GDPR for universiteter og høyskoler: den komplette guiden for høyere utdanning (2026)

En kildebelagt oversikt over personvern i høyere utdanning for personvernombud, IT og bibliotek: hva personvernforordningen (GDPR) krever av et universitet eller en høyskole, hvordan andre europeiske institusjoner anvender den, hva tilsynsmyndighetene har ilagt universiteter og skoler gebyr for, og en plan for å omsette det i praksis i løpet av 12 måneder. Hver del lenker til en mer utdypende guide.

Publisert 9. oktober 2026 · Kilder kontrollert 9. oktober 2026

Finnes også på: English · Svenska · Nederlands · Suomi · Dansk · Français · Español · Português

1. Hva betyr GDPR for et universitet eller en høyskole?

GDPR gjelder for alle universiteter og høyskoler i EU og EØS, offentlige og private, fordi alle institusjoner behandler personopplysninger om studenter, søkere, ansatte, forskningsdeltakere, alumni, bibliotekbrukere og besøkende. I Norge gjelder forordningen som norsk lov gjennom personopplysningsloven. En offentlig institusjon er som regel en offentlig myndighet, og det endrer tre ting: hvilke behandlingsgrunnlag den kan bruke, plikten til å utpeke personvernombud og, i noen land, om den kan ilegges overtredelsesgebyr.

Høyere utdanning er et krevende område for personvern. En institusjon er på samme tid arbeidsgiver, undervisningsinstitusjon, eksamensmyndighet, forskningsorganisasjon, bibliotek, utleier og noen ganger samarbeidspartner i helsetjenesten. Fakulteter og forskergrupper velger ofte egne verktøy. Tusenvis av nye studenter kommer hvert år, og mange ansatte arbeider på tvers av institusjoner og land. GDPR har ingen særregler for universiteter, men gir rom for nasjonal rett, og nasjonale lover om universiteter og arkiv former en stor del av den daglige praksisen.

Denne guiden gir et overblikk over hele feltet. Selve forordningsteksten finner du på siden GDPR forklart. For hvert tema nedenfor lenker vi til en mer utdypende guide, mal eller et gratis verktøy.

2. Hvilket behandlingsgrunnlag bruker institusjonen?

De fleste offentlige institusjoner i Europa bygger på GDPR artikkel 6 nr. 1 bokstav e: behandling som er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet. Artikkel 6 nr. 3 krever at grunnlaget er fastsatt i unionsretten eller nasjonal rett, så institusjonen viser til loven som gir den oppgavene, i Norge universitets- og høyskoleloven. Rettslig forpliktelse (art. 6 nr. 1 bokstav c) dekker lovpålagte plikter.

Allmennhetens interesse, forankret i nasjonal rett

Artikkel 6 nr. 3 sier at grunnlaget for behandling etter bokstav c og e skal være fastsatt i unionsretten eller i nasjonal rett som den behandlingsansvarlige er underlagt. Institusjonenes personvernerklæringer viser hvordan dette fungerer i praksis:

• Universitetet i Oslo bygger behandlingen av studentopplysninger på artikkel 6 nr. 1 bokstav e sammen med §§ 2-1 og 2-8 i universitets- og høyskoleloven.
• Helsingfors universitet skriver at behandlingen «is based on the University's statutory tasks carried out in the public interest (section 2 of the Universities Act)» (bygger på universitetets lovpålagte oppgaver i allmennhetens interesse, § 2 i den finske universitetsloven).
• Stockholms universitet oppgir at det vanligste grunnlaget er «a task of public interest in accordance with Article 6(1)(e)» (en oppgave i allmennhetens interesse etter artikkel 6 nr. 1 bokstav e).
• Uppsala universitet påpeker at behandlingen i studentsaker «is often an aspect of the exercise of official authority» (ofte er en del av offentlig myndighetsutøvelse), og at den i forskning ofte skjer i allmennhetens interesse.
• Trinity College Dublin forankrer forskning i artikkel 6 nr. 1 bokstav e og den irske Universities Act 1997, der fremme av forskning er «a primary object and function of the University» (et hovedformål og en hovedfunksjon for universitetet).
• Universitat de Barcelona bruker allmennhetens interesse for opplysninger om studentmobilitet, med henvisning til den spanske universitetsloven (Ley Orgánica 2/2023, LOSU) og den katalanske universitetsloven.

Én erklæring kan bruke flere grunnlag. Université Paris-Saclays personvernerklæring for søkere (september 2026) oppgir oppgaven i allmennhetens interesse for behandling av søknader, rettslig forpliktelse for innskriving og berettiget interesse for invitasjoner til uteksamineringsarrangementer. Å angi grunnlag formål for formål er god praksis og gjør det enklere å føre behandlingsprotokollen.

Grensen for berettiget interesse

Siste ledd i artikkel 6 nr. 1 sier at bokstav f, berettiget interesse, ikke gjelder for behandling som offentlige myndigheter utfører som ledd i sine oppgaver. Fortalepunkt 47 forklarer at det er lovgiverens oppgave å gi offentlige myndigheter rettslig grunnlag ved lov. Personvernrådets (EDPB) retningslinjer 1/2024 om berettiget interesse (versjon 1.0, sendt på høring) legger til at offentlige myndigheter bare kan bruke grunnlaget «in exceptional and limited cases» (i særlige og begrensede tilfeller) for aktiviteter som ikke er knyttet til deres særskilte oppgaver, der nasjonal rett tillater det, og at dette bør dokumenteres internt.

Validemics analyse I praksis betyr dette at en offentlig institusjon ikke bør bruke berettiget interesse for undervisning, vurdering, studieadministrasjon eller forskning. Det kan være forsvarlig for aktiviteter som virkelig ligger i periferien, som enkelte alumniarrangementer eller en campusbutikk, avhengig av nasjonal rett. Bruker dere grunnlaget, må dere gjennomføre og dokumentere en interesseavveining; vår mal for interesseavveining (på engelsk) er laget for dette.

Hvorfor samtykke er et svakt grunnlag for kjerneoppgavene

Fortalepunkt 43 sier at samtykke ikke bør utgjøre et gyldig rettslig grunnlag dersom det er «en klar skjevhet mellom den registrerte og den behandlingsansvarlige, særlig dersom den behandlingsansvarlige er en offentlig myndighet». Universitetet i Oslos veiledning til ansatte bruker dette på arbeidsforhold og påpeker at universitetet som arbeidsgiver normalt ikke vil kunne bruke samtykke som behandlingsgrunnlag for ansatte. Samme logikk gjelder for studenter som må bruke et system for å bestå et emne. Samtykke har fortsatt sin plass for frivillige aktiviteter: nyhetsbrev, bilder brukt i markedsføring eller et frivillig pilotverktøy. Personvernrådets retningslinjer om samtykke beskriver vilkårene. Valg av behandlingsgrunnlag for forskning behandles i guiden behandlingsgrunnlag for forskning etter GDPR.

3. Hvem behandler institusjonen opplysninger om?

En institusjon behandler opplysninger om minst sju grupper. Hver gruppe har ulike formål, behandlingsgrunnlag, lagringstider og risikoer, så det er nyttig å organisere personvernerklæringer, protokoll og bevaringsplaner etter gruppe. Tabellen er et typisk utgangspunkt, ikke en regel: sjekk egen nasjonal rett.

4. Særlige kategorier og opplysninger om straffbare forhold

Artikkel 9 nr. 1 forbyr behandling av særlige kategorier personopplysninger med mindre et unntak i artikkel 9 nr. 2 gjelder. Kategoriene er rasemessig eller etnisk opprinnelse, politisk oppfatning, religion eller livssyn, fagforeningsmedlemskap, genetiske opplysninger, biometriske opplysninger brukt til å identifisere en person, helseopplysninger og opplysninger om seksuelle forhold eller seksuell orientering. Institusjonene behandler alle disse.

Vanlige eksempler fra universiteter og høyskoler:

• Helseopplysninger ved tilrettelegging av studier og eksamen, sykefravær og bedriftshelsetjeneste.
• Biometriske opplysninger i enkelte verktøy for eksamensovervåking, ansiktsgjenkjenning og adgangskontroll.
• Fagforeningsmedlemskap ved trekk i lønn.
• Forskningsdata i medisin, psykologi, samfunnsvitenskap og statsvitenskap, der særlige kategorier ofte er selve forskningsobjektet.

For institusjonens kjerneoppgaver er de vanligste unntakene artikkel 9 nr. 2 bokstav b (arbeidsrett), bokstav g (viktige allmenne interesser på grunnlag av lov) og bokstav j (forskning, med garantier etter artikkel 89). Universitetet i Oslo oppgir at grunnlaget for særlige kategorier studentopplysninger er artikkel 9 bokstav g i GDPR, sammenholdt med universitets- og høyskoleloven. Hvert av disse unntakene forutsetter unionsrett eller nasjonal rett, så den konkrete veien varierer fra land til land.

Opplysninger om straffedommer og lovovertredelser reguleres særskilt i artikkel 10, som bare tillater behandling under offentlig myndighet eller når unionsretten eller nasjonal rett gir hjemmel. Dette er relevant for politiattest for studenter i lærerutdanning, helsefag og sosialfag, som vanligvis bygger på nasjonal rett.

5. Trenger institusjonen personvernombud?

Ja, hvis den er en offentlig myndighet eller et offentlig organ. Artikkel 37 nr. 1 bokstav a krever personvernombud når behandlingen utføres av en offentlig myndighet eller et offentlig organ, unntatt domstoler. Private institusjoner trenger som regel også et ombud, fordi behandling av særlige kategorier i stor skala eller regelmessig og systematisk overvåking av personer er vanlig i høyere utdanning (art. 37 nr. 1 bokstav b og c).

Det juridiske fakultetet ved Universidade de Lisboa gir et typisk eksempel: fakultetets personvernerklæring sier at det, «Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD» (på bakgrunn av den rettslige plikten i GDPR artikkel 37 nr. 1 bokstav a), har utpekt et personvernombud. Artikkel 37 nr. 3 tillater ett felles ombud for flere offentlige organer, ut fra organisasjonsstruktur og størrelse, noe enkelte mindre institusjoner benytter seg av.

Hva personvernombudet gjør, og ikke gjør

Etter artikkel 39 nr. 1 skal personvernombudet minst informere og gi råd til institusjonen og de ansatte, kontrollere etterlevelsen (blant annet ansvarsfordeling, bevisstgjøring, opplæring og revisjoner), gi råd om DPIA og samarbeide med og være kontaktpunkt for tilsynsmyndigheten. Universiteit Utrecht oppsummerer det slik: «The DPO's main job is to oversee the application and observance of the GDPR within the organisation» (personvernombudets hovedoppgave er å føre tilsyn med at GDPR anvendes og overholdes i organisasjonen).

Personvernombudet gir råd; institusjonen treffer beslutningene. Artikkel 38 beskytter rollen: ombudet skal involveres på riktig måte og i tide i alle spørsmål om personvern, skal få nødvendige ressurser, skal ikke avsettes eller straffes for å utføre oppgavene sine, og rapporterer direkte til øverste ledelse. Kontaktopplysningene skal offentliggjøres og meldes til tilsynsmyndigheten (art. 37 nr. 7). De fleste institusjoner publiserer en funksjonsadresse, som fg@uva.nl ved Universiteit van Amsterdam eller dataskyddsombud@uu.se ved Uppsala universitet.

Artikkel 29-gruppens retningslinjer om personvernombud (WP243 rev.01), som Personvernrådet (EDPB) har sluttet seg til, sier at ombudet ikke kan ha en stilling der det bestemmer formål og midler, og nevner IT-sjef og HR-sjef som eksempler på roller som kan være i konflikt. I Personvernrådets koordinerte tilsynsaksjon om personvernombud i 2023 fant 25 tilsynsmyndigheter blant annet personvernombud med for lite ressurser og ombud som ikke hadde fått alle oppgavene GDPR krever.

Validemics analyse Ved en stor institusjon kan ikke ett personvernombud gå gjennom hvert verktøy, hver erklæring og hvert prosjekt. Institusjonene som lykkes best, bygger et nettverk: personvernkontakter ved hvert fakultet, en personvernspesialist i forskningsadministrasjonen og IT-sikkerhet som tar den tekniske vurderingen. Ombudet gir da råd i de vanskelige sakene og kontrollerer systemet som helhet.

6. Protokoll over behandlingsaktiviteter (artikkel 30)

Alle universiteter og høyskoler må føre protokoll over behandlingsaktiviteter. Unntaket i artikkel 30 nr. 5 for virksomheter med færre enn 250 ansatte hjelper ikke: det gjelder ikke når behandlingen ikke er sporadisk eller omfatter særlige kategorier, og det dekker enhver institusjon. Protokollen skal angi formål, kategorier av opplysninger og registrerte, mottakere, overføringer, lagringstid og sikkerhetstiltak.

Protokollen er også et arbeidsverktøy. KU Leuven sier til studentene at «specific retention periods per processing activity are included in the register of processing activities» (lagringstid for hver behandlingsaktivitet står i protokollen), noe som knytter protokollen direkte til bevaringsplanen. Universidad Complutense de Madrid publiserer sitt Registro de Actividades de Tratamiento på nett, slik at alle kan se hva universitetet behandler og hvorfor.

En praktisk struktur er én oppføring per formål, gruppert etter gruppe av registrerte, med en kolonne for hvert system og hver leverandør som er involvert. Vår mal for behandlingsprotokoll og Word-malen (på engelsk) følger denne strukturen.

7. Åpenhet og personvernerklæringer

Artikkel 13 og 14 krever at institusjonen, når opplysningene samles inn (eller innen en måned hvis de kommer fra andre), forteller de registrerte hvem som er behandlingsansvarlig, hvordan de kan kontakte personvernombudet, formål og behandlingsgrunnlag, mottakere, overføringer, lagringstid og hvilke rettigheter de har. Institusjonene publiserer som regel lagdelte erklæringer: en generell erklæring og deretter én per gruppe eller større prosess.

Eksempler som er verdt å se på:

• Universiteit van Amsterdam angir den behandlingsansvarlige tydelig: «The Executive Board of the UvA is the controller» (universitetsstyret er behandlingsansvarlig).
• KU Leuven har en egen erklæring for forskningsdeltakere ved siden av erklæringen for studenter.
• Université Paris-Saclay publiserer en erklæring for én bestemt prosess (nettsøknader), med behandlingsgrunnlag per formål og lagringstid per kategori.

For forskningsdeltakere gir artikkel 14 nr. 5 bokstav b et unntak når det er umulig eller vil kreve uforholdsmessig stor innsats å informere hver enkelt, særlig ved forskning, men institusjonen må da gjøre informasjonen offentlig tilgjengelig og treffe andre tiltak. Vår mal for informasjon til forskningsdeltakere (på engelsk) går gjennom detaljene.

8. De registrertes rettigheter

Studenter, ansatte, søkere og deltakere har rett til innsyn, retting, sletting, begrensning, dataportabilitet (ved samtykke og avtale) og protest (ved allmennhetens interesse). Institusjonen skal svare innen én måned etter at forespørselen er mottatt, med mulighet for forlengelse med ytterligere to måneder i kompliserte saker (art. 12 nr. 3).

Tre spørsmål dukker oftere opp ved universiteter og høyskoler enn andre steder:

1. Innsynsbegjæringer i tvister. Studenter som klager på en karakter og ansatte i personalsaker ber ofte om alt, også e-post. Vår guide til innsynsbegjæringer ved universiteter dekker eksamensbesvarelser, e-post og forskningsdata, med svarmaler (på engelsk). Personvernrådets retningslinjer 01/2022 om innsynsrett er hovedreferansen.
2. Sletting mot arkivering. Offentlige institusjoner må ofte bevare dokumenter etter arkivlovgivningen. Københavns Universitet skriver at det er «no right to erasure of information that has been filed in the University's archives in accordance with the Archives Act» (ingen rett til sletting av opplysninger som er arkivert i universitetets arkiv etter arkivloven). Artikkel 17 nr. 3 bokstav b og d gir unntakene dette bygger på.
3. Offentlighet og innsyn i dokumenter. Særlig i Sverige og Finland kan alle be om innsyn i dokumenter hos offentlige institusjoner etter offentlighetsreglene. Lunds universitet påpeker at allmenne handlinger bevares etter trykkefrihetsforordningen og arkivloven. Personvernarbeidet og dokumentforvaltningen må samordnes.

Artikkel 22 får også betydning etter hvert som automatiserte verktøy brer seg. Avgjørelser som utelukkende bygger på automatisert behandling og som i betydelig grad påvirker en person, for eksempel et automatisk avslag på en søknad om opptak, er bare tillatt i begrensede tilfeller og med garantier, blant annet menneskelig inngripen.

9. Når kreves DPIA?

En vurdering av personvernkonsekvenser (DPIA) kreves før behandling som sannsynligvis vil medføre høy risiko for personer (art. 35 nr. 1). Retningslinjene WP248, som Personvernrådet har sluttet seg til, gir ni kriterier; behandling som oppfyller to av dem, krever som regel DPIA. I høyere utdanning gir overvåking av studenter, særlige kategorier, ny teknologi og det skjeve forholdet mellom institusjon og student ofte til sammen to kriterier.

Typisk behandling ved universiteter og høyskoler som vanligvis krever DPIA: digital eksamensovervåking, læringsanalyse og systemer for tidlig varsling, KI-verktøy som vurderer eller gir tilbakemelding på studentarbeid, store forskningsprosjekter med helseopplysninger, kameraovervåking på campus og nye student- eller HR-systemer. Den behandlingsansvarlige skal rådføre seg med personvernombudet når en DPIA gjennomføres (art. 35 nr. 2).

University of Edinburgh viser en praktisk mottaksprosess: ansatte sender e-post til personvernombudet og «will be assigned an assessment through our online tool» (får tildelt en vurdering i det nettbaserte verktøyet), og en eksisterende DPIA for samme system kan gjenbrukes. Gjenbruk er viktig: tar ti avdelinger i bruk samme plattform, er én godt vedlikeholdt DPIA med lokale vedlegg bedre enn ti ufullstendige.

Start med vårt gratis verktøy for DPIA-screening, og bruk deretter DPIA-malen for universiteter. For særskilte høyrisikoområder, se digital eksamen og eksamensovervåking og læringsanalyse (på engelsk). For norske forhold, se også vår DPIA-mal på norsk.

10. Databehandlere og leverandøravtaler

Når en leverandør behandler personopplysninger på vegne av institusjonen, kan institusjonen bare bruke databehandlere som gir «tilstrekkelige garantier», og må ha en avtale som oppfyller artikkel 28 nr. 3. Dette gjelder læringsplattformen, studieadministrativt system, skylagring, verktøy for spørreundersøkelser og KI-tjenester, og også gratisverktøy som undervisere tar i bruk på eget initiativ.

Leverandørdelen av personvernarbeidet omfatter som regel:

• En rolleavklaring: er leverandøren databehandler, behandlingsansvarlig for enkelte formål (for eksempel produktutvikling eller modelltrening) eller felles behandlingsansvarlig? Se vår guide til avtaler om felles behandlingsansvar for forskningskonsortier.
• En databehandleravtale som er kontrollert mot alle åtte punktene i artikkel 28 nr. 3. Vår sjekker for databehandleravtaler sammenholder et utkast med hvert punkt, og vi har en norsk mal for databehandleravtale.
• En oppdatert liste over underdatabehandlere med lokasjoner, og en måte å oppdage og protestere mot endringer på. Vårt verktøy for varsler om underdatabehandlere hjelper med oppfølgingen.
• Sikkerhetsdokumentasjon som ISO/IEC 27001-sertifisering eller en SOC 2-rapport, kontrollert for omfang.
• For KI-funksjoner: om institusjonens data brukes til trening, og hvilke KI-leverandører som er underdatabehandlere.

Vår hovedguide om leverandørvurdering for universiteter (på engelsk) dekker hele prosessen fra mottak til avslutning, og våre GDPR-faktaark oppsummerer hva leverandører som Canvas, Moodle, Microsoft 365, Google Workspace, Zoom og Turnitin dokumenterer offentlig. Verktøy som ikke er godkjent, er et eget problem; se skygge-IT og ikke-godkjente KI-verktøy.

Vurderer du en leverandør akkurat nå? Validemic går gjennom leverandørens dokumenter opp mot GDPR og KI-forordningen og oppgir kilde for hver vurdering. Prøv demomiljøet

11. Overføring til tredjeland

Overføring av personopplysninger ut av EØS er bare tillatt etter kapittel V: en beslutning om tilstrekkelig beskyttelsesnivå, nødvendige garantier som standard personvernbestemmelser (SCC) med en vurdering av overføringen (TIA), eller et snevert unntak. Fjerntilgang fra et tredjeland, for eksempel fra en leverandørs supportpersonale, regnes også som overføring, så lagring i EU/EØS alene avgjør ikke spørsmålet.

For amerikanske leverandører dekker beslutningen om tilstrekkelig beskyttelsesnivå for EU-US Data Privacy Framework (gjennomføringsbeslutning (EU) 2023/1795) virksomheter som står på DPF-listen. En anke over Underrettens dom som opprettholdt beslutningen, er til behandling (sak C-703/25 P), så institusjonene bør vite hvilke leverandører som er avhengige av den. Artikkel 49 nr. 3 sier også at unntakene for samtykke og avtale ikke gjelder for offentlige myndigheter som utøver offentlig myndighet, noe som begrenser bruken for offentlige institusjoner.

Overføringer har stått sentralt i flere saker i utdanningssektoren. I 2022 nedla det danske Datatilsynet forbud mot Helsingør kommunes bruk av Chromebook og Google Workspace i skolen, også mot overføringer til tredjeland; forbudet ble senere suspendert og erstattet med pålegg. Svenske IMY ila Umeå universitet gebyr i en sak som blant annet gjaldt sensitive opplysninger lagret i en skytjeneste uten tilstrekkelig beskyttelse.

Les mer: EU-US Data Privacy Framework for universiteter, mal for vurdering av overføringer (TIA), det gratis verktøyet for overføringsgrunnlag og CLOUD Act og digital suverenitet.

12. Sikkerhet og brudd på personopplysningssikkerheten

Artikkel 32 krever et sikkerhetsnivå som står i forhold til risikoen. Artikkel 33 krever at institusjonen melder brudd på personopplysningssikkerheten til tilsynsmyndigheten, i Norge Datatilsynet, uten ugrunnet opphold og om mulig senest 72 timer etter å ha fått kjennskap til det, med mindre det er lite sannsynlig at bruddet medfører en risiko. Er risikoen høy, skal også de berørte varsles (art. 34).

De 72 timene løper fra institusjonen får kjennskap til bruddet, ikke fra personvernombudet hører om det, så den interne meldingsveien må være rask og kjent for alle ansatte. Institusjonenes rutiner viser noen felles mønstre:

• Aalto-universitetet: et mistenkt brudd «must be immediately reported by contacting the university's information security team» (skal straks meldes til universitetets informasjonssikkerhetsteam); personvernombudet melder til den finske tilsynsmyndigheten (Tietosuojavaltuutetun toimisto).
• Karolinska Institutet gir ansatte hverdagslige eksempler, som en e-post sendt til feil mottaker, tapte data og kaprede pålogginger.
• Trinity College Dublin ber ansatte melde til personvernkontoret uten opphold og gjør det klart at det ikke er en disiplinærsak å melde et brudd.
• NTNU skiller sikkerhetshendelser (til NTNUs SOC) fra avviksmeldinger om personvern, og påpeker at en melding skal beskrive handlingen, ikke personen som utførte den.

Artikkel 33 nr. 5 krever at alle brudd dokumenteres, også de som ikke meldes til tilsynsmyndigheten. Personvernrådets retningslinjer 9/2022 forklarer når melding kreves. Vår guide til håndtering av brudd, beredskapspakken for brudd og 72-timersklokken for avviksmelding hjelper dere å forberede dere. Institusjoner kan også være omfattet av nasjonale NIS2-regler i EU-land; se NIS2 og universiteter og NIS2 forklart for status i Norge.

13. Lagringstid og arkivering

Personopplysninger skal ikke lagres lenger enn nødvendig for formålene (lagringsbegrensning, art. 5 nr. 1 bokstav e), men opplysninger som bare lagres for arkivformål i allmennhetens interesse eller for forskning, kan lagres lenger med garantier. For offentlige institusjoner avgjør nasjonal arkivlovgivning ofte hva som skal bevares og hvor lenge, så bevaringsplanen bør utarbeides sammen med arkivet, ikke bare med personvernombudet.

Eksempler på hvordan nasjonale regler former lagringstiden:

• Lunds universitet forklarer at personopplysninger etter den svenske arkivloven (1990:782) kan lagres «in some cases indefinitely in the University's archive» (i noen tilfeller på ubestemt tid i universitetets arkiv).
• Université Paris-Saclay oppbevarer opplysninger om søkere som får opptak, i 50 år etter franske arkivregler: «Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans» (for søkere som tas opp, oppbevares de deretter i 50 år).
• Universiteit Utrecht oppbevarer rådata fra forskning «for at least ten years after publication of the research results» (i minst ti år etter at forskningsresultatene er publisert), i tråd med regler for forskningsintegritet.

Det er i leverandørenes systemer at lagringsbegrensningen oftest svikter: en post som er slettet i studentsystemet, kan leve videre i et verktøy for spørreundersøkelser, en videoplattform eller i sikkerhetskopier. Vår mal for bevaringsplan (Word-fil, på engelsk) har en kolonne for systemene som inneholder hver dokumenttype.

14. Forskning og artikkel 89

GDPR er forholdsvis forskningsvennlig. Artikkel 9 nr. 2 bokstav j tillater behandling av særlige kategorier for forskning med grunnlag i unionsretten eller nasjonal rett, og artikkel 89 nr. 1 krever garantier, særlig dataminimering og pseudonymisering der det er mulig. Artikkel 89 nr. 2 lar nasjonal rett begrense enkelte rettigheter når de i alvorlig grad vil hindre forskningen.

Hvordan dette fungerer, varierer mye mellom landene, så en oversiktsguide kan bare gi hovedlinjene. Noen eksempler:

• Universiteit Utrecht: «Conducting scientific research is a task of public interest entrusted to the UU» (vitenskapelig forskning er en oppgave i allmennhetens interesse som er gitt til universitetet), med uttrykkelig samtykke for særlige kategorier.
• Københavns Universitet: uten samtykke behandles sensitive forskningsdata etter artikkel 6 nr. 1 bokstav e og § 10 i den danske databeskyttelsesloven, men bare «if the processing is aimed at statistical or scientific studies with potential public interest» (hvis behandlingen gjelder statistiske eller vitenskapelige undersøkelser av mulig samfunnsmessig betydning).
• Trinity College Dublin bruker artikkel 9 nr. 2 bokstav j med garantier etter artikkel 89 nr. 1, men påpeker at irske forskrifter om helseforskning fortsatt krever uttrykkelig samtykke ved helseforskning.
• Biblioteket ved University College Dublin minner forskerne om at GDPR «applies to any research that uses personal data, including scientific research and studies in the arts and humanities» (gjelder all forskning som bruker personopplysninger, også innen kunstfag og humaniora).
• I Norge bruker institusjoner med avtale Sikts meldeskjema; Sikt beskriver sin rolle som å gi råd og veiledning om hvordan personopplysninger kan behandles lovlig.

Studenter som skriver bachelor- eller masteroppgave, er en vanlig blindsone. Uppsala universitet regner universitetet som behandlingsansvarlig for selvstendige arbeider og sier til studentene at «when processing sensitive personal data, consent must be obtained before the processing begins» (ved behandling av sensitive personopplysninger må samtykke innhentes før behandlingen starter).

Gå videre med behandlingsgrunnlag for forskning, informasjon til forskningsdeltakere, avtaler om felles behandlingsansvar, avtaler om datadeling, hvor forskningsdata bør lagres og GDPR og KI-verktøy i forskning (på engelsk).

15. KI-verktøy og EUs KI-forordning

GDPR gjelder for KI-verktøy på samme måte som for annen behandling: behandlingsgrunnlag, databehandleravtale, kontroll av overføringer og ofte DPIA. EUs KI-forordning (forordning (EU) 2024/1689) gir institusjonene egne plikter som idriftsettere. Den erstatter ikke GDPR, og de fleste KI-verktøy som brukes ved universiteter i dag, reiser flere spørsmål etter GDPR enn etter KI-forordningen.

KI-forordningen ble endret ved forordning (EU) 2026/1744 (Digital Omnibus on AI), i kraft fra 27. juli 2026. Per 9. oktober 2026 er situasjonen for institusjoner i EU som vist nedenfor. KI-forordningen er ennå ikke tatt inn i EØS-avtalen; se KI-forordningen forklart for status i Norge.

Validemics analyse Spørsmålene som bør stilles etter GDPR om ethvert KI-verktøy, er: bruker leverandøren institusjonens data til å trene modeller, er det forskjell på gratisversjon og institusjonsavtale, hvilke leverandører av KI-modeller er underdatabehandlere og hvor holder de til, og treffer eller støtter verktøyet avgjørelser om studenter som kan omfattes av artikkel 22? Institusjoner som besvarer disse spørsmålene nå, vil ha langt enklere for å oppfylle høyrisikopliktene fra 2027.

Les mer: KI-forordningen for universiteter, KI-forordningen forklart, sjekkeren for KI-forordningen i utdanning, vår mal for KI-retningslinjer, KI-verktøy godkjent ved europeiske universiteter og KI-tjenester drevet av nordiske universiteter. Bibliotek som forhandler om KI-klausuler i lisensavtaler, bør lese bibliotekenes lisensavtaler, KI og tekst- og datautvinning.

16. Håndheving: hva universiteter og skoler har fått gebyr for

Tilsynsmyndighetene har ilagt universiteter gebyr, ikke bare selskaper. Om et offentlig organ kan ilegges gebyr, avgjøres av nasjonal rett: artikkel 83 nr. 7 lar hvert land bestemme om og i hvilken grad offentlige myndigheter og organer kan ilegges overtredelsesgebyr. I Norge gir personopplysningsloven § 26 Datatilsynet adgang til å ilegge offentlige myndigheter og organer overtredelsesgebyr. Sakene nedenfor er hentet fra myndighetenes egne sider.

Validemics analyse Mønsteret er tydelig. Universiteter får sjelden gebyr for uvanlige juridiske spørsmål. De får gebyr for vanlig sikkerhet (e-post, webservere), for å ta i bruk overvåkings- eller biometrisk teknologi uten gyldig behandlingsgrunnlag og DPIA, og for å legge sensitive opplysninger i tjenester som ikke er vurdert. Alt dette kan forebygges med det grunnleggende i planen nedenfor.

17. Hvem gjør hva ved institusjonen

GDPR legger ansvaret på institusjonen som behandlingsansvarlig, og i praksis på ledelsen og eierne av hver prosess. Personvernombudet gir råd og kontrollerer. Det meste av det faktiske arbeidet gjøres av andre enheter, og hull oppstår der hver enhet tror at en annen har sjekket noe.

Skriv ned ansvarsfordelingen. En kort ansvarsmatrise, godkjent av ledelsen, forebygger de fleste uenigheter og gjør det mulig for personvernombudet å utøve kontrollrollen. Våre guider om personvern for bibliotekbrukere og universell utforming i anskaffelser dekker to områder der ansvaret ofte er uklart.

18. En plan for etterlevelse over 12 måneder

Planen nedenfor passer for en institusjon som har det grunnleggende på papiret, men som må få det til å virke i praksis. Tilpass rekkefølgen til egne mangler; en institusjon som nylig har hatt et brudd, starter med sikkerhet. Hvert punkt bør resultere i et dokument eller en beslutning.

Kilder

1. Forordning (EU) 2016/679 (GDPR), teksten i Den europeiske unions tidende, fortalepunkt 43 og 47, artikkel 5, 6, 9, 10, 12 til 14, 17, 22, 28, 30, 32 til 39, 49, 83, 88 og 89 (hentet 9. oktober 2026), og personopplysningsloven, § 1 og § 26, Lovdata (hentet 9. oktober 2026).
2. Forordning (EU) 2024/1689 (KI-forordningen), artikkel 4, 5, 26, 27, 50 og vedlegg III, og forordning (EU) 2026/1744 (Digital Omnibus on AI).
3. Kommisjonens gjennomføringsbeslutning (EU) 2023/1795 (EU-US Data Privacy Framework) og anken i sak C-703/25 P.
4. EDPB Guidelines 1/2024 on processing based on Article 6(1)(f) GDPR, versjon 1.0, avsnitt 98 og 99 (hentet 9. oktober 2026).
5. EDPB Guidelines 05/2020 on consent (hentet 9. oktober 2026).
6. Artikkel 29-gruppen, Guidelines on Data Protection Officers (WP243 rev.01) (hentet 9. oktober 2026).
7. EDPB Coordinated Enforcement Action: Designation and Position of Data Protection Officers, rapport publisert januar 2024 (hentet 9. oktober 2026).
8. Artikkel 29-gruppen, Guidelines on DPIA (WP248 rev.01) (hentet 9. oktober 2026).
9. EDPB Guidelines 01/2022 on the right of access (hentet 9. oktober 2026).
10. EDPB Guidelines 9/2022 on personal data breach notification (hentet 9. oktober 2026).
11. Data Protection Commission (Irland): Inquiry into University College Dublin og vedtak av 17. desember 2020 (hentet 9. oktober 2026).
12. Garante per la protezione dei dati personali: vedtak av 16. september 2021 om Università Bocconi (docweb 9703988) og nyhetsbrev av 18. februar 2020 (docweb 9266789) (hentet 9. oktober 2026).
13. IMY (Sverige): Umeå universitet og Gymnasienämnden i Skellefteå kommun (hentet 9. oktober 2026).
14. Autoriteit Persoonsgegevens: HAN University of Applied Sciences fined EUR 175,000 (hentet 9. oktober 2026).
15. Datatilsynet (Danmark): vedtak av 14. juli 2022 i Chromebook-saken (Helsingør) (hentet 9. oktober 2026).
16. ICO: Essex school reprimanded after using facial recognition technology for canteen payments, juli 2024 (hentet 9. oktober 2026).
17. Sikt: Notification form for personal data (hentet 9. oktober 2026).
18. Universitetet i Oslo: Declaration on data protection (students) og Conditions for processing personal data (hentet 9. oktober 2026).
19. Uppsala universitet: Data protection policy og GDPR in degree projects (hentet 9. oktober 2026).
20. Lunds universitet: Processing of personal data at Lund University (hentet 9. oktober 2026).
21. Stockholms universitet: Processing of personal data at Stockholm University (hentet 9. oktober 2026).
22. Karolinska Institutet: Report information security incidents and personal data breaches (hentet 9. oktober 2026).
23. Helsingfors universitet: Data protection (hentet 9. oktober 2026).
24. Aalto-universitetet: Aalto University data protection policy (hentet 9. oktober 2026).
25. Københavns Universitet: Privacy policy (hentet 9. oktober 2026).
26. NTNU: Information security: digital security incidents and deviations (hentet 9. oktober 2026).
27. KU Leuven: Processing of student data og Processing of research participants' data (hentet 9. oktober 2026).
28. Universiteit van Amsterdam: Privacy statement (hentet 9. oktober 2026).
29. Universiteit Utrecht: Privacy statement for participants in scientific research og Data protection officer (hentet 9. oktober 2026).
30. Trinity College Dublin: Legal basis for research og Data breaches (hentet 9. oktober 2026).
31. University College Dublin Library: Research data management: GDPR (hentet 9. oktober 2026).
32. University of Edinburgh: Data protection impact assessments (hentet 9. oktober 2026).
33. Université Paris-Saclay: personvernerklæring for søkere (eCandidat), september 2026 (hentet 9. oktober 2026).
34. Universidad Complutense de Madrid: Delegado de Protección de Datos (hentet 9. oktober 2026).
35. Universitat de Barcelona: personverninformasjon (SICUE-mobilitet) (hentet 9. oktober 2026).
36. Universidade de Lisboa, Faculdade de Direito: Política de Privacidade (2021) (hentet 9. oktober 2026).

Om denne siden

Kildene er kontrollert 9. oktober 2026. Vi har lest GDPR i versjonen som er kunngjort i Den europeiske unions tidende og publisert av EUs publikasjonskontor, personopplysningsloven på Lovdata, dokumentene fra Personvernrådet og Artikkel 29-gruppen som er oppført ovenfor, tilsynsmyndighetenes egne vedtakssider og personvernsidene til institusjonene vi viser til. Sitater fra sider på andre språk gjengis på originalspråket med en norsk forklaring i parentes; forklaringene er våre oversettelser, ikke ordrette sitater. Eksemplene fra universitetene viser hvordan én institusjon anvender GDPR etter egen nasjonal rett; de er ikke maler for alle land. Tidsplanen for KI-forordningen og EU-US Data Privacy Framework kan endres, og vi oppdaterer siden når det skjer. Vår egen tolkning er merket som Validemics analyse. Siden er generell informasjon, ikke juridisk rådgivning. Ser du en feil eller noe som er utdatert, ta kontakt med oss, så retter vi det.