Personoplysninger er enhver form for information om en fysisk person, der kan identificeres direkte eller indirekte. Det dækker langt mere end navn og adresse. Følsomme oplysninger er en snæver gruppe, som art. 9 opregner, og som har strengere regler. Oplysninger om strafbare forhold og personnumre har hver deres regler ved siden af. Sorteringen betyder noget i praksis, for den afgør, hvilket behandlingsgrundlag I skal bruge, og hvor høj risikoen er. Eksemplerne nedenfor er tænkte og viser typiske steder i en virksomhed.
Definitionen i art. 4
Art. 4, nr. 1, nævner som eksempler på det, der kan identificere en person, et navn, et identifikationsnummer, lokaliseringsdata og en onlineidentifikator. Også elementer, der er særlige for personens fysiske, psykiske, økonomiske, kulturelle eller sociale identitet, hører med.
To ting følger af ordlyden. Oplysningen behøver ikke stå ved et navn, for det er nok, at personen kan identificeres indirekte. Og oplysningen behøver ikke være privat, så en arbejdsmail er også omfattet.
Afgrænsningen går mod juridiske personer. Virksomhedens navn, form og kontaktoplysninger er uden for reglerne, jf. betragtning 14. En fælles postkasse som info@ siger typisk ingenting om en bestemt person, mens en adresse med fornavn og efternavn gør.
Almindelige personoplysninger i hverdagen
De fleste oplysninger i en virksomhed er det, man i daglig tale kalder almindelige personoplysninger. Forordningen bruger ikke selv den betegnelse. Typiske eksempler:
- navn, mail og telefon på kunder og kontaktpersoner,
- ordrehistorik og kundeservicesager,
- løn, stilling, anciennitet og medarbejderudtalelser,
- billeder af ansatte på hjemmesiden,
- logfiler med brugernavne,
- nummerplader og lokationsdata fra firmabiler.
IP-adresser kan også være personoplysninger. EU-Domstolen fastslog i Breyer-sagen, som angik det tidligere direktiv, at en dynamisk IP-adresse kan være det, når lovlige midler giver mulighed for at identificere personen bag.
Art. 6 gælder for dem alle, og det er her, de fleste behandlinger hører hjemme. Hvilket grundlag der passer, står i behandlingsgrundlag.
Følsomme oplysninger efter art. 9
Art. 9, stk. 1, opregner disse kategorier, og listen er udtømmende:
- race eller etnisk oprindelse,
- politisk, religiøs eller filosofisk overbevisning,
- fagforeningsmæssigt tilhørsforhold,
- genetiske data,
- biometriske data, når formålet er entydigt at identificere en person,
- helbredsoplysninger,
- seksuelle forhold eller seksuel orientering.
Behandling er forbudt, medmindre en af undtagelserne i stk. 2 gælder. I Danmark supplerer databeskyttelseslovens § 7, og § 12 har særlige regler for ansættelsesforhold.
Fagforeningen kan gemme sig i lønsystemet, hvor kontingentet trækkes. Årsagen til en sygemelding er en helbredsoplysning, og det samme gælder en lægeerklæring i personalemappen. Et fingeraftryk ved adgangskontrol er biometri, mens et almindeligt medarbejderfoto først bliver det, hvis det bruges til entydig identifikation.
Følsomme oplysninger udløser ikke i sig selv et krav om en DPO. HR-oplysninger findes i næsten alle virksomheder og er som regel en biaktivitet. Se kerneaktivitet og stort omfang. Er helbredsoplysninger selve arbejdet, som i private klinikker og sundhedsvirksomheder, står spørgsmålet anderledes.
Hvad betyder personfølsomme oplysninger?
Personfølsomme oplysninger er et hverdagsord, der hverken står i forordningen eller i databeskyttelsesloven. Det bruges om følsomme oplysninger efter art. 9 og ofte også om andet, man vil holde for sig selv. Forordningens eget udtryk er særlige kategorier af personoplysninger, og betragtning 51 taler om oplysninger, der i kraft af deres karakter er særligt følsomme. Udtrykket “af særlig karakter” står heller ikke i forordningen, så står det i en aftale eller en mail, må I spørge, hvilke oplysninger der menes.
Fortrolige oplysninger er noget andet. Datatilsynet beskriver dem som oplysninger, der efter den almindelige opfattelse i samfundet bør kunne holdes væk fra offentligheden, og henviser til straffelovens § 152 og forvaltningslovens § 27. Følsomme oplysninger er altid fortrolige, mens det omvendte ikke gælder. Personnummeret er en fortrolig oplysning, og det samme kan oplysninger om indtægt, formue, uddannelse og ansættelsesforhold efter omstændighederne være. Forskellen har betydning for sikkerheden, for Datatilsynet vurderer, at fortrolige og følsomme oplysninger som udgangspunkt skal være krypteret på vej over internettet i en mail.
Det praktiske svar er at sortere efter lovens grupper og bruge hverdagsordet i dialogen med kolleger, hvis det hjælper.
Strafbare forhold og personnumre
Oplysninger om straffedomme og lovovertrædelser hører ikke under art. 9. De står i art. 10 og databeskyttelseslovens § 8. Den straffeattest, en virksomhed beder om ved ansættelse af en chauffør, hører til her.
Personnummeret er heller ikke opregnet i art. 9. Det har sin egen regel i databeskyttelseslovens § 11, som bestemmer, hvornår private må behandle det. Stk. 3 forbyder offentliggørelse uden samtykke. Hvor numrene typisk ligger, og hvad reglen betyder i praksis, står i CPR-numre i virksomheden.
Pseudonymiserede og anonymiserede oplysninger
Pseudonymisering betyder, at oplysningerne ikke kan henføres til en person uden supplerende oplysninger, som opbevares adskilt, jf. art. 4, nr. 5. Hos den, der kan henføre dem, er de stadig personoplysninger. Reelt anonymiserede oplysninger er uden for reglerne. Grænsen er teknisk og konkret og er gennemgået i pseudonymisering og anonymisering.
Forslaget om definitionen
Definitionen står uændret pr. 5. november 2026. I Digital Omnibus foreslog Kommissionen en tilføjelse til art. 4, nr. 1. Den er streget i Rådets forhandlingsmandat af 22. oktober 2026, så Rådet vil ikke ændre definitionen og har i stedet foreslået betragtninger om pseudonymisering. Europa-Parlamentet har ingen stilling endnu, og intet er vedtaget. EDPB og EDPS har opfordret til at lade definitionen stå. Mere om forslagene står i Digital Omnibus og GDPR.
Det gør I nu
Tag jeres tre eller fire vigtigste systemer, og skriv ud for hvert, om der ligger oplysninger fra art. 9, art. 10 eller CPR-numre. Led også i fritekstfelter, vedhæftede filer og mailbokse, for her havner det følsomme ofte uden en plan. Resultatet er begyndelsen på et overblik, som I bygger videre på ved at kortlægge, hvor jeres persondata ligger.
Det skal I lade være med
- At behandle alt som lige følsomt · så drukner den reelle risiko i rutiner.
- At overse fritekst · en note i kundesystemet om en sygdom er en helbredsoplysning.
- At kalde data anonyme for hurtigt · et fjernet navn gør ikke oplysningerne anonyme.
Det skal I kræve af den eksterne
- ☐ En gennemgang af de faktiske systemer, også fritekstfelter og filer.
- ☐ En sortering efter art. 6, 9 og 10 og CPR for hver hovedbehandling.
- ☐ Forklaring af grænsetilfælde med begrundelse.
- ☐ Dato på alt, der bygger på forslag til nye regler.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: betragtning 14 og 51, art. 4, nr. 1 og 5, art. 6, 9 og 10.
- Datatilsynet: Hvad er personoplysninger?: fortrolige oplysninger, læst 6. november 2026.
- Datatilsynet: Sikker transmission: kryptering af mail.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 7, 8, 11 og 12.
- EU-Domstolen, C-582/14 (Breyer): dynamiske IP-adresser.
- Rådets mandat, ST 14756/26 af 22. oktober 2026: forslag, ikke vedtaget.
- EDPB og EDPS: Fælles udtalelse 2/2026: definitionen af personoplysninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er GDPR? · GDPR og databeskyttelsesloven
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
