Hvad er følsomme personoplysninger
Skrevet af Kira Kolby Christensen, advokat og partner 07-01-2020
En personoplysning er defineret som en oplysning om en fysisk person, som er eller kan identificeres. At det blot skal være muligt at kunne identificere den pågældende betyder, at også IP-adresser, kreditkortnumre, medlemsnumre, journaloplysninger mv. vil være personoplysninger omfattet af reglerne for behandling af personoplysninger, fordi de er personhenførbare.
Der gælder ikke nogen bagatelgrænse for, hvad der kan være en personoplysning omfattet af GDPR-reglerne. Også blot skostørrelse og hårfarve kan derfor være personoplysninger, hvis registreringen heraf er relateret til en konkret og identificerbar person.
Det kan derfor være en god idé at søge juridisk rådgivning til de GDPR-relaterede spørgsmål, som med sikkerhed vil opstå i forbindelse med administrationen af reglerne i organisationen. Du er altid velkommen til at kontakte os - så vi kan drøfte dine muligheder nærmere.
Typer af personoplysninger
Behandlingsreglerne, der bestemmer i hvilket omfang behandling af personoplysninger i det hele taget må finde sted, og som i udgangspunktet gælder for al persondatabehandling, inddeler oplysninger i følgende kategorier:
- Den særlige kategori af oplysninger (følsomme oplysninger), som blandt andet omfatter etnisk baggrund, helbredsmæssige, religiøse og seksuelle forhold samt fagforeningsmæssige forhold.
- Almindelige oplysninger, såsom navn, adresse, anciennitet, forfremmelser, erhvervsmæssige titler og økonomiske forhold mv.
- Oplysninger om strafbare forhold, som er særligt reguleret i § 8 i den supplerende databeskyttelseslov
- CPR-nummer, som er særligt reguleret i § 11 i den supplerende databeskyttelseslov
Betingelser for behandling af personoplysninger
For hver kategori er fastsat de kriterier, som skal være opfyldt for at man kan behandle oplysningen. Begrebet behandling omfatter i den forbindelse enhver form for håndtering af personoplysninger – herunder indsamling, registrering, opbevaring, videregivelse, sletning, filtrering, sammenstilling, kiggeadgang mv.
Behandling uden den registreredes samtykke
Der kan i særlige tilfælde ske behandling uden den registreredes samtykke. Eksempelvis hvis behandlingen er nødvendig af hensyn til at forfølge en legitim interesse der overstiger den registrerede interesser, af hensyn til at opfylde en kontrakt eller en retlig forpligtelse eller (hvis der er tale om følsomme personoplysninger), hvis behandlingen er nødvendig for fastlægge eller forsvare et retskrav.
Behandling af personoplysninger og databeskyttelsesloven
Derudover giver databeskyttelseslovens § 12 mulighed for at behandle oplysninger i forbindelse med ansættelsesforhold, hvis det er nødvendigt for at overholde en arbejdsretlig forpligtelse eller hvis man forfølge en legitim interesser, der udspringer af anden lovgivning eller kollektiv overenskomst.
Databeskyttelsesreglerne indebærer i øvrigt ikke en pligt, men kun en mulighed for at behandle personoplysninger. Man kan derfor ikke anvende reglerne til at pålægge en modpart – eksempelvis en arbejdsgiver i en ansættelsessag – til at udlevere oplysninger. Hvis man skal forpligte en part til at udlevere oplysninger, skal man hente hjælp i andre regler – eksempelvis i en arbejdsretlig forpligtelse, der måtte følge af overenskomst, kutyme eller lokalaftale.
De grundlæggende betingelser som dataansvarlig
Ved siden af de almindelige regler for behandling af personoplysninger skal den dataansvarlige desuden opfylde de helt grundlæggende betingelser. De indebærer, at indsamling skal ske til udtrykkeligt angivne og saglige formål, at indsamling kun skal omfatte de nødvendige og tilstrækkelige oplysninger til netop dette formål, at oplysningerne løbende skal opdateres og kvalitetssikres ved berigtigelse, ligesom de skal slettes, når de ikke længere er nødvendige til det oprindelige formål.
Overholdelse af reglerne for behandling af personoplysninger
Gennem årene har vi set mange eksempler på sager, hvor den dataansvarlige er blevet kritiseret for at have indsamlet og behandlet personoplysninger i strid med persondatalovens regler. I sin seneste praksis – efter Databeskyttelsesforordningen – har Datatilsynet desuden indstillet to virksomheder til bøder på henholdsvis 1.2 og 1.5 mio. kr. for navnlig manglende sletning af følsomme oplysninger.
Selvom behandlingsreglerne grundlæggende er de samme som efter den tidligere persondatalov, giver databeskyttelsesforordningen en række udfordringer, fordi forordningen forudsætter, at de dataansvarlige dokumenteret har kortlagt og overvejet deres behov for indsamling og behandling af personoplysninger.
For at kunne dokumentere, at databeskyttelsesforordningen og databeskyttelsesloven efterleves, skal alle offentlige myndigheder, virksomheder og foreninger som dataansvarlige kortlægge, hvad der sker med følsomme oplysningerne fra de indsamles til de slettes eller arkiveres.
Hvordan sikrer man overholdelse af persondatareglerne?
Kortlæg kategorierne af oplysninger, der behandles, typen af behandlinger, der foretages i organisationen samt hjemmelsbestemmelserne, man anvender som grundlag for behandlingerne.
Gennemgå de tekniske systemer og tilpas dem om nødvendigt, hvis ikke de lever op til det niveau af sikkerhed, som man vurderer, er nødvendigt (eksempelvis få implementeret et sikkermail-system, i fald man jævnligt sender fortrolige og følsomme oplysninger over nettet).
Udarbejd fortegnelser efter forordningens artikel 30, som tager udgangspunkt i virksomhedens overordnede behandlingsopgaver (ex. en fortegnelse for ”Markedsføring og kundepleje” en fortegnelse for ”HR” og en fortegnelse for ”Finansielle- og regnskabsmæssige forhold”).
Fordel ansvaret for overholdelsen af reglerne i organisationens lokale enheder (sørg for at uddanne personalet).
Læs ‘FIRE DOMME FRA HØJESTERET OM BEHANDLING AF PERSONOPLYSNINGER’
Fastlæg og informer internt om de procedurer, der skal følges for overholdelse af behandlingsreglerne samt også sikkerheds- og rettighedsreglerne, navnlig skal medarbejderne instrueres om at tage positivt stilling til, om en oplysning er nødvendig, hvis den ”falder uden for normalen”, og at slette oplysningen, hvis ikke den er nødvendig.
Udarbejd et årshjul for overholdelse af persondatareglerne, hvorved man jævnligt får opdateret sin interne dokumentation samt tilpasset de tekniske/organisatoriske sikkerhedsforanstaltninger til den evigt foranderlige virkelighed.
Kontakt
Det er også en god idé at søge juridisk bistand til de GDPR-relaterede spørgsmål, som med sikkerhed vil opstå ikke bare i den forberedende proces, men også efterfølgende i forbindelse med administrationen af reglerne i organisationen. Du er altid velkommen til at kontakte os - så vi kan drøfte dine muligheder nærmere.
