Hva regnes som sårbare personopplysninger?

Sårbare personopplysninger: Hva er definisjonen?

Å forstå hva regnes som sårbare personopplysninger er avgjørende for å etterleve strenge krav til personvern. Feilbehandling av sensitive kategorier utgjør betydelig juridisk risiko og store økonomiske konsekvenser for virksomheter. Det er nødvendig å identifisere disse dataene korrekt for å sikre at de mottar ekstraordinær sikring og nødvendig samtykke ved behandling.

Hva regnes som sårbare personopplysninger?

Når man spør hva regnes som sårbare personopplysninger, avhenger det helt av konteksten. Det finnes ikke nok informasjon til å konkludere umiddelbart bare basert på dagligtale. Folk bruker ofte ordet sårbar om alt de vil holde hemmelig, men lovverket opererer med en langt strengere definisjon. Denne guiden forklarer nøyaktig hva som gjelder.

Særlige kategorier i lovverket

I Norge og EU er disse strengt definert i personopplysningsloven definisjoner og GDPR. Dette inkluderer helseopplysninger, genetiske og biometriske data, seksuell orientering, fagforeningsmedlemskap, samt politisk og religiøs overbevisning. Det er farlig å blande vanlige personopplysninger med hva er særlige kategorier av personopplysninger. Feilhåndtering av disse kategoriene fører ofte til bøter på opptil 20 millioner euro.^[2] Behandling krever ekstraordinær sikring og nesten alltid et uttrykkelig samtykke.

Forskjellen på dagligtale og streng jus

La oss være ærlige - jussen her er ekstremt forvirrende. Folk flest antar instinktivt at kredittkortinformasjon er særlige kategorier av personopplysninger. Slik er det faktisk ikke. Selv om finansiell informasjon er svært beskyttelsesverdig, faller den utenfor den strengeste juridiske definisjonen. Helt utrolig.

Da jeg for noen år siden bygget et nytt kundesystem, gjorde jeg akkurat denne feilen. Jeg kategoriserte brukernes kontonumre som formelt sensitive data i databasen. Resultatet? Vi brukte tre uker på å bygge et unødvendig komplekst samtykkesystem som irriterte brukerne grenseløst. Etter mye frustrasjon og en prat med vår advokat, lærte jeg at vi bare trengte vanlig behandlingsgrunnlag kombinert med sterk kryptering. Feilen kostet mye tid og penger.

Personnummer - myten om sensitivitet

Er personnummer en sensitiv opplysning? Nei, rent juridisk er det ikke det. Personnummer er i en helt egen klasse. Loven sier at de bare kan behandles når det er et saklig behov for sikker identifisering. Mange nybegynnere roter med akkurat dette skillet, noe som fører til mye unødvendig byråkrati internt i bedrifter.

Når ufarlige data blir en risiko

Mange tror at så lenge de holder seg unna direkte helsejournaler, er de helt trygge. Men her er en kontraintuitiv sannhet - vanlige data kan plutselig bli sensitive hvis de settes sammen på riktig måte. Tenk på en handleliste fra matbutikken.

Isolert sett er dette bare matvarer. Men kombinert over tid kan mønsteret avsløre en persons religiøse overbevisning eller helsetilstand, for eksempel ved systematisk kjøp av diabetesvennlig mat. Det er viktig å forstå hvordan kombinasjon av vanlige data kan avsløre sensitive mønstre.^[3] Datatilsynet slår hardt ned på slik skjult profilering.

Sammenligning av ulike datakategorier

Alminnelige personopplysninger

- Krever vanlig behandlingsgrunnlag, for eksempel oppfyllelse av avtale

- Navn, e-postadresse, IP-adresse og kundenummer

- Data som direkte eller indirekte kan identifisere en person

Beskyttelsesverdige data

- Vanlig behandlingsgrunnlag, men krever saklig behov og streng tilgangskontroll

- Personnummer, kredittkortopplysninger og passord

- Data som ikke er lovdefinert som sensitive, men som likevel krever høy sikring

⭐ Særlige kategorier (Sensitive data)

- Krever vanlig behandlingsgrunnlag pluss et spesifikt unntak, vanligvis uttrykkelig samtykke

- Helseopplysninger, fagforeningsmedlemskap og biometriske data

- Uttømmende definert i GDPR artikkel 9 som strengt forbudt å behandle uten unntak

HR-avdelingens dyre lekse i datainnsamling

Kari, en HR-leder på 35 år i Oslo, ønsket å kartlegge trivselen på arbeidsplassen. For å få best mulig innsikt, sendte hun ut en detaljert digital spørreundersøkelse til alle bedriftens 150 ansatte.

Første forsøk ble en intern skandale. Hun inkluderte uformelle spørsmål om ansattes fagforeningstilhørighet og mentale helsehistorikk for å forstå kulturen bedre. Hun lagret alt ukryptert i et vanlig sky-regneark uten tilgangskontroll.

Noen dager senere fikk hun en krass e-post fra bedriftens advokat. Kari innså tabben - hun hadde uforvarende samlet inn lovdefinerte sensitive opplysninger uten uttrykkelig samtykke eller sikkerhetstiltak. Hun slettet filen umiddelbart.

Etter 2 uker med omstrukturering lanserte hun en ny, anonymisert versjon som kun ba om trivselsscore fra 1-10. Svarprosenten økte med 45 %, bedriften unngikk sanksjoner, og Kari lærte at overinnsamling av data alltid straffer seg.