Personoplysninger er enhver form for information om en identificeret eller identificerbar fysisk person. Det gælder både oplysninger, der identificerer personen direkte, fx et navn, og oplysninger, der kan identificere personen indirekte, fx et kundenummer sammen med andre oplysninger.
Definitionen står i GDPR artikel 4, nr. 1. Oplysninger behøver hverken være hemmelige eller følsomme for at være omfattet af reglerne.
Hvornår er en oplysning en personoplysning?
Spørgsmålet er, om oplysningen handler om et menneske, som kan identificeres. Det kan ske ud fra oplysningen alene eller ved at kombinere den med andre oplysninger.
- Et navn og en personlig e-mailadresse kan identificere en person direkte.
- Et kundenummer eller medarbejdernummer kan identificere en person via virksomhedens register.
- En IP-adresse, lokaliseringsdata eller betalingsoplysninger kan være personoplysninger, når de kan knyttes til en person.
- Oplysninger om køb, interesser, adfærd eller hobbyer er også personoplysninger, når de handler om en identificeret eller identificerbar person.
Oplysninger om en virksomhed som juridisk person er som udgangspunkt ikke personoplysninger. Oplysninger om en navngiven medarbejder eller ejeren af en enkeltmandsvirksomhed kan derimod være det.
Er pseudonymiserede og anonyme data omfattet?
Pseudonymisering betyder, at oplysningerne ikke kan henføres til en bestemt person uden supplerende oplysninger, der holdes adskilt. Hvis en virksomhed erstatter navnet med et kundenummer og beholder nøglen til kunden, er oplysningerne stadig personoplysninger for virksomheden. Det gælder også dens databehandler, som behandler oplysningerne på virksomhedens vegne. Se artikel 4, nr. 5.
Anonyme oplysninger falder uden for GDPR, når personen ikke længere kan identificeres. At fjerne navnet er ikke nødvendigvis nok: Andre oplysninger kan afsløre identiteten. Vurderingen skal tage hensyn til de midler, der med rimelighed kan forventes anvendt til at identificere personen, jf. GDPR betragtning 26.
For en selvstændig modtager skal vurderingen tage udgangspunkt i behandlingens kontekst og modtagerens mulighed for at identificere personen. Pseudonymiserede oplysninger er derfor som udgangspunkt, men ikke altid, personoplysninger for enhver modtager. Se Datatilsynets forklaring af personoplysninger og tilsynets præcisering om pseudonymisering.
Almindelige og følsomme personoplysninger
Almindelige personoplysninger
Navn, adresse, e-mail, telefonnummer og købshistorik er typiske eksempler på almindelige personoplysninger. Behandling kræver et lovligt grundlag efter artikel 6 og skal følge principperne i artikel 5, herunder dataminimering og opbevaringsbegrænsning.
Nødvendige kontaktoplysninger til levering af en ordre kan fx behandles for at opfylde en aftale. Aftalen giver ikke i sig selv ret til at bruge alle kundens oplysninger til andre formål.
Følsomme personoplysninger
Artikel 9 fastlægger en særlig beskyttelse af oplysninger om:
- Race eller etnisk oprindelse.
- Politisk, religiøs eller filosofisk overbevisning.
- Fagforeningsmæssigt tilhørsforhold.
- Genetiske data og biometriske data med det formål entydigt at identificere en person.
- Helbred, seksuelle forhold eller seksuel orientering.
Udgangspunktet er, at behandling af disse oplysninger er forbudt. En behandling kræver både et grundlag efter artikel 6 og en relevant undtagelse i artikel 9, stk. 2. Udtrykkeligt samtykke kan være en mulighed, men er ikke den eneste undtagelse.
Straffedomme, CPR-numre og fortrolige oplysninger
Oplysninger om straffedomme og lovovertrædelser har særlige regler efter artikel 10 og databeskyttelseslovens § 8. Indhentning af fx straffe- eller børneattester kræver en konkret vurdering af hjemmel og nødvendighed.
Et CPR-nummer er ikke en følsom oplysning i artikel 9, men det er fortroligt og særskilt reguleret i databeskyttelseslovens § 11. For private kan behandling bl.a. ske, når den følger af lovgivningen, eller personen har givet et gyldigt samtykke. Indsaml ikke CPR-numre alene, fordi det er praktisk.
Fortrolige oplysninger kan også være oplysninger om økonomi, ansættelse eller private familieforhold. Fortrolighed er ikke det samme som at være en særlig kategori efter artikel 9. Beskyttelsen skal tilpasses risikoen, jf. artikel 32; ved transmission af fortrolige oplysninger er kryptering en relevant sikkerhedsforanstaltning.
Sådan får du overblik i din virksomhed
- Kortlæg de oplysninger, I behandler om kunder, medarbejdere og andre personer.
- Vurder, om oplysningerne kan knyttes til en person, også ved at kombinere dem med andre data.
- Skeln mellem almindelige oplysninger, følsomme oplysninger og oplysninger med særlige danske regler.
- Afklar formål, behandlingsgrundlag, adgang og sletning for hver behandling. Brug jeres fortegnelse over behandlingsaktiviteter som overblik.