Personoplysninger er oplysninger om en identificeret eller identificerbar fysisk person. Navn og CPR-nummer er oplagte eksempler, men definitionen omfatter også indirekte identifikatorer, vurderinger, adfærd og oplysninger fra arbejdslivet. Det afgørende er forbindelsen til en person og muligheden for identifikation i den konkrete sammenhæng.
En klassifikation skal derfor undersøge hele datasættet og dets anvendelse. Denne guide giver en praktisk afgrænsningsmetode med et udfyldt eksempel fra en servicevirksomhed. Den skelner også mellem almindelige, følsomme, fortrolige og pseudonymiserede oplysninger efter gældende dansk vejledning.
Oplysningen behøver ikke være privat
Artikel 4, nr. 1, i GDPR definerer personoplysninger bredt. En oplysning kan vedrøre en person gennem sit indhold, formål eller den virkning, den har. Det kan være et faktum, en vurdering eller en teknisk registrering, der knyttes til en person.
En navngiven medarbejders arbejdsmail er ikke uden for reglerne, fordi den bruges professionelt. Et offentligt opslag om en persons stilling er heller ikke fritaget alene, fordi enhver kan finde det. Offentlig tilgængelighed og personhenførbarhed er forskellige spørgsmål.
Den fiktive virksomhed Linde Service har en leverandørliste. Den indeholder både et aktieselskabs organisationsoplysninger og navnet på den konkrete kontaktperson. Oplysningerne skal vurderes hver for sig. Virksomhedens hovednummer beskriver ikke nødvendigvis en person, mens kontaktpersonens direkte nummer og mødenotater kan gøre det.
Identifikation kan ske gennem kombinationer
En person behøver ikke stå med fuldt navn i den enkelte fil. En medarbejderkode kan forbindes med en personaleliste. En præcis vagt og en arbejdsfunktion kan pege på én person i et lille team. Et brugernummer kan knytte handlinger til en konto.
Datatilsynets grundbegrebsvejledning fremhæver netop, at kombination med andre oplysninger kan gøre en person identificerbar. Vurderingen skal omfatte relevante supplerende oplysninger og de midler, som med rimelighed kan forventes anvendt. Man bør hverken kræve, at identifikationen allerede er gennemført, eller alene bygge på en rent teoretisk mulighed uden realistisk forbindelse til behandlingen.
I Linde Service kaldes en rapport anonym, fordi navnene er fjernet. Rapporten indeholder imidlertid arbejdssted, præcis vagt og bemærkninger om en enkelt medarbejders præstation. Afdelingslederen kender vagtplanen og kan genkende personen. Rapporten er derfor ikke anonym i denne anvendelse.
Fire spørgsmål til en ny datakilde
Beskriv først, hvad oplysningen siger eller bruges til. Find derefter den person eller gruppe, den kan vedrøre. Undersøg så identifikationsmulighederne, og registrér til sidst den konkrete behandlingskontekst og modtager.
Et enkelt felt kan skifte betydning afhængigt af kombinationen. Et rumtemperaturtal kan blot beskrive et lokale. Hvis virksomheden bruger samme tidsserie sammen med adgangsregistreringer til at vurdere en bestemt medarbejders tilstedeværelse, vedrører anvendelsen også personen.
| Datakilde i Linde Service | Relevant sammenhæng | Konklusion i eksemplet |
|---|---|---|
| Kundens navn og mail | Knyttet til en serviceaftale | Personoplysninger |
| Vagt med medarbejderkode | Koden kan slås op i personaleregisteret | Personoplysninger |
| Kundeselskabets samlede omsætning | Ingen oplysning om identificerbare personer i det konkrete tal | Som udgangspunkt virksomhedsoplysning |
| Fritekst om kundens kontaktperson | Beskriver adfærd og samarbejde | Personoplysninger, selv om teksten er en vurdering |
| Samlet antal opgaver pr. måned | Ingen individuelle rækker eller realistisk genkendelse i eksemplet | Kan være anonym statistik efter dokumenteret vurdering |
| IP-adresse i loginlog | Sammenholdes med tid og kundekonto | Personoplysninger i det beskrevne flow |
Tabellen er en udfyldt vurdering af bestemte forhold. Den gør ikke et felt som omsætning eller temperatur universelt upersonligt. Oplysninger om en enkeltmandsvirksomhed eller meget små grupper kan kræve en anden analyse.
IP-adresser, cookies og kontonumre
Onlineidentifikatorer kan gøre det muligt at genkende, følge eller forbinde en bruger. En IP-adresse er ikke nødvendigvis et entydigt navn på en fysisk person, men det udelukker ikke personhenførbarhed. Andre oplysninger i loggen kan være afgørende.
Linde Service registrerer en IP-adresse sammen med en kontoreference ved login. Systemejeren kan derfor knytte hændelsen til kontoen. Det ville være misvisende at klassificere loggen som anonym alene med henvisning til, at en internetforbindelse kan deles af flere personer.
Brug den særskilte guide om IP-adresser som personoplysninger til denne vurdering. Spørgsmålet om personhenførbarhed afgør ikke alene behandlingsgrundlag, cookieregler eller opbevaringsperiode. De beslutninger kommer efter afgrænsningen og skal have deres eget grundlag.
Følsom, fortrolig og almindelig betyder forskellige ting
Artikel 9 omfatter bestemte særlige kategorier, blandt andet helbred, politisk overbevisning, fagforeningsforhold og oplysninger om seksuelle forhold eller orientering. Biometriske oplysninger hører under den relevante kategori, når de behandles med henblik på entydig identifikation. Et almindeligt portrætfoto er derfor ikke automatisk en biometrisk artikel 9-behandling.
For billeder fra skoler og daginstitutioner er formål og modtagere stadig afgørende. At billedet ikke er en biometrisk artikel 9-behandling, giver ikke i sig selv tilladelse til at offentliggøre det.
Oplysninger om økonomi kan være fortrolige uden at være en særlig kategori efter artikel 9. Et CPR-nummer er særskilt reguleret i dansk ret og skal ikke ukritisk kaldes en artikel 9-oplysning. Nationalitet og etnisk oprindelse er heller ikke begreber, som altid kan sidestilles.
Linde Service opdeler derfor sin dataliste efter de faktiske oplysninger. Kontaktdata, fakturaoplysninger, konkrete helbredsoplysninger og oplysninger om eventuelle strafbare forhold får forskellige vurderinger. Guiden om følsomme personoplysninger uddyber artikel 9, mens CPR-guiden behandler det danske særspor.
Kodning ændrer ikke automatisk reglernes anvendelse
Pseudonymisering betyder, at tilknytningen til personen kræver supplerende oplysninger, som holdes særskilt og beskyttes. Hvis Linde Service erstatter navne med koder og selv beholder nøglen, har virksomheden fortsat oplysninger om identificerbare personer.
Efter EU-Domstolens dom i C-413/23 P i september 2025 skal man samtidig undgå det modsatte absolutte udsagn om, at pseudonymiserede oplysninger altid er personoplysninger for enhver modtager. Den konkrete behandlingskontekst og relevante identifikationsmuligheder har betydning. Datatilsynets aktuelle grundbegrebsvejledning afspejler denne nuance.
I Datatilsynets præcisering fra oktober 2025 forklares databehandlerkonstruktionen særskilt. Når behandlingen sker på den dataansvarliges vegne og efter instruks, og den dataansvarlige har nøglen, består personhenførbarheden i denne kontekst. Man kan derfor ikke automatisk fjerne databehandleraftalen, blot fordi leverandøren ikke får nøglen.
Hvis leverandøren ønsker at bruge oplysningerne til egne formål, skal den oprindelige dataansvarliges grundlag for videregivelsen stadig vurderes. Brug guiden om pseudonymisering og nøgleadskillelse til at dokumentere den konkrete model.
Anonyme resultater kræver en faktisk vurdering
Fjernelse af navn er kun ét muligt skridt. Små grupper, præcise tidspunkter og karakteristisk fritekst kan gøre personer genkendelige. Vurder også, hvilke supplerende oplysninger en relevant modtager har, og om flere udgivelser tilsammen afslører mere end den enkelte tabel.
Linde Service vil offentliggøre statistik om kundesager. Virksomheden vælger brede perioder og kategorier og undlader individuelle sagsbeskrivelser. Før offentliggørelse undersøger teamet, om en sjælden sag stadig kan genkendes ud fra lokale oplysninger. Rapporten beskriver både ændringerne og resultatet af kontrollen.
Metoden til anonymisering er relevant, når virksomheden ønsker et resultat uden personhenførbarhed. Den oprindelige indsamling og selve anonymiseringsarbejdet kan fortsat være behandling af personoplysninger og skal vurderes som sådan.
Danmark har regler om afdøde personer
GDPR’s egen beskyttelse retter sig ikke mod oplysninger om afdøde som sådan, men national ret kan udvide anvendelsen. I Danmark fastslår databeskyttelseslovens § 2, stk. 5, som udgangspunkt anvendelse på oplysninger om afdøde i ti år efter dødsfaldet. Stk. 6 giver mulighed for særlige regler om en anden periode. Det fremgår af den officielle lovbekendtgørelse.
En dansk organisation bør derfor ikke kopiere en international standardsætning om, at afdødes oplysninger altid falder udenfor. Oplysningerne kan desuden vedrøre levende pårørende. Den konkrete behandling og eventuelle særlovgivning skal undersøges.
Hvad skal klassifikationen føre til?
Når en datakilde er personhenførbar, skal organisationen vurdere de relevante forpligtelser. Det betyder ikke, at samtlige bestemmelser, rettigheder og undtagelser automatisk finder anvendelse på samme måde. Behandlingens art, grundlag, roller og øvrige betingelser har betydning.
Afklar herefter om behandlingen falder inden for GDPR’s materielle anvendelsesområde. Elektronisk behandling og manuelle oplysninger i et register kræver en anden afgrænsning end spørgsmålet om, hvorvidt en person kan identificeres.
Linde Services vurderingsark afsluttes med datakategori, begrundelse, ansvarlig og næste handling. Kundeloggen går videre til vurdering af behandlingsgrundlag og sikkerhed. Den kodede leverandøranalyse går videre til rolle- og aftalevurdering. Den offentlige statistik får en dokumenteret anonymiseringskontrol.
Gem også de forhold, konklusionen bygger på. Hvis et nyt register, en ekstra identifikator eller en anden modtager tilføjes, kan resultatet ændre sig. En god definition bliver dermed et praktisk beslutningsværktøj, som følger dataenes faktiske anvendelse.
Primærkilder og dansk myndighedsvejledning er kontrolleret den 8. september 2026. Linde Service er en fiktiv illustration.