Noen opplysninger er ikke «sensitive» etter artikkel 9, men må likevel behandles med ekstra omhu. De viktigste er CPR-nummer (det danske personnummeret) og opplysninger om straffbare forhold. Her har Danmark egne regler i databeskyttelsesloven.
CPR-nummer (§ 11)
CPR-nummeret er nøkkelen til en person i mange offentlige og private registre. Hvis det kommer på avveie, kan det brukes til identitetstyveri. Derfor er reglene strengere.
- Offentlige myndigheter kan behandle CPR-nummer til entydig identifikasjon og som journalnummer (§ 11, stk. 1).
- Private, for eksempel de fleste virksomheter, kan bare behandle CPR-nummer når en av disse betingelsene er oppfylt (§ 11, stk. 2):
- Det følger av lovgivningen. Arbeidsgivere må for eksempel bruke CPR-nummer når de rapporterer lønn til skattemyndighetene.
- Personen har gitt samtykke etter artikkel 7.
- Det skjer utelukkende til vitenskapelige eller statistiske formål, eller det er en videreformidling som er et naturlig ledd i vanlig drift og avgjørende for sikker identifikasjon, eller som en myndighet krever.
- Vilkårene i § 7 om sensitive opplysninger er oppfylt.
- CPR-nummer kan ikke offentliggjøres, med mindre personen har gitt samtykke etter artikkel 7 (§ 11, stk. 3).
I praksis betyr det at du ikke skal be om CPR-nummer hvis du ikke har et klart grunnlag. En butikk kan ikke bruke CPR-nummer som kundenummer. Man skal heller ikke ha det i emnefeltet i en e-post eller i et filnavn.
Når du må bruke CPR-nummer
- Spør deg selv om opplysningen er nødvendig. Ofte er fødselsdato og navn nok.
- Send aldri CPR-nummer i en vanlig, ukryptert e-post. Bruk virksomhetens sikre løsning.
- Skriv det ikke i dokumenter som skal deles bredt, for eksempel i et felles regneark eller på en oppslagstavle.
- Gi det bare videre til dem som har et lovlig behov.
Opplysninger om straffbare forhold
Opplysninger om straffedommer og lovovertredelser omfattes av artikkel 10 og § 8 i databeskyttelsesloven. For private gjelder (§ 8, stk. 3):
- behandling kan skje med den registrertes uttrykkelige samtykke, eller
- hvis den er nødvendig for å ivareta en berettiget interesse som klart overstiger hensynet til personen.
Disse opplysningene kan ikke gis videre uten uttrykkelig samtykke, med mindre det skjer for å ivareta interesser som klart overstiger hensynet til hemmeligholdelse (§ 8, stk. 4). Et rykte om at en kollega har fått en dom, kan du derfor ikke spre eller skrive ned.
Bilder og video
Et bilde der man kan kjenne igjen en person, er en personopplysning. Det gjelder også bilder på intranettet, nettsiden eller sosiale medier. Virksomheten må ha et grunnlag. Er det samtykke, kan personen trekke det tilbake. Spør før du legger ut et bilde av kolleger, kunder eller barn. For tv-overvåking finnes det i tillegg en egen lov, tv-overvågningsloven (den danske loven om tv-overvåking).
Ansatte og opplysningene deres
Opplysninger om ansatte er også personopplysninger. Arbeidsgiveren kan behandle dem når det er nødvendig for å oppfylle forpliktelser på arbeidsrettens område, for eksempel til lønn, ferie og sykdom (§ 12, stk. 1). Det betyr ikke at alle kolleger kan se dem. Bare de som har et arbeidsmessig behov, skal ha tilgang.
Husk: Før du bruker CPR-nummer eller opplysninger om straff, må du vite hvilket krav i loven som dekker det.