Vad är personuppgifter i enkätundersökningar?

Introduktion

När du genomför en enkätundersökning samlar du ofta in information om människor. I många fall kommer denna information att vara personuppgifter, som regleras av GDPR. Det är därför viktigt att förstå när data från en enkät faller inom denna kategori.

Definition av personuppgifter

Enligt GDPR artikel 4(1) definieras personuppgifter som:

”All information som rör en identifierad eller identifierbar fysisk person.”

En person anses vara identifierbar om denne kan identifieras direkt eller indirekt, till exempel genom:

• Namn
• E-postadress
• Telefonnummer
• Anställningsnummer
• IP-adress
• Platsdata
• En kombination av flera uppgifter

Även om en enkät inte innehåller namn eller e-postadresser kan svar ändå vara personuppgifter om de kan kopplas till en specifik individ.

Exempel på personuppgifter i enkäter

I praktiken kan många typer av enkätdata klassificeras som personuppgifter.

Direkt identifierande information

Information som direkt identifierar en person, till exempel:

• Namn
• E-postadress
• Telefonnummer
• Anställnings-ID
• Kund-ID

Om denna information samlas in i en enkät kommer den alltid att betraktas som personuppgifter.

Indirekt identifierande information

Information som inte identifierar en person i sig, men som kan göra det i kombination med andra uppgifter:

• Ålder
• Position eller jobbtitel
• Avdelning
• Geografisk plats
• Svar i öppna fritextfält

Om en organisation kan kombinera denna information för att identifiera en individ räknas den också som personuppgifter.

Textsvar och kommentarer

Öppna fritextfält kan också innehålla personuppgifter. Respondenter kan till exempel skriva:

• Namn på kollegor eller chefer
• Personliga erfarenheter eller händelser
• Identifierande detaljer om sin arbetsplats

Organisationer bör därför vara uppmärksamma på hur öppna svar hanteras och lagras.

Känsliga personuppgifter i enkäter

GDPR skiljer mellan personuppgifter och särskilda kategorier av personuppgifter (ofta kallade känsliga uppgifter).

Dessa inkluderar information om:

• Hälsa
• Fackföreningsmedlemskap
• Politiska åsikter
• Religiös övertygelse
• Sexuell läggning
• Etniskt ursprung

Om en enkät samlar in denna typ av information gäller striktare krav för behandling och skydd av uppgifterna.

När är enkätdata inte personuppgifter?

Data från en enkät anses inte vara personuppgifter om de är fullständigt anonymiserade.

Detta innebär att:

• Inga individer kan identifieras
• Ingen information kan kopplas till specifika personer
• Det inte är möjligt att återskapa identiteter, ens indirekt

Det är viktigt att skilja mellan anonymisering och pseudonymisering:

• Anonymiserade data kan inte spåras tillbaka till en person
• Pseudonymiserade data kan fortfarande kopplas till en person via en nyckel eller ytterligare information

Pseudonymiserade data betraktas därför fortfarande som personuppgifter enligt GDPR.

Varför är detta viktigt i enkäter?

Om enkätdata innehåller personuppgifter måste organisationen följa GDPR. Detta inkluderar bland annat:

• Att ha en laglig grund för behandling
• Att säkerställa datasäkerhet och åtkomstkontroll
• Att informera respondenter om hur deras data behandlas
• Att ingå ett personuppgiftsbiträdesavtal (DPA) med leverantörer av enkätverktyg
• Att begränsa datalagring till det som är nödvändigt

I detta sammanhang är organisationen personuppgiftsansvarig, medan leverantören av enkätplattformen vanligtvis är personuppgiftsbiträde.

Bästa praxis för hantering av personuppgifter

• Samla endast in nödvändig information
• Överväg om enkäten kan genomföras anonymt
• Begränsa åtkomst till enkätdata
• Använd säkra enkätverktyg
• Dokumentera hur personuppgifter behandlas

Ett genomtänkt arbete med datasäkerhet och GDPR-compliance stärker förtroende, datakvalitet och efterlevnad. Med ett starkt personuppgiftsbiträdesavtal (DPA) som Enalyzers, samt tillgång till expertsupport och rådgivning, kan du hantera detta säkert och tryggt tillsammans med oss.

Källor

• Europaparlamentet och rådet. GDPR artikel 4(1).
• European Data Protection Board (EDPB).
• Datainspektionen.
• Enalyzer Trust Center.

Lär dig hur du samlar in enkätdata på ett GDPR-kompatibelt sätt →