Ja, en mailadresse er persondata, når den kan føres tilbage til en bestemt person. Det samme gælder navn, adresse, fødselsdato, nummerplade og billede. Spørgsmålet er altid det samme: kan nogen forbinde oplysningen med en person, enten direkte eller sammen med andre oplysninger? Tabellen her er til opslag i hverdagen. Definitionen og baggrunden står i personoplysninger og følsomme oplysninger.
Opslag: oplysningen og dens slags
Datatilsynet deler personoplysninger i tre typer: ikke-følsomme, følsomme og oplysninger om strafbare forhold. CPR-nummeret har egne regler ved siden af dem.
- Fulde navn · Personoplysning?: Ja · Slags: Ikke-følsom
- Fornavn alene · Personoplysning?: Ja, når omgivelserne viser, hvem det er · Slags: Ikke-følsom
- Initialer · Personoplysning?: Ja, når de kan føres tilbage til en person, fx i et firma · Slags: Ikke-følsom
- Privat mailadresse · Personoplysning?: Ja · Slags: Ikke-følsom
- Arbejdsmail med navn · Personoplysning?: Ja · Slags: Ikke-følsom
- Fælles postkasse som info@ · Personoplysning?: Som regel nej · Slags: Virksomhedens kontaktoplysning
- Fødselsdato og alder · Personoplysning?: Ja · Slags: Ikke-følsom
- Bopælsadresse og telefon · Personoplysning?: Ja · Slags: Ikke-følsom
- Nummerplade · Personoplysning?: Ja, når bilen kan føres til en person · Slags: Ikke-følsom
- Billede af en genkendelig person · Personoplysning?: Ja, også uden tekst · Slags: Ikke-følsom, medmindre billedet viser fx et helbredsforhold
- Cookie-id og IP-adresse · Personoplysning?: Kan være det · Slags: Onlineidentifikator
- Løn, skat og gæld · Personoplysning?: Ja · Slags: Ikke-følsom, kan være fortrolig
- Sygedage · Personoplysning?: Ja · Slags: Ikke-følsom på Datatilsynets liste
- Årsagen til sygdommen · Personoplysning?: Ja · Slags: Følsom
- Fagforening · Personoplysning?: Ja · Slags: Følsom
- Dom eller lovovertrædelse · Personoplysning?: Ja · Slags: Strafbare forhold
- CPR-nummer · Personoplysning?: Ja · Slags: Fortrolig, egen regel i § 11
Initialer og fornavn er vores læsning af ordet “indirekte” i art. 4, nr. 1. Datatilsynet behandler dem ikke særskilt i de tekster, vi har læst. Svaret afhænger af, hvem der læser, for de samme to bogstaver kan være oplagte på et kontor og uden mening uden for det.
IP-adressen bygger på Breyer-dommen, som angik det tidligere direktiv: en dynamisk adresse kan være en personoplysning hos den, der har lovlige midler til at få personen identificeret. Betragtning 30 nævner IP-adresser og cookieidentifikatorer som spor, der kan bruges til at danne profiler af personer. Fællesvejledningen om cookies siger, at der ofte behandles personoplysninger, når teknologien bruges til at målrette markedsføring.
Det, der ikke er personoplysninger
Fire grupper falder uden for.
- Virksomheden selv. Forordningen gælder ikke oplysninger om juridiske personer, herunder deres navn, form og kontaktoplysninger, jf. betragtning 14. Enkeltmandsvirksomheden er anderledes, for firmaets navn er ofte personens eget, og Datatilsynets vejledning om direkte markedsføring behandler den slags oplysninger som personoplysninger.
- Reelt anonyme oplysninger. Ingen må kunne identificeres, heller ikke ved at kombinere med andet, og anonymiseringen må ikke kunne gøres om. Samlede tal er ikke altid anonyme, og Datatilsynet siger, at det afhænger af en konkret vurdering.
- Oplysninger om afdøde efter ti år. Forordningen gælder ikke afdøde, men databeskyttelsesloven lader reglerne gælde i 10 år efter dødsfaldet, jf. § 2, stk. 5.
- Rent private aktiviteter. Deler en privatperson et billede af en ven uden kommercielt formål, gælder reglerne som udgangspunkt ikke. Gør virksomheden det, gælder de.
Personfølsomme, fortrolige og beskyttelsesværdige
Ordet personfølsomme står ikke i forordningen, og det gør beskyttelsesværdige heller ikke. I daglig tale dækker personfølsomme oplysninger både de følsomme og de fortrolige, og dér opstår misforståelserne.
Følsomme oplysninger er en lukket liste i art. 9, som forordningen kalder særlige kategorier: race og etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforening, genetiske data, biometriske data til entydig identifikation, helbred og seksuelle forhold. Står oplysningen ikke på listen, er den ikke følsom i lovens forstand.
Fortrolige oplysninger er en anden størrelse. Datatilsynet skriver, at de ikke nævnes udtrykkeligt i databeskyttelsesreglerne, men at beskyttelsesbehovet har betydning, når reglerne bruges. Prøven er, om oplysningen efter almindelig opfattelse bør kunne holdes væk fra offentligheden. Følsomme oplysninger er altid fortrolige, mens det modsatte ikke gælder. Indtægt, formue og ansættelsesforhold kan efter omstændighederne være fortrolige uden at være følsomme, og personnummeret er nævnt som fortroligt.
Sorteringen betyder noget for sikkerheden. Mail med fortrolige oplysninger skal som udgangspunkt være krypteret, se CPR-nummer på mail.
Det, opslaget ikke afgør
Et ja i tabellen betyder, at reglerne gælder. Det siger intet om, hvorvidt I må bruge oplysningen. Det afgør I med et behandlingsgrundlag. Følsomme oplysninger udløser heller ikke alene en DPO-pligt, for den kræver tre betingelser på samme tid, som er forklaret under skal vi have en DPO?
Forordningen gælder desuden behandling, der helt eller delvis er automatisk, og oplysninger, der indgår i et register. En papirmappe sorteret efter navn er derfor med.
Det gør I nu
Tag de felter, I oftest er i tvivl om, og skriv dem ind i en kopi af tabellen med jeres egne systemer ud for. Marker særligt fritekstfelter, for dér ender sygdomsårsager og anden følsom tekst uden plan. Vil I have hele sorteringen set igennem af andre end jer selv, er GDPR-gennemgangen et afgrænset første skridt.
Det skal I lade være med
- At tro, at en arbejdsmail er firmaets oplysning · står navnet i adressen, handler den om en person.
- At kalde data anonyme, fordi navnet er fjernet · resten kan stadig pege på personen.
- At bruge ordet personfølsom i politikker · skriv følsom eller fortrolig, for reglerne er forskellige.
- At regne sygedage og sygdomsårsag som det samme · årsagen er en helbredsoplysning.
Det skal I kræve af den eksterne
- ☐ Svar på grænsetilfælde med en begrundelse, I kan gemme.
- ☐ En sortering af jeres felter efter ikke-følsom, følsom, strafbart og CPR.
- ☐ Klar besked, når svaret er en vurdering og ingen regel.
- ☐ Eksempler fra jeres egne systemer frem for generelle lister.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 2, art. 4, nr. 1, art. 9, betragtning 14, 27 og 30.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: § 2, stk. 5, og § 11.
- Datatilsynet: Hvad er personoplysninger?: de tre typer, fortrolige og anonyme oplysninger.
- Datatilsynet: Sociale medier og billeder på internettet: billeder og private aktiviteter.
- Datatilsynet: Vejledning om direkte markedsføring, juni 2023: enkeltmandsvirksomheder.
- Datatilsynet og Digitaliseringsstyrelsen: Fællesvejledning om cookies, 2025.
- EU-Domstolen, C-582/14 (Breyer): dynamiske IP-adresser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: CPR-numre i virksomheden · Pseudonymisering og anonymisering
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
