Indsigtsbegæring efter GDPR Danmark

Indsigtsbegæring efter GDPR Danmark er en skriftlig anmodning, hvor en person beder en virksomhed, myndighed eller organisation om at få indsigt i de personoplysninger, der behandles om vedkommende. Retten følger af artikel 15 i databeskyttelsesforordningen (GDPR — Europa-Parlamentets og Rådets forordning (EU) 2016/679), der er direkte gældende i Danmark, suppleret af databeskyttelsesloven (LOV nr. 502 af 23-05-2018), som indeholder de danske særregler. Indsigtsretten er en af de mest grundlæggende rettigheder i databeskyttelsesretten: den giver den enkelte mulighed for at få at vide, hvilke oplysninger en organisation har om vedkommende, hvad de bruges til, og hvem de deles med.

Efter GDPR art. 15, stk. 1, har den registrerede ret til at få bekræftet, om der behandles personoplysninger om vedkommende, og i givet fald ret til indsigt i oplysningerne samt en række supplerende oplysninger. Disse supplerende oplysninger omfatter formålene med behandlingen, de berørte kategorier af personoplysninger, modtagere eller kategorier af modtagere, opbevaringsperioden, retten til berigtigelse, sletning, begrænsning og indsigelse, retten til at klage til Datatilsynet, oplysning om hvorfra oplysningerne stammer, hvis de ikke er indsamlet hos den registrerede, samt forekomsten af automatiske afgørelser og profilering efter art. 22. Efter art. 15, stk. 3, har den registrerede tillige ret til en kopi af de personoplysninger, der behandles.

Indsigtsbegæringen kan rettes mod enhver dataansvarlig — det vil sige den, der bestemmer formålet med og midlerne til behandlingen af personoplysninger. Det kan være en bank, en arbejdsgiver, et forsikringsselskab, en sundhedsudbyder, en offentlig myndighed, en forening eller en webshop. Den dataansvarlige har efter GDPR art. 12 pligt til at lette udøvelsen af den registreredes rettigheder og må ikke gøre det unødigt vanskeligt at få indsigt. Mange organisationer har udpeget en databeskyttelsesrådgiver (DPO), der behandler indsigtsbegæringer, og oplysningerne herom fremgår ofte af organisationens privatlivspolitik.

En central regel er svarfristen. Efter GDPR art. 12, stk. 3, skal den dataansvarlige uden unødig forsinkelse og senest inden en måned efter modtagelsen af begæringen give den registrerede oplysning om de foranstaltninger, der er truffet. Fristen kan forlænges med yderligere to måneder, hvis begæringen er kompleks, eller hvis der er modtaget et stort antal begæringer; i så fald skal den registrerede underrettes om forlængelsen og grunden hertil inden en måned. Behandlingen af en indsigtsbegæring er som udgangspunkt gratis efter art. 12, stk. 5; kun ved åbenbart grundløse eller overdrevne begæringer, navnlig hvis de gentages, kan den dataansvarlige opkræve et rimeligt gebyr eller afvise begæringen.

Den registrerede kan vælge at få indsigt i samtlige personoplysninger eller at afgrænse begæringen til bestemte kategorier eller en bestemt periode. En bred begæring giver den fuldstændige ret efter art. 15, stk. 1, mens en afgrænset begæring kan fremskynde svaret, hvis den registrerede ved, hvad vedkommende søger. Oplysningerne skal efter art. 15, stk. 3, gives i et almindeligt anvendt elektronisk format, hvis begæringen er fremsat elektronisk, medmindre den registrerede beder om andet. Den dataansvarlige skal sikre, at indsigt ikke krænker andres rettigheder, for eksempel oplysninger om tredjepersoner.

Tilsynet med databeskyttelsesreglerne i Danmark føres af Datatilsynet, der behandler klager, udsteder vejledninger og kan udstede påbud og forbud samt indstille til bøder, jf. GDPR kapitel VI og databeskyttelsesloven (LOV nr. 502 af 23-05-2018). Hvis den dataansvarlige ikke svarer inden fristen, afslår begæringen uden gyldig grund eller giver et ufuldstændigt svar, kan den registrerede klage til Datatilsynet efter GDPR art. 77. Den registrerede kan desuden rejse erstatningskrav efter art. 82, hvis den manglende eller mangelfulde behandling har påført skade. En klar, dokumenteret indsigtsbegæring med henvisning til de relevante bestemmelser styrker den registreredes retsstilling.

Indsigtsbegæring efter GDPR Danmark anvendes, når en person ønsker at få indsigt i de personoplysninger, en organisation behandler om vedkommende. Nedenfor beskrives de mest almindelige situationer.

Indsigt i bankens og forsikringsselskabets oplysninger. Kunder ønsker ofte at få indsigt i de oplysninger, en bank eller et forsikringsselskab har registreret om dem, herunder kreditvurderinger, noter og korrespondance. Indsigtsretten efter GDPR art. 15 giver adgang hertil og kan afdække, hvilke oplysninger der ligger til grund for afslag på lån eller forsikring.

Indsigt på arbejdspladsen. Medarbejdere og tidligere medarbejdere ønsker ofte at se de oplysninger, arbejdsgiveren behandler om dem — for eksempel personalemapper, e-mails, vurderinger og advarsler. Indsigtsbegæringen kan anvendes til at få indsigt i, hvad der er registreret, særligt i forbindelse med en personalesag eller en opsigelse.

Indsigt i sundhedsoplysninger. Patienter har ret til indsigt i de oplysninger, en sundhedsudbyder behandler om dem. Ud over indsigtsretten efter GDPR gælder der særlige regler om aktindsigt i patientjournaler efter sundhedslovgivningen; en indsigtsbegæring efter GDPR art. 15 kan dog anvendes til at få indsigt i den bredere behandling af personoplysninger.

Indsigt hos webshops og digitale tjenester. Brugere af webshops, sociale medier og digitale tjenester ønsker ofte at vide, hvilke oplysninger der indsamles om dem, herunder købshistorik, adfærdsdata og profileringer. Indsigtsbegæringen kan afdække omfanget af behandlingen og danne grundlag for en eventuel anmodning om sletning eller indsigelse.

Afklaring før sletning eller indsigelse. Inden en person beder om sletning efter GDPR art. 17 eller gør indsigelse efter art. 21, kan det være nyttigt at få indsigt i, hvilke oplysninger der behandles, og på hvilket grundlag. Indsigten giver overblik og gør det muligt at målrette de øvrige rettigheder.

Mistanke om uberettiget behandling. Hvis en person har mistanke om, at en organisation behandler oplysninger uberettiget, deler dem med uvedkommende eller anvender dem til uautoriserede formål, kan indsigtsbegæringen afdække behandlingen. Oplysningerne om modtagere og formål efter GDPR art. 15, stk. 1, er her særligt relevante.

Kontrol af automatiske afgørelser og profilering. Hvis en person er blevet udsat for en automatisk afgørelse — for eksempel en automatisk kreditvurdering eller en algoritmisk beslutning — giver indsigtsbegæringen ret til meningsfulde oplysninger om logikken og konsekvenserne, jf. GDPR art. 15, stk. 1, litra h, og art. 22.

Før en klage til Datatilsynet. Indsigtsbegæringen anvendes ofte som det første skridt, før en klage til Datatilsynet. Får den registrerede ikke svar inden månedsfristen, eller er svaret mangelfuldt, kan begæringen og den manglende efterlevelse danne grundlag for en klage efter GDPR art. 77 og databeskyttelsesloven (LOV nr. 502 af 23-05-2018).

Indsigtsbegæring efter GDPR Danmark indeholder en række bestanddele, der sikrer, at den dataansvarlige kan identificere den registrerede og behandle begæringen efter databeskyttelsesforordningen (GDPR) art. 15. Nedenfor gennemgås de vigtigste elementer.

Identifikation af den registrerede. Den registreredes fulde navn, adresse, e-mailadresse og eventuelt kunde-, medlems- eller ansættelsesnummer. Oplysningerne er nødvendige, for at den dataansvarlige kan identificere den registrerede i sine systemer og sikre, at indsigt ikke gives til en uvedkommende. Den dataansvarlige kan i tvivlstilfælde anmode om yderligere identifikation, men må ikke gøre det unødigt vanskeligt at få indsigt.

Identifikation af den dataansvarlige. Navn og eventuelt CVR-nummer på den virksomhed, myndighed eller organisation, der behandler oplysningerne, samt kontaktoplysninger til databeskyttelsesrådgiveren (DPO) eller den juridiske afdeling. Mange dataansvarlige offentliggør oplysningerne i deres privatlivspolitik, og begæringen rettes til den rette kontakt.

Angivelse af begæringens omfang. En angivelse af, om der ønskes indsigt i samtlige personoplysninger eller kun i bestemte kategorier eller en bestemt periode. Den registrerede har efter GDPR art. 15, stk. 1, ret til samtlige oplysninger, men kan vælge at afgrænse begæringen for at fremskynde svaret. Ved en afgrænset begæring beskrives de ønskede kategorier eller perioden konkret.

Krav på de supplerende oplysninger. En henvisning til, at begæringen ud over en kopi af oplysningerne omfatter de supplerende oplysninger efter GDPR art. 15, stk. 1: formålene med behandlingen, kategorierne af oplysninger, modtagerne, opbevaringsperioden, rettighederne, retten til at klage til Datatilsynet, oplysningernes oprindelse og forekomsten af automatiske afgørelser og profilering efter art. 22.

Angivelse af ønsket format. En angivelse af, om svaret ønskes i elektronisk format (PDF eller andet digitalt format) eller som papirkopier med post. Efter GDPR art. 15, stk. 3, skal oplysningerne gives i et almindeligt anvendt elektronisk format, hvis begæringen er fremsat elektronisk, medmindre den registrerede beder om andet.

Henvisning til svarfristen. En henvisning til, at den dataansvarlige efter GDPR art. 12, stk. 3, skal svare uden unødig forsinkelse og senest inden en måned, med mulighed for forlængelse på to måneder ved komplicerede begæringer mod underretning. Det understreger over for den dataansvarlige, at fristen er kendt og forventes overholdt.

Oplysning om konsekvenser ved manglende svar. En angivelse af, at den registrerede vil klage til Datatilsynet efter GDPR art. 77 og databeskyttelsesloven (LOV nr. 502 af 23-05-2018), hvis den dataansvarlige ikke svarer inden fristen, afslår uden gyldig grund eller giver et ufuldstændigt svar, samt forbehold om erstatningskrav efter art. 82.

Angivelse af, at behandlingen er gratis. En henvisning til, at indsigt efter GDPR art. 12, stk. 5, gives uden betaling, og at gebyr kun kan opkræves ved åbenbart grundløse eller overdrevne begæringer mod skriftlig begrundelse. Det forebygger, at den dataansvarlige uberettiget afkræver betaling.

Forståelse af begrænsninger. Den registrerede bør være opmærksom på, at indsigtsretten ikke må krænke andres rettigheder og friheder, for eksempel oplysninger om tredjepersoner, og at visse oplysninger kan være undtaget af hensyn til for eksempel forebyggelse af lovovertrædelser. Forståelsen hjælper den registrerede med at indrette forventningerne.

Underskrift og dato. Begæringen underskrives med angivelse af sted og dato. Den kan sendes pr. e-mail, brev eller via den dataansvarliges digitale løsning. Brugere af skabelonen på forms-legal.com kan med fordel se relaterede skabeloner til samtykkeerklæring til billeder og anmodning om aktindsigt, der dækker tilstødende persondatabehov i Danmark.

Indsigtsbegæring efter GDPR Danmark udfyldes korrekt ved at følge en række trin, der sikrer, at den dataansvarlige kan identificere dig og behandle begæringen efter databeskyttelsesforordningen (GDPR) art. 15.

Trin 1 — Identificér den dataansvarlige. Find ud af, hvilken virksomhed, myndighed eller organisation der behandler dine oplysninger, og hvem der er den dataansvarlige. Mange offentliggør oplysninger om deres databeskyttelsesrådgiver (DPO) og kontaktadresse i deres privatlivspolitik; brug disse oplysninger til at rette begæringen det rette sted.

Trin 2 — Angiv datoen for begæringen. Skriv datoen, da månedsfristen efter GDPR art. 12, stk. 3, regnes fra den dataansvarliges modtagelse af begæringen. Det er en god idé at kunne dokumentere afsendelsestidspunktet.

Trin 3 — Udfyld dine oplysninger. Skriv dit fulde navn, adresse og e-mailadresse samt eventuelt kunde-, medlems- eller ansættelsesnummer. Oplysningerne er nødvendige, for at den dataansvarlige kan identificere dig i sine systemer og sikre, at indsigt ikke gives til en uvedkommende.

Trin 4 — Udfyld den dataansvarliges oplysninger. Skriv den dataansvarliges navn, eventuelt CVR-nummer fra cvr.dk og kontaktoplysninger til databeskyttelsesrådgiveren eller den juridiske afdeling. Jo mere præcist begæringen rettes, jo hurtigere kan den behandles.

Trin 5 — Vælg begæringens omfang. Vælg, om du ønsker indsigt i samtlige personoplysninger om dig eller kun i bestemte kategorier eller en bestemt periode. Du har efter GDPR art. 15, stk. 1, ret til samtlige oplysninger; en afgrænset begæring kan dog fremskynde svaret, hvis du ved, hvad du søger.

Trin 6 — Beskriv eventuelle afgrænsninger. Hvis du afgrænser begæringen, så beskriv de ønskede kategorier eller perioden konkret, for eksempel al korrespondance og noter om mit kundeforhold fra 01-01-2024 til 31-12-2024. Ved en bred begæring lader du feltet stå tomt og angiver samtlige personoplysninger.

Trin 7 — Bed om de supplerende oplysninger. Sørg for, at begæringen ud over en kopi af oplysningerne omfatter de supplerende oplysninger efter GDPR art. 15, stk. 1: formål, kategorier, modtagere, opbevaringsperiode, dine rettigheder, retten til at klage til Datatilsynet, oplysningernes oprindelse og forekomsten af automatiske afgørelser og profilering.

Trin 8 — Vælg formatet. Angiv, om du ønsker svaret i elektronisk format (PDF eller andet digitalt format) eller som papirkopier med post. Efter GDPR art. 15, stk. 3, skal oplysningerne gives i et almindeligt anvendt elektronisk format, hvis du fremsætter begæringen elektronisk.

Trin 9 — Henvis til frist, gratis behandling og klageadgang. Henvis til, at den dataansvarlige skal svare inden en måned, jf. GDPR art. 12, stk. 3, at behandlingen er gratis efter art. 12, stk. 5, og at du vil klage til Datatilsynet efter art. 77 og databeskyttelsesloven (LOV nr. 502 af 23-05-2018), hvis du ikke får et fyldestgørende svar.

Trin 10 — Underskriv, send og følg op. Underskriv begæringen med sted og dato, og send den pr. e-mail, brev eller via den dataansvarliges digitale løsning. Bed om bekræftelse på modtagelsen, så du kan dokumentere, hvornår fristen begyndte at løbe. Følg op, hvis du ikke hører fra den dataansvarlige inden månedsfristen, og klag til Datatilsynet, hvis svaret udebliver eller er mangelfuldt.

Indsigtsbegæring efter GDPR Danmark er underlagt databeskyttelsesretten, der bygger på EU-forordningen og den danske gennemførelseslov; nedenfor beskrives de vigtigste retlige krav og deres kilder.

Databeskyttelsesforordningen og indsigtsretten. Databeskyttelsesforordningen (GDPR — Europa-Parlamentets og Rådets forordning (EU) 2016/679) art. 15 fastsætter den registreredes ret til indsigt. Efter stk. 1 har den registrerede ret til at få bekræftet, om der behandles personoplysninger, og i givet fald ret til indsigt i oplysningerne samt en række supplerende oplysninger om formål, kategorier, modtagere, opbevaringsperiode, rettigheder, oprindelse og automatiske afgørelser. Efter stk. 3 har den registrerede ret til en kopi af oplysningerne.

Databeskyttelsesloven. Databeskyttelsesloven (LOV nr. 502 af 23-05-2018 — lov med supplerende bestemmelser til EU's databeskyttelsesforordning) indeholder de danske særregler, der supplerer GDPR. Loven har 48 paragraffer og regulerer blandt andet behandling af CPR-numre, Datatilsynets beføjelser og en række undtagelser fra de registreredes rettigheder, herunder hvor hensyn til afgørende private eller offentlige interesser taler imod indsigt.

Svarfristen. Efter GDPR art. 12, stk. 3, skal den dataansvarlige uden unødig forsinkelse og senest inden en måned efter modtagelsen af begæringen give den registrerede oplysning om de foranstaltninger, der er truffet. Fristen kan forlænges med yderligere to måneder under hensyntagen til begæringens kompleksitet og antallet af begæringer; i så fald skal den registrerede underrettes om forlængelsen og grunden hertil inden en måned fra modtagelsen.

Gratis behandling. Efter GDPR art. 12, stk. 5, skal oplysningerne og foranstaltningerne stilles til rådighed uden betaling. Kun ved åbenbart grundløse eller overdrevne begæringer, navnlig fordi de gentages, kan den dataansvarlige enten opkræve et rimeligt gebyr, der dækker de administrative omkostninger, eller afvise at efterkomme begæringen. Den dataansvarlige bærer bevisbyrden for, at en begæring er åbenbart grundløs eller overdreven.

Format og kopi. Efter GDPR art. 15, stk. 3, skal den dataansvarlige udlevere en kopi af de personoplysninger, der behandles. Fremsættes begæringen elektronisk, skal oplysningerne gives i et almindeligt anvendt elektronisk format, medmindre den registrerede anmoder om andet. Retten til at modtage en kopi må ikke krænke andres rettigheder og friheder, herunder oplysninger om tredjepersoner.

Begrænsninger i indsigtsretten. Indsigtsretten er ikke ubetinget. Den må ikke krænke andres rettigheder og friheder, og databeskyttelsesloven indeholder undtagelser, hvor afgørende hensyn til private eller offentlige interesser overstiger hensynet til den registrerede, for eksempel ved efterforskning af lovovertrædelser eller beskyttelse af tredjemand. Den dataansvarlige skal i givet fald begrunde en hel eller delvis afvisning.

Identifikation af den registrerede. Den dataansvarlige skal sikre, at indsigt kun gives til den rette person, jf. GDPR art. 12, stk. 6, og kan anmode om yderligere oplysninger til at bekræfte identiteten, hvis der er rimelig tvivl. Den dataansvarlige må dog ikke gøre det unødigt vanskeligt at udøve indsigtsretten og må ikke kræve mere identifikation end nødvendigt.

Datatilsynets tilsyn og klageadgang. Datatilsynet fører tilsyn med, at databeskyttelsesreglerne overholdes, behandler klager og kan udstede påbud og forbud samt indstille til bøder, jf. GDPR kapitel VI og databeskyttelsesloven §§ 27-42. Den registrerede kan klage til Datatilsynet efter GDPR art. 77, hvis den dataansvarlige ikke overholder indsigtsretten. Klage til Datatilsynet er gratis.

Erstatning og domstolsprøvelse. Efter GDPR art. 82 har enhver, der har lidt skade som følge af en overtrædelse af forordningen, ret til erstatning fra den dataansvarlige eller databehandleren. Den registrerede kan desuden efter art. 79 indbringe sagen for domstolene. I Danmark behandles sådanne sager ved byretten efter retsplejeloven (LBK nr. 250 af 04-03-2024), med mulighed for anke til landsret.

Indsigtsbegæring efter GDPR Danmark giver ofte anledning til følgende fejl, der kan forsinke behandlingen eller svække den registreredes retsstilling.

Fejl 1 — Begæringen sendes til en forkert kontakt. Mange sender begæringen til en tilfældig medarbejder i stedet for til databeskyttelsesrådgiveren (DPO) eller den juridiske afdeling. Det kan forsinke behandlingen. Korrekt fremgangsmåde: find kontaktoplysningerne i den dataansvarliges privatlivspolitik, og ret begæringen til den rette kontakt.

Fejl 2 — Manglende identifikation. En begæring uden tilstrækkelig identifikation gør, at den dataansvarlige ikke kan finde oplysningerne eller må bede om mere dokumentation, hvilket forsinker sagen. Korrekt fremgangsmåde: angiv dit fulde navn, adresse, e-mail og eventuelt kunde- eller medlemsnummer, så den dataansvarlige kan identificere dig.

Fejl 3 — Uklart omfang. Mange skriver blot send mig alt uden at angive, om de ønsker samtlige oplysninger eller bestemte kategorier. Det kan give et uoverskueligt svar eller forsinkelse. Korrekt fremgangsmåde: angiv klart, om du ønsker samtlige personoplysninger eller en afgrænset del, og beskriv i givet fald kategorier og periode.

Fejl 4 — Glemmer at bede om de supplerende oplysninger. Mange beder kun om en kopi af oplysningerne og glemmer de supplerende oplysninger efter GDPR art. 15, stk. 1, om formål, modtagere, opbevaringsperiode og profilering. Korrekt fremgangsmåde: bed udtrykkeligt om alle de supplerende oplysninger efter art. 15, stk. 1.

Fejl 5 — Accepterer uberettiget gebyr. Nogle accepterer at betale et gebyr for indsigt. Behandlingen er som udgangspunkt gratis efter GDPR art. 12, stk. 5; gebyr kan kun opkræves ved åbenbart grundløse eller overdrevne begæringer. Korrekt fremgangsmåde: gør opmærksom på, at behandlingen er gratis, og bed om en skriftlig begrundelse, hvis der opkræves gebyr.

Fejl 6 — Følger ikke op på månedsfristen. Mange glemmer, at den dataansvarlige skal svare inden en måned, jf. GDPR art. 12, stk. 3, og følger derfor ikke op ved forsinkelse. Korrekt fremgangsmåde: notér datoen for begæringen, bed om bekræftelse på modtagelsen, og følg op, hvis du ikke hører noget inden fristen.

Fejl 7 — Udnytter ikke klageadgangen til Datatilsynet. Mange opgiver, hvis de ikke får svar eller får et mangelfuldt svar. Den registrerede kan klage til Datatilsynet efter GDPR art. 77 og databeskyttelsesloven (LOV nr. 502 af 23-05-2018). Korrekt fremgangsmåde: klag til Datatilsynet, hvis den dataansvarlige ikke svarer inden fristen, afslår uden gyldig grund eller giver et ufuldstændigt svar.

Fejl 8 — Forveksling af indsigtsret og aktindsigt. Mange forveksler indsigtsretten efter GDPR med aktindsigt efter offentlighedsloven. Indsigtsretten vedrører dine personoplysninger hos en dataansvarlig, mens aktindsigt vedrører dokumenter hos en offentlig myndighed. Korrekt fremgangsmåde: brug indsigtsbegæring efter GDPR art. 15 om dine personoplysninger og aktindsigt efter offentlighedsloven om myndighedernes dokumenter.

Fejl 9 — Forventer indsigt i andres oplysninger. Indsigtsretten må ikke krænke andres rettigheder og friheder; du har ikke ret til indsigt i tredjepersoners personoplysninger. Mange bliver overraskede over, at dele af et dokument er overstreget. Korrekt fremgangsmåde: vær opmærksom på, at oplysninger om andre kan undtages, og fokusér din begæring på dine egne oplysninger.

Fejl 10 — Manglende dokumentation. Mange gemmer ikke en kopi af begæringen og svaret. Det svækker en eventuel klage til Datatilsynet eller et erstatningskrav. Korrekt fremgangsmåde: gem en kopi af begæringen, bekræftelsen på modtagelsen og den dataansvarliges svar som dokumentation for forløbet.