Er brukernavn en personopplysning?
Ja, et brukernavn kan være en personopplysning hvis det kan knyttes til en bestemt person. Det gjelder både når brukernavnet direkte viser hvem personen er, og når det kan kobles til personen gjennom andre opplysninger i et system.
Et brukernavn virker ofte ufarlig, men det kan være nøkkelen til en brukerprofil, tilgangshistorikk, logger, kjøp, kommunikasjon eller andre opplysninger.
Når blir et brukernavn personopplysning?
Et brukernavn er en personopplysning når virksomheten kan identifisere brukeren direkte eller indirekte. Det kan være fordi brukernavnet inneholder navn, e-postadresse, ansattnummer eller fordi det er knyttet til en konto i et internt system.
Selv et anonymt brukernavn kan være en personopplysning hvis virksomheten kan koble det til riktig person gjennom logger, IP-adresse, kundedata eller administrasjonssystemer.
Brukernavn og tilgangsstyring
Brukernavn brukes ofte i tilgangsstyring. Derfor bør virksomheten ha kontroll på hvem som har konto, hvilke rettigheter kontoen har, og når tilgangen skal fjernes.
Dette er en del av god informasjonssikkerhet. Utdaterte brukerkontoer, delte kontoer og svake rutiner kan gi unødvendig risiko.
Logger og historikk
Brukernavn dukker ofte opp i logger. Logger kan være nødvendige for sikkerhet og drift, men de bør ikke lagres lenger enn nødvendig. Virksomheten bør forklare hvorfor loggene brukes og hvem som har tilgang.
Ved sikkerhetshendelser kan brukernavn og logger også være relevante i vurderingen av GDPR og datainnbrudd.
Hva bør virksomheten gjøre?
- behandle brukernavn som personopplysninger når de kan knyttes til personer
- begrens tilgang til administrasjon og logger
- steng kontoer når ansatte eller brukere slutter
- bruk sterke passordrutiner og gjerne tofaktorautentisering
- ha rutiner for lagring og sletting av logger
Kort oppsummert
Brukernavn er ofte personopplysninger. Behandle dem derfor som en del av virksomhetens personvern- og sikkerhetsarbeid, spesielt når de brukes i systemtilganger, logger og brukerprofiler.