Følsomme personoplysninger er en lukket liste i GDPR artikel 9. Den omfatter oplysninger om race og etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data brugt til at identificere en person, helbred og seksuelle forhold eller seksuel orientering. Alt andet er i lovens forstand almindelige personoplysninger.
Det overrasker mange, for listen stemmer dårligt med, hvad folk selv opfatter som privat. Løn står ikke på den. CPR-nummeret gør heller ikke. Alligevel skal begge dele beskyttes særligt, og derfor arbejder man i Danmark i praksis med flere kategorier end to.
Kategorierne i praksis
| Kategori | Hvad hører til | Regler |
|---|---|---|
| Almindelige personoplysninger | Navn, adresse, telefonnummer, mail, stilling, fødselsdato, billede, kundenummer | GDPR artikel 6 |
| Fortrolige oplysninger | CPR-nummer, løn, økonomi og gæld, familieforhold, ansættelsesforhold som advarsler og opsigelser | Er almindelige oplysninger, men kræver ekstra beskyttelse. CPR-nummer har egne regler i databeskyttelseslovens § 11 |
| Følsomme personoplysninger | De særlige kategorier på listen i artikel 9 | Forbudt som udgangspunkt. Kræver en undtagelse i artikel 9 ud over grundlaget i artikel 6 |
| Strafbare forhold | Straffedomme, sigtelser, straffeattester | GDPR artikel 10 og databeskyttelseslovens § 8 |
Datatilsynet gennemgår kategorierne under Grundlæggende begreber, og lovteksten står i databeskyttelsesforordningen.
Ordet “personfølsom”, som mange bruger i daglig tale, findes ikke i loven. Det dækker som regel over en blanding af fortrolige og følsomme oplysninger. Det er helt i orden som hverdagssprog, så længe medarbejderne ved, at de to grupper har forskellige regler.
Almindelige personoplysninger er stadig beskyttet
Navnet “almindelige” kan give indtryk af, at oplysningerne er frit tilgængelige. Det er de ikke. En kundes mailadresse må kun bruges til det formål, den blev indsamlet til, den skal slettes, når formålet er opfyldt, og en liste med 4.000 mailadresser, der bliver sendt til en forkert modtager, er et brud på persondatasikkerheden.
Forskellen ligger i, hvor meget der skal til for at behandle dem lovligt, og hvor hårdt de skal beskyttes.
Hvor hører CPR-nummeret til?
CPR-nummeret er den oplysning, der giver flest spørgsmål. Efter GDPR er det en almindelig personoplysning. I Danmark har det sine egne regler, og det regnes som fortroligt.
Private virksomheder må kun behandle CPR-numre, når det følger af lovgivningen, når personen har givet samtykke, eller når en af de øvrige betingelser i databeskyttelsesloven er opfyldt. Arbejdsgiveren skal bruge det til at indberette løn til Skattestyrelsen, og så er grundlaget på plads. En webshop, der beder om CPR-nummer for at oprette en kundeprofil, har det sjældent.
For medarbejderne er tre regler nok:
- Bed kun om CPR-nummer, når der er en klar grund, og brug et andet id, hvis det kan gøre arbejdet.
- Send det aldrig i en almindelig, ukrypteret mail. Datatilsynet kræver kryptering, når fortrolige og følsomme oplysninger sendes over internettet.
- Skriv det ikke i emnefelter, filnavne eller fritekstfelter, hvor det kan ses af flere end nødvendigt.
Følsomme oplysninger, I måske ikke vidste, I havde
De færreste virksomheder uden for sundhedssektoren opfatter sig selv som nogen, der behandler følsomme oplysninger. De fleste gør det alligevel.
I HR. En sygemelding med en diagnose er en helbredsoplysning. Det samme er en note om, at en medarbejder er gravid, eller en aftale om skånehensyn efter en operation. At en medarbejder er sygemeldt, uden at årsagen er nævnt, regnes normalt ikke som en helbredsoplysning.
I lønsystemet. Trækkes fagforeningskontingent over lønnen, fremgår medlemskabet af lønsedlen. Det er en følsom oplysning.
I kantinen og til arrangementer. En tilmeldingsliste med “glutenallergi” eller “spiser ikke svinekød” kan afsløre helbred eller religion.
I adgangskontrollen. Fingeraftryk eller ansigtsgenkendelse brugt til at låse en dør op er biometriske data.
I kundedialogen. En kunde, der i en mail forklarer en forsinket betaling med en indlæggelse, har givet jer en helbredsoplysning, I ikke bad om. Den skal stadig håndteres korrekt.
Et navn kan også blive følsomt af sammenhængen. En liste over medlemmer af en patientforening indeholder kun navne og adresser, men den fortæller noget om helbred.
Hvad kræver artikel 9 af jer?
Udgangspunktet er et forbud. For at behandle følsomme oplysninger skal I have et grundlag i artikel 6 og derudover kunne pege på en af undtagelserne i artikel 9, stk. 2. De mest brugte er udtrykkeligt samtykke, arbejdsretlige forpligtelser og behandling, der er nødvendig for at fastlægge eller forsvare et retskrav. Vi har beskrevet de almindelige grundlag i artiklen om, hvornår I må behandle personoplysninger efter GDPR.
I det daglige betyder det skærpede krav hele vejen rundt: færre personer med adgang, kryptering ved forsendelse, kortere opbevaring og større omhu med, hvor oplysningerne bliver skrevet ned. Går det galt, vejer det også tungere. Et brud, der omfatter følsomme oplysninger, skal oftere anmeldes til Datatilsynet, og de berørte skal oftere have besked.
En test, medarbejderne kan bruge
Når en medarbejder står med en oplysning og er i tvivl, hjælper tre spørgsmål:
- Kan oplysningen knyttes til en bestemt person? Hvis ja, er det en personoplysning.
- Handler den om helbred, fagforening, religion, politik, etnicitet, seksualitet, biometri eller genetik? Hvis ja, er den følsom.
- Ville personen forvente, at den blev holdt inden for en snæver kreds, som ved løn, CPR-nummer, gæld eller en advarsel? Hvis ja, er den fortrolig.
Svarer man ja til 2 eller 3, gælder de strenge regler: kun adgang for dem, der skal bruge oplysningen, sikker forsendelse og sletning, når formålet er opfyldt.
Gør forskellen genkendelig
Kategorierne er nemme at lære. De er sværere at bruge, når indbakken er fuld. Medarbejderne husker dem bedst, når de har set dem i deres egne arbejdsgange: receptionisten med gæstelisten, lederen med sygefraværssamtalen, kundeservicemedarbejderen med mailen om indlæggelsen.
I vores GDPR træning arbejder medarbejderne med den type situationer. Indholdet er udviklet i samarbejde med specialister i databeskyttelsesret, og scenarierne kan tilpasses de oplysninger, jeres organisation faktisk behandler. I casen fra AP Pension kan I se, hvordan kurset blev rullet ud i rollebaserede versioner som fælles basisviden for alle, der arbejder med persondata.
