Personopplysninger og særlige kategorier: hvor går grensen?

Når dere fyller ut behandlingsoversikten, må dere ta stilling til hvilke typer personopplysninger dere behandler. De fleste vet at navn og fødselsnummer er personopplysninger. Færre er sikre på hvor grensen går til det GDPR kaller «særlige kategorier», og hvorfor akkurat den grensen er så viktig å få riktig.

Hva regnes som en personopplysning?

Personvernforordningen (GDPR) artikkel 4 nr. 1 definerer en personopplysning ganske vidt: enhver opplysning som direkte eller indirekte kan knyttes til en identifisert eller identifiserbar fysisk person. Navn og fødselsnummer er opplagte eksempler, men også ting som e-postadresse, IP-adresse, ansattnummer, lokasjonsdata eller et bilde kan være personopplysninger, så lenge de kan spores tilbake til en bestemt person, alene eller sammen med annen informasjon dere har tilgang til.

De aller fleste behandlinger en kommune eller fylkeskommune gjør, dreier seg om denne brede kategorien: kontaktinformasjon, saksbehandlingsopplysninger, ansattdata og lignende.

Hva er «særlige kategorier»?

Artikkel 9 nr. 1 definerer en egen, snevrere gruppe opplysninger som får et ekstra vern fordi de er spesielt sensitive for den de gjelder. Det er opplysninger om:

• Rasemessig eller etnisk opprinnelse
• Politisk oppfatning
• Religion eller filosofisk overbevisning
• Fagforeningsmedlemskap
• Genetiske opplysninger
• Biometriske opplysninger som brukes for å entydig identifisere en person
• Helseopplysninger
• Opplysninger om en persons seksuelle forhold eller seksuelle orientering

Hovedregelen i artikkel 9 er at slike opplysninger ikke skal behandles i det hele tatt, med mindre dere kan vise til et av unntakene i artikkel 9 nr. 2, for eksempel samtykke, en rettslig plikt eller at det er nødvendig av hensyn til liv og helse. Det holder altså ikke å ha et vanlig behandlingsgrunnlag etter artikkel 6. Dere trenger et grunnlag fra begge artiklene samtidig.

Straffedommer og lovbrudd: en tredje, egen kategori

Opplysninger om straffedommer og lovovertredelser hører verken hjemme i den vanlige kategorien eller blant de særlige kategoriene i artikkel 9. De reguleres av en egen bestemmelse, artikkel 10, og i Norge kreves det i tillegg en særskilt hjemmel i lov eller forskrift, eller tillatelse fra Datatilsynet, for at en virksomhet skal kunne behandle slike opplysninger. Dette er en av de strengeste kategoriene i hele regelverket, og det er lett å glemme at den finnes som noe annet enn helseopplysninger og lignende.

Hvorfor grensen betyr noe i praksis

Klassifiseringen påvirker flere ting samtidig. Behandlingsgrunnlaget blir strengere: dere må dokumentere et eget unntak etter artikkel 9 eller 10, i tillegg til det vanlige grunnlaget etter artikkel 6. Sikkerhetskravene skjerpes, siden konsekvensene av et avvik er større for den enkelte. Og behandling av særlige kategorier i stor skala er ett av kriteriene som ofte utløser krav om DPIA, nettopp fordi risikoen for den registrerte vurderes som høyere.

Fallgruver som er lette å overse

Grensen er sjelden et problem når opplysningen er åpenbar, som en diagnose i et journalsystem. Den glipper oftere i det som ser ut som vanlige tekstfelt. Et fritekstfelt om «tilrettelegging» eller «fravær» kan i praksis avsløre en helsetilstand. En liste over hvem som har meldt seg av et arrangement i regi av en fagforening, røper indirekte fagforeningsmedlemskap. Et notat om at noen er hentet av barnevernet, eller at en elev følger et alternativt opplegg av religiøse årsaker, kan begge falle inn under særlige kategorier selv om ingen har tenkt på det som «sensitiv informasjon» i øyeblikket det skrives ned.

Det er derfor verdt å stille spørsmålet på nytt for hver behandling, ikke bare for de åpenbare tilfellene: kan noe av dette, direkte eller indirekte, si noe om helse, religion, etnisitet, politisk syn, fagforeningstilhørighet eller seksuell orientering?

Hvor dette høres i Personvernkompasset

I behandlingsoversikten spør vi eksplisitt om dere behandler særlige kategorier, og ber dere da peke på riktig unntak etter artikkel 9 eller 10, med et eget felt for den lovhjemmelen som gjelder. Dette svaret gjenbrukes også når DPIA-behovsvurderingen vurderer om behandlingen krever en full DPIA, slik at dere ikke må tenke gjennom det samme spørsmålet to ganger. Er dere usikre på om noe faller innenfor, er svaret som regel å behandle det som om det gjør, inntil dere har vurdert det nærmere.