En personuppgift är en uppgift som på ett särskilt eller kvalificerat sätt kan knytas till en enskild fysisk person.Vad är personuppgifter?. Integritetsskyddsmyndigheten. Vad som utgör personuppgifter kan skilja sig mellan olika lagstiftningar och länder, även om olika lagstiftningars definitioners kärnområden oftast överlappar. Typiskt sett inkluderar personuppgifter bland annat uppgifter om personens egenskaper (till exempel ålder, kön eller kroppslängd), men också uppgifter som personen själv eller någon annan producerat och som kan knytas till en viss person (till exempel resultatet på ett prov i skolan eller löneuppgifter).
Personuppgifter anses i allmänhet ha ett stort skyddsvärde eftersom spridningen av dem kan inverka negativt på den personliga integriteten hos den person som uppgifterna avser. I takt med den teknologiska utvecklingen under 1900-talet har användningen och spridningen av personuppgifter blivit alltmer omfattande. Sedan 1970-talets början har lagstiftning för skydd av personuppgifter därför gradvis stärkts genom ex. Europarådets konvention 108, EU:s dataskyddsdirektiv och EU:s dataskyddsförordning. Förekomsten av personuppgifter kan därför idag beroende på situation och tillämpligt regelverk aktualisera olika rättigheter och skyldigheter, och begreppet får antas bli allt mer relevant med anledning av artificiell intelligens, maskininlärning och big data. Personuppgifter har egenskapen av att vara immateriella rättigheter.
Skydd av personuppgifter inom Europeiska unionen
Inom Europeiska unionen utgör skyddet av personuppgifter en grundläggande rättighet, enligt stadgan om de grundläggande rättigheterna. Genomförandet av denna rättighet regleras framför allt av dataskyddsförordningen (GDPR) och dataskyddsdirektivet för brottsbekämpning,Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) som bland annat definierar begreppet personuppgift. I egenskap av förordning är GDPR direkt tillämplig i alla medlemsstater och fungerar som lag i varje medlemsstat. Det EU-rättsliga personuppgiftsbegreppet i GDPR är därför det som är relevant i varje medlemsstat.
Dataskyddsförordningen (GDPR) I GDPR definieras en personuppgift enligt artikel 4.1 som: "varje upplysning som avser en identifierad eller identifierbar fysisk person". Uppgifter som inte kan sägas omfattas av definitionen är alltså inte personuppgifter och skyddas därför inte av GDPR. Definitionen förtydligas vidare i förordningens skäl 26 vari anges att: "För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen." Definitionen av personuppgifter i GDPR är därför tämligen vid och uttrycken " ... eller av annan person", "rimligen kan komma att användas" och "direkt eller indirekt" har sammantaget ansetts kunna tolkas som att omfatta nästan alla typer av information som överhuvudtaget kan sägas ha en koppling till en person. EU-domstolens praxis är otydlig med anledning av dessa uttrycks vaghet om vidd och med anledning av utvecklingen inom områden som maskininlärning och Big Data kan praxis komma att vidgas. Personuppgiftsdefinitionen överensstämmer i huvudsak med den definition som förekom i artikel 2 a) i 1995 års dataskyddsdirektiv (DPD) som i sin tur 2018 ersattes av dataskyddsförordningen. EU-domstolen har 2025 bekräftat att begreppen ska tolkas på samma sätt.
Varje upplysning Användningen av uttrycket varje upplysning innebär att begreppet personuppgifter kan gälla i princip alla typer av information. Begreppet är inte avgränsat till känsliga upplysningar eller upplysningar av privat karaktär.Törngren, David, Lexino, kommentar till artikel 4.1 GDPR EU-domstolen har i linje med detta, i mål C487-21, uttalat att uttrycket "upplysningar" potentiellt innefattar alla typer av upplysningar, såväl objektiva som subjektiva åsikter eller bedömningar.
Identifierbar fysisk person Som framgår av artikel 4.1 GDPR är personuppgifter sådana uppgifter som har en särskild relation till en identifierbar fysisk person (i förordningen kallad för "registrerad"). En sådan person är enligt samma artikel "en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet". Personuppgifter omfattar alltså inte juridiska personer omedelbart, utan omfattar dem endast medelbart i den situation att personuppgifterna också avser en fysisk person (se skäl 14).
Direkt eller indirekt identifiering Definitionen i artikel 4.1 och dess förtydligande skäl 26 visar på att förekomsten av personuppgifter förutsätter direkt eller indirekt identifiering. Vad som avses med direkt identifiering framgår dock inte av förordningen eller praxis. Det kan tänkas att personnummer utgör ett sätt att direkt identifiera en person.
Av skäl 26 framgår att man, vid bedömningen av om en person är "identifierbar", bör beakta alla hjälpmedel, t.ex. utgallring (eng. singling out), som "rimligen kan komma att användas av den personuppgiftsansvarige eller någon annan person för att direkt eller indirekt identifiera den fysiska personen". Detta innebär att den personuppgiftsansvarige (den som hanterar uppgifterna) inte själv behöver förfoga över samtliga uppgifter som gör identifieringen möjlig. Däremot krävs att det finns en s.k. rimlig sannolikhet att den personuppgiftsansvarige eller någon annan kommer att kunna identifiera personen. För att avgöra vilka hjälpmedel som med rimlig sannolikhet kan komma att användas bör man, enligt skäl 26, beakta samtliga objektiva faktorer, som kostnader och tidsåtgång för identifiering och tillgänglig teknik vid behandlingen. Detta innebär att det inte räcker att det finns en teoretisk möjlighet att identifiera den fysiska personen, utan att det också krävs att det i praktiken finns en risk för identifiering och att risken är av viss storlek. I takt med den teknologiska utvecklingen, såsom maskininlärning, och att förmågan att göra meningsfulla kopplingar mellan data ökar, så lär mängden data som är behäftad med denna tillräckliga risk öka. En relevant fråga är huruvida det är tillräckligt att mjukvara gör kopplingen, eller om även en människa måste förstå hur kopplingen har gjorts.
I mål C-413/23-P förtydligades begreppet identifierbar, särskilt vad gäller vems perspektiv som är avgörande. Målet avsåg information som hade skickats från sändaren A (personuppgiftsansvarig), till mottagaren B (en konsult). Informationen utgjordes av kommentarer som hade skapats av fysiska personer. Informationen om vilka som var upphovsmakarna till kommentarerna hade dock pseudonymiserats av A på sådant vis att det för B var praktiskt omöjligt att identifiera vem som hade skrivit kommentarerna. Domstolen uttalade att frågan identifierbarhet ska bedömas vid tidpunkten för insamlingen av uppgifterna och utifrån den personuppgiftsansvariges perspektiv. Eftersom A fortfarande hade "nyckeln" förblev kommentarerna personuppgifter för A under hela processen, inklusive vid själva överföringen till B. Huruvida kommentarerna var personuppgifter även för B (och att B därför skulle ses som personuppgiftsbiträde) ansågs av domstolen vara irrelevant för att bedöma A:s skyldigheter, varför den frågan inte prövades. A:s skyldighet att informera om mottagare uppstod vid insamlingstillfället, och då var det tveklöst personuppgifter ur A:s perspektiv.
Innebörden av uppgifter som avser fysiska personer För att en upplysning om en fysisk person ska anses vara en personuppgift krävs att uppgiften avser den fysiska personen. Av EU-domstolens dom den 20 december 2017 i mål C-434/16 (”Nowak”), gällande tolkningen av motsvarande begrepp ("som avser") i direktiv 95/46/EG, framgår att detta krav har en självständig betydelse.
Begreppet har av Artikel-29-arbetsgruppen delats upp i tre delar: uppgifter som på grund av sitt innehåll, sitt syfte eller sin verkan är knuten till en viss person.
Enligt David Törngren (svensk jurist och representant för Sverige vid förhandlingarna inför införandet av GDPR samt rättschef på IMY) torde det i de flesta fall inte råda någon tvekan huruvida en uppgift avser en fysisk person. I vissa fall kan det dock krävas en mer ingående bedömning. Det resonemang som EU-domstolen förde i ”Nowak”-domen kan vara vägledande i sådan situation. I domen ställdes frågan om de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen, liksom examinatorns anteckningar angående dessa svar, utgjorde personuppgifter enligt det då gällande direktivet. Det rådde i målet ingen tvekan om att examinanden var en person som kunde identifieras, antingen direkt genom sitt namn eller indirekt genom ett identifieringsnummer. Domstolen konstaterade att för att en uppgift ska avse den registrerade krävs att upplysningen på grund av sitt innehåll, sitt syfte eller sin verkan är knuten till en viss person (se p. 35 i domen). Domstolen bedömde att de skriftliga svar som examinanden hade lämnat uppfyllde dessa krav.
Nowak-domen är dock inte klart förenlig med mål C-141/12 och C-372/12 (”Minister voor Immigratie”). I det målet ansågs en rättslig analys avseende en ansökan om uppehållstillstånd tillhörande en identifierad person inte i sig utgöra personuppgifter enligt direktiv 95/46/EG, se p. 33–48 i domen. Domstolen kom till denna slutsats efter en tolkning utifrån syftet med direktivet. Domstolen konstaterade att om den uppehållstillståndssökandes rätt till tillgång utvidgades till att omfatta den rättsliga analysen, skulle detta i realiteten inte uppfylla direktivets mål att säkerställa skyddet för sökandens privatliv i samband med behandlingen av uppgifter som rör honom eller henne, utan uppfylla målet att garantera sökanden tillgång till administrativa handlingar, som inte omfattades av direktiv 95/46/EG. Huruvida samma resonemang kan föras med anledning av GDPR är oklart, eftersom GDPR till skillnad från direktivet syftar till att realisera skyddet för personuppgifter, och inte skyddet för privat- och familjelivet.
Domstolen har i mål C-487-21 vidare angett att den vida definitionen av begreppet ”personuppgifter” inte endast de uppgifter som samlats in och lagrats av den registeransvarige, utan även varje upplysning som genereras i samband med en behandling av personuppgifter och som rör en identifierad eller identifierbar person, såsom bedömningen av personens kreditvärdighet eller av dennes betalningsvilja. Domstolen anger vidare att personuppgifter kan skapas genom avsaknaden av viss information, det vill säga när avsaknaden av en uppgift avslöjar information om den registrerade.
Artikel-29-arbetsgruppen