Følsomme personoplysninger er de særlige kategorier, som artikel 9 i GDPR beskytter med et udgangspunkt om forbud mod behandling. Kategorien omfatter blandt andet helbred, politiske holdninger og fagforeningsforhold. En virksomhed skal både have et behandlingsgrundlag efter artikel 6 og kunne anvende en relevant undtagelse fra artikel 9’s forbud.
Det er derfor utilstrækkeligt at skrive »legitim interesse« eller »kunden har en aftale« ud for en helbredsoplysning. Omvendt betyder artikel 9 ikke, at samtykke altid er nødvendigt. Den praktiske opgave er at klassificere indholdet, begrunde begge retlige led og begrænse den konkrete anvendelse. Her vises fremgangsmåden med et udfyldt eksempel om tilgængelighed ved et kursus.
Hvilke oplysninger er omfattet?
Artikel 9 omfatter oplysninger, der afslører race eller etnisk oprindelse, politiske holdninger, religiøs eller filosofisk overbevisning og fagforeningsmæssigt tilhørsforhold. Hertil kommer genetiske data, biometriske data med det formål entydigt at identificere en person, helbredsoplysninger samt oplysninger om seksuelle forhold eller seksuel orientering.
Klassifikationen følger indhold og sammenhæng, ikke blot feltets navn. En kommentar i et almindeligt kontaktfelt kan indeholde en diagnose. En liste over medlemmer af en politisk organisation kan afsløre politisk tilhørsforhold, selv om listen kun viser navne. Datatilsynet beskriver kategorierne i sin vejledning om personoplysninger.
| Oplysning | Praktisk afgrænsning |
|---|---|
| Løn eller kontonummer | Kan kræve fortrolig håndtering, men er ikke alene en artikel 9-kategori |
| CPR-nummer | Særskilt reguleret i dansk ret; ikke automatisk en følsom kategori efter artikel 9 |
| Meddelelse om en konkret sygdom | Helbredsoplysning, selv om den står i en almindelig e-mail |
| Portrætfoto | Ikke automatisk biometrisk identifikation; indholdet kan dog afsløre andre følsomme forhold |
| Ansigtsdata brugt til entydig adgangskontrol | Kan være biometriske data omfattet af artikel 9 |
| Oplysning om en straffedom | Særskilt reguleret efter artikel 10 og danske suppleringsregler |
Undgå dermed en enkelt mappe med etiketten »følsomt«, som skjuler forskellige regler. Brug afgrænsningen af personoplysninger som første trin og registrér den relevante underkategori, når den har betydning for grundlag og beskyttelse.
De ti undtagelser skal læses med deres betingelser
Artikel 9, stk. 2, opstiller ti undtagelser. Oversigten er et navigationsredskab; overskriften alene dokumenterer ikke, at en undtagelse kan anvendes.
| Litra | Undtagelsens område | Afgørende afgrænsning |
|---|---|---|
| a | Udtrykkeligt samtykke | Bestemte formål og gyldigt samtykke; lovgivning kan begrænse muligheden |
| b | Arbejdsret og social beskyttelse | Nødvendighed og relevant retligt eller overenskomstmæssigt grundlag med garantier |
| c | Vitale interesser | Personen kan fysisk eller juridisk ikke give samtykke |
| d | Visse organisationers legitime aktiviteter | Bestemte formål, personkreds og garantier; begrænsning af ekstern videregivelse |
| e | Tydeligt offentliggjort af personen selv | Ikke blot fundet på internettet eller offentliggjort af en anden |
| f | Retskrav og domstole | Nødvendighed for retskrav eller domstolenes judicielle funktion |
| g | Væsentlige samfundsinteresser | Grundlag i EU-ret eller national ret og passende garantier |
| h | Sundheds- og socialområdet | De angivne formål og betingelser, herunder artikel 9, stk. 3 |
| i | Folkesundhed | Relevant lovgrundlag og særlige beskyttelsesforanstaltninger |
| j | Arkiv, forskning og statistik | De retlige betingelser og garantier, herunder artikel 89 |
Den fulde ordlyd og de yderligere betingelser fremgår af GDPR’s artikel 9. Eksempelvis giver en organisations almennyttige formål ikke automatisk adgang til undtagelsen i litra d. Den bestemmelse vedrører bestemte politiske, filosofiske, religiøse eller fagforeningsmæssige formål og en afgrænset personkreds.
Artikel 6 og artikel 9 er to forskellige led
Undtagelsen fra artikel 9 ophæver ikke behovet for et almindeligt behandlingsgrundlag. Det er heller ikke korrekt, at legitim interesse som artikel 6-grundlag generelt er udelukket, blot fordi oplysningerne er følsomme. Det kan ikke stå alene, og begge bestemmelsers betingelser skal være opfyldt.
En relevant undtagelse ved retskrav kan eksempelvis kræve en særskilt vurdering af det passende artikel 6-grundlag. Et sundhedstilbud kan have andre retlige forudsætninger end en frivillig app. Man kan ikke vælge en kombination alene ud fra, hvilke felter et it-system tilbyder.
Datatilsynet fremhæver netop behovet for et grundlag og en undtagelse ved følsomme oplysninger i sin vejledning om lovlig behandling. Brug derefter guiden til artikel 6 til at begrunde det almindelige grundlag for hvert formål.
Udfyldt eksempel: en kursusdeltagers adgangsbehov
Den fiktive kursusudbyder Lindekursus vil sikre adgang til et fysisk kursuslokale. Den oprindelige formular beder om diagnose, medicin og en beskrivelse af deltagerens funktionsnedsættelse. Projektlederen vurderer, at disse detaljer ikke er nødvendige for at vælge et tilgængeligt lokale.
Formularen ændres til en frivillig kontaktmulighed om konkrete tilpasningsbehov. Medarbejderen, der håndterer henvendelsen, spørger kun til det praktiske behov. Et svar som »jeg har brug for trinfri adgang på grund af min bevægelsesbegrænsning« kan stadig være en helbredsoplysning. Mindre indsamling gør ikke automatisk oplysningen almindelig.
| Beslutningsfelt | Udfyldt resultat i eksemplet |
|---|---|
| Formål | Aftale konkret adgang til det valgte kursus |
| Nødvendige oplysninger | Relevant adgangsbehov og kontakt til deltageren |
| Udeladte oplysninger | Diagnose, medicinliste og generel sygehistorik |
| Valgt retligt spor | Frivilligt, specifikt og udtrykkeligt samtykke undersøges for dette særskilte flow |
| Adgang | Den medarbejder, der planlægger tilpasningen |
| Besked til lokaleansvarlig | Det praktiske krav til lokalet uden unødvendig helbredsbeskrivelse |
| Afslutning | Oplysninger slettes, når tilpasningen er afsluttet og et konkret nødvendigt opfølgningsbehov er ophørt |
Eksemplet forudsætter, at deltageren har et reelt frit valg, og at øvrige retlige krav til tilgængelighed og ydelsen vurderes særskilt. Hvis samtykke ikke er frivilligt i den faktiske ordning, er en underskrift utilstrækkelig. Virksomheden skal ændre processen eller finde et andet faktisk anvendeligt grundlag og en passende undtagelse.
Beslutningen er samtidig, at adgangsbehov ikke indgår i salgsteamets almindelige kundesegmenter. En medarbejder må ikke kopiere teksten ind i CRM-systemets generelle noter, blot fordi det er praktisk. Tilpasningen er et bestemt formål, ikke en tilladelse til at genbruge helbredsoplysninger i hele virksomheden.
Udtrykkeligt samtykke handler om tilkendegivelsen
Udtrykkeligt samtykke kræver en udtrykkelig erklæring om den relevante behandling. Det kan tilrettelægges digitalt; et bestemt fysisk papir eller en bestemt signaturteknologi er ikke et generelt krav. En afkrydsning kan indgå i en udtrykkelig erklæring, hvis indhold, handling og øvrige samtykkebetingelser faktisk opfylder kravene.
I Lindekursus-eksemplet bør teksten præcisere de oplysninger, som bruges til den ønskede tilpasning, og formålet med dem. En fælles boks med »jeg accepterer vilkår, nyhedsbrev og behandling af mine oplysninger« giver ikke den nødvendige afgrænsning. Gem den relevante tekstversion og den dokumenterede tilkendegivelse.
Tilbagetrækning skal være let og have en praktisk følge i systemerne. Den ændrer ikke lovligheden af allerede udført behandling, men virksomheden skal håndtere den fortsatte behandling og forklare konsekvenserne for den ønskede tilpasning. Se kravene til samtykke efter artikel 7.
Den danske lovgivning supplerer undtagelserne
Databeskyttelsesloven indeholder blandt andet regler om følsomme oplysninger i § 7 og om ansættelsesforhold i § 12. § 7, stk. 2, vedrører nødvendig behandling for arbejdsretlige forpligtelser og specifikke rettigheder, mens stk. 3 omhandler bestemte sundhedsformål med krav om lovbestemt tavshedspligt. Efter § 7, stk. 4, kræver behandling af hensyn til væsentlige samfundsinteresser efter artikel 9, stk. 2, litra g, tilladelse fra tilsynsmyndigheden, når behandlingen ikke foretages for en offentlig myndighed; en privat virksomheds egen interesseafvejning erstatter ikke denne tilladelse. Der kan desuden være relevant sektorlovgivning. Se den gældende lovbekendtgørelse på Retsinformation.
Det betyder ikke, at enhver arbejdsgiver kan indsamle enhver helbredsoplysning med henvisning til HR. Nødvendighed, den konkrete opgave, personkreds og adgang skal stadig kunne forklares. Et behov for at administrere et fravær er ikke automatisk et behov for hele patientjournalen.
Ved CPR-numre skal den særskilte § 11-vurdering foretages. Ved straffedomme og lovovertrædelser er artikel 10 og de danske regler relevante. At oplysninger opfattes som meget private i daglig tale afgør ikke, hvilken bestemmelse virksomheden skal bruge.
Beskyt hele forløbet og vurder ændringer
Sikkerheden skal svare til risikoen for de berørte. Lindekursus begrænser adgang til henvendelserne, beskytter overførslen og forhindrer unødvendige eksportkopier. Den praktiske artikel 32-skabelon kan forbinde hvert tiltag med en ansvarlig og en konkret kontrol.
Behandling af følsomme oplysninger i stort omfang er et af de tilfælde, artikel 35 særligt nævner. Andre kombinationer kan også medføre sandsynlig høj risiko. Vurder behovet for en DPIA konkret; en enkelt følsom oplysning er ikke automatisk det samme som behandling i stort omfang. Se et udfyldt eksempel på en konsekvensanalyse.
Lindekursus’ slutkontrol følger en konstrueret henvendelse gennem formular, adgangsgruppe, besked til lokaleansvarlig og sletning. Den finder en unødvendig kopi i et fælles planlægningsark, som fjernes fra arbejdsgangen. Dermed bliver klassifikation og retligt grundlag koblet til det sted, hvor oplysningerne faktisk behandles.