Først og fremst er det viktig å vite hva en personopplysning er. Dette er fordi GDPR kun gjelder for behandling av personopplysninger og ikke andre former for data. Personopplysningsbegrepet skal tolkes bredt. Dette betyr at svært mange typer opplysninger om personer er vernet under GDPR.

Lovbestemmelser i GDPR er inndelt i ulike stykker. Hvert stykke kalles for en artikkel. En artikkel utgjør det samme som man ved norsk lovgivningsteknikk kaller en paragraf (§). Det betyr at henvisninger til konkrete bestemmelser i loven, viser til en bestemt artikkel.

En definisjon av personopplysningsbegrepet finner vi i artikkel 4. Her fremkommer det at personopplysninger er "enhver opplysning om en identifisert eller identifiserbar fysisk person". Etter en tolkning av denne definisjonen, kan vi si at:

Personopplysninger er alle opplysninger og vurderinger som kan knyttes til deg som enkeltperson, enten direkte eller indirekte.

Eksempler på personopplysninger er navn, fødsels- og personnummer, e-postadresse, bilde, helseopplysninger, stemme, adferdsmønster og en rekke andre opplysninger som er om en person.

For at en opplysning skal være knyttet til en person eller være "om" en person, er dette kriteriet oppfylt når opplysningen på grunn av sitt innhold, formål eller virkning er knyttet til en bestemt person. Det innebærer at et bredt spekter av opplysninger vil utgjøre personopplysninger om oss og forskningsdeltagere.

Både sanne, usanne, subjektive og objektive opplysninger er omfattet av personopplysningsbegrepet. Dette innebærer at en opplysning ikke trenger å være korrekt, for at den skal regnes som en personopplysning. Også subjektive vurderinger er omfattet av personopplysningsbegrepet. For eksempel vil en sensors kommentarer til en kandidats eksamensbesvarelse utgjøre personopplysninger om kandidaten.

Innenfor forskning kan man se for seg et prosjekt hvor forskningsdeltagerne skal fortelle om og beskrive sin egen oppvekst. Fortellingene kan inneholde vurderinger om både seg selv og andre personer. For eksempel kan fortellingene bestå av forskningsdeltagernes subjektive opplevelse av sine foreldre. Dette kan utgjøre personopplysninger om foreldrene selv om opplysningene som framkommer kun er basert på forskningsdeltagerens egen oppfatning av disse personene.