Personoplysninger

En personoplysning er enhver information, der kan henføres til en identificeret eller identificerbar fysisk person. Definitionen står i Artikel 4, og den er bredere, end de fleste virksomheder regner med. Den afgør, om GDPR overhovedet gælder for de data, du behandler.

Definitionen i Artikel 4

GDPR definerer en personoplysning som enhver form for information om en identificeret eller identificerbar fysisk person. Ordet 'identificerbar' er det vigtigste i sætningen. Det er ikke kun navn og adresse, der er personoplysninger. Forordningen nævner selv identifikationsnumre, lokationsdata og onlineidentifikatorer, og den peger på faktorer som er specifikke for personens fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet. I praksis betyder det, at CPR-numre, kundenumre, medarbejder-id'er, IP-adresser, cookie-id'er, enheds-id'er og fotos alle er personoplysninger. Det samme gælder en arbejdsmail på formen fornavn.efternavn@virksomhed.dk, hvilket mange overser, når de rydder op i deres systemer.

Direkte og indirekte identifikation

En oplysning behøver ikke at pege på personen alene for at være en personoplysning. Den skal blot kunne kobles til personen, eventuelt sammen med andre oplysninger du eller andre har adgang til. Et postnummer er ikke i sig selv en personoplysning. Postnummer kombineret med fødselsår, køn og stillingsbetegnelse kan derimod udpege én bestemt person i en mindre kommune. Testen er, om nogen med rimelige midler kan foretage koblingen. Du skal tage højde for den tid, de omkostninger og den teknologi, der realistisk er til rådighed, både hos dig selv og hos tredjeparter. Vurderingen skal desuden gentages over tid, fordi ny teknologi løbende gør identifikation billigere.

Pseudonymiserede og anonymiserede data

Pseudonymiserede data er stadig personoplysninger. Har du erstattet navne med et løbenummer, men gemmer nøglen der kobler nummer og person, er GDPR fortsat gældende. Pseudonymisering er en sikkerhedsforanstaltning, ikke en fritagelse. Anonymiserede data falder derimod uden for forordningen, men barren er høj. Anonymisering kræver, at identifikation er umulig for alle, permanent og uigenkaldeligt. Sletning af navnekolonnen er sjældent nok, hvis det resterende datasæt indeholder unikke kombinationer. Datatilsynet lægger vægt på, om der findes en realistisk vej tilbage til den enkelte. Er du i tvivl, bør du behandle datasættet som personoplysninger.

Onlineidentifikatorer og sporing

Præambelbetragtning 30 til forordningen nævner udtrykkeligt IP-adresser, cookie-id'er og radiofrekvensidentifikationsmærker som identifikatorer, der kan gøre en person identificerbar. EU-Domstolen fastslog i Breyer-sagen fra 2016, at også en dynamisk IP-adresse er en personoplysning for den, der driver et websted, hvis vedkommende lovligt kan skaffe de yderligere oplysninger hos internetudbyderen der skal til for at identificere brugeren. Det er baggrunden for, at cookiebanner, analyseværktøjer og annoncepixels falder ind under GDPR. Bemærk at cookiebekendtgørelsen og GDPR er to forskellige regelsæt, der begge skal overholdes. Bekendtgørelsen regulerer selve adgangen til oplysninger på brugerens udstyr. GDPR regulerer den efterfølgende behandling af de oplysninger, du henter derfra.

Hvad der ikke er personoplysninger

GDPR beskytter fysiske personer, ikke virksomheder. Oplysninger om et aktieselskab er derfor ikke personoplysninger. Undtagelsen er enkeltmandsvirksomheder, hvor virksomhedens navn, adresse og kontaktoplysninger ofte er indehaverens egne. Afdøde personer er heller ikke omfattet af forordningen, men den danske databeskyttelseslov udvider beskyttelsen i ti år efter dødsfaldet. Rene statistiske aggregater uden mulighed for at udpege enkeltpersoner er ikke personoplysninger. Vær opmærksom på, at små grupper kan afsløre den enkelte. En statistik over sygefravær i en afdeling med tre medarbejdere er reelt en oplysning om de tre.

Hvorfor definitionen betyder noget i praksis

Definitionen afgør omfanget af alt det andet arbejde. Din fortegnelse over behandlingsaktiviteter efter Artikel 30 skal dække alle systemer med personoplysninger, og du kan kun lave fortegnelsen korrekt, hvis du ved hvad du leder efter. De typiske fejl er de samme igen og igen: serverlogs med IP-adresser bliver glemt, fordi de opfattes som teknik og ikke som data om mennesker. Fritekstfelter i CRM-systemer bliver overset, selvom de ofte rummer de mest følsomme noter. Backups bliver holdt uden for oversigten, selvom de indeholder præcis de samme oplysninger som produktionssystemet. Start din datakortlægning med den brede definition, og indsnævr først bagefter.

Hvornår ophører noget med at være en personoplysning?

Så længe oplysningen kan henføres til en person, er den omfattet af forordningen, uanset hvor gammel den er. En kundeordre fra 2014 er stadig en personoplysning i dag. Det er baggrunden for princippet om opbevaringsbegrænsning i Artikel 5, stk. 1, litra e: du skal fastsætte en frist for hver kategori af oplysninger og slette, når fristen udløber. Sletning er den ene vej ud. Ægte anonymisering er den anden, og den er attraktiv, hvis du vil beholde datasættet til statistik eller produktudvikling. Vær opmærksom på, at anonymiseringen skal udføres, mens du stadig har et lovligt grundlag for at behandle oplysningerne. Du kan ikke gemme et datasæt ulovligt i tre år og derefter anonymisere dig ud af problemet.

Sådan kortlægger du dine personoplysninger

Begynd med at følge oplysningerne i stedet for systemerne. Tag en typisk kunde eller medarbejder og tegn rejsen fra første kontakt til sidste sletning. Hvor kommer oplysningerne ind, hvilke systemer passerer de, hvem har adgang undervejs, og hvornår forlader de virksomheden igen? Den øvelse afslører de skyggesystemer, en ren systemliste aldrig fanger: regnearket på et fælles netværksdrev, postkassen med gamle ansøgninger og eksporten som nogen lavede til en analyse for to år siden. Notér for hver kilde, hvilke kategorier af oplysninger der er tale om, hvor længe de opbevares, og hvem de deles med. Resultatet er både din fortegnelse efter Artikel 30 og grundlaget for at kunne besvare en indsigtsanmodning inden for fristen på en måned.

Vigtigste punkter

01Personoplysninger er alt der kan henføres til en identificerbar fysisk person
02IP-adresser, cookie-id'er og arbejdsmails er personoplysninger
03Pseudonymiserede data er stadig omfattet af GDPR, anonymiserede er ikke
04Virksomheder er ikke beskyttet, men enkeltmandsvirksomheder ofte reelt er
05Serverlogs, fritekstfelter og backups bliver oftest glemt i datakortlægningen

Tilbage til alle regler