Forstå personopplysninger

Personopplysninger er informasjon som kan knyttes til et menneske – direkte, eller indirekte når flere opplysninger ses i sammenheng. Denne veiledningen hjelper deg å vurdere funn fra personvernkontrollen før du bruker, lagrer eller deler teksten.

Kort fortalt

Et funn betyr ikke automatisk at teksten er ulovlig eller må slettes. Vurder om opplysningen er nødvendig for formålet, om mottakeren skal ha den, og om den kan begrenses, anonymiseres eller fjernes.

Hva regnes som personopplysninger?

Direkte identifisering

Opplysninger som peker rett på en person, for eksempel navn, e-postadresse, telefonnummer, bilde, fødselsnummer eller ansattnummer.

Indirekte identifisering

Opplysninger som sammen kan avsløre hvem personen er, for eksempel stilling, arbeidssted, bosted, alder, bilnummer, stemme eller en detaljert hendelse.

Kan være greit: «Prosjektleder følger opp saken innen fredag» når rollen er tilstrekkelig og mottakerne trenger informasjonen.
Vurder nærmere: navn, avdeling og en detaljert beskrivelse av en hendelse kan identifisere personen selv om fødselsnummer og kontaktinformasjon mangler.

Når kan vanlige personopplysninger brukes?

Det finnes ikke en generell regel om at vanlige personopplysninger alltid er «greie». Virksomheten må ha et gyldig formål og behandlingsgrunnlag. Bruk bare det som er nødvendig, sørg for at informasjonen er riktig, begrens tilgang og ikke oppbevar den lenger enn nødvendig.

Særlige kategorier – sensitive personopplysninger

Disse opplysningene krever ekstra varsomhet og et særskilt rettslig grunnlag:

  • helseopplysninger
  • rasemessig eller etnisk opprinnelse
  • politisk oppfatning
  • religion eller filosofisk overbevisning
  • fagforeningsmedlemskap
  • genetiske opplysninger
  • biometriske opplysninger brukt for entydig identifisering
  • seksuelle forhold eller seksuell orientering

Andre opplysninger kan også innebære høy risiko, blant annet fødselsnummer, økonomiske forhold, passord og tilgangskoder, varsling, personalsaker, opplysninger om barn og opplysninger om straffedommer eller lovovertredelser. Sistnevnte følger egne strenge regler, selv om de ikke regnes som en særlig kategori etter personvernforordningen artikkel 9.

Fem spørsmål før du bruker teksten

  1. Er opplysningen nødvendig for formålet med dokumentet?
  2. Har de riktige personene tilgang, og trenger mottakeren informasjonen?
  3. Er opplysningen korrekt? Transkripsjon og KI kan ta feil.
  4. Kan du begrense den ved å bruke rolle, anonymisere eller fjerne detaljer?
  5. Følger lagring og deling virksomhetens regler og fastsatte frister?

Hva betyr funnene i skrivDET?

Personvernkontrollen er et hjelpemiddel. Den kan finne mer enn det som faktisk er personopplysninger, og den kan overse opplysninger som burde vært fanget opp. Du må derfor kontrollere teksten og sammenhengen selv før dokumentet godkjennes eller deles.

Er du usikker? Ikke del dokumentet ennå. Begrens opplysningene og spør leder, personvernombud eller den som er ansvarlig for personvern i virksomheten.

Mer informasjon

Les Datatilsynets veiledning om:

Se også personvernerklæringen for skrivDET.

Dette er generell veiledning og erstatter ikke juridisk rådgivning eller virksomhetens egne rutiner.

Tilbake til forsiden