Kjennskap til GDPR
Pseudonymisering av personopplysninger
Pseudonymisering av personopplysninger er en ekstra sikkerhet som kan være hensiktsmessig for bedrifter å implementere, i henhold til artikkel 32 GDPR. Formålet med pseudonymisering er å redusere risikoen for individuell identifisering. For eksempel er det nyttig å utføre pseudonymisering av personopplysninger før du deler informasjonen med en konsulent som ikke trenger direkte tilgang til personopplysningene som sådan for å kunne utføre sine konsulentoppgaver. Vær oppmerksom på at pseudonymiserte data ikke er det samme som anonyme data.
Hva er pseudonymisering av personopplysninger under GDPR?
Definisjonen av pseudonymisering finnes i artikkel 4 (5) GDPR. Kort sagt innebærer pseudonymisering av personopplysninger å erstatte direkte identifiserende personopplysninger med en indirekte identifikator, slik at personopplysningene ikke lenger kan knyttes til en bestemt person, uten bruk av tilleggsinformasjon. Et navn kan for eksempel endres til et alias eller en kode.
Det er imidlertid viktig å sikre at tilleggsopplysningene holdes atskilt fra de pseudonymiserte dataene. For eksempel kan tilleggsinformasjonen finnes i et kunderegister eller en tabell som indikerer at koden tilhører en bestemt person. I tillegg må slike tilleggsopplysninger beskyttes av egnede organisatoriske og tekniske sikkerhetstiltak.
Eksempel på en pseudonymisert oppgave
En person har et busskort, som har en unik kode, for å gjøre det mulig for kortet å bli blokkert hvis det går tapt. Koden alene er ikke tilstrekkelig til å identifisere hvilken person kortet tilhører, men kortutsteder har et eget register hvor de kan se hvem kortet tilhører gjennom koden. I slike tilfeller er koden pseudonymiserte personopplysninger.
Hva er forskjellen mellom anonyme data og pseudonymiserte personopplysninger?
Når personopplysninger er blitt anonymisert, er det ikke lenger personopplysninger, men anonyme data. I slike tilfeller er de anonyme dataene ikke lenger dekket av GDPR. Det kan være nyttig å anonymisere personopplysninger i stedet for å pseudonymisere dem, hvis et selskap ønsker å lagre noen av dataene. For eksempel for å se hva kundene liker med selskapets produkter eller tjenester, eller for å kunne skreddersy selskapets markedsføring til målgruppen.
Pseudonymisering av personopplysninger er en reversibel prosess, noe som betyr at det er mulig å tilbakestille pseudonymiserte data til de opprinnelige personopplysningene ved hjelp av tilleggsinformasjonen.
Subjektive og objektive personopplysninger
Personopplysninger kan være subjektive eller objektive av natur. Generelt er subjektive personopplysninger mer følsomme for personvern enn mange typer objektive personopplysninger, og derfor må selskaper behandle subjektive personopplysninger med større sikkerhet.
- Eksempler på objektive personopplysninger er navn, personnummer, e-postadresse, hjemmeadresse osv. Vanligvis direkte identifikasjon av en person.
- Eksempler på subjektive personopplysninger inkluderer en medisinsk diagnose og skoleeksamen. Det er vanligvis en beskrivelse av en person eller en karakteristikk av personen.
Når kan pseudonymiserte personopplysninger være egnet for bruk?
Når det rettslige grunnlaget for behandlingen av personopplysningene er berettiget interesse
Hvis et selskap behandler personopplysninger basert på det juridiske grunnlaget for legitim interesse i henhold til artikkel 6 (1) (f) GDPR, kan det være nyttig å utføre pseudonymisering av personopplysninger. Vær oppmerksom på at selskapet må utføre og dokumentere en interesseavveining (LIA) for å se om selskapet faktisk har en legitim interesse, før behandlingen av personopplysningene utføres på grunnlag av dette juridiske grunnlaget.
Ved behandling av personvernsensitive eller sensitive personopplysninger
Sikkerhetskravene for behandlingen er høyere når det gjelder personvernsensitive eller sensitive personopplysninger. Det kan derfor være hensiktsmessig å behandle pseudonymiserte data som en ekstra sikkerhet.
Dersom de registrerte er barn
Barn har et høyere beskyttelsesnivå under GDPR enn voksne mennesker, og derfor må selskaper være spesielt forsiktige når de behandler personopplysninger som tilhører barn. Det kan være hensiktsmessig å iverksette ytterligere tekniske sikkerhetstiltak for å beskytte personopplysningene. Et eksempel på et teknisk sikkerhetstiltak som kan være hensiktsmessig å bruke, er pseudonymisering av personopplysninger.
Statistiske formål
Pseudonymisering av personopplysninger er gunstig når det skjer i forbindelse med behandling av personopplysninger for statistiske formål. Dette skyldes at det gjennom pseudonymiserte data er mulig å analysere og utlede data, samtidig som man unngår risikoen for å identifisere enkeltpersoner. Pseudonymisering av opplysninger er, i henhold til artikkel 89 i GDPR, et hensiktsmessig teknisk vern som bør anvendes ved behandling av personopplysninger på områdene blant annet statistikk og forskning, for å minimere risikoene forbundet med slik behandling.
Forskningsformål
Behandling av personopplysninger for forskningsformål er kun tillatt hvis det ikke er mulig å gjøre det med anonyme personopplysninger. I tillegg er ytterligere sikkerhetstiltak, for eksempel pseudonymisering, vanlige når det er nødvendig å behandle personopplysningene. I henhold til artikkel 89 i GDPR er pseudonymisering av personopplysninger et eksempel på en passende beskyttelse. Det er viktig å sikre at særlig prinsippet om dataminimering overholdes.
Kallenavn kan være personopplysninger
Å bruke kallenavn i behandlingen i stedet for det virkelige navnet til en person kan fortsatt betraktes som personopplysninger. Dette gjelder hvis det er mulig å knytte oppgaven til en bestemt person.
For eksempel, hvis en arbeidsgiver har en digital liste som registrerer fordelene og ytelsen til ansatte, men det står et kallenavn som de andre ansatte forstår eller kan lese fra informasjonen, utgjør kallenavnet personopplysninger.
Mer informasjon om personopplysninger
Bilder og filmer kan være personopplysninger
Bilder og filmer som inneholder identifiserbare levende personer kan være personopplysninger. Det samme gjelder for lydopptak. Derfor er det viktig å sikre at fotografering og filming av enkeltpersoner gjøres i samsvar med GDPR, da det utgjør en behandling av personopplysninger. Det betyr blant annet at bedrifter må sikre seg et rettslig grunnlag før de publiserer bilder eller filmer på sine ansatte på sine nettsider eller sosiale medier.