Sensitive personopplysninger
Sensitive personopplysninger brukes ofte som en praktisk betegnelse på det GDPR kaller særlige kategorier av personopplysninger. Dette er opplysninger som kan gi høy risiko for den registrerte hvis de behandles feil eller kommer på avveie.
Slike opplysninger krever ekstra vurdering, sterkere sikkerhet og et tydelig grunnlag for behandlingen. Det er ikke nok at opplysningen er nyttig for virksomheten.
Hva regnes som sensitive personopplysninger?
Særlige kategorier omfatter blant annet opplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion eller filosofisk overbevisning, fagforeningsmedlemskap, genetiske data, biometriske data brukt for entydig identifikasjon, helseopplysninger og opplysninger om seksuelle forhold eller seksuell orientering.
Andre personopplysninger kan også ha høyt beskyttelsesbehov selv om de ikke er særlige kategorier. Lønnsopplysninger, kredittopplysninger og fødselsnummer bør for eksempel behandles med varsomhet.
Når kan slike opplysninger behandles?
Behandling av særlige kategorier er i utgangspunktet forbudt, med mindre virksomheten både har et behandlingsgrunnlag og et særskilt unntak som åpner for behandlingen. Det kan for eksempel være uttrykkelig samtykke, lovpålagte plikter eller andre situasjoner som regelverket åpner for.
Virksomheten bør dokumentere hvorfor behandlingen er nødvendig, hvilke opplysninger som behandles, hvem som har tilgang og hvordan opplysningene sikres.
Praktiske tiltak
Begrens tilgang, bruk gode rutiner for sletting, vurder kryptering og sørg for at avvik håndteres raskt. Les mer om samtykke i GDPR, informasjonssikkerhet og datainnbrudd.