Nogle oplysninger er ikke "følsomme" efter artikel 9, men de skal alligevel behandles med ekstra omhu. De vigtigste er CPR-nummer og oplysninger om strafbare forhold. Her har Danmark egne regler i databeskyttelsesloven.
CPR-nummer (§ 11)
CPR-nummeret er nøglen til en person i mange offentlige og private registre. Hvis det kommer ud, kan det bruges til identitetstyveri. Derfor er reglerne mere skrappe.
- Offentlige myndigheder må behandle CPR-nummer til entydig identifikation og som journalnummer (§ 11, stk. 1).
- Private, f.eks. de fleste virksomheder, må kun behandle CPR-nummer, når en af disse betingelser er opfyldt (§ 11, stk. 2):
- Det følger af lovgivningen. Arbejdsgivere skal f.eks. bruge CPR-nummer til indberetning af løn til skattemyndighederne.
- Personen har givet samtykke efter artikel 7.
- Det sker alene til videnskabelige eller statistiske formål, eller det er videregivelse, som er et naturligt led i normal drift og afgørende for sikker identifikation, eller som en myndighed kræver.
- Betingelserne i § 7 om følsomme oplysninger er opfyldt.
- CPR-nummer må ikke offentliggøres, medmindre personen har givet samtykke efter artikel 7 (§ 11, stk. 3).
I praksis betyder det, at du ikke skal bede om CPR-nummer, hvis du ikke har et klart grundlag. En butik må ikke bruge CPR-nummer som kundenummer. Man skal heller ikke have det i en e-mails emnefelt eller i et filnavn.
Når du skal bruge CPR-nummer
- Spørg dig selv, om oplysningen er nødvendig. Ofte er fødselsdato og navn nok.
- Send aldrig CPR-nummer i en almindelig, ukrypteret e-mail. Brug virksomhedens sikre løsning.
- Skriv det ikke i dokumenter, der skal deles bredt, f.eks. i et fælles regneark eller en opslagstavle.
- Viderefør det kun til dem, der har et lovligt behov.
Oplysninger om strafbare forhold
Oplysninger om straffedomme og lovovertrædelser er omfattet af artikel 10 og § 8 i databeskyttelsesloven. For private gælder (§ 8, stk. 3):
- behandling kan ske med den registreredes udtrykkelige samtykke, eller
- hvis det er nødvendigt for at varetage en berettiget interesse, som klart overstiger hensynet til personen.
Disse oplysninger må ikke videregives uden udtrykkeligt samtykke, medmindre det sker for at varetage interesser, der klart overstiger hensynet til hemmeligholdelse (§ 8, stk. 4). Et rygte om, at en kollega har fået en dom, må du derfor ikke sprede eller skrive ned.
Billeder og video
Et billede, hvor man kan genkende en person, er en personoplysning. Det gælder også billeder på intranettet, hjemmesiden eller sociale medier. Virksomheden skal have et grundlag. Er det samtykke, kan personen trække det tilbage. Spørg, før du lægger et billede af kolleger, kunder eller børn ud. For tv-overvågning findes der desuden en særlig lov, tv-overvågningsloven.
Ansatte og deres oplysninger
Medarbejderes oplysninger er også personoplysninger. Arbejdsgiveren må behandle dem, når det er nødvendigt for at overholde arbejdsretlige forpligtelser, f.eks. til løn, ferie og sygdom (§ 12, stk. 1). Det betyder ikke, at alle kolleger må se dem. Kun dem, der har et arbejdsmæssigt behov, skal have adgang.
Husk: Før du bruger CPR-nummer eller oplysninger om straf, skal du vide, hvilket krav i loven der dækker det.