GDPR og dine studiedata: det kan du kræve i Danmark

Kort svar først: en optagelse af din forelæsning, transskriptionen af den og noterne, der bliver lavet ud fra transskriptionen, er alle personoplysninger, og databeskyttelsesforordningen giver dig fire rettigheder over dem, der betyder noget i praksis. Du kan kræve en kopi, kræve sletning, kræve dem i et format du kan tage med et andet sted hen, og gøre indsigelse mod visse behandlinger. Virksomheden har som regel en måned til at svare og må ikke tage betaling for den første kopi.

Det, de fleste studerende tager fejl af, er ikke rettighederne. Det er, hvad rettighederne ikke dækker, og hvad "lagret i EU" faktisk betyder, når du læser det i en privatlivspolitik.

Hvis oplysninger ligger i en forelæsningsoptagelse?

Som regel tre grupper af mennesker i én fil. Dig, gennem din konto og den måde, du bruger værktøjet på. Underviseren, hvis stemme og materiale fylder det meste af timen. Dine medstuderende, hvis nogen stillede et spørgsmål fra salen.

Forordningen definerer personoplysninger som "alle oplysninger om en identificeret eller identificerbar fysisk person", og en stemme er nok til at identificere. Optager du til dit eget brug og beholder filen selv, lader loven dig i fred. Artikel 2, stk. 2, litra c undtager behandling, en fysisk person foretager som led i rent personlige eller familiemæssige aktiviteter. Datatilsynet formulerer det sådan: "Forordningen gælder således ikke for behandling af personoplysninger, som foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter", og nævner korrespondance, adresselister og til dels aktiviteter på sociale netværk som eksempler.

Læs ordet rent. Datatilsynet afgør det efter en helhedsvurdering, og i en afgørelse fra august 2020 om en lydoptagelse fra et kommunalt møde lagt på YouTube lagde tilsynet vægt på, at offentliggørelsen skete som led i ytringer om forholdet mellem borgere og myndighedspersoner. Din forelæsning er ikke et offentligt møde. Så den regel, du kan handle på, er enkel. Dit eget drev, ja. Alle andres, nej.

Hvad kræver universiteterne, før du optager?

Strengere regler end forordningen, og de er forskellige. AU kræver samtykke fra underviser og medstuderende og kalder optagelse uden samtykke et brud på ordensreglerne. DTU kræver skriftlig godkendelse. SDU kræver samtykke fra underviser og deltagere og lægger bevisbyrden på dig. Vi går reglerne igennem universitet for universitet i må du optage forelæsninger i Danmark.

Universiteterne behandler også dine oplysninger, når de selv optager dig. CBS' GDPR-retningslinjer fra juni 2025 skriver, at der ikke skal indhentes samtykke fra de studerende, "da behandlingsgrundlaget ligger i CBS' virke som universitet". AU's vejledning til undervisere siger det samme for det lukkede kursusrum i Brightspace. Det er lovlige grundlag efter artikel 6, og begge betyder, at universitetets optagelse af dig findes, uanset om du sagde ja. Hvad de selv optager, står i forelæsningsoptagelser på danske universiteter. Dine rettigheder over den optagelse er dem nedenfor.

Hvilke rettigheder er værd at kende?

Loven er databeskyttelsesforordningen, læst sammen med databeskyttelsesloven, der ifølge Datatilsynet nu er lovbekendtgørelse nr. 289 af 8. marts 2024, og tilsynsmyndigheden er Datatilsynet. De rettigheder, der betyder noget for studiedata, står i fire artikler i forordningen.

Nævn rettigheden, når du skriver. En mail med "anmodning om indsigt efter artikel 15" i emnefeltet er sværere at tabe end en, der spørger, om de kan sende dine ting.

Portabilitet er den, du skal lægge mærke til

Dataportabilitet er den rettighed, en noteapp faktisk skal svare på. Dine optagelser er oplysninger, du selv har givet, behandlet automatisk, under en kontrakt. Det er præcis det tilfælde, artikel 20 er skrevet til. Datatilsynets vejledning anbefaler åbne formater som JSON, XML eller CSV og skriver, at oplysningerne skal gives "uden hindring", så et gebyr eller et kompliceret format er ikke tilladt.

Der er en grænse, som er vigtig for AI-noter. Vejledningen skriver, at den registrerede "ikke [har] krav på at modtage oplysninger, der er behandlet gennem f.eks. en analyse eller algoritme". Lydfilen er din. Noterne, en model har lavet af den, kan falde uden for retten til portabilitet, selv om de stadig er omfattet af retten til indsigt. En eksportknap i appen er den samme ret uden mailen og uden diskussionen.

Hvor lang tid har de, og hvad koster det?

Datatilsynets vejledning om de registreredes rettigheder siger det ligeud: "Du skal svare på en anmodning fra en registreret om indsigt, berigtigelse, sletning osv. uden unødig forsinkelse og senest en måned efter, du har modtaget anmodningen." Er anmodningen kompliceret, kan fristen forlænges "med yderligere to måneder", men så skal du have besked om forlængelsen og grunden inden for den første måned. Vejledningen tilføjer, at langt de fleste anmodninger ikke er komplicerede og derfor skal besvares inden for en måned.

Om betaling: "Du skal give den registrerede en gratis kopi af personoplysningerne. Hvis personen anmoder om yderligere kopier, må du gerne opkræve et rimeligt gebyr for dette baseret på de administrative omkostninger." Den dataansvarlige kan kun afvise eller tage gebyr, hvis anmodningen er åbenbart grundløs eller overdreven, og det er den dataansvarlige, der skal bevise det.

Hold uret på din side

1. Send anmodningen på mail, så modtagelsesdatoen ikke kan diskuteres.
2. Skriv, hvilken rettighed du bruger, og hvilke oplysninger du mener: optagelserne, transskriptionerne, noterne, kontologgene.
3. Noter datoen en måned frem.
4. Kommer der intet, så svar i samme tråd, og bed dem bekræfte, hvornår de modtog anmodningen.

Hvordan beder du om indsigt i praksis?

Datatilsynets vejledning siger, at den dataansvarlige skal svare elektronisk, hvis du har skrevet elektronisk, og at svaret skal være kortfattet og letforståeligt. Din anmodning skal være lige så klar, for en uklar anmodning inviterer til et opklarende spørgsmål, og det koster tid.

• Et emnefelt, der siger "anmodning om indsigt efter artikel 15".
• Datoen, du sender den.
• Dit navn og den mail, du er oprettet med.
• Kontooplysninger, der hjælper dem med at finde dig.
• Hvilke oplysninger du vil have. For en noteapp: lydfilerne, transskriptionerne, de genererede noter og flashcards, og eventuelle brugs- og kontologs. Bed også om modtagerne, opbevaringsperioden og overførselsgrundlaget for tredjelande, for artikel 15 giver dig ret til alle tre.

Send den til den adresse, der står i privatlivspolitikken. Vejledningen understreger, at det er den dataansvarlige, der skal opfylde rettighederne, ikke databehandlerne, så du skriver til appen, ikke til dens leverandører. Står der ingen adresse i politikken, er det allerede et svar om virksomheden.

Hvad betyder "EU" i en privatlivspolitik?

Hvor dine filer lagres, og hvor de behandles, er to forskellige spørgsmål. Et værktøj kan gemme dine optagelser og noter på servere i EU og stadig sende lyden til en tale-til-tekst-leverandør i USA, fordi mange af de bedste ligger der. Begge sætninger kan være sande samtidig. "Dine data lagres i EU" er ikke et løfte om, at din lyd aldrig forlader EU.

Datatilsynet kalder overførsel til lande uden for EU/EØS for tredjelandsoverførsler, og der skal være et grundlag for hver af dem. Tre ting betyder noget for en studerende.

• EU-U.S. Data Privacy Framework. "Den 10. juli 2023 vedtog Europa-Kommissionen en tilstrækkelighedsafgørelse for det såkaldte EU-U.S. Data Privacy Framework", skriver Datatilsynet. Den kan "alene anvendes som overførselsgrundlag, når man overfører personoplysninger til organisationer, der har certificeret sig under EU-U.S. Data Privacy Framework hos det amerikanske handelsministerium". Ikke certificeret, intet grundlag ad den vej.
• Standardkontraktbestemmelser. For alle andre modtagere skriver Datatilsynet: "Standardkontrakter kan anvendes som overførselsgrundlag, hvis de er vedtaget af Europa-Kommissionen." Kommissionen udstedte de moderniserede standardkontraktbestemmelser den 4. juni 2021, og det er dem, en noteapp typisk henviser til, når den skriver "standard contractual clauses".
• Din ret til at få det at vide. Datatilsynets vejledning siger, at hvis oplysninger overføres til et usikkert tredjeland med fornødne garantier, skal du informeres om garantierne. Det er en del af indsigtsretten, ikke en tjeneste.

Ingen af vejene til USA er et smuthul. Begge er lovlige, og begge betyder, at lyden forlader EU. Spørg derfor ikke, om et værktøj er dansk eller europæisk. Spørg, hvor lyden går hen, og se, om politikken vil fortælle dig det.

Hvad skal du tjekke, før du uploader et semesters forelæsninger?

Artikel 15 fortæller, hvad en dataansvarlig skal kunne udlevere, og det er en god test af, hvad en privatlivspolitik allerede burde sige. Læs den efter disse.

• Hvem der er dataansvarlig. Et firmanavn og en adresse, ikke bare et produktnavn.
• Modtagere eller kategorier af modtagere. Den gode version er en navngiven liste over databehandlere, inklusive tale-til-tekst- og AI-leverandørerne, for det er de virksomheder, der faktisk hører lyden.
• Overførsler til tredjelande og grundlaget. Data Privacy Framework for en certificeret amerikansk virksomhed, standardkontraktbestemmelser for alle andre. En politik, der siger "vi overholder GDPR" og intet om overførsler, har sprunget spørgsmålet over.
• Hvor længe de gemmer det. Opbevaringsperioden eller kriterierne for den. Artikel 15 kræver, at de oplyser den på forespørgsel. Bedre, hvis den allerede står der.
• Din ret til at klage til Datatilsynet, og hvordan du når den dataansvarlige.

To ting mere er ikke lovkrav, men siger meget. Er der en eksportknap og en sletteknap i produktet, så artikel 20 og 17 er et klik og ikke en mail? Og siger politikken, leverandør for leverandør, om dit indhold bruges til at træne modeller? "Vi træner aldrig på dine data" er en let sætning at skrive og en svær at holde, fordi lyden passerer virksomheder, værktøjet ikke ejer. En politik, der navngiver hver leverandør og siger, hvad hver enkelt kontraktligt må, er det ærligere dokument. Vælger du stadig værktøj, sammenligner vi de vigtigste på netop det punkt i den bedste AI-noteapp.

Hvad har dit universitet om dig?

Mere end nogen app, og det hele er personoplysninger. KU's side om studieadministration skriver, at universitetet registrerer navn, adresse, personnummer, billede til id-kort, privat mailadresse, eksamensresultater og kursustilmeldinger, at behandlingen sker efter forordningens artikel 6, stk. 1, litra e, og at personnummeret behandles efter databeskyttelseslovens paragraf 11. Oplysninger om indskrivning og eksamener opbevares bagefter til historiske og statistiske formål og afleveres til Rigsarkivet. Læg SPS-aftaler, fremmøde og alle de optagelser til, hvor din stemme blev fanget, og du har en fil, ingen noteapp kommer i nærheden af.

Systemerne har navne, og det hjælper at kende dem, når du skriver anmodningen. STADS er ifølge Uddannelses- og Forskningsstyrelsen "det studieadministrative system, der anvendes på de danske universiteter samt en række kunstneriske uddannelsesinstitutioner", med omkring 100.000 studerende, og det er der, du tilmelder dig undervisning og eksamen og ser resultater. Kursusrummet hedder Absalon på KU, Brightspace på AU, DTU Learn på DTU, itslearning på SDU, Moodle på AAU og Canvas på CBS. Optagelserne ligger i Panopto eller Kaltura bag dem.

En anmodning om indsigt når det hele. KU's privatlivspolitik skriver: "Registrerede personer kan når som helst rette henvendelse til Københavns Universitet med henblik på at få kopi af de oplysninger, som findes i Københavns Universitets systemer." Samme side giver databeskyttelsesrådgiverens adresse og fortæller, at du kan klage til Datatilsynet. Indsigelse er mere begrænset her. KU behandler efter samfundets interesse, og indsigelsen skal begrundes i din særlige situation. Sletning af dine eksamensresultater kan du glemme. Der er en retlig forpligtelse bag.

Tre ting at gøre med det, og ingen af dem kræver en jurauddannelse. Læs afsnittene om overførsler og opbevaring i ethvert værktøj, før du betror det et semesters forelæsninger. Spørg underviseren, før du optager, fordi universitetets regler er strengere end forordningen. Og slet det, du ikke længere har brug for, når et kursus er slut, i stedet for at efterlade fire års lyd i en konto, du holdt op med at tænke på på andet år.

Hvad hvis de ignorerer dig?

Ryk skriftligt først. Svar i samme tråd, bed om en bekræftelse på modtagelsesdatoen, og henvis til artikel 12, stk. 3. Datatilsynets side til borgere lister de seks rettigheder og skriver, at du kan rette henvendelse til Datatilsynet, hvis en dataansvarlig ikke efterkommer din anmodning, med adresse på Carl Jacobsens Vej 35 i Valby og mailen dt@datatilsynet.dk. En overskredet månedsfrist er en velkendt sag, og du er ikke besværlig ved at gå den vej.

Hvor Notibo passer ind

Notibo er et eksempel på skellet mellem lagring og behandling, ikke en undtagelse fra det. Dine optagelser, noter og flashcards lagres i EU hos Supabase i Frankfurt. Lyden transskriberes af tale-til-tekst-leverandører i USA, og AI-noterne laves også hos amerikanske processorer, under standardkontraktbestemmelser. Upload er begrænset til 50 MB, lange optagelser deles i 30-minutters filer på telefonen og samles til én transskription, og gratisplanen dækker 30 minutters optagelse om måneden. Vores privatlivspolitik navngiver hver leverandør, så du kan køre den gennem tjeklisten ovenfor på samme måde, som du ville køre ethvert andet værktøj igennem den.