Følsomme personoplysninger

Følsomme personoplysninger hedder i forordningens sprog 'særlige kategorier af personoplysninger'. De er omfattet af et generelt behandlingsforbud. Du må kun behandle dem, hvis en af undtagelserne i Artikel 9, stk. 2 er opfyldt, og du skal have et behandlingsgrundlag efter Artikel 6 oveni.

GDPR - Article 9: Processing of special categories of personal data

De ni kategorier i Artikel 9

Listen er udtømmende og består af oplysninger om racemæssig eller etnisk oprindelse, politisk overbevisning, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data med henblik på entydig identifikation, helbredsoplysninger, seksuelle forhold og seksuel orientering. Bemærk formuleringen om biometri. Et ansigtsfoto er ikke i sig selv en følsom oplysning, men bliver det i det øjeblik du kører ansigtsgenkendelse på det for at identificere personen entydigt. Fingeraftryk til adgangskontrol falder derfor under Artikel 9, mens et almindeligt profilbillede i medarbejderkataloget ikke gør. Helbredsoplysninger favner bredere end diagnoser og omfatter også sygefravær, medicinforbrug, graviditet og oplysninger om arbejdsskader.

Forbud med undtagelser

Udgangspunktet i Artikel 9, stk. 1 er, at behandlingen er forbudt. Stk. 2 indeholder ti undtagelser, og de mest anvendte i dansk erhvervsliv er disse: udtrykkeligt samtykke fra den registrerede, behandling der er nødvendig for at overholde arbejdsretlige forpligtelser, behandling nødvendig for at retskrav kan fastlægges eller forsvares, og oplysninger som den registrerede selv åbenlyst har offentliggjort. Dertil kommer undtagelser for sundhedsvæsen, forskning og arkivformål. Bemærk ordet 'udtrykkeligt' foran samtykke. Kravene er strengere end ved almindeligt samtykke, og en passiv accept eller en generel afkrydsning i en kundeoprettelse er ikke nok. Personen skal tage aktivt stilling til netop de følsomme oplysninger.

Du skal have to grundlag, ikke ét

Den hyppigste fejl er at tro, at en undtagelse i Artikel 9 erstatter behandlingsgrundlaget i Artikel 6. Det gør den ikke. De to bestemmelser lægges oven på hinanden. Registrerer du sygefravær, har du typisk Artikel 6, stk. 1, litra c om retlig forpligtelse som grundlag, fordi anden lovgivning kræver registreringen, og Artikel 9, stk. 2, litra b om arbejdsretlige forpligtelser som undtagelse. Begge skal stå i din fortegnelse over behandlingsaktiviteter. Kan du ikke pege på både et grundlag og en undtagelse, må behandlingen ikke finde sted. Det er en god kontrol at køre igennem alle systemer med følsomme oplysninger en gang om året.

CPR-numre er ikke følsomme, men de er beskyttede

Et CPR-nummer siger intet om helbred, tro eller politisk overbevisning og er derfor ikke omfattet af Artikel 9. Danmark har til gengæld en særregel i databeskyttelseslovens § 11. Private virksomheder må kun behandle CPR-numre, når det følger af lovgivningen, når den registrerede har givet samtykke, eller når behandlingen sker til varetagelse af en berettiget interesse af væsentlig betydning og entydig identifikation er nødvendig. Datatilsynet har flere gange kritiseret virksomheder for at indsamle CPR-numre af ren bekvemmelighed, fx som kundenummer eller til aldersverifikation. Spørg dig selv, om et kundenummer kunne løse opgaven. Kan det, må du ikke bruge CPR-nummeret.

Straffedomme har deres egen bestemmelse

Oplysninger om strafbare forhold står ikke i Artikel 9, men i Artikel 10, og de har deres eget regelsæt. I Danmark suppleres bestemmelsen af databeskyttelseslovens § 8. Private virksomheder må som hovedregel ikke behandle oplysninger om strafbare forhold uden den registreredes udtrykkelige samtykke, eller hvis behandlingen er nødvendig for at varetage en berettiget interesse der klart overstiger hensynet til den registrerede. Indhenter du straffeattest ved ansættelse, skal du kunne begrunde hvorfor netop den stilling kræver det, og du må ikke opbevare attesten længere end nødvendigt for ansættelsesbeslutningen. Rutinemæssig indhentning af straffeattester på alle stillinger holder ikke.

Databrud med følsomme oplysninger

Et databrud skal anmeldes til Datatilsynet inden 72 timer efter, at du er blevet opmærksom på det, medmindre det er usandsynligt, at bruddet indebærer en risiko for de registrerede. Ved følsomme oplysninger er den vurdering næsten altid afgjort på forhånd. Lækkede helbredsoplysninger eller oplysninger om fagforeningsmedlemskab kan føre til diskrimination og stigmatisering, og risikoen er derfor sjældent lav. Er risikoen høj, udløser Artikel 34 desuden en pligt til at underrette de berørte personer direkte. Netop derfor er kryptering en så central foranstaltning: er de lækkede oplysninger krypterede, og er nøglen ikke kompromitteret, kan du normalt undlade at underrette de registrerede. Læg planen for anmeldelse på forhånd, for 72 timer går hurtigt.

Typiske situationer i danske virksomheder

De fleste virksomheder behandler følsomme oplysninger uden at have tænkt over det. Sygefraværsregistrering er helbredsoplysninger, også når feltet bare hedder 'fraværsårsag'. Kantinens liste over allergier og kostpræferencer rummer både helbredsoplysninger og oplysninger om religiøs overbevisning. Fagforeningstræk over lønsedlen afslører fagforeningsmæssigt tilhørsforhold. Arbejdsskadesager, skånehensyn og aftaler om nedsat tid indeholder alle helbredsoplysninger. Fingeraftryksscanneren ved indgangen er biometri til entydig identifikation. Ingen af delene er ulovlige, men de kræver hver især en undtagelse efter Artikel 9 og en tilsvarende stramning af adgangsstyringen. Gennemgå listen med din HR-funktion, for det er typisk der, oplysningerne samler sig.

Ekstra krav når du behandler følsomme oplysninger

Følsomme oplysninger hæver barren på flere andre punkter i forordningen. Artikel 32 om sikkerhed skal fortolkes strengere, hvilket i praksis betyder kryptering både i hvile og under overførsel samt adgang efter et need-to-know-princip fremfor generel afdelingsadgang. Behandler du følsomme oplysninger i stort omfang, udløser Artikel 35, stk. 3, litra b et krav om konsekvensanalyse, og Artikel 37, stk. 1, litra c kan gøre en databeskyttelsesrådgiver obligatorisk. Opbevaringsperioderne bør sættes kortere end for almindelige oplysninger. Endelig skal du være mere kritisk over for underdatabehandlere, fordi et databrud med helbredsoplysninger rammer de registrerede langt hårdere end et brud med leveringsadresser.

Vigtigste punkter

01Artikel 9 opregner ni kategorier, og listen er udtømmende
02Udgangspunktet er forbud, og du skal pege på en konkret undtagelse i stk. 2
03Du skal have både et grundlag efter Artikel 6 og en undtagelse efter Artikel 9
04CPR-numre er ikke Artikel 9-data, men er beskyttet af databeskyttelseslovens § 11
05Følsomme oplysninger i stort omfang udløser krav om konsekvensanalyse og ofte en DPO

Tilbage til alle regler