Personoplysninger

GDPR artikel 4, nr. 1, definerer personoplysninger gennem fire elementer: "enhver form for information", "om", "en identificeret eller identificerbar" og "fysisk person". Hvert element fortolkes bredt. Informationen kan være objektiv eller subjektiv, sand eller falsk. Den vedrører en person gennem sit indhold, sit formål eller sin virkning, så telemetri fra en bil vedrører føreren, når den bruges til at vurdere kørselsadfærd. En person er identificerbar, når vedkommende direkte eller indirekte kan udskilles ved hjælp af en identifikator som navn, identifikationsnummer, lokaliseringsdata eller onlineidentifikator eller ved faktorer, der er særlige for personens fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet. Juridiske personer falder uden for definitionen (betragtning 14), og det gør afdøde også (betragtning 27), men medlemsstaterne kan udvide beskyttelsen; databeskyttelseslovens § 2, stk. 5, lader reglerne gælde for afdøde personer i ti år efter dødsfaldet.

Identificerbarhed er en risikovurdering, ikke en teknisk absolut størrelse. Betragtning 26 spørger, om identifikation er mulig med "alle midler, der med rimelighed kan tænkes bragt i anvendelse", under hensyn til omkostninger, tid og tilgængelig teknologi. I Breyer (C-582/14, 2016) fastslog EU-Domstolen, at en dynamisk IP-adresse kan være en personoplysning for en webstedsoperatør, der har lovlige midler til at få abonnentens identitet oplyst af internetudbyderen. I EDPS mod SRB (C-413/23 P, 4. september 2025) bekræftede Domstolen, at pseudonymiserede data fortsat er personoplysninger for den dataansvarlige, der har nøglen, men måske ikke er det for en modtager, der ikke med rimelighed kan genidentificere nogen, så vurderingen afhænger af, hvis perspektiv der anlægges. Pseudonymisering efter artikel 4, nr. 5, er derfor en sikkerhedsforanstaltning, ikke en udgang fra GDPR; kun anonymisering, der holder mod udskillelse, sammenkædning og slutning, de tre test i Artikel 29-gruppens udtalelse 05/2014, bringer data uden for reglerne.

Særlige kategorier efter artikel 9, stk. 1, er race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data med henblik på entydig identifikation, helbredsoplysninger og oplysninger om seksuelle forhold eller seksuel orientering; behandling er forbudt, medmindre en undtagelse i artikel 9, stk. 2, finder anvendelse. Straffedomme og lovovertrædelser behandles særskilt efter artikel 10. Danske CPR-numre er ikke en særlig kategori, men har egne behandlingsregler i databeskyttelseslovens § 11 med hjemmel i GDPR artikel 87.

I udviklingspraksis er de svære tilfælde de indirekte identifikatorer: enheds-id'er, cookie-id'er, reklame-id'er, præcise lokationsspor, hashede e-mailadresser (en deterministisk hash af en e-mailadresse er en stabil identifikator, ikke anonymisering), fritekstfelter, logfiler og embeddings eller modelvægte, der kan gengive træningseksempler. Dataklassifikation og fortegnelsen over behandlingsaktiviteter (artikel 30) bør som udgangspunkt behandle sådanne felter som personoplysninger med tilsvarende slettefrister og adgangskontrol.