ikke noe vilkår at opplysningene faktisk har blitt knyttet til en bestemt fysisk person; det er nok at det å benytte teknikkene som er nevnt ovenfor, for å fastsette en slik identitet. er mulig Det kan være at identifiserende kjennemerker som tidligere har vært knyttet til opplysninger, har blitt fjernet fordi det ikke lenger er behov for identifisering. I slike tilfeller vil det kunne være mulig å tilbakeføre identitetene. I så fall er det fortsatt personopplysninger så lenge reidentifisering er mulig (jf. «kan identifiseres»). Artikkel 10 i forordningen har imidlertid særlige bestemmelser som lemper på registrertes rettigheter hvis reidentifisering er nødvendig for å etterleve bestemmelser om innsyn mv. Personopplysningene som forordningen regulerer, kan komme til uttrykk på en hvilken som helst måte, som skrift, lyd, stillbilder, tegning, video, biometri, registrering av sensorer og annet, og omfatter med andre ord alle typer dokumentasjon og arkivmateriale. Sensordata er en stor og potensielt viktig kategori personopplysning: Posisjoneringssensorer, for eksempel basert på GPS (personers oppholdssted til bestemte tider og dermed hastighet, akselerasjon), samt ulike typer medisinske sensorer (hjerterytme, blodsukkermåling mv.), er to blant mange eksempler. Det generelle poenget er at det i prinsippet ikke er noen begrensninger eller unntak for hvordan personopplysninger kan komme til uttrykk, så lenge de er knyttet til (digital) automatisk behandling eller register.

########## Hva slags behandling av personopplysninger er omfattet?

Personopplysningsloven og -forordningen regulerer to slags behandlinger av personopplysninger, se artikkel 2 nr. 1:

- - helt eller delvis automatisert behandling av personopplysninger og
- - ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register.

Betydningen av begrepet «behandling» (av personopplysninger) er i utgangspunktet veldig enkel: det er tenkelig å gjøre med personopplysninger, er å regne som behandling. I forordningen blir Alt dette eksemplifisert på omfattende måte i artikkel 4 nr. 2:

innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.

Det som tidligere var separate informasjonssystemer, blir i dag ofte i stadig større grad integrert med hverandre. For eksempel gjør flere systemer bruk av felles databaser og felles programkomponenter for behandling av opplysningene. Dagens systemløsninger henger med andre ord ofte sammen på måter som kan gjøre det vanskelig å skille klart mellom dem. Det er grunn til å tro at denne utviklingen vil bli forsterket. På lignende måte som det kan være vanskelig å ta stilling til hva som er ett informasjonssystem, kan det være vanskelig å ta stilling til hva som skal regnes som i personvernforordningens forstand. Forordningen bygger på forutsetningen om at én behandling ansvaret for å behandle personopplysninger klart skal kunne plasseres hos én eller flere behandlingsansvarlige. Det kan imidlertid være vanskelig å bringe klarhet i hvor ansvaret til én behandlingsansvarlig slutter, og hvor en annens ansvar begynner. Dette gjelder både i grenseflaten mellom to behandlinger (hvor to eller flere integrerte behandlinger begynner/slutter) og hvordan ansvaret skal fordeles når to eller flere har felles behandlingsansvar for én og samme behandling. I sistnevnte tilfelle fastsetter personvernforordningen artikkel 26 nr. 1 at de behandlingsansvarlige skal bli enige om hvordan den konkrete ansvarsfordelingen mellom dem skal være. Førstnevnte tilfelle er ikke nærmere regulert, men er avhengig av en konkret vurdering. Det viktigste området personvernforordningen regulerer, er «helt eller delvis automatisert behandling av personopplysninger», jf. artikkel 2 nr. 1. Selv om de fleste typer behandling av