CPR-nummer och andra uppgifter med extra krav

Vissa uppgifter är inte "känsliga" enligt artikel 9, men de måste ändå behandlas med extra omsorg. De viktigaste är CPR-nummer (det danska personnumret) och uppgifter om lagöverträdelser. Här har Danmark egna regler i databeskyttelsesloven.

CPR-nummer (§ 11)

CPR-numret är nyckeln till en person i många offentliga och privata register. Om det kommer ut kan det användas för identitetsstöld. Därför är reglerna strängare.

• Offentliga myndigheter får behandla CPR-nummer för entydig identifiering och som journalnummer (§ 11, stk. 1).
• Privata aktörer, till exempel de flesta företag, får bara behandla CPR-nummer när ett av dessa villkor är uppfyllt (§ 11, stk. 2):
  1. Det följer av lagstiftningen. Arbetsgivare måste till exempel använda CPR-nummer när de rapporterar lön till skattemyndigheterna.
  2. Personen har gett samtycke enligt artikel 7.
  3. Det sker uteslutande för vetenskapliga eller statistiska ändamål, eller det är ett utlämnande som är ett naturligt led i den normala verksamheten och avgörande för säker identifiering, eller som en myndighet kräver.
  4. Villkoren i § 7 om känsliga uppgifter är uppfyllda.
• CPR-nummer får inte offentliggöras, om inte personen har gett samtycke enligt artikel 7 (§ 11, stk. 3).

I praktiken betyder det att du inte ska be om CPR-nummer om du inte har en tydlig grund. En butik får inte använda CPR-nummer som kundnummer. Man ska heller inte ha det i ämnesraden i ett e-postmeddelande eller i ett filnamn.

När du måste använda CPR-nummer

• Fråga dig själv om uppgiften är nödvändig. Ofta räcker födelsedatum och namn.
• Skicka aldrig CPR-nummer i ett vanligt, okrypterat e-postmeddelande. Använd företagets säkra lösning.
• Skriv det inte i dokument som ska delas brett, till exempel i ett gemensamt kalkylblad eller på en anslagstavla.
• För det bara vidare till dem som har ett lagligt behov.

Uppgifter om lagöverträdelser

Uppgifter om fällande domar och lagöverträdelser omfattas av artikel 10 och § 8 i databeskyttelsesloven. För privata aktörer gäller (§ 8, stk. 3):

• behandling kan ske med den registrerades uttryckliga samtycke, eller
• om den är nödvändig för att tillvarata ett berättigat intresse som klart väger tyngre än hänsynen till personen.

Dessa uppgifter får inte lämnas ut utan uttryckligt samtycke, om det inte sker för att tillvarata intressen som klart väger tyngre än hänsynen till sekretess (§ 8, stk. 4). Ett rykte om att en kollega har blivit dömd får du därför inte sprida eller skriva ner.

Bilder och video

En bild där man kan känna igen en person är en personuppgift. Det gäller också bilder på intranätet, webbplatsen eller sociala medier. Företaget måste ha en grund. Är det samtycke kan personen återkalla det. Fråga innan du lägger upp en bild på kollegor, kunder eller barn. För kameraövervakning finns dessutom en särskild lag, tv-overvågningsloven (den danska lagen om tv-övervakning).

Anställda och deras uppgifter

Uppgifter om anställda är också personuppgifter. Arbetsgivaren får behandla dem när det är nödvändigt för att fullgöra skyldigheter inom arbetsrätten, till exempel för lön, semester och sjukdom (§ 12, stk. 1). Det betyder inte att alla kollegor får se dem. Bara de som har ett arbetsmässigt behov ska ha tillgång.

Kom ihåg: Innan du använder CPR-nummer eller uppgifter om straff måste du veta vilket krav i lagen som täcker det.