Behandlingsbegrebet er fastlagt i databeskyttelsesforordningens artikel 4, nr. 2, hvoraf det fremgår, at behandling omfatter ”enhver aktivitet eller række af aktiviteter — med eller uden brug af automatisk behandling — som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse”.
Efter Datatilsynets praksis indebærer en virksomhedsoverdragelse i form af overdragelse af samtlige virksomhedens aktier eller salg af en personligt drevet virksomhed ikke, at der sker videregivelse af oplysninger til tredjemand, dvs. at der ikke er tale om en behandling i databeskyttelsesforordningens forstand. Forholdet betragtes som succession, hvor den nye ejer indtræder i den tidligere ejers rettigheder og forpligtelser i forhold til databeskyttelseslovgivningen, mens den tidligere ejer ikke længere har adgang til oplysningerne, jf. Databeskyttelsesforordningen og databeskyttelsesloven med kommentarer af Kristian Korfits Nielsen og Anders Lotterup, 2025 (herefter kommentaren), side 260.
Følgende fremgår videre af kommentaren, side 262:
”Om betydningen af reorganiseringer i den offentlige forvaltning kan henvises til Folketingets Ombudsmands udtalelse af 16. februar 2010 (FOB 2010-20-1).
Sagen vedrørte videregivelse af oplysninger om en kvindes sygdomsforløb fra et amt, hvor den pågældende var ansat, til vedkommendes nye arbejdsgiver, en kommune, i forbindelse med kommunalreformen. Folketingets Ombudsmand fandt, at der ikke var udsigt til, at han kunne kritisere, at kvindens personalesag var oversendt til kommunen i forbindelse med, at kvinden overgik til ansættelse i kommunen. Ombudsmanden mente, at overgangen fra amtet til kommunen skete som led i en succession, hvor kommunen indtrådte i det retsforhold, som eksisterende mellem amtet og kvinden. Som en naturlig følge heraf måtte kommunen også overtage kvindens personalesag. Den omstændighed at der var tale om succession, indebærer efter ombudsmandens opfattelse at reglerne i forvaltningsloven og helbredsoplysningsloven om videregivelse af oplysninger ikke skulle anvendes. Ombudsmanden udtalte desuden, at han ikke mente, at der var udsigt til, at han kunne kritisere, at Datatilsynet havde ment, at forholdet ikke var omfattet af persondataloven. Når ombudsmanden henviser til videregivelsesreglerne i forvaltningsloven – og ikke dem i persondataloven – hænger det sammen med, at den skete videregivelse fandt sted tilbage i 2007. At videregivelse af personoplysninger i det hele er reguleret i databeskyttelsesforordningen og databeskyttelsesloven, jf. sidstnævnte lovs § 2, stk. 1, ændrer ikke ved, at overladelse af personoplysninger fra en myndighed til en anden myndighed som led i at gennemføre en reorganisering (altså succession) fortsat ikke kan anses for at være videregivelse i databeskyttelsesforordningens og -lovens forstand – og i overensstemmelse med, hvad Datatilsynet og ombudsmanden anførte om forholdet til persondataloven, desuden må antages at være et forhold som ikke kræver et behandlingsgrundlag”