Særlige kategorier personopplysninger krever en vurdering i to lag: et behandlingsgrunnlag etter artikkel 6 og et relevant unntak fra forbudet i artikkel 9. Det er ikke tilstrekkelig å ha en berettiget interesse hvis behandlingen samtidig omfatter helseopplysninger eller andre særlige kategorier. Identifiser derfor innhold og sammenheng før virksomheten velger grunnlag.
GDPR artikkel 9 forbyr som utgangspunkt behandling av de kategoriene bestemmelsen omfatter, med bestemte unntak og vilkår. Datatilsynets personvernprinsipper gjelder også for disse behandlingene. Arbeidsmetoden nedenfor hjelper dere å avgrense opplysningene, finne riktig rettslig vurdering og begrense den faktiske bruken.
Finn opplysningene som røper et beskyttet forhold
Artikkel 9 omfatter opplysninger som røper rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs eller filosofisk overbevisning eller fagforeningsmedlemskap, samt genetiske opplysninger, biometriske opplysninger brukt til entydig identifisering, helseopplysninger og opplysninger om seksuelle forhold eller seksuell orientering. Vurder hva opplysningen faktisk sier, også når den ikke ligger i et felt som er merket sensitivt.
Fritekst, vedlegg og avledede kategorier kan røpe slike forhold. Et system kan utlede helserelatert informasjon fra flere opplysninger som isolert sett virker ordinære. Vurder derfor både innsamlingen og resultatet av analyse. Bruk definisjonen av personopplysninger som utgangspunkt for identifiserbarhet, men hold den særskilte kategorivurderingen synlig.
Ikke kall alle fortrolige opplysninger artikkel 9-data
Økonomiske opplysninger, passord eller fødselsnummer kan kreve sterk beskyttelse uten automatisk å være særlige kategorier etter artikkel 9. Klassifiseringen må være presis, samtidig som sikkerhetsnivået vurderes mot den faktiske risikoen. En feilaktig etikett kan både skape unødvendig forvirring og skjule særregler som faktisk gjelder.
Norske fødselsnumre har for eksempel en egen nødvendighetsregel som må vurderes separat; se arbeidsarket for fødselsnummer. Opplysninger om straffedommer og lovovertredelser reguleres av artikkel 10, ikke av artikkel 9 som sådan. Artikkel 10 har egne vilkår om offentlig myndighet eller relevant rettslig tillatelse med garantier.
Dokumenter begge de rettslige lagene
Beskriv formålet og vurder behandlingsgrunnlag etter artikkel 6. Deretter identifiseres det konkrete unntaket i artikkel 9 nr. 2. Oppgi hvorfor vilkårene passer den aktuelle behandlingen, og hvilke begrensninger de innebærer. «Helseopplysninger er nødvendige» er ikke alene en juridisk begrunnelse.
Der unntaket krever hjemmel i lov eller andre bestemte forutsetninger, må dette undersøkes konkret. Ikke anta at en generell avtale med personen kan erstatte et særskilt lovvilkår. Hvis norsk eller relevant EØS-rett stiller tilleggskrav, må disse tas med. En intern risikogodkjenning opphever ikke forbudet i artikkel 9.
De ti unntakene må leses med sine vilkår
| Unntak i artikkel 9 nr. 2 | Hva vurderingen må rette seg mot |
|---|---|
| a. Uttrykkelig samtykke | Spesifikke formål og om relevant rett tillater at forbudet løftes ved samtykke |
| b. Arbeidsrett og sosial beskyttelse | Nødvendighet, tillatelse i relevant rett eller tariffavtale etter nasjonal rett, og nødvendige garantier |
| c. Vitale interesser | Nødvendighet og fysisk eller rettslig manglende evne til å samtykke |
| d. Visse ideelle organer | Legitime aktiviteter, avgrenset personkrets, garantier og begrenset utlevering |
| e. Åpenbart offentliggjort | At personen selv åpenbart har offentliggjort opplysningene |
| f. Rettskrav og domstoler | Nødvendig behandling for rettskrav eller domstolers rettspleie |
| g. Viktige allmenne interesser | Relevant lovgrunnlag, forholdsmessighet og særlige verneregler |
| h. Helse og sosialomsorg | Angitte helseformål, relevant grunnlag og taushetskrav etter nr. 3 |
| i. Folkehelse | Nødvendig allmenn interesse på folkehelseområdet med lovgrunnlag og vern |
| j. Arkiv, forskning og statistikk | Angitte formål, artikkel 89 og relevant lovgrunnlag med garantier |
Tabellen er en veiviser til bestemmelsene og gjengir ikke alle vilkår uttømmende. Les den aktuelle bokstaven i sammenheng med resten av artikkel 9 og øvrig regelverk. Flere unntak viser til rettslige rammer og egnede tiltak som må identifiseres, ikke bare nevnes med en generell formulering.
Bruk uttrykkelig samtykke bare der vilkårene er oppfylt
Hvis samtykke brukes, må det gjelde den konkrete behandlingen og være reelt frivillig. Personen må forstå hva det særlige innholdet skal brukes til, og hvordan samtykket trekkes tilbake. Et generelt ja til vilkår eller en forhåndsavkrysset boks er ikke et tilstrekkelig grunnlag for en slik vurdering.
Se samtykkevilkårene, og vurder avhengighetsforhold og konsekvensene av å si nei. I arbeidsforhold eller andre skjeve relasjoner må frivilligheten undersøkes særlig grundig. Et samtykkeskjema bør ikke brukes som standardløsning når virksomheten egentlig trenger å avklare en annen rettslig ramme.
Begrens innsamlingen til det som trengs
Spør om formålet krever selve diagnosen, detaljert historikk eller bare en praktisk opplysning om nødvendig tilrettelegging. Tilsvarende kan et arrangement trenge en konkret løsning for deltakelse uten en omfattende beskrivelse av privat bakgrunn. Det legitime behovet må beskrives før skjemaet bestemmer hvilke felter som blir obligatoriske.
Bruk dataminimering til å vurdere innsamling, visning, eksport og videre bruk hver for seg. En opplysning kan være nødvendig for en avgrenset fagrolle uten å være nødvendig for ledelsen, arrangøren eller alle i HR. Vurder også om fritekst bør erstattes med et mer avgrenset spørsmål.
Avgrens tilgangen etter oppgaven
Beskriv hvilke roller som faktisk trenger innsyn i det særlige innholdet. Skill mellom den som vurderer grunnlaget, den som gjennomfører en praktisk oppgave og den som bare trenger en status. Et generelt medlemskap i en administrasjonsgruppe bør ikke automatisk gi adgang til alle helserelaterte vedlegg.
Kontroller eksport, søk og automatiske varsler. Et skjermbilde kan skjule et felt samtidig som hele innholdet følger med i en rapport. Vurder også tilgangen hos databehandlere og underleverandører. Informasjon om beskyttelse må gjelde den konkrete tjenesten og behandlingen, ikke bare en generell leverandørpresentasjon.
Hypotetisk eksempel: tilrettelegging i et arbeidsforhold
En tenkt arbeidsgiver mottar en detaljert medisinsk beskrivelse i forbindelse med tilrettelegging. Gjennomgangen skiller mellom opplysninger en relevant fagfunksjon eventuelt trenger og informasjon nærmeste leder trenger for å organisere arbeidet. Virksomheten undersøker det rettslige grunnlaget og begrenser videre deling til nødvendige praktiske forhold.
Den vurderer også hvor vedlegget allerede er lagret og om kopier i e-post og fellesmapper fortsatt er nødvendige. Eksemplet fastsetter ikke hvilket unntak som gjelder i enhver tilretteleggingssak. Det viser arbeidsrekkefølgen: avklar rettslig ramme og behov, begrens tilgang og kontroller de faktiske kopiene.
Vurder automatiserte avgjørelser særskilt
Når en avgjørelse omfattes av artikkel 22 nr. 2 og bygger på særlige kategorier, stiller artikkel 22 nr. 4 en ytterligere begrensning. Da er det ikke nok med et hvilket som helst unntak i artikkel 9: nr. 2 bokstav a eller g må få anvendelse, og egnede garantier må være på plass.
Bruk vurderingen av automatiserte avgjørelser til å undersøke den samlede beslutningsflyten. Et system som bare beskrives som beslutningsstøtte, må vurderes etter faktisk bruk. Skill spørsmålet om behandling av de særlige opplysningene fra spørsmålet om den automatiserte avgjørelsen er tillatt.
Vurder risiko, informasjon og oppbevaring
Undersøk om behandlingen kan medføre høy risiko og dermed kreve en personvernkonsekvensvurdering. En DPIA hjelper med å beskrive risiko og tiltak, men erstatter ikke artikkel 6 eller unntaket fra artikkel 9. Hold disse vurderingene koblet og tydelig adskilt.
Gi registrerte relevant og forståelig informasjon om behandlingen. Beskriv oppbevaring etter kategori og formål, og unngå at et sensitivt vedlegg blir liggende i en generell mappe uten eier. Vurder når opplysningene skal slettes, begrenses eller håndteres på annen nødvendig måte. Behold nødvendig dokumentasjon av beslutningen uten å kopiere hele det særlige innholdet inn i et nytt register.
Kontroller at begrensningene virker i praksis
Velg et egnet utvalg og undersøk hvem som kan se, eksportere og endre opplysningene. Kontroller også hvordan en endring i rolle påvirker tilgangen. Dokumenter resultatet og eventuelle mangler. Et avtalt sikkerhetsnivå er ikke bevis på at alle aktuelle systemer er konfigurert slik.
Den ferdige vurderingen bør vise hvilke særlige kategorier som behandles, hvilket grunnlag og unntak som brukes, hvilke begrensninger som gjelder og hvordan disse er gjennomført. Oppdater når formål, mottakere eller teknisk løsning endres. Slik blir artikkel 9 en styrende del av arbeidsprosessen fremfor bare et juridisk punkt i en generell erklæring.