GDPR for universiteter: den komplette guide til videregående uddannelser (2026)

Et kildebaseret overblik over databeskyttelse på videregående uddannelser for databeskyttelsesrådgivere, IT og biblioteker: hvad GDPR kræver af et universitet, hvordan andre europæiske universiteter anvender reglerne, hvad tilsynsmyndighederne har givet universiteter og skoler bøder for, og en plan for de næste 12 måneder. Hvert afsnit linker til en mere dybdegående guide.

Udgivet 9. oktober 2026 · Kilder kontrolleret 9. oktober 2026

Findes også på: English · Svenska · Nederlands · Norsk · Suomi · Français · Español · Português

1. Hvad betyder GDPR for et universitet?

GDPR gælder for alle universiteter i EU og EØS, offentlige som private, fordi alle universiteter behandler personoplysninger om studerende, ansøgere, medarbejdere, forsøgspersoner, alumner, biblioteksbrugere og besøgende. Et offentligt universitet er som regel en offentlig myndighed, og det ændrer tre ting: hvilke behandlingsgrundlag det kan bruge, pligten til at udpege en databeskyttelsesrådgiver og, i nogle lande, om det kan få bøder.

Videregående uddannelse er et vanskeligt miljø for databeskyttelse. Et universitet er på én gang arbejdsgiver, uddannelsesinstitution, eksamensmyndighed, forskningsorganisation, bibliotek, udlejer og nogle gange samarbejdspartner i sundhedsvæsenet. Fakulteter og forskergrupper vælger ofte deres egne værktøjer. Tusindvis af nye studerende begynder hvert år, og mange medarbejdere arbejder på tværs af institutioner og lande. GDPR har ikke særlige regler for universiteter, men giver plads til national ret, og nationale universitets- og arkivlove præger en stor del af den daglige praksis.

Denne guide giver et overblik over hele området. Selve forordningens tekst finder du på vores side GDPR forklaret. Under hvert emne nedenfor linker vi til en mere dybdegående guide, skabelon eller et gratis værktøj.

2. Hvilket behandlingsgrundlag bruger et universitet?

De fleste offentlige universiteter i Europa bruger GDPR artikel 6, stk. 1, litra e: behandling, der er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse. Efter artikel 6, stk. 3, skal grundlaget fremgå af EU-retten eller national ret, så universitetet henviser til den nationale lov, der pålægger det dets opgaver, fx en universitetslov. Retlig forpligtelse (art. 6, stk. 1, litra c) dækker lovbestemte pligter.

Opgave i samfundets interesse, forankret i national ret

Artikel 6, stk. 3, fastslår, at grundlaget for behandling efter litra c og e »skal fremgå af« EU-retten eller den nationale ret, som den dataansvarlige er underlagt. Universiteternes privatlivsmeddelelser viser, hvordan det fungerer i praksis:

• Universitetet i Oslo baserer behandlingen af oplysninger om studerende på artikel 6, stk. 1, litra e, sammenholdt med §§ 2-1 og 2-8 i den norske lov om universiteter og høgskoler.
• Helsingfors Universitet skriver, at behandlingen »is based on the University's statutory tasks carried out in the public interest (section 2 of the Universities Act)« (bygger på universitetets lovbestemte opgaver i samfundets interesse (§ 2 i universitetsloven)).
• Stockholms universitet oplyser, at det mest almindelige behandlingsgrundlag er »a task of public interest in accordance with Article 6(1)(e)« (en opgave i samfundets interesse i henhold til artikel 6, stk. 1, litra e).
• Uppsala Universitet bemærker, at behandlingen i sager om studerende »is often an aspect of the exercise of official authority« (ofte er et led i offentlig myndighedsudøvelse), og at den i forskning ofte sker i samfundets interesse.
• Trinity College Dublin baserer forskning på artikel 6, stk. 1, litra e, og den irske universitetslov fra 1997, hvorefter fremme af forskning er »a primary object and function of the University« (et af universitetets primære formål og funktioner).
• Universitat de Barcelona bruger samfundets interesse som grundlag for oplysninger om studerendes mobilitet med henvisning til den spanske organiske lov 2/2023 om universitetssystemet (LOSU) og den catalanske universitetslov.

En og samme meddelelse kan bruge flere grundlag. Université Paris-Saclays privatlivsmeddelelse til ansøgere (september 2026) angiver opgaven i samfundets interesse for behandling af ansøgninger, en retlig forpligtelse for indskrivning og legitim interesse for invitationer til dimissioner. Denne tilgang, hvor grundlaget angives for hvert formål, er god praksis og gør det lettere at føre jeres fortegnelse over behandlingsaktiviteter.

Grænsen for legitim interesse

Det sidste afsnit i artikel 6, stk. 1, fastslår, at litra f, legitim interesse, »gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver«. Betragtning 47 forklarer, at det er lovgivers opgave at fastsætte retsgrundlaget for offentlige myndigheders behandling ved lov. EDPB's retningslinjer 1/2024 om legitim interesse (version 1.0, sendt i offentlig høring) tilføjer, at offentlige myndigheder kun kan bruge grundlaget »in exceptional and limited cases« (i undtagelsesvise og begrænsede tilfælde) for aktiviteter, der ikke er knyttet til deres specifikke opgaver, hvis national ret tillader det, og at brugen bør dokumenteres internt.

Validemics analyse I praksis betyder det, at et offentligt universitet ikke bør gribe til legitim interesse for undervisning, bedømmelse, studieadministration eller forskning. Det kan måske forsvares for reelt perifere aktiviteter, fx visse alumnearrangementer eller en campusbutik, afhængigt af national ret. Bruger I grundlaget, så gennemfør og gem en interesseafvejning; vores skabelon til interesseafvejning (på engelsk) er lavet til netop det.

Hvorfor samtykke er et svagt grundlag for kernebehandlinger

Ifølge betragtning 43 bør samtykke ikke udgøre et gyldigt retsgrundlag, »hvis der er en klar skævhed mellem den registrerede og den dataansvarlige, navnlig hvis den dataansvarlige er en offentlig myndighed«. Universitetet i Oslos vejledning til medarbejdere anvender dette på ansættelsesforhold og bemærker, at universitetet som arbejdsgiver »would normally not be able to use consent as a processing basis for employees« (normalt ikke vil kunne bruge samtykke som behandlingsgrundlag for medarbejdere). Samme logik gælder for studerende, der skal bruge et system for at bestå et kursus. Samtykke har stadig en plads ved frivillige aktiviteter: nyhedsbreve, fotos til markedsføring eller et frivilligt pilotværktøj. EDPB's retningslinjer om samtykke beskriver betingelserne. Valget af behandlingsgrundlag for forskning gennemgår vi i guiden behandlingsgrundlag for forskning efter GDPR.

3. Hvis oplysninger behandler et universitet?

Et universitet behandler oplysninger om mindst syv grupper af personer. Hver gruppe har forskellige formål, behandlingsgrundlag, opbevaringsperioder og risici, så det er en fordel at organisere privatlivsmeddelelser, fortegnelser og slettepolitikker efter gruppe. Tabellen er et typisk udgangspunkt, ikke en regel: Tjek jeres egen nationale lovgivning.

4. Særlige kategorier og oplysninger om strafbare forhold

Artikel 9, stk. 1, forbyder behandling af særlige kategorier af personoplysninger, medmindre en undtagelse i artikel 9, stk. 2, gælder. Kategorierne er race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data med henblik på entydig identifikation, helbredsoplysninger og oplysninger om seksuelle forhold eller seksuel orientering. Universiteter behandler dem alle.

Almindelige eksempler fra universiteter:

• Helbredsoplysninger til særlige studievilkår, særlige prøvevilkår, sygefravær og arbejdsmiljø.
• Biometriske data i visse værktøjer til eksamensovervågning, ansigtsgenkendelse og adgangskontrol.
• Fagforeningsmæssigt tilhørsforhold ved fradrag i lønnen.
• Forskningsdata i medicin, psykologi, samfundsvidenskab og statskundskab, hvor særlige kategorier ofte er selve forskningens genstand.

For universitetets kerneopgaver er de mest almindelige undtagelser artikel 9, stk. 2, litra b (ansættelsesret), litra g (væsentlig samfundsinteresse på grundlag af lov) og litra j (forskning med garantier efter artikel 89). Universitetet i Oslo skriver, at for særlige kategorier af oplysninger om studerende er »the legal basis is Article 9 g) of the GDPR« (retsgrundlaget GDPR artikel 9, litra g), sammenholdt med den nationale lov. Hver af disse undtagelser afhænger af EU-retten eller national ret, så den præcise vej varierer fra land til land.

Straffedomme og lovovertrædelser reguleres særskilt i artikel 10, som kun tillader behandling under kontrol af en offentlig myndighed, eller hvor EU-retten eller national ret giver hjemmel. Det har betydning for indhentning af straffeattester for studerende på lærer-, sundheds- og socialrådgiveruddannelser, som normalt sker med hjemmel i national ret.

5. Skal et universitet have en databeskyttelsesrådgiver?

Ja, hvis det er en offentlig myndighed eller et offentligt organ. Artikel 37, stk. 1, litra a, kræver en databeskyttelsesrådgiver, når »behandling foretages af en offentlig myndighed eller et offentligt organ, undtagen domstole, der handler i deres egenskab af domstol«. Private universiteter skal som regel også have en, fordi behandling af særlige kategorier af oplysninger i stort omfang eller regelmæssig og systematisk overvågning af personer er almindelig på videregående uddannelser (art. 37, stk. 1, litra b og c).

Det juridiske fakultet ved Lissabon Universitet er et typisk eksempel: Fakultetets privatlivspolitik siger, at det, »Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD« (i lyset af den retlige forpligtelse efter GDPR artikel 37, stk. 1, litra a), har udpeget en databeskyttelsesrådgiver. Artikel 37, stk. 3, tillader én fælles rådgiver for flere offentlige organer under hensyntagen til deres struktur og størrelse, hvilket nogle mindre institutioner benytter sig af.

Hvad databeskyttelsesrådgiveren gør, og hvad rådgiveren ikke gør

Efter artikel 39, stk. 1, skal rådgiveren mindst underrette og rådgive universitetet og medarbejderne, overvåge overholdelsen (herunder ansvarsfordeling, oplysningskampagner, uddannelse og revision), rådgive om konsekvensanalyser og samarbejde med og fungere som kontaktpunkt for tilsynsmyndigheden. Universiteit Utrecht opsummerer det sådan: »The DPO's main job is to oversee the application and observance of the GDPR within the organisation.« (Rådgiverens hovedopgave er at føre tilsyn med anvendelsen og overholdelsen af GDPR i organisationen.)

Databeskyttelsesrådgiveren rådgiver; universitetet beslutter. Artikel 38 beskytter rollen: Rådgiveren skal »inddrages tilstrækkeligt og rettidigt« i alle spørgsmål om databeskyttelse, skal have de nødvendige ressourcer, »må ikke afskediges eller straffes« for at udføre sine opgaver og rapporterer direkte til det øverste ledelsesniveau. Kontaktoplysningerne skal offentliggøres og meddeles tilsynsmyndigheden (art. 37, stk. 7). De fleste universiteter offentliggør en funktionspostkasse, fx fg@uva.nl ved Universiteit van Amsterdam eller dataskyddsombud@uu.se ved Uppsala Universitet.

Artikel 29-Gruppens retningslinjer om databeskyttelsesrådgivere (WP243 rev.01), som EDPB har tilsluttet sig, siger, at rådgiveren ikke kan bestride en stilling, der indebærer, at vedkommende fastlægger formål og hjælpemidler, og nævner IT-chefen og HR-chefen som eksempler på roller, der kan give interessekonflikt. I EDPB's koordinerede håndhævelsesindsats om databeskyttelsesrådgivere fra 2023 fandt 25 myndigheder bl.a. rådgivere med utilstrækkelige ressourcer og rådgivere, der ikke havde fået alle de opgaver, GDPR kræver.

Validemics analyse På et stort universitet kan én databeskyttelsesrådgiver ikke gennemgå hvert værktøj, hver meddelelse og hvert projekt. De institutioner, der klarer sig bedst, bygger et netværk: databeskyttelseskontakter på hvert fakultet, en privatlivsspecialist i forskningsstøtten og IT-sikkerhed, der står for den tekniske gennemgang. Rådgiveren rådgiver så i de svære sager og overvåger systemet.

6. Fortegnelse over behandlingsaktiviteter (artikel 30)

Alle universiteter skal føre en fortegnelse over behandlingsaktiviteter. Undtagelsen i artikel 30, stk. 5, for organisationer med under 250 ansatte hjælper ikke: Den gælder ikke, hvis behandlingen »ikke er lejlighedsvis« eller omfatter særlige kategorier af oplysninger, hvilket dækker ethvert universitet. Fortegnelsen skal angive formål, kategorier af oplysninger og registrerede, modtagere, overførsler, slettefrister og sikkerhedsforanstaltninger.

Fortegnelsen er også et arbejdsredskab. KU Leuven oplyser de studerende om, at »specific retention periods per processing activity are included in the register of processing activities« (specifikke opbevaringsperioder for hver behandlingsaktivitet fremgår af fortegnelsen), hvilket kobler fortegnelsen direkte til slettepolitikken. Universidad Complutense de Madrid offentliggør sin Registro de Actividades de Tratamiento på nettet, så alle kan se, hvad universitetet behandler og hvorfor.

En praktisk struktur er én post pr. formål, grupperet efter gruppe af registrerede, med en kolonne for hvert system og hver leverandør, der er involveret. Vores skabelon til fortegnelse for universiteter og Word-skabelonen (på engelsk) følger denne struktur. Se også vores danske skabelon til fortegnelse over behandlingsaktiviteter.

7. Gennemsigtighed og oplysningspligt

Artikel 13 og 14 kræver, at universitetet ved indsamlingen (eller inden for en måned, hvis oplysningerne kommer fra andre) oplyser, hvem den dataansvarlige er, hvordan databeskyttelsesrådgiveren kontaktes, formål og behandlingsgrundlag, modtagere, overførsler, opbevaring og de registreredes rettigheder. Universiteter offentliggør som regel lagdelte meddelelser: en generel meddelelse og derefter én pr. gruppe eller større proces.

Eksempler, der er værd at se på:

• Universiteit van Amsterdam angiver tydeligt den dataansvarlige: »The Executive Board of the UvA is the controller« (UvA's direktion er dataansvarlig).
• KU Leuven har en særskilt meddelelse til forsøgspersoner ved siden af meddelelsen til studerende.
• Université Paris-Saclay offentliggør en meddelelse for én bestemt proces (onlineansøgning) med behandlingsgrundlag for hvert formål og opbevaringsperiode for hver kategori.

For forsøgspersoner giver artikel 14, stk. 5, litra b, en undtagelse, hvis det er umuligt eller kræver en uforholdsmæssig indsats at underrette hver enkelt, navnlig ved forskning, men universitetet skal så gøre oplysningerne offentligt tilgængelige og træffe andre foranstaltninger. Vores skabelon til oplysning af forsøgspersoner (på engelsk) gennemgår detaljerne.

8. De registreredes rettigheder

Studerende, medarbejdere, ansøgere og forsøgspersoner har ret til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet (ved samtykke og kontrakt) og indsigelse (ved opgave i samfundets interesse). Universitetet skal svare »uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen«, og fristen kan forlænges med to måneder i komplicerede sager (art. 12, stk. 3).

Tre problemstillinger dukker oftere op på universiteter end andre steder:

1. Indsigtsanmodninger i tvister. Studerende, der klager over en karakter, og medarbejdere i personalesager beder ofte om alt, også e-mails. Vores guide til indsigtsanmodninger på universiteter (på engelsk) dækker eksamensbesvarelser, e-mails og forskningsdata og har svarskabeloner. EDPB's retningslinjer 01/2022 om indsigtsretten er den vigtigste reference.
2. Sletning over for arkivering. Offentlige universiteter skal ofte bevare dokumenter efter arkivlovgivningen. Københavns Universitet skriver i sin engelske privatlivspolitik, at der er »no right to erasure of information that has been filed in the University's archives in accordance with the Archives Act« (ingen ret til sletning af oplysninger, der er arkiveret i universitetets arkiver efter arkivloven). Artikel 17, stk. 3, litra b og d, indeholder de undtagelser, det bygger på.
3. Aktindsigt. Især i Sverige og Finland kan alle anmode om dokumenter fra offentlige universiteter efter reglerne om offentlighed i forvaltningen. Lunds universitet bemærker, at offentlige dokumenter opbevares efter trykkefrihedsforordningen og arkivloven. Databeskyttelsesarbejdet og dokumenthåndteringen skal koordineres.

Artikel 22 får også større betydning, efterhånden som automatiske værktøjer breder sig. Afgørelser, der udelukkende er baseret på automatisk behandling og betydeligt påvirker en person, fx et automatisk afslag på optagelse, er kun tilladt i begrænsede tilfælde og med garantier, herunder menneskelig indgriben.

9. Hvornår kræves en konsekvensanalyse?

En konsekvensanalyse vedrørende databeskyttelse kræves før behandling, der »sandsynligvis vil indebære en høj risiko« for personer (art. 35, stk. 1). WP248-retningslinjerne, som EDPB har tilsluttet sig, opstiller ni kriterier; behandling, der opfylder to af dem, kræver som regel en konsekvensanalyse. På videregående uddannelser bliver overvågning af studerende, særlige kategorier af oplysninger, ny teknologi og det ulige forhold mellem universitet og studerende ofte til mindst to.

Typiske behandlinger på universiteter, der som regel kræver en konsekvensanalyse: eksamensovervågning online, læringsanalyse og systemer til tidlig varsling, AI-værktøjer, der bedømmer eller giver feedback på studerendes opgaver, store forskningsprojekter med helbredsoplysninger, tv-overvågning på campus og nye studie- eller HR-systemer. Den dataansvarlige skal rådføre sig med databeskyttelsesrådgiveren, når konsekvensanalysen udføres (art. 35, stk. 2).

University of Edinburgh viser en brugbar indgang: Medarbejderne skriver til databeskyttelsesrådgiveren og »will be assigned an assessment through our online tool« (får tildelt en analyse i universitetets onlineværktøj), og en eksisterende konsekvensanalyse for samme system kan genbruges. Genbrug er vigtigt: Hvis ti institutter tager den samme platform i brug, er én velholdt konsekvensanalyse med lokale bilag bedre end ti ufuldstændige.

Start med vores gratis screeningsværktøj til konsekvensanalyser, og brug derefter skabelonen til konsekvensanalyse for universiteter (begge på engelsk). For særlige højrisikoområder, se onlineeksamen og eksamensovervågning og læringsanalyse.

10. Databehandlere og leverandøraftaler

Når en leverandør behandler personoplysninger på universitetets vegne, må universitetet kun bruge databehandlere, der kan stille »de fornødne garantier«, og skal have en aftale, der opfylder artikel 28, stk. 3. Det gælder læringsplatformen, det studieadministrative system, cloudlagring, spørgeskemaværktøjer og AI-tjenester, og også gratis værktøjer, som undervisere tager i brug på egen hånd.

Leverandørdelen af universitetets compliance omfatter typisk:

• En rolleanalyse: Er leverandøren databehandler, dataansvarlig for visse formål (fx produktforbedring eller modeltræning) eller fælles dataansvarlig? Se vores guide til aftaler om fælles dataansvar (på engelsk) for forskningskonsortier.
• En databehandleraftale, der er tjekket op mod alle otte punkter i artikel 28, stk. 3. Vores tjekker til databehandleraftaler holder et udkast op mod hvert punkt. Se også vores danske skabelon og tjekliste til databehandleraftaler.
• En aktuel liste over underdatabehandlere med placering og en måde at opdage og gøre indsigelse mod ændringer på. Vores værktøj til varsler om underdatabehandlere hjælper med overvågningen.
• Sikkerhedsdokumentation som ISO/IEC 27001-certificering eller en SOC 2-rapport, kontrolleret for omfang.
• For AI-funktioner: om universitetets data bruges til træning, og hvilke AI-udbydere der er underdatabehandlere.

Vores hovedguide om leverandørvurdering for universiteter dækker hele forløbet fra indtag til exit, og vores GDPR-faktaark (på engelsk) opsummerer, hvad leverandører som Canvas, Moodle, Microsoft 365, Google Workspace, Zoom og Turnitin offentligt dokumenterer. Ikke-godkendte værktøjer er et særskilt problem; se skygge-IT og ikke-godkendte AI-værktøjer.

Er I i gang med at vurdere en leverandør? Validemic gennemgår leverandørens dokumenter i forhold til GDPR og AI-forordningen og angiver kilden til hver vurdering. Prøv demomiljøet

11. Overførsler til tredjelande

Overførsel af personoplysninger uden for EØS er kun tilladt efter kapitel V: en tilstrækkelighedsafgørelse, fornødne garantier som standardkontraktbestemmelser (SCC) med en vurdering af overførslen (TIA) eller en snæver undtagelse. Fjernadgang fra et tredjeland, fx fra en leverandørs supportmedarbejdere, er også en overførsel, så hosting i EU alene afgør ikke spørgsmålet.

For amerikanske leverandører dækker tilstrækkelighedsafgørelsen om EU-US Data Privacy Framework (gennemførelsesafgørelse (EU) 2023/1795) organisationer på DPF-listen. En appel af Rettens dom, der opretholdt afgørelsen, verserer (sag C-703/25 P), så universiteterne bør vide, hvilke leverandører der er afhængige af den. Artikel 49, stk. 3, fastslår desuden, at undtagelserne for samtykke og kontrakt ikke gælder for offentlige myndigheder, der udøver deres offentlige beføjelser, hvilket begrænser dem for offentlige universiteter.

Overførsler har været centrale i flere sager på uddannelsesområdet. I 2022 nedlagde Datatilsynet forbud mod Helsingør Kommunes brug af Chromebooks og Google Workspace i folkeskolen, herunder mod overførsler til tredjelande; forbuddet blev senere suspenderet og afløst af påbud. Den svenske IMY gav Umeå Universitet en bøde i en sag, der bl.a. omfattede følsomme oplysninger lagret i en cloudtjeneste uden tilstrækkelig beskyttelse.

Læs mere: EU-US Data Privacy Framework for universiteter, skabelon til vurdering af overførsler (TIA), det gratis værktøj til overførselsgrundlag (alle på engelsk) og CLOUD Act og digital suverænitet.

12. Sikkerhed og brud på persondatasikkerheden

Artikel 32 kræver et sikkerhedsniveau, der passer til risikoen. Artikel 33 kræver, at universitetet anmelder et brud på persondatasikkerheden til tilsynsmyndigheden uden unødig forsinkelse og om muligt »senest 72 timer, efter at denne er blevet bekendt med det«, medmindre det er usandsynligt, at bruddet indebærer en risiko. Er risikoen høj, skal de berørte også underrettes (art. 34).

De 72 timer løber fra det tidspunkt, hvor universitetet får kendskab til bruddet, ikke fra når databeskyttelsesrådgiveren hører om det, så den interne vej skal være hurtig og kendt af alle medarbejdere. Universiteternes procedurer viser nogle fælles mønstre:

• Aalto-universitetet: Et formodet brud »must be immediately reported by contacting the university's information security team« (skal straks indberettes ved at kontakte universitetets informationssikkerhedsteam); databeskyttelsesrådgiveren står for anmeldelsen til den finske databeskyttelsesombudsmand.
• Karolinska Institutet giver medarbejderne hverdagseksempler, fx en e-mail sendt til den forkerte modtager, tabte data og kaprede logins.
• Trinity College Dublin beder medarbejderne indberette til databeskyttelseskontoret uden forsinkelse og gør det klart, at en indberetning af et brud ikke behandles som en disciplinær sag.
• NTNU adskiller sikkerhedshændelser (til universitetets SOC) fra afvigelsesrapporter om privatliv og bemærker, at en rapport »must describe the action, not the person who performed it« (skal beskrive handlingen, ikke den person, der udførte den).

Efter artikel 33, stk. 5, skal alle brud dokumenteres, også dem, der ikke anmeldes til myndigheden. EDPB's retningslinjer 9/2022 forklarer, hvornår anmeldelse er påkrævet. Vores guide til håndtering af brud, beredskabspakken (begge på engelsk) og nedtællingen til anmeldelse af brud hjælper med forberedelsen. Universiteter kan også være omfattet af nationale NIS2-regler; se NIS2 og universiteter og vores side om NIS2-direktivet.

13. Opbevaring og arkivering

Personoplysninger må ikke opbevares længere end nødvendigt til formålene (opbevaringsbegrænsning, art. 5, stk. 1, litra e), men oplysninger, der udelukkende opbevares til arkivformål i samfundets interesse eller til forskning, kan opbevares længere med garantier. For offentlige universiteter afgør nationale arkivlove ofte, hvad der skal bevares og hvor længe, så slettepolitikken bør udarbejdes sammen med arkivaren, ikke kun af databeskyttelsesrådgiveren.

Eksempler på, hvordan nationale regler præger opbevaringen:

• Lunds universitet forklarer, at personoplysninger efter den svenske arkivlov (1990:782) kan opbevares »in some cases indefinitely in the University's archive« (i nogle tilfælde tidsubegrænset i universitetets arkiv).
• Université Paris-Saclay opbevarer oplysninger om optagne ansøgere i 50 år efter de franske arkivregler: »Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans« (for optagne ansøgere opbevares de derefter i 50 år).
• Universiteit Utrecht opbevarer rå forskningsdata »for at least ten years after publication of the research results« (i mindst ti år efter offentliggørelsen af forskningsresultaterne) i overensstemmelse med reglerne om forskningsintegritet.

Det er i leverandørernes systemer, at opbevaringen oftest svigter: En slettet post i det studieadministrative system kan leve videre i et spørgeskemaværktøj, en videoplatform eller i backup. Vores skabelon til slettepolitik (Word-fil, på engelsk) har en kolonne til de systemer, der indeholder hver dokumenttype.

14. Forskning og artikel 89

GDPR er forholdsvis forskningsvenlig. Artikel 9, stk. 2, litra j, tillader behandling af særlige kategorier af oplysninger til forskning på grundlag af EU-ret eller national ret, og artikel 89, stk. 1, kræver garantier, navnlig dataminimering og pseudonymisering, hvor det er muligt. Artikel 89, stk. 2, giver national ret mulighed for at begrænse visse rettigheder, hvis de i alvorlig grad vil hindre forskningen.

Hvordan det fungerer, varierer meget fra land til land, så en hovedguide kan kun give konturerne. Nogle eksempler:

• Universiteit Utrecht: »Conducting scientific research is a task of public interest entrusted to the UU« (videnskabelig forskning er en opgave i samfundets interesse, som UU er pålagt), og der indhentes udtrykkeligt samtykke til særlige kategorier af oplysninger.
• Københavns Universitet: Uden samtykke behandles følsomme forskningsdata efter artikel 6, stk. 1, litra e, og databeskyttelseslovens § 10, men kun »if the processing is aimed at statistical or scientific studies with potential public interest« (hvis behandlingen sker med henblik på statistiske eller videnskabelige undersøgelser af mulig samfundsmæssig betydning).
• Trinity College Dublin bruger artikel 9, stk. 2, litra j, med garantier efter artikel 89, stk. 1, men bemærker, at de irske regler for sundhedsforskning stadig kræver udtrykkeligt samtykke til sundhedsforskning.
• University College Dublins bibliotek minder forskerne om, at GDPR »applies to any research that uses personal data, including scientific research and studies in the arts and humanities« (gælder for al forskning, der bruger personoplysninger, også videnskabelig forskning og humanistiske studier).
• I Norge bruger institutioner med en aftale Sikts meldeskjema; Sikt beskriver sin rolle som »to advise and guide you on how to process personal data lawfully« (at rådgive og vejlede om, hvordan personoplysninger behandles lovligt).

Studerende, der skriver specialer og projekter, er ofte en blind vinkel. Uppsala Universitet anser universitetet for dataansvarligt for selvstændige eksamensprojekter og fortæller de studerende, at »when processing sensitive personal data, consent must be obtained before the processing begins« (ved behandling af følsomme personoplysninger skal der indhentes samtykke, før behandlingen begynder).

Gå i dybden med behandlingsgrundlag for forskning, oplysning af forsøgspersoner, aftaler om fælles dataansvar, aftaler om datadeling, hvor forskningsdata skal opbevares og GDPR og AI-værktøjer i forskning.

15. AI-værktøjer og EU's AI-forordning

GDPR gælder for AI-værktøjer på samme måde som for al anden behandling: et behandlingsgrundlag, en databehandleraftale, kontrol af overførsler og ofte en konsekvensanalyse. EU's AI-forordning (forordning (EU) 2024/1689) tilføjer særskilte forpligtelser for universiteter som idriftsættere. Den erstatter ikke GDPR, og de fleste AI-værktøjer, der bruges på universiteter i dag, rejser flere GDPR-spørgsmål end spørgsmål efter AI-forordningen.

AI-forordningen er ændret ved forordning (EU) 2026/1744 (den digitale omnibus om AI), der har været i kraft siden 27. juli 2026. Pr. 9. oktober 2026 er situationen for universiteter:

Validemics analyse GDPR-spørgsmålene til ethvert AI-værktøj er: Bruger leverandøren universitetets data til at træne modeller, er der forskel på gratis planer og institutionsplaner, hvilke AI-modeludbydere er underdatabehandlere, og hvor befinder de sig, og træffer eller understøtter værktøjet afgørelser om studerende, som artikel 22 kan omfatte? Universiteter, der besvarer disse spørgsmål nu, vil have meget lettere ved højrisikoforpligtelserne i 2027.

Læs mere: EU's AI-forordning for universiteter, AI-forordningen forklaret, tjekkeren til AI-forordningen i uddannelse, vores skabelon til AI-politik, AI-værktøjer godkendt på europæiske universiteter og universiteternes egne AI-tjenester i Norden. Biblioteker, der forhandler AI-klausuler i licensaftaler om indhold, bør læse bibliotekslicenser, AI og tekst- og datamining.

16. Håndhævelse: hvad universiteter og skoler har fået bøder for

Tilsynsmyndighederne har givet bøder til universiteter, ikke kun til virksomheder. Om et offentligt organ kan få en bøde, afgøres af national ret: Efter artikel 83, stk. 7, kan hver medlemsstat fastsætte regler om, »hvorvidt og i hvilket omfang administrative bøder må pålægges offentlige myndigheder og organer«. Sagerne nedenfor er hentet fra myndighedernes egne sider.

Validemics analyse Mønstret er tydeligt. Universiteter får sjældent bøder for eksotiske juridiske spørgsmål. De får bøder for almindelig sikkerhed (e-mail, webservere), for at indføre overvågnings- eller biometrisk teknologi uden et ordentligt behandlingsgrundlag og en konsekvensanalyse og for at lægge følsomme oplysninger i tjenester, der ikke er vurderet. Alt dette kan forebygges med det grundlæggende i planen nedenfor.

17. Hvem gør hvad på et universitet

GDPR lægger ansvaret på universitetet som dataansvarlig og i praksis på ledelsen og de systemansvarlige for hver proces. Databeskyttelsesrådgiveren rådgiver og fører kontrol. Det meste af det egentlige arbejde udføres af andre enheder, og huller opstår, hvor hver enhed går ud fra, at en anden har tjekket noget.

Skriv fordelingen ned. En kort ansvarsmatrix, godkendt af ledelsen, forebygger de fleste uenigheder og gør databeskyttelsesrådgiverens kontrolrolle mulig. Vores guider om biblioteksbrugeres privatliv og tilgængelighed ved indkøb dækker to områder, hvor ansvaret ofte er uklart.

18. En plan for de næste 12 måneder

Planen nedenfor passer til et universitet, der har det grundlæggende på papir, men skal få det til at virke. Tilpas rækkefølgen til jeres egne huller; et universitet, der for nylig har haft et brud, starter med sikkerheden. Hvert punkt bør resultere i et dokument eller en beslutning.

Kilder

1. Forordning (EU) 2016/679 (databeskyttelsesforordningen), teksten i EU-Tidende, betragtning 43 og 47, artikel 5, 6, 9, 10, 12-14, 17, 22, 28, 30, 32-39, 49, 83, 88 og 89 (hentet 9. oktober 2026).
2. Forordning (EU) 2024/1689 (AI-forordningen), artikel 4, 5, 26, 27, 50 og bilag III, og forordning (EU) 2026/1744 (den digitale omnibus om AI).
3. Kommissionens gennemførelsesafgørelse (EU) 2023/1795 (EU-US Data Privacy Framework) og appel i sag C-703/25 P.
4. EDPB, Guidelines 1/2024 on processing based on Article 6(1)(f) GDPR, version 1.0, punkt 98 og 99 (hentet 9. oktober 2026).
5. EDPB, Guidelines 05/2020 on consent (hentet 9. oktober 2026).
6. Artikel 29-Gruppen, Guidelines on Data Protection Officers (WP243 rev.01) (hentet 9. oktober 2026).
7. EDPB, Coordinated Enforcement Action: Designation and Position of Data Protection Officers, rapport offentliggjort januar 2024 (hentet 9. oktober 2026).
8. Artikel 29-Gruppen, Guidelines on DPIA (WP248 rev.01) (hentet 9. oktober 2026).
9. EDPB, Guidelines 01/2022 on the right of access (hentet 9. oktober 2026).
10. EDPB, Guidelines 9/2022 on personal data breach notification (hentet 9. oktober 2026).
11. Data Protection Commission (Irland): Inquiry into University College Dublin og afgørelse af 17. december 2020 (hentet 9. oktober 2026).
12. Garante per la protezione dei dati personali: afgørelse af 16. september 2021 om Università Bocconi (docweb 9703988) og nyhedsbrev af 18. februar 2020 (docweb 9266789) (hentet 9. oktober 2026).
13. IMY (Sverige): Umeå universitet og Gymnasienämnden i Skellefteå kommun (hentet 9. oktober 2026).
14. Autoriteit Persoonsgegevens: HAN University of Applied Sciences fined EUR 175,000 (hentet 9. oktober 2026).
15. Datatilsynet: afgørelse af 14. juli 2022 i Chromebook-sagen (Helsingør) (hentet 9. oktober 2026).
16. ICO: Essex school reprimanded after using facial recognition technology for canteen payments, juli 2024 (hentet 9. oktober 2026).
17. Sikt: Notification form for personal data (hentet 9. oktober 2026).
18. Universitetet i Oslo: Declaration on data protection (students) og Conditions for processing personal data (hentet 9. oktober 2026).
19. Uppsala Universitet: Data protection policy og GDPR in degree projects (hentet 9. oktober 2026).
20. Lunds universitet: Processing of personal data at Lund University (hentet 9. oktober 2026).
21. Stockholms universitet: Processing of personal data at Stockholm University (hentet 9. oktober 2026).
22. Karolinska Institutet: Report information security incidents and personal data breaches (hentet 9. oktober 2026).
23. Helsingfors Universitet: Data protection (hentet 9. oktober 2026).
24. Aalto-universitetet: Aalto University data protection policy (hentet 9. oktober 2026).
25. Københavns Universitet: Privacy policy (hentet 9. oktober 2026).
26. NTNU: Information security: digital security incidents and deviations (hentet 9. oktober 2026).
27. KU Leuven: Processing of student data og Processing of research participants' data (hentet 9. oktober 2026).
28. Universiteit van Amsterdam: Privacy statement (hentet 9. oktober 2026).
29. Universiteit Utrecht: Privacy statement for participants in scientific research og Data protection officer (hentet 9. oktober 2026).
30. Trinity College Dublin: Legal basis for research og Data breaches (hentet 9. oktober 2026).
31. University College Dublin Library: Research data management: GDPR (hentet 9. oktober 2026).
32. University of Edinburgh: Data protection impact assessments (hentet 9. oktober 2026).
33. Université Paris-Saclay: meddelelse om behandling af ansøgeroplysninger (eCandidat), september 2026 (hentet 9. oktober 2026).
34. Universidad Complutense de Madrid: Delegado de Protección de Datos (hentet 9. oktober 2026).
35. Universitat de Barcelona: oplysninger om databeskyttelse (SICUE-mobilitet) (hentet 9. oktober 2026).
36. Universidade de Lisboa, Faculdade de Direito: Política de Privacidade (2021) (hentet 9. oktober 2026).

Om denne side

Kilderne er kontrolleret 9. oktober 2026. Vi har læst GDPR i den udgave af EU-Tidende, som Den Europæiske Unions Publikationskontor udgiver, de dokumenter fra EDPB og Artikel 29-Gruppen, der er nævnt ovenfor, tilsynsmyndighedernes egne sider med afgørelser og de citerede universiteters sider om databeskyttelse. Citater fra forordningen gengives efter den officielle danske tekst. Citater fra sider på andre sprog gengives på originalsproget med en dansk oversættelse i parentes; oversættelserne er vores egne og ikke ordrette citater. Eksemplerne fra universiteterne viser, hvordan én institution anvender GDPR efter sin egen nationale ret; de er ikke skabeloner for alle lande. Tidsplanen for AI-forordningen og EU-US Data Privacy Framework kan ændre sig, og vi opdaterer siden, når det sker. Vores egen fortolkning er markeret som Validemics analyse. Siden er generel information og ikke juridisk rådgivning. Hvis du finder en fejl eller et forældet punkt, så kontakt os, så retter vi det.