Hvad er personoplysninger? En introduktion til GDPR

Personoplysninger er kernen i GDPR men hvad tæller egentlig som personoplysninger? Vi giver en klar, praktisk definition.

Artikel 4, nr. 1, i GDPR definerer personoplysninger som enhver form for information om en identificeret eller identificerbar fysisk person. Fire elementer ligger i den sætning, og hvert af dem har en betydning: enhver form for information, om, identificeret eller identificerbar, og fysisk person.

Definitionen er bevidst bred. Den dækker et navn og en løn, men også en IP-adresse, en kommentar nogen skrev i en undersøgelse, et fotografi, en lydoptagelse og et adgangskort, der blev brugt ved en dør. Kan informationen kobles til en levende person, direkte eller ad en omvej, er den omfattet.

Det, der har ændret sig for nylig er grænsen for, hvornår oplysninger betragtes som personoplysninger.

Den 4. september 2025 afsagde EU-Domstolen dom i  sagen EDPS mod SRB og fastslog, at det samme datasæt kan være personoplysninger for én organisation og ikke for en anden, afhængigt af hvem der realistisk kan genidentificere personerne. Dermed er spørgsmålet "er det her personoplysninger" delvist et spørgsmål om, hvem der sidder med dem.

Hovedpointer

• Personoplysninger er enhver information om en identificeret eller identificerbar levende person, jf. artikel 4, nr. 1.
• Identificerbarhed omfatter også indirekte veje. Kan I nå frem til en person ved at kombinere oplysningen med noget andet rimeligt tilgængeligt, tæller den med.
• Følsomme oplysninger efter artikel 9 helbred, biometri, politisk overbevisning, fagforeningsmedlemskab og flere har strengere regler og et andet behandlingsgrundlag.
• Pseudonymiserede oplysninger betragtes som udgangspunkt som personoplysninger for den, der har mulighed for at identificere personerne bag, og siden september 2025 har Domstolen bekræftet, at de ikke nødvendigvis er det for en modtager, der ikke kan genidentificere personerne.
• Anonyme oplysninger falder helt uden for GDPR, men reel anonymisering er sværere at opnå, end de fleste organisationer går ud fra.

Definitionen, element for element

Enhver form for information. Ingen begrænsning på format eller rigtighed. Objektive fakta, subjektive vurderinger, tal, fritekst, billeder, lyd. En leders skriftlige bemærkning om, at en medarbejder er vanskelig at samarbejde med, er personoplysninger om den medarbejder dommen fra 2025 bekræftede, at holdninger er uadskillelige fra den, der har udtrykt dem, og dermed også personoplysninger om vedkommende.

Om. Informationen skal angå personen ved indhold, formål eller virkning. En bils servicehistorik handler om bilen, indtil den bruges til at vurdere førerens adfærd så angår den en person.

Identificeret eller identificerbar. Identificeret er ligetil. Identificerbar dækker enhver, I kan udpege ved hjælp af midler, der med rimelighed kan tænkes anvendt, af jer eller af andre. Præambelbetragtning 26 opstiller den test, og den tager højde for omkostninger, tid og tilgængelig teknologi.

Fysisk person. Levende mennesker. Selskaber er udenfor, afdøde er udenfor efter selve forordningen men national ret kan udvide beskyttelsen, og i Danmark anvender databeskyttelsesloven reglerne på afdødes oplysninger i ti år efter dødsfaldet.

Er det personoplysninger?

Definitionen er lettere at anvende gennem eksempler end gennem teori.

Ja, det er personoplysninger

• Arbejdsmail, fx fornavn.efternavn@virksomhed.dk. Den identificerer en bestemt person, også i en professionel sammenhæng.
• Cookie-id eller annonce-id. Det er en onlineidentifikator efter artikel 4, nr. 1, også uden et navn knyttet til.
• CVR-nummer på en enkeltmandsvirksomhed. En enkeltmandsvirksomhed identificerer personen bag.
• Pseudonymiseret datasæt hos den dataansvarlige. Den dataansvarlige har nøglen og kan genidentificere.
• Videoovervågning af en genkendelig person. Billeder er personoplysninger og kan tillige være biometriske data, hvis de behandles med henblik på identifikation.
• En medarbejders præstationsvurdering. Det er en subjektiv vurdering af en identificeret person.

Det kommer an på

• Dynamisk IP-adresse hos en hjemmesideudbyder. Som regel ja. EU-Domstolen fastslog i Breyer (C-582/14), at den er det, hvor der findes lovlige midler til at få abonnentens identitet.
• Samme pseudonymiserede datasæt hos en modtager uden nøglen. Måske ikke. Det vurderes ud fra modtagerens realistiske midler, jf. EDPS mod SRB.

Nej, det er ikke personoplysninger

• En virksomheds hovednummer. Det angår en juridisk person, ikke et menneske.
• Aggregeret statistik, fx 400 medarbejdere i en undersøgelse. Ingen kan udpeges, forudsat at gruppestørrelserne reelt forhindrer det.

Det pseudonymiserede datasæt hos modtageren er det tilfælde, I skal lægge mærke til. Før september 2025 ville de fleste praktikere have svaret ja uden at tøve.

‍Følsomme oplysninger og oplysninger om strafbare forhold

Artikel 9 udskiller oplysninger om race eller etnisk oprindelse, politisk overbevisning, religiøs eller filosofisk overbevisning og fagforeningsmæssigt tilhørsforhold, sammen med genetiske data, biometriske data behandlet med henblik på entydig identifikation, helbredsoplysninger og oplysninger om seksuelle forhold eller seksuel orientering.

Behandling af dem er forbudt, medmindre en af undtagelserne i artikel 9, stk. 2, finder anvendelse udtrykkeligt samtykke, arbejdsretlige forpligtelser, vitale interesser og en håndfuld andre. Det er en anden struktur end ved almindelige personoplysninger, hvor man vælger et behandlingsgrundlag efter artikel 6 og går videre.

To fælder går igen. Oplysninger kan røbe en følsom kategori uden at være mærket som en: en kantinetilmelding til halalmad siger noget om religiøs overbevisning, og et fotografi kan røbe etnisk oprindelse. Og biometriske data falder kun under artikel 9, når de behandles med henblik på entydig identifikation et fotografi er ikke automatisk biometriske data, men kører man det gennem ansigtsgenkendelse, bliver det det.

Strafbare forhold ligger uden for artikel 9, i artikel 10, med deres egen regel: behandling kræver offentlig myndighed eller hjemmel i national ret.

Pseudonymiseret, anonymt og grænsen derimellem

De tre begreber bruges løst, og forskellen afgør, om GDPR overhovedet gælder.

Pseudonymisering erstatter identificerende oplysninger med en kode, mens nøglen, der vender det om, opbevares adskilt. Det er en sikkerhedsforanstaltning, som artikel 32 opfordrer til, og oplysningerne forbliver personoplysninger for den, der kan vende processen om.

Anonymisering fjerner identificerbarheden permanent, for alle. Anonyme oplysninger er uden for GDPR. Barren er høj: præambelbetragtning 26 spørger, om identifikation er mulig med nogen midler, der med rimelighed kan tænkes anvendt, hvilket udelukker de fleste datasæt, hvor man blot har slettet navnekolonnen.

Dommen fra september 2025 skærpede mellemfeltet. Domstolen fastslog, at pseudonymiserede oplysninger ikke må anses for at være personoplysninger i alle tilfælde og for enhver, og at identificerbarhed skal vurderes kontekstuelt, ud fra den parts position, der sidder med dem.

Man kan dog mene, at det er en mindre ændring end overskrifterne antyder. Domstolen fastslog også, at den dataansvarliges oplysningspligt vurderes på indsamlingstidspunktet, så I kan ikke undgå at fortælle folk om en videregivelse ved at pseudonymisere først. Og en vurdering af, at en modtager ikke kan genidentificere, skal dokumenteres og kunne forsvares, hvilket er mere arbejde end at behandle alt som personoplysninger. For de fleste nordiske mellemstore organisationer er det praktiske råd uændret: gå ud fra, at det er personoplysninger, medmindre I har lavet analysen og skrevet den ned.

Hvorfor definitionen afgør arbejdsbyrden

Det her har driftsmæssig betydning, fordi næsten enhver GDPR-forpligtelse hænger på det.

Jeres fortegnelse efter artikel 30 dækker behandling af personoplysninger. Jeres slettefrister gælder personoplysninger. 72-timers-fristen for anmeldelse af brud efter artikel 33 begynder, når personoplysninger er involveret. Om I skal lave en konsekvensanalyse, afhænger af oplysningernes karakter. Og den behandlingssikkerhed, artikel 32 kræver, skalerer med den risiko, oplysningerne udgør for mennesker.

Klassificerer I for snævert, har I forpligtelser, I ikke opfylder. Klassificerer I alt som personoplysninger for en sikkerheds skyld, oppuster I arbejdet. I krypterer, begrænser og sletter ting, der ikke behøvede det. Begge fejl er dyre, bare på hver sin måde.

Databehandlere lægger endnu et lag på. Enhver leverandør, der rører personoplysninger på jeres vegne, skal have en aftale efter artikel 28, hvilket forudsætter, at I ved, hvem af jeres leverandører der gør det og tjekker efterfølgende, at de håndterer dem, som kontrakten siger.

Hvor man starter

Er I ved at kortlægge jeres GDPR dokumentation for første gang, eller rydde op i det I har, er det værd at huske følgende:

• Jeres fortegnelse angiver kategorierne af personoplysninger per aktivitet, ikke bare aktiviteten
• Følsomme oplysninger er markeret særskilt, med deres grundlag efter artikel 9, stk. 2, registreret
• Nogen har tjekket, om det, I kalder anonymt, ville overleve testen i præambelbetragtning 26
• Beslutninger om, at et datasæt ikke er personoplysninger, er skrevet ned med begrundelse frem for forudsat
• Fritekstfelter, kommentarer fra undersøgelser og vurderingsnotater behandles som personoplysninger
• Opbevaringsperioder er fastsat per kategori og gennemgås i en fast cyklus
• Hver leverandør, der rører personoplysninger, har en databehandleraftale

Start med friteksten. Strukturerede felter bliver som regel klassificeret rigtigt, mens kommentarfelter, interne noter og mødereferater stille og roligt samler personoplysninger, som ingen har kortlagt, opbevaret bevidst eller taget med i en sletterutine.

Cerivos platform til databeskyttelse holder fortegnelsen, datakategorierne, behandlingsgrundlagene og databehandleraftalerne ét sted så klassificeringsarbejdet sker én gang og holdes aktuelt, i stedet for at blive rekonstrueret, hver gang nogen spørger, hvilke oplysninger I har.