GDPR artikkel 4: definisjoner og hva som er personopplysninger

Hva artikkel 4 er, og hvorfor den kommer først

Artikkel 4 er stedet der forordningen forklarer hva den mener med ordene den bruker. Den definerer blant annet personopplysninger, behandling av personopplysninger, den registrerte, behandlingsansvarlig, databehandler, samtykke, mottaker og personopplysningsbrudd. Siden resten av GDPR bruker de samme ordene, er definisjonene med på å avgjøre hvilke plikter som faktisk gjelder for deg.

De fleste små virksomheter behandler personopplysninger uten å tenke over det. En håndverker har navn, adresse og telefonnummer til kundene, en nettbutikk har kjøpshistorikk og leveringsadresser, og en lokal tjenesteleverandør har e-posttråder og kontaktskjemaer. Regler for nettsider og netthandel: komplett guide for bedrifter gir oversikt over pliktene, og artikkel 4 er begrepsgrunnlaget du leser resten med.

En vanlig feil er å hoppe rett til samtykke og databehandleravtaler uten å ha avklart begrepene. Da blir det uklart hvem som er ansvarlig og hva som skal stå i avtalene. Ta definisjonene først, så plasserer resten seg lettere.

Personopplysninger: definisjonen i artikkel 4 nr. 1

Etter artikkel 4 nr. 1 er personopplysninger enhver opplysning om en identifisert eller identifiserbar fysisk person. Personen kalles den registrerte. Det er ikke et krav at navnet står der, det er nok at personen kan identifiseres direkte eller indirekte, for eksempel via et identifikasjonsnummer, lokasjonsdata eller en nettidentifikator.

Identifiserbarhet er en vurdering, ikke en egenskap ved den enkelte opplysningen. Et kundenummer kan virke uskyldig, men hvis du kan koble det til en navneliste, er det en personopplysning. Det samme gjelder en e-postadresse, en IP-adresse eller et bilde der personen kan gjenkjennes. Vurderingen handler om hva som er rimelig å få til, ikke om hva som er teoretisk mulig for enhver.

Pseudonymiserte opplysninger er fortsatt personopplysninger, fordi de kan knyttes tilbake til en person med tilleggsinformasjon du oppbevarer et annet sted. Anonymiserte opplysninger faller utenfor, men da må koblingen være reelt fjernet, ikke bare flyttet. Opplysninger om et firma som ikke sier noe om enkeltpersoner er heller ikke personopplysninger, men en navngitt kontaktperson i firmaet er det.

Et praktisk grep er å gå gjennom skjemaene på nettsiden og skrive ned hvert felt dere samler inn, og hvor opplysningene havner etterpå. Fritekstfelt er ofte der det dukker opp opplysninger du ikke ba om.

Behandling, behandlingsansvarlig og databehandler

Behandling er definert vidt: enhver operasjon som gjøres med personopplysninger, som innsamling, registrering, lagring, endring, sammenstilling, utlevering, sletting og tilgjengeliggjøring. At noe bare ligger i en mappe uten at noen åpner den, regnes også som behandling.

Behandlingsansvarlig er den som alene eller sammen med andre fastsetter formålet med behandlingen og hvilke midler som brukes. Databehandler er den som behandler opplysningene på vegne av den behandlingsansvarlige. Kort sagt: den behandlingsansvarlige bestemmer hvorfor, databehandleren gjør jobben etter instruks.

Den vanligste fallgruven er å anta at leverandøren tar ansvaret. Et webhotell, et regnskapsbyrå eller et bookingsystem behandler opplysninger for deg, men det er du som er behandlingsansvarlig og må ha et skriftlig grunnlag. GDPR artikkel 28 og databehandleravtale: hva kreves? går gjennom hva avtalen skal inneholde.

Den registrerte, samtykke og de øvrige begrepene

Den registrerte er personen opplysningene handler om. Samtykke er definert som en frivillig, spesifikk, informert og uttrykkelig viljeserklæring der den registrerte aksepterer behandlingen. Det betyr at samtykket må være aktivt gitt og må kunne trekkes tilbake. Samtykke er likevel bare ett av flere mulige grunnlag, og GDPR artikkel 6: behandlingsgrunnlag for personopplysninger går gjennom alternativene.

Artikkel 4 definerer også mottaker og tredjepart, personopplysningsbrudd, filsystem og pseudonymisering. Et personopplysningsbrudd er et brudd på sikkerheten som fører til at opplysninger blir ødelagt, mistet, endret eller kommer på avveie. Begrepet dekker mer enn hacking, for eksempel en e-post med kundeliste sendt til feil adresse.

Nettidentifikator er et begrep verdt å merke seg. Informasjonskapsler og tilsvarende teknologier kan identifisere en person over tid, og da er de personopplysninger. Informasjonskapsler på nettsiden: dette sier reglene forklarer hva som kreves før du setter dem.

Særlige kategorier og grensen mot artikkel 9

Artikkel 4 definerer også genetiske opplysninger, biometriske opplysninger og helseopplysninger. Disse hører til de særlige kategoriene, og behandling av dem er som hovedregel forbudt etter artikkel 9 med mindre et av unntakene gjelder. GDPR artikkel 9: særlige kategorier av personopplysninger går gjennom unntakene og hva de krever.

I praksis er det fritekst som lager problemer. Et felt for merknader i et bookingskjema kan fylles med diagnoser, og en e-post med beskjed om sykdom er en helseopplysning. Vurder om dere trenger feltet i det hele tatt, og om dere kan begrense hva som lagres og hvem som ser det.

Når behandlingen er omfattende eller gjelder særlige kategorier, kan du måtte gjøre en konsekvensvurdering. GDPR artikkel 35: når trenger du konsekvensvurdering? forklarer når kravet inntrer.

Slik bruker du definisjonene i egen virksomhet

Begynn med en enkel oversikt: hvilke opplysninger dere behandler, hvor de kommer fra, hvor de lagres, hvem som ser dem, og hvor lenge de blir liggende. For de fleste små virksomheter er dette en side eller to i et regneark, og den fungerer som grunnlag for alt annet.

Deretter går du gjennom hver leverandør og sjekker rollen. Er de databehandlere, skal du ha en avtale. Overfører de opplysninger ut av EØS, må du vite det. Er du usikker på om noe er personopplysninger, behandler du det som det, det er den trygge veien.

Til slutt oppdaterer du personvernerklæringen slik at den bruker begrepene riktig og beskriver det dere faktisk gjør. Nettside er tjenesten der skjemaer, samtykke og personvern er en del av oppsettet fra start, og du kan book en demo hvis du vil se hvordan det ser ut i praksis.

Vanlige spørsmål

Hva regnes som personopplysninger etter GDPR?

Enhver opplysning om en identifisert eller identifiserbar fysisk person. Navn, adresse, telefonnummer, e-post, kundenummer og bilder er typiske eksempler, men også opplysninger som bare indirekte peker på en person omfattes.

Er en IP-adresse en personopplysning?

Den kan være det. Hvis IP-adressen kan knyttes til en bestemt person, for eksempel gjennom leverandørens logger eller annen informasjon du har, regnes den som personopplysning.

Hva er forskjellen på behandlingsansvarlig og databehandler?

Den behandlingsansvarlige bestemmer hvorfor og hvordan opplysningene behandles. Databehandleren utfører arbeidet på vegne av den behandlingsansvarlige og skal ha skriftlig instruks, normalt i en databehandleravtale.

Gjelder GDPR artikkel 4 også for små bedrifter?

Ja. Personvernforordningen gjelder også små virksomheter når de behandler personopplysninger. Definisjonene i artikkel 4 brukes på samme måte uansett størrelse, men omfanget av plikter avhenger av hva dere faktisk gjør.

Er pseudonymiserte opplysninger fortsatt personopplysninger?

Ja, så lenge opplysningene kan knyttes tilbake til en person med tilleggsinformasjon som finnes et sted. Anonymiserte opplysninger faller utenfor, men da må koblingen være reelt fjernet.