Sensitive personopplysninger etter GDPR: hva du må vite

Hva regnes som sensitive personopplysninger

GDPR artikkel 9 omtaler særlige kategorier av personopplysninger. Mange kaller dem sensitive personopplysninger. Det er en praktisk betegnelse, ikke en egen kategori i loven. Reglene for slike opplysninger er en del av det du finner oversikt over i regler for nettsider og netthandel: komplett guide for bedrifter.

Kategoriene omfatter blant annet opplysninger om helse, religion eller livssyn, politisk oppfatning, fagforeningsmedlemskap, etnisk opprinnelse, genetiske data, biometriske data som brukes til å identifisere en person, og seksuell orientering.

Personnummer er ikke en særlig kategori, men en spesiell personopplysning som skal behandles med særlig varsomhet. Telefonnummer er en personopplysning, men ikke sensitivt i seg selv. Hva som er personopplysninger følger av GDPR artikkel 4: definisjoner og personopplysninger.

Behandling er et bredt begrep. Det omfatter innsamling, registrering, organisering, lagring, endring, utlevering og sletting. Også manuelle papirfiler kan omfattes når de er systematisk ordnet.

Forbudet og det særskilte behandlingsgrunnlaget

Utgangspunktet er et generelt forbud mot å behandle sensitive personopplysninger. Det finnes unntak, men de må passe til situasjonen. Du kan ikke behandle sensitive opplysninger bare fordi du har en vanlig kundedialog.

For sensitive opplysninger trenger du et særskilt behandlingsgrunnlag etter artikkel 9. NHO viser til ti mulige behandlingsgrunnlag. For en liten bedrift er uttrykkelig samtykke ofte det mest aktuelle. Samtykket må gjelde behandling av sensitive opplysninger for ett eller flere spesifikke formål. Et annet alternativ kan være at behandlingen er nødvendig for å oppfylle arbeidsrettslige, trygderettslige eller sosialrettslige plikter.

I tillegg må du ha et alminnelig behandlingsgrunnlag etter artikkel 6. Det kan for eksempel være avtale, rettslig forpliktelse eller berettiget interesse. Du kan lese mer om dette i GDPR artikkel 6: behandlingsgrunnlag for personopplysninger.

Skal du behandle sensitive opplysninger i stort omfang, må du først vurdere konsekvensene for personvernet. Datatilsynet har veiledning om denne vurderingen. For en liten bedrift er det lurt å spørre seg om du kan løse oppgaven med mindre sensitive opplysninger.

Slik kartlegger du behandlingen

Start med en enkel kartlegging. Lag en liste over hvor sensitive opplysninger kan dukke opp: skjemaer på nettsiden, e-post, ansattmapper, fakturaer, chat, bookingsystem og papir. Noter formålet med hver behandling og hvem som har tilgang.

Tenk gjennom hva slags opplysninger virksomheten faktisk får. En håndverker kan få opplysninger om allergi eller tilgangsbehov. En nettbutikk kan få helseopplysninger i en returmelding. En lokal tjenesteleverandør kan få fagforeningsmedlemskap i en HR-sak. Spør om du trenger opplysningen for å levere tjenesten, eller om du kan løse oppgaven uten.

Unngå fritekstfelt der kunden kan skrive helseopplysninger uten at du har bedt om det. Lag egne felt med en tydelig begrunnelse bare når det er nødvendig. Et telefonnummer er en personopplysning, men ikke sensitivt i seg selv. Se Er telefonnummer personopplysninger etter GDPR?.

Andre opplysninger kan også ha høyt beskyttelsesbehov selv om de ikke er i en særlig kategori. Det gjelder særlig når de knyttes til sårbare grupper. Vurder derfor hele sammenhengen, ikke bare enkeltfeltet.

Sikkerhet, tilgang og sletting

Begrens tilgang. Bare de ansatte som trenger opplysningene for å utføre jobben, skal ha tilgang. Bruk egne mapper, roller og logging der det er mulig. Gå gjennom tilgangene når noen slutter eller bytter oppgave.

Ikke send sensitive opplysninger ukryptert på e-post. Vurder kryptering eller en sikker delingsløsning. Dette er et praktisk råd som også OsloMet trekker frem i sin sikkerhetsinstruks.

Lag rutiner for sletting. Opplysningene skal ikke lagres lenger enn nødvendig. Sletting gjelder også kopier i e-post, backup og papir. Les mer om sletting og makulering av personopplysninger etter GDPR.

Håndter avvik raskt. Hvis sensitive opplysninger kommer på avveie, må du kunne begrense skaden, dokumentere hendelsen og vurdere om den skal varsles. En kort avviksrutine er bedre enn ingen rutine.

Vanlige fallgruver i små bedrifter

En vanlig fallgruve er å bruke samtykke som en blankofullmakt. Et samtykke må være uttrykkelig og knyttet til et spesifikt formål. Et annet problem er fritekstfelt som samler inn mer enn du trenger, og gamle e-poster som blir liggende i innboksen.

En annen fallgruve er å tro at personnummer alltid er en særlig kategori. Det er det ikke, men det skal behandles med særlig varsomhet. Behandle derfor personnummer som en opplysning med høyt beskyttelsesbehov, ikke som vanlig kundedata.

Lag en enkel årlig rutine. Oppdater kartleggingen, sjekk tilganger, rydd i skjemaer og test at sletting faktisk fungerer. Dokumenter vurderingene kort, slik at du kan vise hva du har gjort hvis du får spørsmål.

Nettsaga lager nettsider for små bedrifter og legger vekt på skjemaer som samler inn minst mulig. Vil du se hvordan det kan gjøres for din virksomhet, kan du book en demo.

Vanlige spørsmål

Hva er sensitive personopplysninger etter GDPR?

Det er opplysninger i særlige kategorier etter artikkel 9, blant annet om helse, religion, politisk oppfatning og seksuell orientering.

Er personnummer sensitive personopplysninger?

Personnummer er ikke en særlig kategori, men en spesiell personopplysning som skal behandles med særlig varsomhet.

Kan vi behandle sensitive opplysninger med samtykke?

Ja, med uttrykkelig samtykke for ett eller flere spesifikke formål. Du må også ha et alminnelig behandlingsgrunnlag etter artikkel 6.

Må vi slette sensitive opplysninger?

Du skal ikke lagre dem lenger enn nødvendig. Sletting gjelder også kopier i e-post, backup og papir.

Hva gjør vi hvis sensitive opplysninger sendes på e-post ved uhell?

Bruk avviksrutinen: begrens skaden, dokumenter hendelsen og vurder om den skal varsles.