Innehållsförteckning
Vad räknas som personuppgifter?
Enligt artikel 4.1 i GDPR är en personuppgift varje upplysning som avser en identifierad eller identifierbar fysisk person. Det avgörande är om uppgiften, ensam eller tillsammans med andra uppgifter, kan kopplas till en person som lever. Exempel är
- namn, adress, telefonnummer och personnummer,
- e-postadresser av typen förnamn.efternamn@företag.se,
- foton och ljudinspelningar av personer,
- IP-adresser och kakor (cookies), om de kan kopplas till en person,
- registreringsnumret på en bil som ägs av en privatperson.
Uppgifter om juridiska personer, som ett aktiebolags organisationsnummer eller en adress som info@företag.se, är normalt inte personuppgifter. Organisationsnumret för en enskild firma är däremot en personuppgift, eftersom det är innehavarens personnummer. Krypterade eller pseudonymiserade uppgifter räknas också som personuppgifter om de kan kopplas till en person med hjälp av kompletterande information. Uppgifter om avlidna omfattas inte av GDPR.
Känsliga personuppgifter
Vissa uppgifter har ett starkare skydd. Enligt artikel 9 är det i grunden förbjudet att behandla uppgifter som avslöjar
- etniskt ursprung (förordningen använder begreppet ras),
- politiska åsikter,
- religiös eller filosofisk övertygelse,
- medlemskap i fackförening,
- hälsa,
- sexualliv eller sexuell läggning,
- genetiska uppgifter och biometriska uppgifter som används för att identifiera en person.
Förbudet har undantag, till exempel när den registrerade har lämnat ett uttryckligt samtycke, när behandlingen är nödvändig för att arbetsgivaren ska kunna fullgöra skyldigheter inom arbetsrätten, för att skydda någons grundläggande intressen eller för att fastställa, göra gällande eller försvara rättsliga anspråk. Läs mer om känsliga personuppgifter.
Personnummer och andra skyddsvärda uppgifter
Personnummer och samordningsnummer räknas inte som känsliga personuppgifter, men har ett särskilt skydd i 3 kap. 10 § dataskyddslagen. Utan samtycke får de bara behandlas när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl. Personnummer bör inte exponeras i onödan, till exempel på adressetiketter. Uppgifter om lagöverträdelser omfattas av särskilda regler i artikel 10, och IMY räknar även löneuppgifter och omdömen från utvecklingssamtal som integritetskänsliga.
Vad innebär det för företag?
Den som behandlar personuppgifter måste ha en rättslig grund, följa principerna om bland annat ändamålsbegränsning och uppgiftsminimering, informera de registrerade och skydda uppgifterna med lämpliga säkerhetsåtgärder. Läs mer om rättslig grund för personuppgiftsbehandling.
Källor
- Personuppgifter – IMY
- Känsliga personuppgifter – IMY
- Personnummer och samordningsnummer – IMY
- Dataskyddsförordningen i fulltext – IMY