Persondata

Persondata er alle oplysninger, der kan identificere en fysisk person. Det gælder alt fra navn og e-mail til IP-adresser, lokationsdata og cookies. Når din virksomhed behandler den slags oplysninger, skal du følge GDPR.

Tilbage til ordbog

Hvad er persondata?

Persondata, eller personoplysninger, er enhver form for information, der kan knyttes til en bestemt person. GDPR definerer det bredt: Hvis oplysningen direkte eller indirekte kan identificere nogen, er det persondata.

Direkte identifikation er det mest oplagte. Et navn, et CPR-nummer eller et foto af en persons ansigt peger direkte på vedkommende. Men indirekte identifikation tæller også. En kombination af stilling, arbejdsplads og alder kan være nok til at udpege en bestemt person, selv uden navn.

Tommelfingerregel: Hvis du er i tvivl om, hvorvidt en oplysning er persondata, så er den det sandsynligvis. GDPR tolker begrebet bredt, og Datatilsynet følger den linje.

Eksempler på persondata

Her er de mest almindelige typer persondata, som virksomheder behandler:

Kontaktoplysninger: Navn, adresse, telefonnummer, e-mail.
Digitale identifikatorer: IP-adresser, cookie-ID'er, enheds-ID'er.
Offentlige identifikatorer: CPR-nummer, pasnummer, medarbejdernummer.
Lokationsdata: GPS-koordinater, adressehistorik, rejsedata.
Biometriske data: Fingeraftryk, ansigtsgenkendelse, stemmeaftryk.
Beskæftigelsesdata: Lønoplysninger, ansættelseskontrakter, performancevurderinger.

Almindelige og følsomme personoplysninger

GDPR skelner mellem to kategorier. Almindelige personoplysninger er ting som navn, adresse og telefonnummer. De kræver et gyldigt behandlingsgrundlag, men reglerne er relativt ligetil.

Følsomme personoplysninger (GDPR artikel 9) er en anden sag. Det er oplysninger om:

Helbred og sundhedsdata
Race eller etnisk oprindelse
Politisk overbevisning
Religiøst tilhørsforhold
Fagforeningsmedlemskab
Seksuel orientering
Genetiske og biometriske data

Følsomme data er som udgangspunkt forbudt at behandle. Din virksomhed kan kun gøre det, hvis en af GDPR's specifikke undtagelser gælder.

Hvad kræver GDPR af dig?

Når din virksomhed behandler persondata, er der en række grundlæggende krav, du skal leve op til:

Lovligt grundlag: Du skal have et behandlingsgrundlag for al behandling.
Gennemsigtighed: De registrerede skal vide, hvad du bruger deres data til.
Formålsbegrænsning: Du må kun bruge data til det formål, du har oplyst.
Dataminimering: Indsaml kun det, du rent faktisk har brug for.
Opbevaringsbegrænsning: Slet data, når du ikke længere har brug for dem.
Sikkerhed: Beskyt data med passende tekniske og organisatoriske foranstaltninger.

Persondata i praksis

De fleste virksomheder behandler langt mere persondata, end de tror. Dit HR-system indeholder medarbejderdata, dit CRM-system er fyldt med kundeoplysninger, og din hjemmeside samler IP-adresser og cookies fra besøgende.

Det første skridt er at få overblik. Du skal dokumentere, hvilke persondata du behandler, hvor de befinder sig, og hvem der har adgang. GDPR kræver, at du fører en artikel 30 fortegnelse over dine behandlingsaktiviteter.

Ofte stillede spørgsmål om persondata

Hvad er persondata?

Persondata er enhver information, der kan identificere en fysisk person direkte eller indirekte. Det gælder alt fra navn og adresse til IP-adresser, lokationsdata og cookies.

Er en e-mailadresse persondata?

Ja. En arbejds-e-mail som johannes@firma.dk er persondata, fordi den kan identificere en bestemt person. Selv generiske adresser som info@firma.dk kan være persondata, hvis de i praksis kun bruges af en person.

Hvad er forskellen på almindelige og følsomme personoplysninger?

Almindelige personoplysninger er fx navn, adresse og telefonnummer. Følsomme personoplysninger er særlige kategorier som helbredsdata, fagforeningsmedlemskab, biometriske data og oplysninger om race eller religion. Følsomme data har strengere regler for behandling.

Er IP-adresser persondata?

Ja. EU-Domstolen har slået fast, at dynamiske IP-adresser er persondata, fordi internetudbyderen kan koble adressen til en bestemt person. Det betyder, at din virksomhed skal behandle IP-adresser efter GDPR-reglerne.

Hvad er det første skridt til GDPR-overholdelse for persondata?

Det første skridt er at få et komplet overblik over, hvilke persondata din virksomhed behandler, hvor de opbevares, og hvem der har adgang. GDPR kræver en artikel 30-fortegnelse over behandlingsaktiviteter, som er fundamentet for compliance.