Hva regnes som personopplysning?

Hva regnes som personopplysning: Definisjon og eksempler

Å forstå hva regnes som personopplysning er avgjørende for å ivareta personvernet i en digital hverdag. Mange er usikre på hvilke data som identifiserer dem og hvordan disse behandles. Ved å tilegne seg kunnskap om definisjoner og kategorier, beskytter du egne rettigheter og unngår misforståelser knyttet til håndtering av egen informasjon.

Hva regnes som personopplysning?

Begrepet hva regnes som personopplysning er bredere enn mange tror. Det er ikke bare snakk om navn og fødselsnummer, men all informasjon som kan knyttes til en fysisk person, enten direkte eller gjennom en kombinasjon av ulike opplysninger. Dette spørsmålet har ofte flere nyanser avhengig av om vi ser på digitale spor eller mer tradisjonelle registre, og forståelsen av dette er grunnlaget for alt personvernarbeid.

Hva omfattes av definisjonen?

Kjernen i definisjonen er muligheten for identifikasjon. Selv informasjon som i utgangspunktet virker anonym kan bli en personopplysning hvis den kan kobles til deg ved bruk av tilleggsinformasjon. For eksempel er en IP-adresse i seg selv bare en rekke tall, men kombinert med logger fra en nettleverandør kan den identifisere hvem som har besøkt en bestemt nettside. I dagens digitale landskap er denne grenseoppgangen helt sentral for GDPR personopplysninger definisjon og hvordan bedrifter må behandle data.

De fleste digitale tjenester vi bruker i dag samler inn informasjon for å tilpasse opplevelsen. Det kan være snakk om alt fra kundenummer og kjøpshistorikk til mer tekniske data som posisjonsdata eller nettleserhistorikk. Når disse dataene er koblet til en profil, enten ved navn eller en unik ID, regnes de som personopplysninger. Mange moderne nettbaserte tjenester prosesserer ulike former for identifikatorer som faller inn under dette begrepet,^[1] noe som krever strenge rutiner for behandling.

Særlige kategorier av personopplysninger

Noen opplysninger er mer sensitive enn andre og krever ekstra beskyttelse. Tidligere ble dette kalt sensitive personopplysninger, men i dag omtales de som særlige kategorier. Her er terskelen for behandling mye høyere fordi eksponering kan føre til stor risiko for den enkelte. Dette inkluderer helseopplysninger, genetiske data, biometriske kjennetegn som fingeravtrykk, samt informasjon om seksuell legning, religion eller fagforeningsmedlemskap. Dette er typiske eksempler på hva er sensitive personopplysninger.

Når er noe ikke en personopplysning?

Det er viktig å skille mellom anonyme data og personopplysninger. Hvis opplysningene er fullstendig anonymisert – slik at det er umulig å knytte dem til en person selv ved hjelp av andre kilder – faller de utenfor regelverket. Det samme gjelder for juridiske personer som AS, ettersom lovverket primært beskytter fysiske personer. Det er en vanlig feil å tro at alle kundelister er omfattet, men informasjon om et selskap er i utgangspunktet ikke underlagt de samme kravene med mindre den avslører detaljer om enkeltpersoner i bedriften.

Eksempler på personopplysninger i praksis

Det kan være nyttig å se på hvordan ulike typer data kategoriseres for å forstå rekkevidden av lovverket: Grunnleggende info: Navn, privat adresse, e-post og telefonnummer. Digitale spor: er ip-adresse en personopplysning, informasjonskapsler (cookies) og posisjonsdata. Visuelt og lyd: Bilder, videoopptak eller lydfiler der enkeltpersoner kan gjenkjennes. Atferdsdata: Kjøpsmønstre, brukslogg i apper og lønnsopplysninger.

Samsvarsanalyse av datatyper

Alminnelige personopplysninger

• Navn, adresse, IP-adresse, kundenummer
• Krever gyldig behandlingsgrunnlag (f.eks. samtykke eller avtale)

Særlige kategorier (Sensitive)

• Helse, religion, etnisitet, biometri
• Strenge restriksjoner; krever eksplisitt unntak eller samtykke

Anonyme data

• Statistikk uten mulighet for kobling
• Faller utenfor personopplysningslovens definisjon

Håndtering av digitale spor hos en nettbutikk

En norsk nettbutikk opplevde utfordringer med å definere hvilke kundedata de faktisk trengte. De samlet inn alt fra IP-adresser til hele nettleserhistorikken for å 'forbedre brukeropplevelsen', men innså ikke at mye av dette var overflødig.

Det første forsøket på opprydding skapte kaos. De slettet informasjonskapsler som var nødvendige for handlekurven, noe som førte til at kundene mistet varene sine. Frustrasjonen var til å ta og føle på da salget falt den uken.

Etter en gjennomgang innså de at de måtte skille mellom nødvendig teknisk data for kjøp og unødvendig sporing. De implementerte en ny løsning for samtykke der kundene aktivt valgte hva som skulle lagres.

Resultatet ble en økning i tillit hos kundene målt gjennom spørreundersøkelser, og de reduserte mengden lagret data. De lærte at mindre data ofte er bedre for både sikkerhet og brukeropplevelse. ^[2]