Kort svar: Känsliga personuppgifter är de nio slagen i artikel 9 i dataskyddsförordningen: uppgifter om ras eller etniskt ursprung, politiska åsikter, religion eller filosofisk övertygelse, fackföreningsmedlemskap, genetik, biometri för identifiering, hälsa, sexualliv och sexuell läggning. Personnummer hör inte till listan, men är fortfarande en personuppgift som pekar ut en person direkt.
Nio slag – inte en lista över allt känsligt
Artikel 9 räknar upp vad som har ett starkare skydd. Allt annat är personuppgifter som vanligt, med de krav som följer av artikel 5: ändamål, minimering, riktighet, lagringstid och säkerhet.
| Uppgift | Exempel i en handling |
|---|---|
| Ras eller etniskt ursprung | Ursprungsland, etnisk tillhörighet i en anteckning |
| Politiska åsikter | Partitillhörighet, uppdrag i ett parti |
| Religion eller filosofisk övertygelse | Konfession, ledighet för religiös högtid |
| Fackföreningsmedlemskap | Medlemskap, fackliga uppdrag |
| Genetiska uppgifter | DNA-prov, genetisk utredning |
| Biometriska uppgifter | Ansiktsigenkänning eller fingeravtryck för entydig identifiering |
| Hälsa | Diagnos, medicinering, sjukskrivning, elevhälsa |
| Sexualliv | Uppgifter om sexuellt umgänge |
| Sexuell läggning | Uppgifter om läggning, partnerskap |
Två saker gör listan svårare än den ser ut. Den första: uppgiften behöver inte stå i ett särskilt fält. En mening i en fritext om en sjukskrivning är en hälsouppgift även om den står under ”övrigt”. Den andra: en uppgift kan bli känslig tillsammans med andra. Ett namn och en klass kan räcka för att peka ut en elev vars stödinsats står på nästa rad.
Personnummer ligger utanför listan – men är inte fritt
Personnummer är en personuppgift. Det identifierar en person direkt, det går inte att byta ut och det följer personen hela livet. Därför ska det behandlas restriktivt även när det inte är en känslig uppgift: bara när det behövs, bara av dem som behöver det, och inte i onödan i fritext.
I praktiken betyder det att ett personnummer i en handling ofta är den uppgift som ska bort först. Inte för att lagen förbjuder det, utan för att det sällan behövs för läsaren och alltid är värt något för någon annan.
Fyra vanliga missförstånd
-
”Ett foto är biometri”
Ett vanligt porträtt är en personuppgift, inte en biometrisk uppgift. Biometri handlar om teknisk behandling som identifierar någon entydigt, till exempel ansiktsigenkänning.
-
”Det står ju bara i en bilaga”
Bilagan är en del av filen. Står uppgiften där, finns den i handlingen – och följer med när den skickas vidare.
-
”Vi har samtycke”
Samtycke ska vara frivilligt, specifikt och gå att ta tillbaka. I en skola eller på en arbetsplats är det svårt att hävda att det är frivilligt på riktigt.
-
”Det är bara internt”
Intern lagring är också behandling. Åtkomst, gallring och loggning gäller lika mycket där.
Vad det innebär i praktiken
För känsliga uppgifter behövs en grund både i artikel 6 och i artikel 9.2 – till exempel rättslig förpliktelse, viktigt allmänt intresse eller hälsoändamål med tystnadsplikt. För allt annat räcker det med en grund i artikel 6, men kraven på minimering och säkerhet är desamma.
Den enklaste åtgärden är ofta den som glöms: ta bort det som inte behövs. Ett dokument utan diagnos, utan personnummer och utan namn på vårdnadshavare kan fortfarande göra sitt jobb.
Rensa en fil i webbläsaren Så maskerar du ett nummer
Nästa steg: Checklistan för elevakten De 72 timmarna
Frågor och svar
Är personnummer en känslig personuppgift?
Inte i GDPR:s mening. Personnummer står inte i artikel 9, men det är en personuppgift som identifierar en person direkt och ska hanteras restriktivt.
Räcker det med samtycke för att behandla känsliga uppgifter?
Inte alltid. Samtycke är en av flera grunder i artikel 9.2, men det måste vara frivilligt och går att ta tillbaka - i en anställning eller en skola är det sällan frivilligt på riktigt.
Är en diagnos i fritext känslig?
Ja. Det spelar ingen roll om uppgiften står i ett särskilt fält eller i en anteckning. Det är uppgiften som avgör, inte var den ligger.
Vad gäller för uppgifter om brott?
Uppgifter om brott och lagöverträdelser har ett eget skydd i artikel 10 och får bara behandlas med stöd i lag.