Ordliste

Ordlisten forklarer de ord, I møder i arbejdet med databeskyttelse. Forklaringerne er korte og skrevet, så en direktør kan bruge dem, og hvor emnet er større, fører et link videre til artiklen. Hvor forordningen selv definerer et ord, står bestemmelsen ved, så en jurist kan slå den præcise ordlyd op. Forklaringerne erstatter ikke lovteksten. Titler som CISO, CTO og CPO står i en bredere ordliste om ekstern IT-ledelse.

Roller

• Dataansvarlig · den, der bestemmer formålet med behandlingen, og hvilke hjælpemidler der bruges (art. 4, nr. 7). Ansvaret ligger her. Se Dataansvarlig eller databehandler.
• Databehandler · den, der behandler personoplysninger på den dataansvarliges vegne (art. 4, nr. 8), fx en driftsleverandør. Se Hvornår skal I have en databehandleraftale?.
• Underdatabehandler · en leverandør, som databehandleren selv bruger til en del af opgaven. Se Underdatabehandlere.
• Fælles dataansvarlige · to eller flere, der sammen fastlægger formål og hjælpemidler (art. 26). Se Fælles dataansvar.
• Den registrerede · det menneske, oplysningerne handler om (art. 4, nr. 1).
• DPO, databeskyttelsesrådgiver · den person, der rådgiver virksomheden og kontrollerer, at reglerne følges (art. 37 til 39). Se Skal vi have en DPO?.
• GDPR-ansvarlig · en medarbejder, der holder sammen på arbejdet uden at være udpeget som DPO. Se Uden DPO: hvem ejer så databeskyttelsen?.
• Tilsynsmyndighed · i Danmark Datatilsynet. Se Sådan fører Datatilsynet tilsyn.
• EDPB · Det Europæiske Databeskyttelsesråd, hvor EU-landenes tilsyn arbejder sammen og udgiver retningslinjer.

Oplysninger og behandling

• Personoplysning · enhver oplysning om en identificeret eller identificerbar person (art. 4, nr. 1). Se Personoplysninger og følsomme oplysninger.
• Følsomme oplysninger · oplysninger om fx helbred og fagforening, som art. 9 beskytter særligt. Oplysninger om strafbare forhold har egen regel i art. 10, og personnummer i databeskyttelseslovens § 11.
• Personfølsomme oplysninger · dagligdags ord uden plads i forordningen. Det dækker typisk de følsomme oplysninger og tit de fortrolige.
• Fortrolige oplysninger · oplysninger, som almindeligvis anses for at skulle holdes ude af offentligheden, fx personnummer. De følsomme hører altid med, og andre kan gøre det efter omstændighederne. Se Personoplysninger og følsomme oplysninger.
• Persondataforordningen · et andet ord for GDPR, databeskyttelsesforordningen (EU) 2016/679.
• Persondataloven · Danmarks lov fra 2000 om behandling af personoplysninger. Databeskyttelsesloven afløste den 25. maj 2018 (§ 46). Se GDPR og databeskyttelsesloven.
• Behandling · alt, hvad der gøres med oplysninger, fra indsamling og opbevaring til søgning, videregivelse og sletning (art. 4, nr. 2).
• Profilering · automatisk vurdering af en persons forhold, fx arbejdsindsats, økonomi eller præferencer (art. 4, nr. 4).
• Pseudonymisering · oplysninger kan ikke længere henføres til en person uden en ekstra nøgle, der opbevares for sig (art. 4, nr. 5). Se Pseudonymisering eller anonymisering.
• Anonymisering · oplysningerne kan ikke længere føres tilbage til nogen, og reglerne gælder så ikke for dem.
• Kerneaktivitet · den hovedaktivitet, der er afgørende for, om DPO-kravet gælder. Se Kerneaktivitet og stort omfang.

Dokumenter og grundlag

• Fortegnelse · den skriftlige oversigt over behandlingsaktiviteter efter art. 30. Se Fortegnelse over behandlingsaktiviteter.
• Behandlingsgrundlag · den bestemmelse, der giver lov til behandlingen, fx kontrakt eller retlig forpligtelse (art. 6). Se Behandlingsgrundlag.
• Legitim interesse · grundlaget i art. 6, stk. 1, litra f, som kræver en afvejning af jeres interesse mod personens.
• Samtykke · en frivillig, specifik, informeret og utvetydig tilkendegivelse (art. 4, nr. 11, og art. 7). Se Samtykke.
• Oplysningspligt · pligten til at fortælle personer om behandlingen efter art. 13 og 14. Se Oplysningspligten.
• Privatlivspolitik · et almindeligt ord for den tekst, der opfylder oplysningspligten. Lovens tekst bruger det ikke. Se Privatlivspolitik eller persondatapolitik.
• Slettepolitik · jeres regler for, hvornår hvilke oplysninger slettes. Se Slettepolitik.
• Databehandleraftale · den skriftlige aftale, art. 28, stk. 3, kræver mellem dataansvarlig og databehandler. Se Datatilsynets skabelon.

Risiko og sikkerhed

• DPIA, konsekvensanalyse · vurdering af en behandlings følger for personerne, før den går i gang (art. 35). Se Skal vi lave en DPIA?.
• Restrisiko · den risiko, der står tilbage efter foranstaltningerne. Se Høj restrisiko.
• Forudgående høring · at spørge Datatilsynet, før en behandling med høj restrisiko begynder (art. 36).
• Tekniske og organisatoriske foranstaltninger · det, der beskytter oplysningerne, fra kryptering til regler og træning (art. 32). Se Passende sikkerhed.
• Databeskyttelse gennem design · at indbygge reglerne i systemet og vælge de beskyttende standardindstillinger (art. 25). Se Databeskyttelse gennem design.
• MFA · login med mere end et trin, fx adgangskode og en kode på telefonen. Står i Datatilsynets katalog.
• TLS · kryptering af forbindelsen, når en mail sendes. Se Kryptering af mail.
• Brud på persondatasikkerheden · et sikkerhedsbrud, der fører til tab, ændring eller uvedkommendes adgang til oplysninger (art. 4, nr. 12). Se Er det et brud?.
• Brudlog · jeres egen liste over alle brud efter art. 33, stk. 5. Datatilsynet kalder det et dokumentationsregister. Se Brudloggen.

Rettigheder

• Indsigt · retten til at få at vide, hvad I har registreret, og få en kopi (art. 15). Se Indsigtsanmodning.
• Berigtigelse, begrænsning, dataportabilitet og indsigelse · retten til at få fejl rettet, brugen fryst, oplysninger udleveret eller behandlingen standset (art. 16, 18, 20 og 21). Se De registreredes rettigheder.
• Automatisk afgørelse · en afgørelse uden reel menneskelig medvirken (art. 22). Se Automatiske afgørelser.

Overførsel og leverandørkontrol

• Tredjeland · et land uden for EU og EØS. Se Overførsel til tredjelande.
• SCC, standardkontrakter · Kommissionens færdige aftalevilkår til overførsel efter art. 46. Se Standardkontrakter og TIA.
• TIA · transfer impact assessment. Vurderingen af lov og praksis i modtagerlandet.
• Data Privacy Framework · ordningen for certificerede amerikanske organisationer, godkendt ved afgørelse (EU) 2023/1795. Se Data Privacy Framework.
• BCR, bindende virksomhedsregler · koncerners egne godkendte regler for overførsel (art. 47).
• ISAE 3000-erklæring · en erklæring fra en uafhængig part om en leverandørs kontroller, som kan indgå i jeres tilsyn. Se Tilsyn med databehandlere.

Forslag

• Digital Omnibus · EU-forslag, 2025/0360(COD), som blandt andet vil ændre reglerne om brud. Ikke vedtaget pr. 5. november 2026. Se Digital Omnibus og GDPR.
• Omnibus IV · EU-forslag, 2025/0130(COD), med en foreløbig aftale om fortegnelser. Ikke vedtaget pr. 5. november 2026.

Kilder

• Databeskyttelsesforordningen (EU) 2016/679.
• Databeskyttelsesloven, LBK nr. 289 af 8/3 2024.
• Datatilsynet: Hvad er personoplysninger?: læst 6. november 2026.

Senest gennemgået: november 2026.

Næste skridt

• GDPR for ledelsen
• Tjeklister og skabeloner

Læs også: Skal vi have en DPO? · Tekniske foranstaltninger

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT