Det korte svar: Personfølsomme oplysninger, eller med det korrekte udtryk “følsomme personoplysninger”, er de oplysninger, GDPR artikel 9 kalder særlige kategorier af personoplysninger: race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data brugt til at identificere en person, helbredsoplysninger og oplysninger om seksuelle forhold eller seksuel orientering. Listen er udtømmende. Alt andet er som udgangspunkt almindelige personoplysninger, men nogle af dem er fortrolige og skal beskyttes ekstra, fx CPR-numre og løn. Oplysninger om straffedomme har deres egne regler.
Personfølsomme oplysninger eller følsomme personoplysninger?
“Personfølsomme oplysninger” er dagligsprogets ord. Det korrekte udtryk er “følsomme personoplysninger”, og i selve forordningen hedder det “særlige kategorier af personoplysninger”. De tre udtryk dækker det samme.
De fire typer personoplysninger, I skal kende
| Type | Hvad det er | Eksempler | Regelgrundlag |
|---|---|---|---|
| Almindelige personoplysninger | Alle oplysninger om en identificeret eller identificerbar person, der ikke hører til de andre typer | Navn, adresse, e-mail, telefonnummer, fødselsdato, billede, CV | GDPR artikel 6 |
| Fortrolige personoplysninger | Almindelige oplysninger, som efter almindelig opfattelse skal holdes for sig selv. Et dansk begreb | CPR-nummer, og efter omstændighederne løn og økonomi, ansættelsesforhold og interne familieforhold | Straffelovens § 152 og forvaltningslovens § 27, jf. Datatilsynets vejledning |
| Følsomme personoplysninger | Den udtømmende liste i artikel 9 | Helbred, etnisk oprindelse, religion, fagforening, seksuel orientering, biometri brugt til identifikation | GDPR artikel 9 |
| Særligt regulerede oplysninger | Oplysninger med egne regler | CPR-nummer, straffedomme og lovovertrædelser | Databeskyttelseslovens § 11 og § 8, GDPR artikel 10 |
Forskellen har betydning. Følsomme oplysninger må som udgangspunkt kun behandles, hvis en af undtagelserne i artikel 9 gælder. Og Datatilsynet vurderer, at kryptering som udgangspunkt er en passende sikkerhedsforanstaltning, når fortrolige og følsomme personoplysninger sendes med e-mail via internettet.
Er det en personfølsom oplysning? Oversigt
| Oplysning | Følsom (art. 9)? | Hvad er den så? |
|---|---|---|
| Navn | Nej | Almindelig |
| Initialer | Nej | Almindelig |
| Adresse | Nej | Almindelig |
| E-mailadresse | Nej | Almindelig |
| Alder og fødselsdag | Nej | Almindelig |
| Køn | Nej | Almindelig |
| Billede eller foto | Nej, som udgangspunkt | Almindelig. Kan blive følsom, hvis billedet afslører fx helbred, eller hvis det behandles teknisk for at identificere personen |
| Pas- og kørekortoplysninger | Nej | Almindelig. Oplysninger om udstedelse er heller ikke fortrolige, men pasnummer og pasbillede bør beskyttes mod misbrug |
| Nationalitet | Nej | Almindelig. Vær opmærksom, hvis den bruges til at sige noget om etnisk oprindelse |
| CPR-nummer | Nej | Fortrolig, særskilt reguleret i databeskyttelseslovens § 11 |
| Løn | Nej | Typisk fortrolig |
| Bankoplysninger og gæld | Nej | Typisk fortrolig |
| Antal sygedage | Nej | Almindelig |
| Diagnoser og sygefravær med årsag | Ja | Helbredsoplysninger |
| Fagforeningsmedlemskab | Ja | Følsom |
| Religion | Ja | Følsom |
| Straffeattest og lovovertrædelser | Nej | Særskilt reguleret i databeskyttelseslovens § 8 |
| Fingeraftryk og ansigtsgenkendelse | Ja, når det bruges til identifikation | Biometriske data |
Tabellen viser udgangspunktet. Konteksten kan ændre vurderingen. Det gælder især billeder og nationalitet.
Vil du have hjælp til at behandle persondata?
I vores nyhedsbrev du får tips og tricks til hvordan du lettere kan håndtere GDPR fra vores grundlægger Sebastian Allerelli.
Når du tilmelder dig vores nyhedsbrev, får du samtidig en gratis licens for én bruger til ShareSimple, som giver dig en e-mail i Outlook. Dette særlige tilbud er kun for nye kunder, med en grænse på én licens pr. virksomhed.
Er CPR-nummer, løn og foto personfølsomme oplysninger?
Er CPR-nummer en personfølsom oplysning?
Nej. CPR-nummeret er ikke på listen i artikel 9. Men det er en fortrolig oplysning, der er særskilt reguleret i databeskyttelseslovens § 11. Private virksomheder må kun behandle det, når en af betingelserne i § 11, stk. 2, er opfyldt, fx når det følger af lovgivningen, eller når personen har givet samtykke. Datatilsynet vurderer, at kryptering som udgangspunkt er passende, når CPR-numre sendes med e-mail via internettet.
Er løn en personfølsom oplysning?
Nej. Løn er en almindelig personoplysning efter GDPR. Men oplysninger om indtægt og økonomi kan være fortrolige, så de skal beskyttes bedre end fx et navn, også når de sendes på e-mail.
Er et foto en personfølsom oplysning?
Som udgangspunkt nej. Et billede af en person er en almindelig personoplysning. Det kan blive følsomt, hvis det afslører noget fra artikel 9-listen, fx helbred. Ifølge forordningens betragtning 51 er et foto kun biometriske data, når det behandles med en specifik teknisk metode, der kan identificere personen, fx ansigtsgenkendelse.
Er nationalitet en personfølsom oplysning?
Nej. Nationalitet er ikke på listen i artikel 9. Den er ikke det samme som etnisk oprindelse, men vær opmærksom, hvis den bruges til at sige noget om etnisk oprindelse.
Er pas-oplysninger en personfølsom oplysning?
Nej. Ifølge Datatilsynet er oplysninger om udstedelse af pas af rent objektiv karakter og ikke fortrolige. De er heller ikke følsomme. Selve pasbilledet og pasnummeret bør dog beskyttes, da de kan misbruges til identitetstyveri.
Er helbredsoplysninger personfølsomme?
Ja. Det omfatter fx sygdom, diagnoser, sygefravær med årsag, graviditet og handicap. Helbredsoplysninger er en af de typer, der oftest ligger forkert i virksomheder, typisk i HR’s mails.
Er straffeattest en personfølsom oplysning?
Nej, ikke efter GDPR artikel 9. Oplysninger om straffedomme og lovovertrædelser har deres egne regler i artikel 10 og databeskyttelseslovens § 8. Private må behandle dem, hvis personen har givet udtrykkeligt samtykke, eller hvis det er nødvendigt for en berettiget interesse, der klart overstiger hensynet til personen.
Hvad med PII?
PII (personally identifiable information) er et amerikansk begreb. Det svarer nogenlunde til personoplysninger i GDPR, altså oplysninger der kan identificere en person. PII er ikke det samme som følsomme personoplysninger.
Hvad betyder det for jeres virksomhed?
- Behandlingsgrundlag: Følsomme oplysninger kræver, at en af undtagelserne i artikel 9 gælder, fx udtrykkeligt samtykke eller en arbejdsretlig forpligtelse. CPR-numre kræver hjemmel efter § 11.
- Kryptering: Datatilsynet vurderer, at kryptering som udgangspunkt er en passende sikkerhedsforanstaltning, når fortrolige og følsomme oplysninger sendes med e-mail via internettet.
- Sletning: Oplysningerne må ikke opbevares længere end nødvendigt (artikel 5, stk. 1, litra e). Det er her, mange virksomheder har problemer.
- Risikovurdering: Jo flere følsomme og fortrolige oplysninger I behandler, jo højere er risikoen, og jo stærkere skal sikkerheden være. Læs vores guide til GDPR-risikovurdering.
Hvor ligger de i virkeligheden?
De fleste virksomheder ved, at de har følsomme oplysninger i HR-systemet og lønsystemet. Problemet er alle de andre steder: sygemeldinger i indbakken, CPR-numre i regneark på OneDrive, lønsedler vedhæftet mails, gamle ansøgninger på et delt drev. Ifølge Safe Onlines egne scanninger indeholder op mod 7 % af alle dokumenter, mails og billeder følsomme oplysninger.
Hos SOFACOMPANY gav DataMapper 117.600 følsomme fund. Se kundehistorierne.
Find jeres personfølsomme oplysninger
En GDPR-risikovurdering viser, hvor følsomme og fortrolige oplysninger ligger i jeres Microsoft 365, hvor meget der er, og hvad der bør ryddes op først.
FAQ om personfølsomme oplysninger
Hvad er personfølsomme oplysninger?
Oplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmedlemskab, genetiske og biometriske data, helbred samt seksuelle forhold og orientering. Listen står i GDPR artikel 9 og er udtømmende.
Hvad er forskellen på almindelige og følsomme personoplysninger?
Almindelige personoplysninger er alle oplysninger om en person, der ikke står på artikel 9-listen. Følsomme oplysninger må som udgangspunkt kun behandles, hvis en særlig undtagelse gælder.
Hvad er fortrolige oplysninger?
Almindelige oplysninger, der efter almindelig opfattelse skal holdes for sig selv, fx CPR-nummer og efter omstændighederne løn, økonomi og ansættelsesforhold. Begrebet er dansk, og oplysningerne skal beskyttes ekstra.
Er CPR-nummer en følsom oplysning?
Nej, men det er fortroligt og særskilt reguleret i databeskyttelseslovens § 11.
Må virksomheder behandle personfølsomme oplysninger?
Ja, hvis en af undtagelserne i artikel 9 gælder, fx udtrykkeligt samtykke, en arbejdsretlig forpligtelse eller et retskrav. Behandlingen skal også være nødvendig og sikret.
Læs mere
Sebastian Allerelli
Grundlægger & COO hos Safe Online
Sebastian er medstifter og COO i Safe Online, hvor han fokuserer på at automatisere processer og udvikle innovative løsninger inden for databeskyttelse og compliance. Med en baggrund fra Copenhagen Business Academy og erfaring inden for identitets- og adgangsstyring har han en skarp forståelse for GDPR og datasikkerhed. Som forfatter på Safe Online's Videnshub deler Sebastian sin ekspertise gennem praktiske råd og dybdegående analyser, der hjælper virksomheder med at navigere i det komplekse GDPR-landskab. Hans indlæg kombinerer teknisk indsigt med forretningsforståelse og giver konkrete løsninger til effektiv compliance.
