Hva er personopplysninger i spørreundersøkelser?

Introduksjon

Når du gjennomfører en spørreundersøkelse, samler du ofte inn informasjon om personer. I mange tilfeller vil denne informasjonen være personopplysninger, som er regulert av GDPR. Det er derfor viktig å forstå når data fra en undersøkelse faller inn under denne kategorien.

Definisjon av personopplysninger

Ifølge GDPR artikkel 4(1) er personopplysninger definert som:

«Enhver opplysning om en identifisert eller identifiserbar fysisk person.»

En person anses som identifiserbar hvis vedkommende kan identifiseres direkte eller indirekte, for eksempel gjennom:

• Navn
• E-postadresse
• Telefonnummer
• Ansattnummer
• IP-adresse
• Lokasjonsdata
• En kombinasjon av flere opplysninger

Selv om en undersøkelse ikke inneholder navn eller e-postadresser, kan svar fortsatt være personopplysninger dersom de kan knyttes til en bestemt person.

Eksempler på personopplysninger i undersøkelser

I praksis kan mange typer undersøkelsesdata regnes som personopplysninger.

Direkte identifiserende opplysninger

Informasjon som direkte identifiserer en person, for eksempel:

• Navn
• E-postadresse
• Telefonnummer
• Ansatt-ID
• Kunde-ID

Hvis denne typen informasjon samles inn i en undersøkelse, vil dataene alltid regnes som personopplysninger.

Indirekte identifiserende opplysninger

Informasjon som ikke identifiserer en person alene, men som kan gjøre det i kombinasjon med andre data:

• Alder
• Stilling eller jobbtittel
• Avdeling
• Geografisk lokasjon
• Svar i åpne tekstfelt

Hvis en organisasjon kan kombinere denne informasjonen for å identifisere en person, regnes det også som personopplysninger.

Tekstsvar og kommentarer

Åpne tekstfelt kan også inneholde personopplysninger. Respondenter kan for eksempel skrive:

• Navn på kolleger eller ledere
• Personlige erfaringer eller hendelser
• Identifiserende detaljer om arbeidsplassen

Organisasjoner bør derfor være oppmerksomme på hvordan åpne svar håndteres og lagres.

Sensitive personopplysninger i undersøkelser

GDPR skiller mellom personopplysninger og særlige kategorier av personopplysninger (ofte kalt sensitive opplysninger).

Disse inkluderer informasjon om:

• Helse
• Fagforeningsmedlemskap
• Politiske meninger
• Religiøs overbevisning
• Seksuell orientering
• Etnisk opprinnelse

Hvis en undersøkelse samler inn slik informasjon, gjelder strengere krav til behandling og beskyttelse.

Når er undersøkelsesdata ikke personopplysninger?

Data fra en undersøkelse regnes ikke som personopplysninger hvis de er fullstendig anonymisert.

Dette betyr at:

• Ingen personer kan identifiseres
• Ingen informasjon kan knyttes til enkeltpersoner
• Det ikke er mulig å rekonstruere identiteter, selv indirekte

Det er viktig å skille mellom anonymisering og pseudonymisering:

• Anonymiserte data kan ikke spores tilbake til en person
• Pseudonymiserte data kan fortsatt kobles til en person gjennom en nøkkel eller tilleggsinformasjon

Pseudonymiserte data regnes derfor fortsatt som personopplysninger under GDPR.

Hvorfor er dette viktig i undersøkelser?

Hvis undersøkelsesdata inneholder personopplysninger, må organisasjonen overholde GDPR. Dette inkluderer blant annet:

• Å ha et lovlig behandlingsgrunnlag
• Å sikre datasikkerhet og tilgangskontroll
• Å informere respondentene om hvordan data behandles
• Å inngå en databehandleravtale (DPA) med leverandører av undersøkelsesverktøy
• Å begrense lagring til det som er nødvendig

I denne sammenhengen er organisasjonen behandlingsansvarlig, mens leverandøren av undersøkelsesplattformen vanligvis er databehandler.

Beste praksis for håndtering av personopplysninger

• Samle kun inn nødvendig informasjon
• Vurdere om undersøkelsen kan være anonym
• Begrense tilgang til data
• Bruke sikre undersøkelsesverktøy
• Dokumentere behandlingen av personopplysninger

En gjennomtenkt tilnærming til datasikkerhet og GDPR-compliance styrker tillit, datakvalitet og etterlevelse.

Med en sterk databehandleravtale (DPA) som Enalyzers, samt tilgang til eksperthjelp og rådgivning, kan du håndtere dette på en sikker og trygg måte sammen med oss.

Kilder

• Europaparlamentet og Rådet. GDPR artikkel 4(1).
• European Data Protection Board (EDPB).
• Datatilsynet.
• Enalyzer Trust Center.

Lær hvordan du samler inn undersøkelsesdata på en GDPR-kompatibel måte →