensitivt innhold sikrer korrekt oppbevaring, beskytter omdømmet og forhindrer økonomiske sanksjoner. Lær regelverket å kjenne for å unngå tap.

Hva betyr egentlig sensitivt innhold?

Sensitivt innhold i personvernsammenheng refererer til særlige kategorier av personopplysninger som krever et ekstra strengt beskyttelsesnivå fordi misbruk kan føre til betydelig skade eller diskriminering. Spørsmålet om hva er sensitivt innhold kan imidlertid være avhengig av den spesifikke juridiske eller teknologiske konteksten.

I motsetning til vanlige personopplysninger, som navn eller adresse, omfatter sensitive opplysninger dype personlige detaljer. Dette inkluderer en persons rasemessige eller etniske bakgrunn, politiske oppfatning, religion eller filosofiske overbevisning. Medlemskap i en fagforening regnes også som sensitivt, i likhet med genetiske data, biometriske data for unik identifikasjon, samt opplysninger om seksuelle forhold eller seksuell orientering.

Når bedrifter bommer på håndteringen av disse dataene, blir konsekvensene raskt økonomisk merkbare. Det har vært en høy håndhevingsaktivitet i Europa der de samlede gebyrene for brudd på personvernforordningen nå har passert 7,1 milliarder euro siden 2018. ^[1] Mange tror at regelverket kun rammer de aller største teknologigigantene. Det er en sannhet med modifikasjoner. Mindre virksomheter løper også en stor risiko når de oppbevarer sensitive personopplysninger eksempler ustrukturert eller uten tilstrekkelige sikkerhetstiltak.

Hvordan helseforhold og sykefravær defineres som sensitive data

Helseopplysninger utgjør en av de vanligste formene for sensitive opplysninger som norske virksomheter håndterer daglig, spesielt i personalmapper. Informasjon om allergier, sykefravær, lærebesøk og graviditet regnes uten unntak som personvern sensitive opplysninger helse.

As leader i en personalavdeling måtte jeg selv håndtere denne problemstillingen for noen år siden. En av våre avdelingsledere sendte ut en felles e-post til hele teamet for å forklare at en ansatt var sykemeldt på grunn av en spesifikk medisinsk diagnose. Intensjonen var god - han ville bare vekke sympati - men det var et alvorlig brudd på personvernet. Vi måtte rydde opp umiddelbart, slette e-postene og gi grundig opplæring i at sykefraværsgrunner aldri skal deles åpent. Den opplevelsen lærte meg hvor lett det er å trå feil når rutinene ikke sitter i ryggmargen.

Det er en utbredt misforståelse at enkle registreringer ikke teller som helsedata. Sannheten er at selv en uformell merknad om at en ansatt er borte på grunn av lægebesøk eller svangerskapsrelatert oppfølging, utløser strenge krav til særlig behandlingsgrunnlag og kryptert lagring. Virksomheter har ikke lov til å behandle slike opplysninger med mindre det finnes et eksplisitt samtykke eller et klart rettslig grunnlag knyttet til arbeidsretten.

De økonomiske tidsbombene ved personvernbrudd

Brudd på reglene for behandling av sensitive personopplysninger fører til de strengeste sanksjonene i lovverket. Det finnes to ulike nivåer for administrative gebyrer basert på lovbruddets alvorlighetsgrad.

For alvorlige overtredelser - som å behandle særlige kategorier opplysninger uten gyldig rettslig grunnlag eller å bryte de registrertes rettigheter - lyder det øvre sanksjonsnivået på opptil 20 millioner euro eller 4 prosent av virksomhetens globale årsomsetning. Det høyeste beløpet velges i hvert enkelt tilfelle. Mindre formelle eller tekniske feil, som manglende oppnevning av personvernombud eller mangelfulle databehandleravtaler, faller inn under det lavere nivået på opptil 10 millioner euro eller 2 prosent av global årsomsetning.^[3]

Men her er det en kritisk nuanse må man få med seg: de virkelige økonomiske tapene handler ofte om mer enn bare selve bøten. Undersøkelser viser at organisasjoner som opplever alvorlige databruddfriksjoner må regne med en global gjennomsnittskostnad på 4,88 millioner dollar per hendelse når tapt arbeidstid, systemgjenoppretting og omdømmeknekk inkluderes. ^[4] Men det finnes en løsning på dette, og den skal jeg belyse nærmere i avsnittet om risikovurdering lenger ned.

Forskjellen på vanlige og sensitive personopplysninger

Ordinære personopplysninger

• Moderat - misbruk kan føre til identitetstyveri, men sjelden direkte diskriminering
• Navn, adresse, e-postadresse, telefonnummer og fødselsdato
• Standard tilgangsstyring og tilstrekkelige sikkerhetstiltak i IT-systemene

Sensitive personopplysninger (ærlige kategorier)

• Høyt - feilhåndtering kan true individets personlige frihet og føre til utestengelse
• Helseforhold, fagforeningsmedlemskap, politisk syn, rase eller etnisitet
• Streng tilgangsbegrensning, obligatorisk kryptering og ofte høyere krav til sletting

Helseklinikkens personvernkrise i Bergen

En privat helseklinikk i Bergen håndterte pasientjournaler for over 5.000 lokale innbyggere. Klinikken lagret sensitive opplysninger om pasientenes allergier og lægebesøk på en felles server uten tilstrekkelig tilgangsstyring.

Første feilgrep oppstod da administrasjonen flyttet hele pasientkartoteket over i en skybasert fildelingstjeneste uten å aktivere totrinnsverifisering. De trodde det var en kjapp og grei løsning på lagringsplassen.

Ett døgn senere oppdaget en ansatt at mapper med sensitive helseopplysninger la åpent tilgjengelig på internett via en enkel Google-søkestreng. Panikken spredte seg raskt da de innså at sensitive data lå ubeskyttet.

Etter å ha stengt tilgangen, måtte klinikken rapportere avviket innen fristen på 72 timer. De unngikk de aller største millionbøtene på grunn av rask oppfølging, men opplevde en omdømmesmell og måtte bruke store ressurser på ekstern IT-revisjon.