En personopplysning er en opplysning om en identifisert eller identifiserbar fysisk person. Navn og fødselsnummer er tydelige eksempler, men vurderingen stopper ikke der. Et kundenummer, en vurdering av arbeidsprestasjon eller en kombinasjon av sted og tidspunkt kan også være personopplysninger. Den praktiske oppgaven er å klassifisere data ut fra innholdet, sammenhengen og muligheten for å knytte dem til noen.
Definisjonen står i personvernforordningen artikkel 4 nr. 1, sammenholdt med fortalepunkt 26. Datatilsynets forklaring av personopplysninger viser hvordan både direkte og indirekte koblinger kan være relevante. En virksomhet bør derfor undersøke dataflyten før den merker et system eller en eksport som «uten personopplysninger».
Still tre spørsmål til hvert datasett
Det første spørsmålet er om opplysningene gjelder en fysisk person. En maskins modellnummer kan være rent teknisk informasjon. En logg som viser hvilken ansatt som brukte maskinen, når og til hvilken oppgave, kan samtidig fortelle noe om den ansatte. Samme fil kan inneholde både personopplysninger og andre opplysninger.
Det andre spørsmålet er om personen er identifisert eller kan identifiseres. Det er ikke nødvendig at alle som leser filen, kjenner navnet. Et internt register kan gi koblingen, eller opplysninger kan kombineres med andre rimelig tilgjengelige kilder. En unik kode er derfor ikke automatisk anonym.
Det tredje spørsmålet er hvilken behandling og hvilken aktør dere vurderer. Hvem har opplysningene? Hvilke tilleggsopplysninger kan vedkommende bruke? Hva skjer ved deling eller publisering? Noter vurderingens rammer, slik at konklusjonen ikke senere brukes på en større eksport eller en annen mottaker uten ny vurdering.
Skill personopplysninger fra private opplysninger
Personvernregelverket omfatter mer enn intime eller hemmelige forhold. En offentlig arbeidstelefon eller et navn på virksomhetens nettsted kan være personopplysninger selv om personen forventer at kunder bruker informasjonen. At noe er offentlig, avgjør ikke alene om det kan lagres, sammenstilles eller brukes til et nytt formål.
Vurderinger og meninger kan også omfattes. Et internt notat om at en kunde virker misfornøyd, eller en ledervurdering av en ansatt, kan være personopplysninger selv om påstanden er subjektiv eller feil. Riktighet, formål og kontekst må håndteres; opplysningen faller ikke utenfor regelverket fordi virksomheten kaller den en intern vurdering.
Dette har praktisk betydning ved innsyn. En oversikt over identifikatorer alene viser ikke nødvendigvis alle opplysningene virksomheten behandler om personen. Kommentarer, kategoriseringer og historikk kan også være relevante. Knytt klassifiseringen til arbeidsrutinen for innsyn.
Bruk en utfylt klassifiseringstabell
Et tenkt serviceselskap kan gjennomgå følgende eksempler. Konklusjonene gjelder de beskrevne forutsetningene og er ikke en universell klassifisering av alle data med samme navn.
| Opplysning | Sammenheng | Praktisk vurdering |
|---|---|---|
| «Kunde 4827 bestilte kontroll tirsdag» | Kunderegisteret knytter nummeret til en person | Behandles som personopplysninger |
| Omsetning for et aksjeselskap | Ingen opplysninger om enkeltpersoner i rapporten | Foretaksopplysningen alene er normalt ikke en personopplysning |
| Vaktplan med rolle og tidspunkt | Bare én person har den aktuelle rollen | Kan identifisere vedkommende indirekte |
| Antall solgte enheter per kvartal | Ingen realistisk kobling til enkeltkunder i det vurderte resultatet | Kan være et aggregat uten personopplysninger |
| E-post til en generell postkasse | Meldingen inneholder navn og en kundesak | Meldingsinnholdet inneholder personopplysninger |
| Analysefil med prosjektkode | Virksomheten beholder en koblingsnøkkel | Pseudonymisert materiale hos virksomheten |
Den generelle e-postadressen viser hvorfor feltet ikke kan vurderes isolert. Selve adressen kan være felles, mens innholdet, avsenderen eller koblingen til en bestemt medarbeider gjør den samlede behandlingen personrelatert. Et standardfelt merket «firma» kan tilsvarende inneholde navnet på et enkeltpersonforetak eller en kontaktperson.
Undersøk indirekte identifikasjon i kombinasjon
En opplysning trenger ikke identifisere alene. Område, alder, stilling og en sjelden hendelse kan i kombinasjon gjøre det tydelig hvem en rad gjelder. Jo mer detaljert materialet er, desto viktigere blir det å undersøke kombinasjoner og tilgjengelig bakgrunnskunnskap.
Tenk for eksempel på en medarbeiderundersøkelse der resultatene deles etter avdeling, fagområde og ansiennitet. Hvis bare én ansatt passer beskrivelsen, hjelper det lite at navnefeltet er fjernet. En leder kan også kjenne igjen en hendelse fra friteksten. Planlegging av spørreundersøkelser må ta hensyn til både plattformdata og selve svarinnholdet.
Tekniske identifikatorer må vurderes på samme måte. En IP-adresse, konto-ID eller enhetskode kan bidra til å skille ut eller identifisere en bruker sammen med andre opplysninger. Les vurderingen av IP-adresser som personopplysninger når klassifiseringen gjelder logger, nettanalyse eller nettverkstilgang.
Anonymisering krever mer enn å fjerne navn
Et anonymt resultat faller utenfor personvernforordningens regler om personopplysninger, men fremstillingen av resultatet kan innebære behandling av personopplysninger. Dere må derfor vurdere både råmaterialet, bearbeidingen og det ferdige produktet. En lovlig publisering av et anonymt aggregat sier ikke automatisk noe om lovligheten av den opprinnelige innsamlingen.
Ved vurderingen av identifiserbarhet må det tas hensyn til midler som med rimelighet kan forventes brukt, herunder relevante kostnader, tidsbruk og teknologi. Ikke bygg konklusjonen på at identifikasjon er matematisk tenkelig i enhver fjern fremtid, men heller ikke på at ingen hittil har forsøkt. Dokumenter de konkrete tilgjengelige koblingene og begrensningene.
Anonymiseringsarbeidet bør beskrive hvilket materiale som kan deles, med hvem og under hvilke forutsetninger. En intern konklusjon for en avgrenset mottaker kan ikke uten videre brukes som grunnlag for publisering på internett, der andre aktører kan ha mer tilleggsinformasjon.
Pseudonymisering gir et kontrollert skille
Ved pseudonymisering behandles opplysningene slik at de ikke kan knyttes til en bestemt person uten separat tilleggsinformasjon, med tiltak som beskytter skillet. For virksomheten som beholder koblingsnøkkelen og kan bruke den, vil dette normalt fortsatt være personopplysninger. Metoden kan likevel redusere tilgangen til identitet og være et nyttig sikkerhetstiltak.
Identifiserbarheten må vurderes konkret hos den aktuelle aktøren; pseudonymisert materiale skal ikke automatisk beskrives som personopplysninger for enhver mulig mottaker i enhver situasjon. Samtidig kan avsenderens egne plikter bestå. Ikke bruk mottakerens manglende direkte nøkkel som en generell begrunnelse for å utelate informasjon eller overføringsvurderinger hos avsenderen.
Praktisk bør dere dokumentere hvem som har nøkkelen, hvem som kan få tilgang til den, og hvilke andre felt som kan røpe identiteten. Rutinen for pseudonymisering og koblingsnøkkel viser hvordan dette kan gjøres uten å gi analysegruppen en unødvendig identitetsliste.
Vurder særlige kategorier og andre beskyttelsesbehov
Noen personopplysninger omfattes av særreglene i artikkel 9, blant annet helseopplysninger, genetiske opplysninger, politisk oppfatning og fagforeningsmedlemskap. Biometriske opplysninger omfattes der når de behandles med sikte på entydig identifikasjon. Et vanlig fotografi blir ikke automatisk en slik biometrisk behandling bare fordi et ansikt er synlig.
Opplysninger om straffedommer og lovovertredelser reguleres særskilt i artikkel 10. Fødselsnummer har også egne norske rammer, men er ikke alene en særlig kategori etter artikkel 9. Bruk veiledningen om særlige kategorier når innholdet krever den strengere vurderingen.
Opplysninger kan ha stort beskyttelsesbehov uten å være i artikkel 9. Adresse til en utsatt person, sikkerhetsopplysninger eller en detaljert økonomisk profil kan kreve sterke tiltak. Klassifiseringen bør derfor skille spørsmålet om rettslig kategori fra den konkrete risikoen ved feil bruk eller eksponering.
Gjør konklusjonen anvendelig i systemarbeidet
Lagre klassifiseringen sammen med formål, datakilde, ansvarlig eier og hvilke koblinger som er vurdert. Angi eventuelle usikkerheter og hva som skal undersøkes før ny bruk. En kort, begrunnet vurdering av de faktiske feltene er mer nyttig enn en generell etikett på hele virksomheten.
Når materialet inneholder personopplysninger, må relevante plikter vurderes ut fra behandlingen, blant annet grunnlag, informasjon, rettigheter, lagring og sikkerhet. Det betyr ikke at alle bestemmelser utløser samme plikt i alle tilfeller. Gjennomgå klassifiseringen på nytt når dere legger til nye felt, kobler datasett eller endrer mottaker. Slik følger vurderingen dataene gjennom endringer i virksomheten.
En praktisk endringskontroll kan være at systemeieren viser et representativt eksportuttrekk med oppdiktede rader før nye felter tas i bruk. Den som vurderer personvern, ser da både kolonnenavn, kombinasjoner og planlagte mottakere. Registrer hvorfor et felt er med, hvem som trenger det og hvordan det påvirker tidligere konklusjoner. Dette gjør vurderingen etterprøvbar uten at et helt produksjonsregister må kopieres til prosjektets dokumentmappe.