Känsliga personuppgifter kallas i GDPR för särskilda kategorier av personuppgifter. Artikel 9 innehåller ett principiellt förbud mot att behandla dem. För att få använda uppgifterna behöver den personuppgiftsansvariga både en rättslig grund enligt artikel 6 och ett tillämpligt undantag från förbudet enligt artikel 9.2. Det räcker alltså inte att uppgifterna skulle vara användbara eller att organisationen har ett avtal med personen.
Den här guiden förklarar vilka uppgifter som omfattas, vad de tio undantagen faktiskt tillåter och vilka svenska bestämmelser som behöver kontrolleras. Den hjälper också till att skilja känsliga uppgifter från andra integritetskänsliga uppgifter, exempelvis personnummer. Bedömningen måste avse den konkreta behandlingen: samma uppgift kan behövas för ett ändamål men vara otillåten eller onödig i ett annat sammanhang.
Vilka uppgifter är känsliga enligt GDPR?
Artikel 9 omfattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Därutöver omfattas genetiska uppgifter, biometriska uppgifter för entydig identifiering, uppgifter om hälsa samt uppgifter om en persons sexualliv eller sexuella läggning. Listan är avgränsad, men uppgifternas innehåll måste bedömas bredare än namnet på ett fält i ett system.
Hälsouppgifter kan röra både fysisk och psykisk hälsa. En diagnos, ett provresultat och en anteckning om sjukfrånvaro kan avslöja hälsa på olika sätt. Även uppgifter som används för att dra slutsatser om en persons hälsotillstånd kan omfattas. Att kalla ett fält för kundanteckning eller livsstilsinformation förändrar därför inte automatiskt dess rättsliga karaktär.
Indirekta uppgifter behöver också bedömas. I EU-domstolens avgörande C-184/20 den 1 augusti 2022 omfattades publicering av uppgifter som indirekt kunde avslöja sexuell läggning av det förstärkta skyddet. Organisationen kan alltså inte utgå från att artikel 9 saknar betydelse bara för att den har tagit bort en uttrycklig fråga om läggning eller religion.
Fotografier är inte automatiskt biometriska uppgifter som omfattas av artikel 9. För den biometriska kategorin är den särskilda tekniska behandlingen och syftet att entydigt identifiera personen avgörande. Bilder kan emellertid också avslöja andra känsliga förhållanden. EDPB:s riktlinjer om videoenheter skiljer vanlig bildinsamling från behandling för att härleda känsliga kategorier. En regel om biometrik får inte användas som ett generellt undantag för alla fotografier.
En ekonomisk skuld eller en skyddad adress kan kräva omfattande skydd utan att vara en särskild kategori enligt artikel 9. Börja med vad som är en personuppgift, och bedöm sedan både rättslig kategori och faktisk risk. Dessa bedömningar kompletterar varandra. En uppgift kan vara mycket farlig att sprida även om den inte finns i artikelns uppräkning.
Två rättsliga prövningar för varje ändamål
Artikel 6 besvarar frågan vilken grund organisationen har för behandlingen. Artikel 9 besvarar varför det särskilda förbudet inte hindrar just den behandlingen. Vid obligatorisk hantering av vissa uppgifter i arbetslivet kan en rättslig förpliktelse enligt artikel 6 kombineras med undantaget för arbetsrätt i artikel 9.2 b, om samtliga förutsättningar är uppfyllda. Vilken förpliktelse det gäller måste kunna förklaras.
Ett berättigat intresse är inte generellt uteslutet som rättslig grund för känsliga uppgifter, men det ersätter aldrig ett artikel 9-undantag. Vid nödvändig hantering för att försvara ett konkret rättsligt anspråk kan exempelvis artikel 9.2 f behöva kombineras med en separat prövning enligt artikel 6.1 f. Intresseavvägningen måste då ta hänsyn till uppgifternas känslighet, nödvändigheten och den registrerades rättigheter. Myndigheter får inte använda artikel 6.1 f när de fullgör sina uppgifter.
Avtalsgrunden kräver att behandlingen är nödvändig för ett avtal med den registrerade eller vissa åtgärder före avtal på personens begäran. Ett avtal mellan organisationen och en IT-leverantör ger därför inte i sig avtalsgrund för alla personer i databasen. Skriv ned båda rättsliga leden innan insamlingen börjar, och skilj dem från de tekniska skyddsåtgärder som också behövs.
De tio undantagen från förbudet
1. Uttryckligt samtycke
Artikel 9.2 a kan tillämpas när personen uttryckligen samtycker till ett eller flera angivna ändamål. Samtycket måste dessutom vara frivilligt, specifikt, informerat och otvetydigt. Unionsrätten eller nationell rätt kan föreskriva att förbudet inte får hävas genom samtycke. Ett undertecknat dokument kan inte undanröja en sådan begränsning.
Uttryckligt samtycke kräver ett klart uttalande om den aktuella behandlingen. Det behöver inte alltid vara en underskrift på papper; även en tydlig digital förklaring kan fungera. Att bara bekräfta att man läst en integritetspolicy räcker däremot inte. Reglerna om samtycke behöver vara uppfyllda även när organisationen använder en särskild blankett för hälsouppgifter.
2. Arbetsrätt, social trygghet och socialt skydd
Artikel 9.2 b gäller nödvändig behandling för särskilda rättigheter och skyldigheter på dessa områden. Stöd måste finnas i unionsrätt, nationell rätt eller kollektivavtal enligt nationell rätt, med lämpliga skyddsåtgärder. Undantaget omfattar inte allt som en arbetsgivare vill veta. För sjuklön kan vissa uppgifter behövas, medan en bred kartläggning av anställdas sjukdomshistoria kräver en helt annan prövning.
3. Grundläggande intressen när personen inte kan samtycka
Artikel 9.2 c förutsätter nödvändighet för att skydda den registrerades eller någon annans grundläggande intressen och att den registrerade är fysiskt eller rättsligt förhindrad att samtycka. Akut hjälp till en medvetslös person kan aktualisera undantaget. Att en person inte har svarat på ett mejl, eller sannolikt skulle säga nej, är inte samma sak som att förutsättningarna är uppfyllda.
4. Vissa ideella organisationers verksamhet
Artikel 9.2 d gäller organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte, inom deras berättigade verksamhet och med lämpliga skyddsåtgärder. Behandlingen får avse medlemmar, tidigare medlemmar och personer med regelbunden kontakt i anslutning till organisationens ändamål. Det är inget generellt undantag för alla ideella föreningar. Uppgifterna får inte lämnas ut utanför organisationen utan den registrerades samtycke med stöd av detta undantag.
5. Uppgifter som personen själv tydligt offentliggjort
Artikel 9.2 e avser uppgifter som den registrerade på ett tydligt sätt har offentliggjort. Att information går att hitta på internet räcker inte. En läckt medlemslista, någon annans publicering eller ett felaktigt öppet konto visar inte att personen själv velat offentliggöra uppgifterna. Kontrollera vem som publicerade, i vilket sammanhang och för vilken krets. Övriga GDPR-krav gäller fortfarande.
6. Rättsliga anspråk och domstolars dömande verksamhet
Artikel 9.2 f gäller nödvändig behandling för att fastställa, göra gällande eller försvara rättsliga anspråk samt domstolars dömande verksamhet. Ett relevant läkarintyg kan behövas i en tvist, men undantaget motiverar inte att hela personens journal rutinmässigt samlas in. För en advokatbyrås personuppgiftsbehandling behöver kopplingen mellan materialet och det aktuella uppdraget eller anspråket kunna visas.
7. Viktigt allmänt intresse
Artikel 9.2 g kräver stöd i unionsrätt eller nationell rätt. Regleringen ska vara proportionerlig, respektera det väsentliga innehållet i rätten till dataskydd och innehålla lämpliga, särskilda skyddsåtgärder. Att ett projekt verkar samhällsnyttigt räcker inte. Organisationen behöver identifiera den rättsregel som gör just behandlingen tillåten och följa dess avgränsningar.
8. Hälso- och sjukvård samt social omsorg
Artikel 9.2 h omfattar bland annat förebyggande vård, yrkesmedicin, bedömning av arbetskapacitet, diagnoser, vård och behandling samt förvaltning av berörda system och tjänster. Behandlingen behöver stöd i unionsrätt eller nationell rätt, eller följa av avtal med en yrkesverksam på hälsoområdet, och uppfylla artikel 9.3 om tystnadsplikt. En vanlig friskvårdsapp blir inte automatiskt hälso- och sjukvård i denna mening.
9. Allmänt intresse på folkhälsoområdet
Artikel 9.2 i gäller exempelvis nödvändig behandling för skydd mot allvarliga gränsöverskridande hälsohot eller för kvalitets- och säkerhetskrav inom vården. Unionsrätt eller nationell rätt måste ge stöd och lämpliga, särskilda skyddsåtgärder, särskilt beträffande tystnadsplikt. Ett allmänt hälsorelaterat affärsmål är inte tillräckligt för att använda detta undantag.
10. Arkiv, forskning och statistik
Artikel 9.2 j gäller nödvändig behandling för arkivändamål av allmänt intresse, vetenskaplig eller historisk forskning och statistiska ändamål. Det krävs rättsligt stöd, proportionalitet och särskilda skyddsåtgärder enligt artikeln samt skydd enligt artikel 89.1. Att benämna vanlig kundanalys som forskning gör inte behandlingen tillåten. Forskningsetik, tillämplig lagstiftning och dataskydd behöver bedömas tillsammans.
Svenska kompletteringar att kontrollera
Den svenska dataskyddslagen kompletterar GDPR, samtidigt som särskilda sektorsregler kan ha företräde. I lagtextens tredje kapitel finns flera bestämmelser om känsliga uppgifter. Läs dem tillsammans med det aktuella artikel 9-undantaget; en allmän hänvisning till dataskyddslagen visar inte vilken behandling som är tillåten.
Enligt 3 kap. 2 § får känsliga uppgifter behandlas när det är nödvändigt för skyldigheter och särskilda rättigheter inom arbetsrätt, social trygghet och socialt skydd. Uppgifter som behandlas på den grunden får lämnas ut till tredje part endast om det finns en skyldighet på dessa områden att göra det, eller om den registrerade uttryckligen samtyckt till utlämnandet. Tillåten intern hantering betyder därför inte fri spridning till externa samarbetspartner.
För myndigheter innehåller 3 kap. 3 § vissa möjligheter till behandling av hänsyn till viktigt allmänt intresse. Bestämmelsen omfattar bland annat uppgifter som kommit in och måste behandlas enligt lag samt nödvändig ärendehandläggning. Den tredje situationen kräver ett viktigt allmänt intresse utan otillbörligt integritetsintrång. Vid behandling enbart med stöd av bestämmelsens första stycke är sökningar för att få fram ett personurval grundat på känsliga uppgifter förbjudna.
För vård och social omsorg finns 3 kap. 5 §, med krav på tystnadsplikt enligt artikel 9.3. Patientdatalagen och annan sektorsreglering måste också beaktas där de gäller. Dataskydd inom hälso- och sjukvården behöver därför bedömas utifrån verksamhetens verkliga uppdrag. Ett samtycke till en vårdåtgärd är inte automatiskt samma sak som samtycke som rättslig grund för journalhantering.
IMY:s vägledning om undantagen ger exempel på samspelet med svensk rätt. Den ersätter inte verksamhetens egen bedömning. Särskilt vid forskning, nya tekniska användningar och utlämnanden behöver den tillämpliga regleringen identifieras innan uppgifterna används.
Personnummer och brottsuppgifter följer andra regler
Personnummer och samordningsnummer är inte i sig särskilda kategorier enligt artikel 9. Enligt 3 kap. 10 § dataskyddslagen får de behandlas utan samtycke endast när det är klart motiverat av ändamålet, vikten av säker identifiering eller något annat beaktansvärt skäl. Organisationen måste fortfarande ha en rättslig grund enligt artikel 6 och följa principerna om bland annat uppgiftsminimering.
Fråga därför varför säker identifiering behövs i det konkreta flödet. Ett mindre ingripande kundnummer kan ibland räcka. Om ett personnummer används för att undvika sammanblandning mellan patienter är bedömningen en annan än vid prenumeration på ett allmänt nyhetsbrev. Samtycke gör inte onödiga uppgifter nödvändiga och undanröjer inte säkerhetskraven.
Brottsuppgifter omfattas i stället av artikel 10 och svenska kompletterande regler. Samtycke är inte ett allmänt frikort för privata arbetsgivare att registrera brottsuppgifter. Att uppgifterna inte hör till artikel 9 betyder alltså inte att arbetsgivaren fritt kan behandla dem enligt en vanlig intresseavvägning. Kartlägg rättsligt stöd separat när ett bakgrundskontrollsystem innehåller sådana uppgifter.
Från rättsligt stöd till praktiskt skydd
Börja med att begränsa insamlingen. I ett tänkt föreningsevenemang kan arrangören behöva veta vilken måltid som ska serveras, men inte ha tillgång till deltagarens hela sjukdomshistoria. Ett fritextfält kan ändå leda till att deltagare lämnar detaljerade hälsouppgifter. Matrisen för uppgiftsminimering hjälper till att pröva varje efterfrågat fält, medan instruktioner till deltagarna minskar risken för onödiga uppgifter.
Dokumentera ändamål, rättslig grund, artikel 9-undantag och relevanta svenska bestämmelser. Knyt underlaget till registerförteckningen, men skilj artikel 30:s uttryckliga registerkrav från ytterligare dokumentation som behövs för att visa laglighet. Informationen till de registrerade och systemens behörigheter måste därefter stämma med den dokumenterade bedömningen.
Begränsa åtkomsten efter arbetsuppgift. Den som planerar bemanning kan behöva information om tillgänglighet utan att kunna läsa medicinska detaljer. Bedöm kryptering, loggning, skyddade överföringar och återställning utifrån artikel 32 och den faktiska risken. Det finns ingen enda teknisk åtgärd som gör all behandling av känsliga uppgifter säker. Även en krypterad databas kan vara felaktigt tillgänglig för för många anställda.
Om leverantören behandlar uppgifter på organisationens instruktioner behövs ett skriftligt personuppgiftsbiträdesavtal eller en annan bindande rättsakt enligt unionsrätt eller medlemsstatsrätt; elektronisk form är tillåten. Kontrollera åtkomst, underbiträden och eventuella överföringar utanför EES. Ett biträdesavtal ersätter varken artikel 9-undantaget eller en separat prövning av överföringen.
Behandling i stor omfattning av särskilda kategorier är en uttrycklig grund för konsekvensbedömning i artikel 35.3 b. Även andra behandlingar kan medföra hög risk. Pröva kraven och tillämpliga undantag innan projektet börjar; mallen för konsekvensbedömning hjälper till att dokumentera analysen. Kravet på dataskyddsombud är en separat fråga. Bland annat omfattas verksamheter vars kärnverksamhet består i behandling av artikel 9- eller artikel 10-uppgifter i stor omfattning.
Bestäm också när uppgifterna ska tas bort eller få begränsad åtkomst. Ett avslutat ärende kan kräva viss fortsatt lagring enligt lag eller för rättsliga anspråk, men det motiverar inte att alla tidigare användningar fortsätter. Följ upp exportfiler, e-post och leverantörskopior. Lagringsminimering och gallring behöver omfatta hela flödet, inte bara fältet i huvudsystemet.
Vanliga frågor
Är personnummer alltid en känslig personuppgift?
Nej, inte enligt artikel 9:s särskilda kategorier. Svenska regler ger ändå ett särskilt skydd: behandling utan samtycke måste vara klart motiverad enligt 3 kap. 10 § dataskyddslagen. Övriga GDPR-krav gäller oavsett om samtycke används eller inte.
Räcker det att den anställde skriver under?
Nej. Frivilligheten måste vara verklig, vilket ofta är svårt i ett anställningsförhållande. Underskriften visar inte heller att uppgifterna behövs eller att eventuella nationella begränsningar följs. Bedöm först om en annan rättslig grund och ett annat artikel 9-undantag är tillämpliga för den nödvändiga behandlingen.
Får vi använda hälsouppgifter som ligger öppet på nätet?
Inte enbart därför att de är åtkomliga. Undantaget i artikel 9.2 e gäller uppgifter som personen själv tydligt offentliggjort. Även när det är uppfyllt behövs en rättslig grund och efterlevnad av övriga principer. Kontrollera alltså både publiceringssituationen och ert eget användningsändamål.
Blir uppgifterna anonyma om vi tar bort namnen?
Inte nödvändigtvis. Om personer kan identifieras med hjälp av andra uppgifter är materialet fortfarande personuppgifter. Pseudonymisering är en skyddsåtgärd, inte ett automatiskt undantag från GDPR. Bedöm särskilt små grupper, ovanliga diagnoser och tillgången till kompletterande information innan ett material behandlas som anonymt.