Det är bra som företagare att känna till vad känsliga personuppgifter enligt GDPR är för något, eftersom företag inte får behandla sådana uppgifter enligt huvudregeln. Några personuppgifter som är definierade som känsliga är uppgifter som avslöjar en fysisk persons politiska åsikter, etniska ursprung, religion m.m. Dessutom är uppgifter om hälsa eller sexuella läggning klassade som känsliga personuppgifter. En bild med biometriska personuppgifter kan också vara känslig personuppgift enligt GDPR.
Känsliga personuppgifter enligt GDPR
Huvudregeln enligt GDPR är att ett företag inte får behandla känsliga personuppgifter. Däremot behöver företag göra det i vissa fall, vilket är tillåtet om det finns en rättslig grund för behandlingen och behandlingen är tillåten enligt ett giltigt undantag.
Ett praktiskt exempel på detta, är att en arbetsgivare behöver behandla uppgifter om en anställd och dennes sjukfrånvaro enligt arbetsrättsliga lagar och regler. I och med att sjukfrånvaro är uppgifter om hälsa, utgör det en känslig personuppgift enligt GDPR. Ett företag bör behandla och lagra sådana uppgifter mer större säkerhet, och bör exempelvis inte skicka en lönespecifikation som innehåller känsliga personuppgifter via okrypterad mejl.
Observera att personnummer inte är en känslig personuppgift
Kreditkortsnummer och personnummer är inte känsliga personuppgifter enligt GDPR, vilket många tror. Däremot utgör de så kallade integritetskänsliga uppgifter. Detta innebär att denna typ av personuppgifter ska bli hanterade, lagrade och behandlade med större säkerhet än till exempel ett förnamn.
Dessutom är inte ett organisationsnummer tillhörande ett aktiebolag någon personuppgift. Men det är det, vid en enskild firma eftersom det då är personnumret tillhörande ägaren.
I Sverige är det Integritetsskyddsmyndigheten som är tillsynsmyndighet vid ärenden som handlar om GDPR och behandlingen av personuppgifter. Tidigare hette denna myndigheten ”Datainspektionen”, men de genomförde ett namnbyte den1 januari 2021.
