GDPR artikkel 9: særlige kategorier av personopplysninger

Hva regnes som særlige kategorier av personopplysninger

Artikkel 9 gjelder opplysninger om rase eller etnisk opprinnelse, politisk oppfatning, religion eller filosofisk overbevisning, og fagforeningsmedlemskap. Den gjelder også genetiske opplysninger, biometriske opplysninger som brukes for å identifisere en person entydig, helseopplysninger, og opplysninger om seksuelle forhold eller seksuell legning. Mange omtaler dette som sensitive personopplysninger.

Det er verdt å merke seg at ikke alle opplysninger som føles sensitive, står i artikkel 9. Fødselsnummer, passord og økonomiske opplysninger krever sterk beskyttelse, men faller utenfor katalogen i artikkel 9. De vurderes etter de vanlige reglene, med krav til sikkerhet og tilgang. Det er med andre ord to ulike spørsmål: Er opplysningstypen forbudt etter artikkel 9, og er behandlingen ellers lovlig og forsvarlig?

Fotografier er en vanlig misforståelse. Et bilde regnes ikke automatisk som en særlig kategori. Et fotografi omfattes av definisjonen av biometriske opplysninger bare når det behandles med et særskilt teknisk middel som gjør det mulig å identifisere personen entydig. Et vanlig portrettbilde på nettsiden er altså ikke artikkel 9 i seg selv, men kan likevel avsløre forhold som er beskyttet, for eksempel at personen er sykmeldt eller er medlem av en forening.

To lag: artikkel 6 først, så artikkel 9

All behandling av personopplysninger må ha et behandlingsgrunnlag. Det kan være avtale, rettslig forpliktelse, viktige allmenne interesser, berettiget interesse, samtykke eller utøvelse av offentlig myndighet. Hva disse grunnlagene innebærer, er forklart i GDPR artikkel 6: behandlingsgrunnlag for personopplysninger, og hva som regnes som personopplysninger i det hele tatt finner du i GDPR artikkel 4: definisjoner og personopplysninger.

Poenget med to lag er at behandlingsgrunnlaget ikke er nok når opplysningene er av en særlig kategori. Du kan ikke lene deg på berettiget interesse alene dersom behandlingen samtidig omfatter helseopplysninger. Du må i tillegg ha et unntak fra forbudet i artikkel 9, og oppfylle vilkårene som gjelder for det unntaket du velger.

I praksis betyr det at vurderingen må gjøres før du samler inn opplysningene, ikke etterpå. Skriv ned hvilken opplysningstype det er, hvilket behandlingsgrunnlag du bruker, hvilket unntak i artikkel 9 som gjør behandlingen tillatt, og hvilke tiltak som begrenser omfanget. Den dokumentasjonen er også det du viser frem dersom noen spør.

For mange små virksomheter er den vanskeligste delen å oppdage at man i det hele tatt behandler slike opplysninger. Det skjer ofte i systemer som er satt opp for noe annet, som et bookingsystem med et fritekstfelt, en kundeprofil med notater, eller en e-postinnboks full av meldinger om sykdom.

Unntakene i artikkel 9 nr. 2

Forbudet er ikke absolutt. Artikkel 9 nr. 2 inneholder en rekke unntak, og de vanligste i en liten virksomhet er disse: den registrerte har gitt uttrykkelig samtykke, behandlingen er nødvendig for å oppfylle rettigheter og plikter i arbeidsretten, behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, og behandlingen er nødvendig av hensyn til allmenne folkehelseinteresser.

I tillegg finnes unntak for behandling som er nødvendig for arkivformål i allmennhetens interesse, for vitenskapelig eller historisk forskning eller for statistiske formål, i samsvar med vilkårene i artikkel 89. Det finnes også et unntak for viktige allmenne interesser på grunnlag av unionsretten eller nasjonal rett, der det er fastsatt egnede og særlige tiltak for å verne den registrertes rettigheter.

Uttrykkelig samtykke er det unntaket flest tyr til, men det har vilkår. Samtykket må være frivillig, spesifikt, informert og gitt ved en klar bekreftelse, og det må kunne dokumenteres og trekkes tilbake. Et generelt avkryssingsfelt i en vilkårsboks er ikke nok for helseopplysninger.

Flere av unntakene har egne vilkår som må oppfylles samtidig, for eksempel taushetsplikt for opplysninger i helsesektoren. Velg derfor unntak etter hva som faktisk er situasjonen, ikke etter hva som er lettest å formulere.

Norske særregler og dokumentasjon du bør ha

Personopplysningsloven utfyller GDPR på dette området. Loven har egne bestemmelser om behandling av særlige kategorier i arbeidsforhold, om behandling etter tillatelse eller forskrift, og om behandling for arkivformål, forskning og statistikk. Datatilsynet kan i særlige tilfeller gi tillatelse til å behandle særlige kategorier når det er nødvendig av hensyn til viktige allmenne interesser, etter reglene i personopplysningsloven. Sjekk lovteksten og veiledningen fra Datatilsynet for din situasjon, og ikke legg til grunn at en tillatelse gjelder generelt.

Har du personvernombud, eller er du forskningsinstitusjon, finnes det i noen tilfeller rådføringsplikt før behandlingen starter. For virksomheter som behandler særlige kategorier i stor skala, eller som bruker ny teknologi til å vurdere personer, kan det også være krav om konsekvensvurdering etter GDPR artikkel 35: når trenger du konsekvensvurdering?.

Bruker du leverandører som ser opplysningene, for eksempel et HR system, et regnskapssystem eller en markedsføringstjeneste, må du ha en avtale som regulerer behandlingen. Kravene til dette er beskrevet i GDPR artikkel 28 og databehandleravtale: hva kreves?. Sjekk særlig om leverandøren lagrer opplysningene utenfor EØS, og hvilke tilgangsrettigheter som er satt opp for dine egne ansatte.

Vanlige fallgruver i små virksomheter

Bilder på virksomhetens kontoer i sosiale medier er en gjenganger. Et bilde fra et arrangement kan avsløre at en person deltar i en bestemt forening, har en funksjonsnedsettelse eller er under behandling. Det er ikke uvanlig at slike bilder publiseres uten at noen har vurdert om de avdekker særlige kategorier, og uten et klart grunnlag for publiseringen.

Fritekstfelt er en annen fallgruve. Når ansatte kan skrive fritt i kundekortet, havner helseopplysninger, familiære forhold og liknende i systemet uten at noen har bestemt at det skal være der. En enkel regel om at slike notater skal holdes korte og saklige, og at helseopplysninger bare registreres der det er nødvendig for å levere tjenesten, fjerner mye risiko.

Allergier og tilrettelegging i en bookingsituasjon er et tredje eksempel. Skal du vite at en gjest ikke tåler nøtter, behandler du helseopplysninger, og du må ha et unntak for det. Ofte kan behovet løses ved at gjesten opplyser det i situasjonen, eller ved at opplysningen registreres midlertidig og slettes etter arrangementet.

Et fjerde punkt er at opplysningene kan samles opp i markedsføringsverktøy. Sporing og analyse kan i noen tilfeller avsløre helserelatert atferd. Hva som er tillatt av informasjonskapsler og sporing er omtalt i Informasjonskapsler på nettsiden: dette sier reglene.

Slik går du gjennom egen virksomhet

Start med en kartlegging av hvor personopplysninger faktisk ligger: skjemaer på nettsiden, kundesystem, e-post, regnskap, HR, lager og markedsføringsverktøy. Gå gjennom hvert system og spør om det inneholder opplysninger om helse, religion, fagforening, etnisk opprinnelse eller seksuelle forhold. Ta med fritekstfelt og vedlegg, for det er der de havner.

Når du har funnet noe, avgjør om opplysningen er nødvendig for formålet. Er svaret nei, fjern feltet eller slutt å samle inn opplysningen. Er svaret ja, dokumenter behandlingsgrunnlaget etter artikkel 6 og unntaket etter artikkel 9, sett en oppbevaringstid, og begrens tilgangen til dem som trenger den.

Til slutt: oppdater personvernerklæringen slik at den stemmer med det du faktisk gjør, og sørg for at de ansatte vet hvordan de skal håndtere slike opplysninger i praksis. De fleste avvik oppstår i den daglige håndteringen, ikke i policyen. En bredere oversikt over plikter knyttet til nettside og netthandel finner du i Regler for nettsider og netthandel: komplett guide for bedrifter.

Har du en nettside som samler inn opplysninger gjennom skjemaer eller booking, kan det være verdt å se på hvordan løsningen er satt opp. Nettsaga bygger nettsider for norske virksomheter, og du kan book en demo for å gå gjennom oppsettet, eller lese mer på tjenestesiden for nettside.

Vanlige spørsmål

Er en e-postadresse en særlig kategori av personopplysninger?

Nei. En e-postadresse er en vanlig personopplysning og vurderes etter artikkel 6. Det er innholdet den brukes til som kan gjøre den problematisk, for eksempel hvis den brukes i en liste over pasienter eller medlemmer av en forening.

Holder det med samtykke for å behandle helseopplysninger?

Samtykke kan være unntaket etter artikkel 9, men det må være uttrykkelig, frivillig, informert og dokumenterbart, og det må kunne trekkes tilbake. Du trenger fortsatt et behandlingsgrunnlag etter artikkel 6, og du må begrense behandlingen til det som er nødvendig.

Kan vi publisere bilder av kunder på nettsiden?

Et fotografi er ikke automatisk en særlig kategori, og regnes bare som biometriske opplysninger når det behandles med et særskilt teknisk middel for entydig identifikasjon. Men bildet kan avsløre helse, religion eller foreningsmedlemskap, så du må vurdere innhold og sammenheng og ha et grunnlag for publiseringen.

Hva skjer hvis vi behandler særlige kategorier uten gyldig grunnlag?

Da er behandlingen ulovlig, og du må enten stanse den eller vurdere den på nytt slik at den har grunnlag etter både artikkel 6 og artikkel 9. En gjennomgang bør også omfatte sletting av opplysninger du ikke hadde grunnlag for å samle inn.

Gjelder artikkel 9 for ansattopplysninger?

Ja. Opplysninger om ansattes helse, fagforeningsmedlemskap eller religion omfattes. Personopplysningsloven har egne bestemmelser om behandling av særlige kategorier i arbeidsforhold, så sjekk dem før du setter opp slik registrering.