########## Hvem er vernet av forordningen?

Begrepet «personopplysninger» omfatter i utgangspunktet bare fysiske personer, det vil si mennesker. Juridiske personer (bedrifter, foreninger, forvaltningsorganer mv.) faller utenfor. Helt skarp er denne grensen likevel ikke. I noen tilfeller er opplysninger om juridiske personer samtidig også opplysninger om fysiske personer, og i konkrete situasjoner kan det derfor være vanskelig å skjelne skarpt mellom dem. Dette vil typisk gjelde opplysninger knyttet til enkeltmannsforetak. Etter forordningen er det kun fysiske personer som er vernet. Opplysninger om avdøde levende personer er ikke omfattet direkte. Likevel kan opplysninger om døde personer samtidig være opplysninger om levende mennesker. For at det skal foreligge en «personopplysning», er det imidlertid nok at en opplysning kan knyttes til en fysisk person. Opplysninger om hvem indirekte som er foreldre, besteforeldre, søsken osv. til en (levende) person, vil derfor også være opplysninger om den levende personen. Selv om noen av disse slektningene er døde, vil opplysningen om slektskapet til den avdøde være en personopplysning om den levende personen. Dersom en død slektning har hatt arvelige sykdommer, vil også disse sykdomsopplysningene kunne ses som personopplysninger om den levende slektningen. Det er vanskelig å trekke klare skiller mellom opplysninger om levende og døde personer. Generelt må en imidlertid anta at jo flere generasjonsledd det er mellom en levende og en avdød person, desto mer skal det til for at opplysningen om den døde også kan regnes som «personopplysning» om den levende i forordningens forstand. Personvernforordningen gir medlemslandene anledning til å gi bestemmelsene i forordningen helt eller delvis anvendelse for opplysninger som gjelder døde personer, se fortalepunkt 27. I Norge er det ikke vedtatt slike bestemmelser.

########## Opplysningene må kunne knyttes til en identifisert eller identifiserbar person

Personopplysningene som er vernet av forordningen, må kunne knyttes til en identifisert eller identifiserbar fysisk person. Denne personen blir betegnet som «den registrerte». Identifiseringen kan for eksempel skje direkte ved hjelp av en eller flere identifikatorer. Forordningen nevner blant annet navn, identifikasjonsnummer, lokaliseringsopplysninger og nettidentifikator. Dette er opplysningstyper som ofte, med relativt stor grad av sikkerhet, knytter direkte an til en bestemt fysisk person. Også slike identifikatorer kan imidlertid gi usikker identifisering, for eksempel fordi flere har samme navn, adresseopplysningen er uriktig, en persons fødselsnummer brukes av uvedkommende, og fordi flere personer bruker en mobil eller PC. De identifikatorene som nevnes i bestemmelsen, er derfor bare viktige på hvordan identifisering av personer kan skje. eksempler I tillegg til identifikatorer kan identifisering skje ved hjelp av «ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet», se artikkel 4 nr. 1. Dette kan forstås som opplysninger som kjennetegner personen, og som kan brukes til å skjelne personen fra andre personer. Også andre muligheter for identifisering enn de som er direkte nevnt, kan tenkes. Oppregningen i forordningen av identifikatorer og andre elementer som kan bidra til identifisering, er ikke uttømmende, og særlig er det store muligheter for å ulike teknikker for å kunne kombinere identifisere en person. Det avgjørende er om det ved en eller flere slike teknikker er mulig å identifisere en person på tilstrekkelig sikker måte; teknikken i seg selv er ikke avgjørende. Artikkel 4 nr. 1 i personvernforordningen fastsetter at identifiseringen kan være «direkte eller indirekte». identifisering foreligger når en identifikator gir tilstrekkelig sikker identifisering Direkte (for eksempel fødselsnummer). Indirekte identifisering foreligger når flere teknikker må brukes for å oppnå sikker identifisering. Et vesentlig poeng ved analysen av begrepet «personopplysninger» er ordet : «person som kan direkte eller indirekte identifiseres». For at det skal eksistere personopplysninger, er det altså kan