Känslig personlig information (SPI): Definition, exempel & skyddskrav

Vad är känslig personlig information (SPI)?

SPI är en delmängd av personligt identifierbar information (PII) som, om den uppenbaras, kan orsaka betydlig skada, förbryllande, olägenhet eller orättvisa för en individ. Förordningar (GDPR, CCPA, HIPAA, GLBA, statliga lagar) ställer skärpta krav på skydd.

Vanliga SPI-kategorier

Kategori	Exempel	Viktiga förordningar
Officiella ID-handlingar	Personnummer, körkort, pass, statligt ID, utländsk registrering	GLBA, statliga dataintrångslagar, IRS Pub 1075
Finansiell	Bank-/kreditkortskonton, lånedetaljer, kreditrapporter, skattedeklarationer	GLBA, FCRA, PCI DSS, statliga lagar
Hälsa/Medicinsk	Diagnoser, behandlingar, recept, försäkringsanspråk, genetisk data, psykisk hälsa	HIPAA, HITECH, 42 CFR Part 2, statliga lagar
Biometrisk	Fingeravtryck, ansiktsgeometri, iris, röstavtryck, DNA	BIPA (IL), CCPA, GDPR, statliga lagar
Ras/Etnicitet/Urprung	Självidentifierad eller härledd	GDPR Art. 9, CCPA, Title VII
Sexuell läggning/Könsidentitet	Självidentifierad	GDPR Art. 9, statliga lagar
Precis geolokalisering	GPS-koordinater <565 m radie	CCPA, statliga lagar
Barns data (<13/16 år)	All PII samlad från barn	COPPA, GDPR Art. 8, statliga lagar
Autentiseringsuppgifter	Lösenord, säkerhetsfrågor, OTP-seed, kryptonycklar	NIST 800-63, FIDO, statliga dataintrångslagar

Löne- & Medicinsk data = SPI

Löneposter (lön, avdrag, insättning, inhämtning) + medicinska journaler (anspråk, FMLA, anpassningar) är kärn-SPI som kräver:

Kryptering vilande (AES-256) och i transport (TLS 1.2+).
Rollbaserad åtkomstkontroll (minsta behörighet).
Revisionsloggning (vem tillgick vad, när).
Dataminimering (samla endast vad som behövs).
Förvaring/makuleringsschema (krossa/kryptografisk radering).
Anställdutbildning (nätfiske, hantering, rapportering).
Incidenthanteringsplan (tidslinjer för intrångsmeddelande).
Leverantörshantering (BAAs, DPAs, SOC 2).

Företags skyldigheter

Integritet genom design: Inbyggda skydd i system/processer.
Integritetskonsekvensbedömningar (PIA): För ny SPI-behandling.
Datasubjekträttigheter: Åtkomst, rättelse, radering, överförbarhet, opt-out (enligt tillämplig lag).
Intrångsmeddelande: 72 timmar (GDPR); "utan oskällig fördröjning" (USA statliga lagar, HIPAA 60 dagar).

Slutsats

SPI = hög risk PII. Löne- och medicinska data är typiska exempel. Efterlevnad kräver tekniska, administrativa och fysiska skyddsåtgärder – inte bara goda intentioner.

Medicinsk fakturering