Personuppgifter är all information som direkt eller indirekt kan kopplas till en levande person. Det står i artikel 4 i GDPR. Det handlar alltså inte bara om namn och personnummer, utan om allt som pekar på dig: en e-postadress, en IP-adress, ett foto, en diagnos i journalen, eller en kombination av postnummer, födelsedatum och yrke. Så fort något kan kopplas till en person gäller GDPR. Uppgifter som verkligen är anonyma faller utanför.
Ett exempel från verkligheten
Redovisningsbyrån Berg i Örebro (ett påhittat exempel) har en kundpärm för tandläkaren Anders Karlsson. Där finns:
- hans namn, adress och telefonnummer (tydliga personuppgifter);
- hans inkomst, hans bolån och en anteckning om en pågående skilsmässa (också personuppgifter, eftersom de handlar om honom);
- omsättningen i hans tandläkarpraktik (eftersom han driver enskild firma handlar även den om honom som person);
- ett kalkylblad med "kund 117, tandläkare, Örebro, 52 år". Inget namn, men i en stad med en handfull tandläkare i den åldern hittar du honom snabbt. Även det är en personuppgift.
Definitionen, enkelt förklarad
Identifierad eller identifierbar. En person är identifierbar om hon eller han kan identifieras direkt eller indirekt, till exempel genom ett namn, ett identifikationsnummer, en lokaliseringsuppgift, en online-identifikator eller faktorer som rör personens fysiska, ekonomiska, kulturella eller sociala identitet (artikel 4.1 GDPR).
Exempel på vanliga personuppgifter:
- namn, adress, telefonnummer, e-postadress;
- personnummer, födelsedatum, kundnummer, registreringsnummer;
- IP-adress, cookie-id, platsuppgifter;
- foton, röstinspelningar, omdömen, lön.
Känsliga personuppgifter (artikel 9 GDPR). För uppgifter om hälsa, genetik, biometri, religiös eller filosofisk övertygelse, etniskt ursprung, politiska åsikter, medlemskap i fackförening och sexualliv eller sexuell läggning gäller ett förbud, om inte ett undantag är tillämpligt. För uppgifter om lagöverträdelser finns särskilda regler (artikel 10).
Personnummer. Enligt dataskyddslagen får personnummer behandlas utan samtycke bara när det är klart motiverat, till exempel för att säkert identifiera någon.
Vad som inte är personuppgifter. Uppgifter om ett aktiebolag som juridisk person, uppgifter om avlidna och uppgifter som verkligen är anonyma (skäl 26 GDPR).
Den som behandlar personuppgifter behöver en rättslig grund och måste följa reglerna i GDPR. I Sverige utövar Integritetsskyddsmyndigheten (IMY) tillsyn. Sanktionsavgifterna kan uppgå till 20 miljoner euro eller 4 % av den globala årsomsättningen.
Det här är allmän information, inte juridisk rådgivning.
Vad definitionen inte skyddar
Definitionen avgör var GDPR börjar, och därmed också var den slutar.
- Utan koppling till en person, inget skydd. Lagen skyddar den del som pekar på en person. Ta bort den delen och resten, inkomsten, diagnosen, avtalsklausulen, är inte längre en personuppgift. Sådana anonyma uppgifter kan lagligt slås samman, licensieras och säljas, till exempel till datamäklare, försäkringsbolag eller AI-utvecklare. På dataspåret ser du steg för steg vad som blir kvar när namnet tas bort och vem som skulle betala för det. Källorna finns på lagligt till salu.
- En kod är ingen anonymisering. "Kund 117" är fortfarande en personuppgift så länge någon kan koppla tillbaka. Läs skillnaden i pseudonymisering och anonymisering.
- Det är lättare att känna igen någon än du tror. Latanya Sweeney visade att ungefär 87 % av amerikanerna kan identifieras med postnummer, födelsedatum och kön. En studie i Nature Communications (2019) fann att 99,98 % av amerikanerna kan återidentifieras med 15 kännetecken.
- Villkor kan ge en licens. Om användarvillkoren för en tjänst låter leverantören använda eller anonymisera ditt innehåll är den återanvändningen avtalsreglerad, utom synhåll för dig.
Vad det betyder när du använder AI-verktyg
Nästan allt du skriver i ett AI-verktyg om kunder, patienter eller kolleger innehåller personuppgifter. En kort kontroll:
- Är leverantören personuppgiftsbiträde, med ett personuppgiftsbiträdesavtal?
- Finns det en licens i villkoren att använda, förbättra eller anonymisera ditt innehåll?
- Tränas modeller på dina uppgifter, eller är det uteslutet i avtalet?
- Var behandlas uppgifterna, och raderas de efter behandlingen?
- För känsliga uppgifter: har du ett undantag från förbudet, till exempel uttryckligt samtycke?
Wysor är personuppgiftsbiträde och agerar bara på dina instruktioner (artikel 28 GDPR). Vi tar ingen licens att återanvända ditt innehåll, vi tränar aldrig på det och vi säljer det aldrig, anonymiserat eller inte. Det står i avtalet och binder även den som någon gång skulle äga Wysor. Dina uppgifter är krypterade under överföring och i lagring, hostas i EU, och hos varje ansluten AI-modelleverantör gäller noll datalagring: behandlat, sedan raderat. Du arbetar med GPT, Claude, Gemini och fler i en arbetsyta.
Vanliga frågor
Vad räknas som personuppgifter? Namn, adress, e-postadress, telefonnummer, personnummer, födelsedatum, IP-adress, foton, platsuppgifter och lön. Även en kombination av enskilda kännetecken är en personuppgift om den räcker för att känna igen någon.
Vad är känsliga personuppgifter? Uppgifter om hälsa, genetik, biometri, religion, etniskt ursprung, politiska åsikter, fackligt medlemskap och sexualliv eller sexuell läggning. De får i princip inte behandlas om inte ett undantag i artikel 9 GDPR gäller.
Är personnummer en känslig personuppgift? Nej, personnummer räknas inte till de känsliga personuppgifterna i artikel 9. Men dataskyddslagen har särskilda regler: utan samtycke får de bara behandlas när det är klart motiverat.
Är en IP-adress en personuppgift? Oftast ja, eftersom den med hjälp av andra uppgifter kan kopplas till en person.
Är företagsuppgifter personuppgifter? Uppgifter om en juridisk person, som ett aktiebolag, är det inte. Uppgifter om en enskild firma eller om anställda och kontaktpersoner är det.
Läs vidare
- Vad är GDPR? Enkelt förklarat
- Tystnadsplikt förklarat enkelt
- Pseudonymisering och anonymisering: skillnaden
- GDPR-kompatibel AI
- Vad är en prompt? Och vad du aldrig ska skriva i den
- Vad är AI? Förklarat enkelt
Frågor om personuppgifter i Wysor? Skriv till [email protected] eller använd kontaktformuläret i appen.
