Er vitnemål sensitiv informasjon?

er vitnemål sensitiv informasjon: Sikker deling siden 2017

Mange lurer på om vitnemål er sensitiv informasjon ved deling av personlige dokumenter med potensielle arbeidsgivere eller skoler. Riktig håndtering av disse opplysningene forhindrer misbruk og sikrer at uvedkommende ikke får tilgang til resultatene dine. Forståelse for trygge delingsmetoder beskytter din identitet og gir deg full oversikt over hvem som ser din dokumentasjon.

Hva sier loven egentlig om sensitive personopplysninger?

Svaret er faktisk ganske enkelt: Et vitnemål regnes ikke som «sensitive personopplysninger» etter loven. Dette skyldes at begrepet er veldig snevert definert og kun gjelder spesifikke kategorier som helseopplysninger, kriminelle forhold, politisk eller religiøs oppfatning, etnisitet og seksuell identitet. Informasjonen på et vitnemål - navn, fødselsnummer, karakterer og utdanning - faller utenfor denne definisjonen.

Men bare fordi det ikke er «sensitive» i juridisk forstand, betyr det ikke at det er fritt frem å dele. Vitnemål inneholder personopplysninger som er beskyttelsesverdige. Fødselsnummeret alene er grunn nok til å behandle dokumentet med forsiktighet. Loven skiller mellom ulike typer personopplysninger, men alle typer skal behandles på en måte som ivaretar personvernet.

Hva er definisjonen på sensitive personopplysninger?

Etter personopplysningsloven og EUs personvernforordning (GDPR) er kategoriene for sensitive opplysninger uttømmende listet opp. Dette inkluderer informasjon om helsetilstand, straffbare forhold, politisk eller religiøs oppfatning, etnisk bakgrunn, seksuelle forhold, medlemskap i fagforeninger, samt genetiske og biometriske data. Vitnemål inneholder karakterer og utdanningsresultater - dette er ikke på denne listen. NDLA, som er Norges offisielle læringsressurs, beskriver nettopp at slike dokumenter inneholder vanlige personopplysninger som navn og fødselsnummer, men ikke det loven definerer som sensitivt.

Hvorfor må jeg likevel være forsiktig med å dele vitnemålet mitt?

Selv om vitnemål ikke er klassifisert som sensitive personopplysninger, er dokumentet svært beskyttelsesverdig. Fødselsnummeret som står på vitnemålet, er en nøkkel som kan brukes til identitetstyveri. I kombinasjon med navn, adresse og utdanningshistorikk gir dette nok informasjon til at noen kan utgjøre seg for å være deg i ulike sammenhenger.

Datatilsynet påpeker at all behandling av personopplysninger skal skje på en betryggende måte. For vitnemål betyr dette at du bør unngå å sende dem på vanlig, ukryptert e-post. Vanlig e-post er som å sende et postkort - hvem som helst underveis kan i teorien lese innholdet. Et vitnemål som sendes på denne måten, er ikke tilstrekkelig beskyttet.

Hva er risikoen ved å sende vitnemål på vanlig e-post?

Når et vitnemål sendes via standard e-post uten kryptering, ligger informasjonen åpent tilgjengelig på e-postserverne underveis. Dette kan sammenlignes med å legge dokumentet i en postkasse uten konvolutt. Risikoen er todelt: For det første kan uvedkommende få tilgang til fødselsnummeret ditt og misbruke det. For det andre kan dokumentet bli liggende i innboks og utboks over lang tid, der det kan bli funnet av andre som har tilgang til kontoen.

Jeg har selv opplevd å måtte sende vitnemål til en potensiell arbeidsgiver som insisterte på å motta det på vanlig e-post. Løsningen ble å legge dokumentet i en kryptert ZIP-fil med et sterkt passord som ble formidlet via SMS. Det er litt mer styr, men tryggheten det gir er verdt det. Så snart arbeidsgiver bekreftet mottak, slettet jeg dokumentet fra min egen utboks.

Slik deler du vitnemålet ditt på en trygg måte

Det finnes flere gode alternativer til vanlig e-post når du skal dele vitnemålet ditt. Det viktigste er at du bruker en løsning som er laget for å håndtere sensitiv informasjon.

Vitnemålsportalen – den offisielle løsningen

Den sikreste måten å dele vitnemål på er via Vitnemålsportalen. Denne tjenesten ble etablert i 2017^[2] og driftes av Kunnskapsdepartementet. Portalen gjør at du som eier av vitnemålet selv bestemmer hvem som skal få tilgang, hvilken informasjon de skal se, og for hvor lenge. Dette er den løsningen som anbefales av både utdanningsinstitusjoner og offentlige myndigheter. Dokumenter som deles via Vitnemålsportalen, kan kun verifiseres i sin opprinnelige digitale form, noe som også beskytter mot forfalskninger.

Sikre meldingstjenester og kryptering

Hvis du må sende vitnemålet ditt utenom Vitnemålsportalen, finnes det andre trygge alternativer. Mange offentlige virksomheter og større selskaper har egne sikre innbokser i Altinn eller lignende tjenester. Privatpersoner kan bruke krypterte e-posttjenester som sikrer innholdet underveis. Et enkelt triks er å legge dokumentet i en passordbeskyttet fil (for eksempel en kryptert ZIP-fil) og dele passordet via en annen kanal, for eksempel SMS eller telefon.

Ofte stilte spørsmål om vitnemål og personvern

Slik sender du vitnemål: Risiko ved ulike metoder

Vitnemålsportalen

1. Full kontroll: du bestemmer hvem som ser dokumentet og hvor lenge
2. Enkel å bruke, men krever at mottaker har tilgang til portalen
3. Høyest – utviklet av Kunnskapsdepartementet for akkurat dette formålet
4. Deling med offentlige instanser, utdanningsinstitusjoner og arbeidsgivere

Kryptert e-post / sikker meldingstjeneste

1. Moderat – dokumentet ligger i mottakers innboks etter åpning
2. Krever at begge parter har tilgang til tjenesten eller forstår kryptering
3. Høyt – innholdet er beskyttet under overføring
4. Deling med private arbeidsgivere eller enkeltpersoner som ikke bruker Vitnemålsportalen

Vanlig, ukryptert e-post

1. Ingen – dokumentet ligger åpent i to e-postbokser
2. Enklest, men på bekostning av sikkerhet
3. Lav – dokumentet kan leses underveis
4. Bør unngås. Velg heller krypterte alternativer

Hvordan Sofie sikret vitnemålet sitt før jobbintervju

Sofie, 24 år fra Bergen, hadde akkurat fullført bachelor i økonomi og skulle sende vitnemålet til en aktuell arbeidsgiver. Hun var usikker - skulle hun bare vedlegge i e-posten? Tidligere hadde hun sendt karakterutskrifter på vanlig e-post uten å tenke over det.

Første gangen hun skulle sende det nye vitnemålet, fant hun plutselig ut at hun ikke visste om det var trygt. Hun googlet reglene og fant ut at vitnemål inneholder fødselsnummer - og at det derfor bør behandles som konfidensiell informasjon, selv om det ikke er en «sensitiv opplysning» i lovens forstand.

Sofie tok kontakt med arbeidsgiver og forespurte om de kunne motta dokumentet via sikker løsning. De hadde ikke Vitnemålsportalen, men var enige om at hun kunne sende det som en passordbeskyttet PDF, der passordet ble oppgitt over telefon.

Det tok henne fem minutter å sette opp, og hun fikk bekreftelse på at dokumentet var mottatt og passordet brukt. Hun slettet deretter dokumentet fra sin egen utboks. Tryggheten hun følte etterpå, gjorde at hun nå alltid tar de ekstra forhåndsreglene når hun deler dokumenter med fødselsnummeret sitt.