Meny

Se filmen om personuppgifter.

Spela video igen

En personuppgift kan vara många saker. Vissa är enkla att förstå som exempelvis en persons namn och adress. Andra är inte lika självklara som till exempel en bild eller en ljudupptagning där en persons röst hörs utan att personens namn framgår.

En personuppgift är all slags information som direkt eller indirekt kan knytas till en fysisk person som är i livet. Även bild och ljud kan vara personuppgifter, när det går att se eller höra vem det är. Krypterade eller kodade uppgifter är också personuppgifter när någon har en nyckel som gör det möjligt att koppla uppgifterna till en person. Så kallad pseudonymiserad data omfattas av GDPR, men med lägre riskprofil. Anonymiserad data faller utanför GDPR.

Organisationsnumret för ett aktiebolag är inte en personuppgift, eftersom det inte går att koppla till en fysisk person, utan avser en juridisk person. Registreringsnumret för en firmabil är inte en personuppgift, eftersom firmabilen inte kan kopplas till en fysisk person. 

Känsliga personuppgifter har en särställning i GDPR (artikel 9). Det är viktigt att identifiera känsliga personuppgifter eftersom grundregeln är att det är förbjudet att behandla dessa. Till känsliga personuppgifter räknas bland annat uppgifter om etniskt ursprung, politiska åsikter, tillhörighet till fackförbund, religiös övertygelse, sexuell läggning och hälsa.

Det finns undantag i GDPR från förbudet att behandla känsliga personuppgifter och ett företag eller organisation måste kunna visa att ett sådant undantag är tillämpligt. Känsliga personuppgifter måste skyddas extra noga så att obehöriga inte kan komma åt dem.

Andra personuppgifter kan vara särskilt skyddsvärda. IMY och andra svenska myndigheter kallar ibland den här kategorin för integritetskänsliga personuppgifter. Dessa kan avgöra om en personuppgiftsincident måste rapporteras. Och det har betydelse för bedömning av risk i konsekvensanalys. Hit hör bland annat uppgifter om lön, utvecklingssamtal och personlighetstester eller andra värderande uppgifter, uppgifter om någons privata sfär eller sociala förhållanden samt lagöverträdelser.

Uppgifter om lagöverträdelser klassas inte som känsliga, men ska ha ett förhöjt skydd mot otillåten åtkomst enligt GDPR (artikel 10). Enligt GDPR får endast myndigheter behandla dessa personuppgifter. Det finns undantag som ger företag möjlighet att behandla sådana uppgifter om det finns starka skäl (med stöd i unionsrätt eller nationell rätt). 

Personnummer har ingen särställning i GDPR men är en särskilt skyddsvärd uppgift enligt svensk lag (3 kap §10 Dataskyddslagen, som kompletterar GDPR).

Här följer exempel på de vanligaste personuppgifterna för varje kategori. Genom att identifiera rätt kategori kan personuppgifterna skyddas på rätt sätt och risken att behandla personuppgifter olagligt minskar.

Känsliga personuppgifter

Känsliga personuppgifter är det i huvudsak förbjudet att behandla. Om det ändå finns grund att behandla känsliga personuppgifter måste behandlingen ske med förhöjd skyddsnivå för att förhindra obehörig åtkomst.

• Ras eller etniskt ursprung
• Religiösa eller filosofiska uppfattningar
• Politiska åsikter
• Fackligt medlemskap
• Genetiska uppgifter
• Biometriska uppgifter
• Hälsa, sexualliv och sexuell läggning

Integritetskänsliga personuppgifter

Integritetskänsliga personuppgifter ska behandlas med stöd av lag eller tillstånd och med förhöjd säkerhet. Det kan innebära att det krävs en högre säkerhetsnivå än för mer harmlösa personuppgifter och har betydelse för riskbedömningen vid en konsekvensanalys och det gäller högre krav vid rapportering av personuppgiftsincident.

• Uppgifter om lön och ekonomisk information som skulder och bidrag
• Värderande uppgifter, till exempel resultatet av ett personlighetstest på arbetet eller skolbetyg och bedömningar
• Sociala förhållanden som uppgifter om familjeförhållanden och boendesituation
• Uppgifter om lagöverträdelser
• Fotografier och video som kan kopplas till identitet
• Platsdata, i vissa fall

Personnummer

I Sverige har vi sedan lång tid tillbaka personnummer och numera också samordningsnummer för den som bor här men inte är folkbokförd. Dessa ska behandlas med ett särskilt skydd enligt svensk lag.

Huvudregeln är att den registrerades samtycke krävs för att få behandla personnummer eller samordningsnummer. Om det saknas samtycke finns det undantag och då ska det vara klart motiverat med hänsyn till:

• Ändamålet med behandlingen.
• Vikten av en säker identifiering.
• Något annat beaktansvärt skäl.

I vissa fall kan det finnas särskilda lagar som medger att personnummer och samordningsnummer får behandlas.

Personnummer bör exponeras så lite som möjligt. Undvik att personnummer finns på adressetiketter, i kuvertfönster eller i brevutskick som sänds utan kuvert så att de inte blir tillgängliga för vem som helst.

Okänsliga personuppgifter

För okänsliga personuppgifter ställer GDPR inte krav på särskild skyddsnivå.

• Namn
• Adress
• Arbetsgivare
• E-postadress

Lär mer

Hos Integritetsskyddsmyndigheten (IMY) finns mer att läsa om Känsliga personuppgifter.

Kontrollfrågor