GDPR Data Access Request Norway

A GDPR Data Access Request in Norway (innsynsbegjæring) is a written request by which a data subject asks a data controller for access to their own personal data under the General Data Protection Regulation (GDPR) article 15, which applies through the EEA Agreement, together with the Norwegian Personopplysningsloven (2018). The controller must confirm whether personal data is processed, provide a copy and the information listed in article 15, and respond without undue delay and within one month under article 12, with a right to complain to Datatilsynet.

GDPR innsynsbegjæring Norge trengs i situasjoner der en person ønsker å vite hvilke personopplysninger en virksomhet eller organisasjon behandler om vedkommende. Innsynsretten etter personvernforordningen (GDPR) artikkel 15 kan brukes overfor alle som behandler personopplysninger, og er gratis.

Kontroll av hva en virksomhet vet om deg. Den vanligste situasjonen er at en person ønsker oversikt over hvilke opplysninger en virksomhet har registrert. Dette kan gjelde en arbeidsgiver, en bank, et forsikringsselskap, en nettbutikk, en teleoperatør eller en offentlig etat. Ved å sende en innsynsbegjæring etter personvernforordningen (GDPR) artikkel 15 får den registrerte bekreftet om opplysninger behandles, og innsyn i opplysningene og informasjon om behandlingen.

Mistanke om uriktig eller ulovlig behandling. Dersom en person mistenker at en virksomhet behandler feilaktige opplysninger, behandler opplysninger uten gyldig grunnlag, eller deler opplysninger med uvedkommende, er innsyn et naturlig første skritt. Innsynet etter personvernforordningen (GDPR) artikkel 15 gir grunnlag for å vurdere om behandlingen er lovlig, og for eventuelt å kreve retting etter artikkel 16, sletting etter artikkel 17 eller begrensning etter artikkel 18, eller å klage til Datatilsynet.

Arbeidsforhold og personalmapper. Ansatte og tidligere ansatte kan be om innsyn i hvilke opplysninger arbeidsgiveren behandler om dem, herunder personalmappe, e-post, evalueringer og logger. Innsynsretten etter personvernforordningen (GDPR) artikkel 15 gjelder også i arbeidsforhold, men arbeidsgiverens innsyn i ansattes e-post og utstyr er i tillegg regulert av egne regler. Innsyn kan være aktuelt ved konflikter, oppsigelse eller mistanke om urettmessig behandling.

Kundeforhold og markedsføring. Forbrukere kan be om innsyn i hvilke opplysninger en virksomhet har registrert om deres kundeforhold, kjøpshistorikk, kommunikasjon og markedsføringsprofil. Dette er særlig aktuelt der virksomheten driver profilering og målrettet markedsføring. Innsynet gir grunnlag for å vurdere om man vil protestere mot markedsføring etter personvernforordningen (GDPR) artikkel 21 eller trekke tilbake et samtykke.

Kredittopplysninger og finansielle tjenester. Personer kan be om innsyn i opplysninger som behandles av kredittopplysningsforetak, banker og andre finansforetak, herunder kredittvurderinger og opplysninger i Gjeldsregisteret. Innsynet etter personvernforordningen (GDPR) artikkel 15 gir oversikt over hvilke opplysninger som ligger til grunn for kredittbeslutninger, og kan avdekke feil som bør rettes.

Helseopplysninger og pasientjournal. Pasienter har rett til innsyn i sine helseopplysninger. For opplysninger i pasientjournalen gjelder også særlige regler i pasientjournalloven (2014) og pasient- og brukerrettighetsloven (1999), men den generelle innsynsretten etter personvernforordningen (GDPR) artikkel 15 kommer i tillegg. Innsyn kan være aktuelt for å forstå behandlingen man har fått, eller for å kontrollere at journalen er korrekt.

Klageprosesser og tvister. I forbindelse med klager, tvister eller rettssaker kan innsyn i personopplysninger være nyttig for å dokumentere faktiske forhold. En innsynsbegjæring etter personvernforordningen (GDPR) artikkel 15 kan gi tilgang til korrespondanse, notater og andre opplysninger som en virksomhet behandler, og som kan ha betydning for saken. Innsynsretten kan likevel begrenses der den krenker andres rettigheter etter artikkel 15 nr. 4.

Offentlige myndigheter og forvaltning. Innsynsretten etter personvernforordningen (GDPR) artikkel 15 gjelder også overfor offentlige myndigheter som behandler personopplysninger. Dette kommer i tillegg til innsynsretten i forvaltningsloven (1967) og offentleglova (2006). For enkelte offentlige behandlinger kan innsynsretten være begrenset av hensyn til etterforskning, nasjonal sikkerhet eller andres rettigheter etter personopplysningsloven (2018).

En effektiv GDPR innsynsbegjæring Norge inneholder følgende nøkkelelementer for å oppfylle kravene etter personvernforordningen (GDPR) artikkel 15 og for å gjøre det enkelt for den behandlingsansvarlige å svare.

Identifikasjon av den registrerte. Begjæringen skal inneholde tilstrekkelige opplysninger til at den behandlingsansvarlige kan identifisere den registrerte sikkert, slik at opplysningene ikke utleveres til feil person. Dette omfatter fullt navn, og ved behov fødselsdato eller fødselsnummer (elleve sifre) samt adresse. Den behandlingsansvarlige kan be om ytterligere identifikasjon ved rimelig tvil etter personvernforordningen (GDPR) artikkel 12 nr. 6, men den registrerte bør oppgi kun det som er nødvendig for sikker identifikasjon.

Kontaktopplysninger for svar. Begjæringen skal angi hvor svaret skal sendes, typisk en postadresse eller en e-postadresse. Ved en elektronisk begjæring leveres opplysningene normalt i et vanlig elektronisk format etter personvernforordningen (GDPR) artikkel 15 nr. 3. Klare kontaktopplysninger gjør det enklere for den behandlingsansvarlige å besvare begjæringen innen fristen.

Identifikasjon av den behandlingsansvarlige. Begjæringen skal rettes til den behandlingsansvarlige, det vil si den som bestemmer formålene med og midlene for behandlingen etter personvernforordningen (GDPR) artikkel 4 nr. 7. Begjæringen bør angi virksomhetens navn og adresse, som kan finnes i virksomhetens personvernerklæring eller i Enhetsregisteret hos Brønnøysundregistrene. Riktig adressering sikrer at begjæringen kommer frem til rett mottaker.

Avgrensning av begjæringen. Begjæringen kan gjelde alle personopplysninger den behandlingsansvarlige har om den registrerte, eller den kan avgrenses til bestemte opplysninger eller en bestemt behandling. En presis avgrensning, for eksempel til et bestemt kundeforhold eller en bestemt periode, kan gjøre det enklere og raskere for den behandlingsansvarlige å besvare begjæringen, men den registrerte har rett til innsyn i alle opplysninger etter personvernforordningen (GDPR) artikkel 15.

Krav om bekreftelse og informasjon etter artikkel 15 nr. 1. Begjæringen bør be om bekreftelse på om det behandles personopplysninger, og om innsyn i opplysningene samt den informasjonen som følger av personvernforordningen (GDPR) artikkel 15 nr. 1: formålene med behandlingen, kategoriene av opplysninger, mottakerne, lagringstiden, retten til retting og sletting, retten til å klage til Datatilsynet, hvor opplysningene er hentet fra, og om det forekommer automatiserte avgjørelser inkludert profilering etter artikkel 22.

Krav om kopi etter artikkel 15 nr. 3. Begjæringen bør be om en kopi av personopplysningene som behandles, etter personvernforordningen (GDPR) artikkel 15 nr. 3. Den første kopien skal være gratis. Begjæringen kan angi ønsket format, for eksempel elektronisk kopi eller papirkopi. Ved elektronisk begjæring leveres opplysningene normalt i et vanlig elektronisk format med mindre den registrerte ber om noe annet.

Henvisning til svarfristen på en måned. Begjæringen bør vise til at den behandlingsansvarlige skal svare uten ugrunnet opphold og senest innen en måned fra begjæringen mottas, etter personvernforordningen (GDPR) artikkel 12 nr. 3. Fristen kan forlenges med inntil to måneder ved komplekse eller mange begjæringer, men den registrerte skal da få melding om forlengelsen og grunnen til den innen en måned. Henvisningen til fristen understreker at begjæringen skal behandles raskt.

Krav om begrunnelse ved avslag. Begjæringen bør be om en begrunnelse dersom den ikke etterkommes, og informasjon om klageadgangen, etter personvernforordningen (GDPR) artikkel 12 nr. 4. Den behandlingsansvarlige kan bare nekte å etterkomme begjæringen i begrensede tilfeller, for eksempel der den er åpenbart grunnløs eller overdreven, eller der innsyn vil krenke andres rettigheter etter artikkel 15 nr. 4.

Informasjon om klageadgang til Datatilsynet. Begjæringen bør vise til at den registrerte kan klage til Datatilsynet etter personvernforordningen (GDPR) artikkel 77 dersom svaret ikke er tilfredsstillende, og at Datatilsynets vedtak kan påklages til Personvernnemnda etter personopplysningsloven (2018). Dette understreker at den registrerte har en effektiv mulighet til å håndheve innsynsretten. Disse elementene utfyller forms-legal.com bibliotekets maler for personvern.

Datering og underskrift. Begjæringen bør dateres og undertegnes av den registrerte. Datoen har betydning for beregningen av svarfristen, som regnes fra den behandlingsansvarlige mottar begjæringen etter personvernforordningen (GDPR) artikkel 12 nr. 3. Underskriften bekrefter at begjæringen kommer fra den registrerte selv, noe som er viktig for identifikasjonen og for at opplysningene ikke utleveres til feil person.

Å fylle ut en GDPR innsynsbegjæring Norge korrekt krever at man følger trinnene nedenfor systematisk, slik at begjæringen oppfyller kravene etter personvernforordningen (GDPR) artikkel 15 og kan behandles raskt av den behandlingsansvarlige.

Trinn 1 — Oppgi dine egne opplysninger for identifikasjon. Oppgi ditt fulle navn etter folkeregisteret, og ved behov fødselsdato (format DD.MM.ÅÅÅÅ) eller fødselsnummer (elleve sifre) dersom den behandlingsansvarlige trenger det for sikker identifikasjon. Oppgi kun det som er nødvendig for å identifisere deg, slik at opplysningene ikke utleveres til feil person etter personvernforordningen (GDPR) artikkel 12 nr. 6. Unngå å oppgi mer sensitiv informasjon enn nødvendig.

Trinn 2 — Oppgi kontaktopplysninger for svar. Oppgi din adresse og e-postadresse slik at den behandlingsansvarlige kan sende svaret og eventuelt levere opplysningene elektronisk. Ved en elektronisk begjæring leveres opplysningene normalt i et vanlig elektronisk format etter personvernforordningen (GDPR) artikkel 15 nr. 3. Klare kontaktopplysninger gjør det enklere å besvare begjæringen innen fristen.

Trinn 3 — Identifiser den behandlingsansvarlige. Oppgi navnet og adressen til virksomheten eller organisasjonen du retter begjæringen til. Den behandlingsansvarlige er den som bestemmer formålene med og midlene for behandlingen etter personvernforordningen (GDPR) artikkel 4 nr. 7. Kontaktopplysningene finnes ofte i virksomhetens personvernerklæring, på nettsiden eller i Enhetsregisteret hos Brønnøysundregistrene.

Trinn 4 — Velg omfanget av begjæringen. Velg om du ber om innsyn i alle dine personopplysninger eller om du vil avgrense begjæringen til bestemte opplysninger eller en bestemt behandling. Du har rett til innsyn i alle opplysninger etter personvernforordningen (GDPR) artikkel 15, men en presis avgrensning kan gjøre det enklere og raskere for den behandlingsansvarlige å svare.

Trinn 5 — Spesifiser hvilke opplysninger du ber om (om relevant). Dersom du ber om bestemte opplysninger, beskriv hvilke så presist som mulig, for eksempel \"alle opplysninger knyttet til mitt kundeforhold i perioden 2024 til 2026, herunder kjøpshistorikk og kommunikasjon\". En tydelig spesifikasjon hjelper den behandlingsansvarlige med å finne frem til de riktige opplysningene.

Trinn 6 — Velg ønsket format for kopien. Velg om du ønsker en elektronisk kopi (e-post eller nedlasting) eller en papirkopi sendt til din adresse. Etter personvernforordningen (GDPR) artikkel 15 nr. 3 har du rett til en gratis kopi av personopplysningene. Ved en elektronisk begjæring leveres opplysningene normalt i et vanlig elektronisk format med mindre du ber om noe annet.

Trinn 7 — Vis til kravene etter artikkel 15. Begjæringen ber om bekreftelse på om det behandles personopplysninger om deg, og om innsyn i opplysningene samt informasjon om formålene, kategoriene, mottakerne, lagringstiden, dine rettigheter, hvor opplysningene er hentet fra, og om det forekommer automatiserte avgjørelser inkludert profilering, etter personvernforordningen (GDPR) artikkel 15 nr. 1. Du trenger ikke å begrunne hvorfor du ber om innsyn.

Trinn 8 — Vis til svarfristen på en måned. Begjæringen viser til at den behandlingsansvarlige skal svare uten ugrunnet opphold og senest innen en måned etter personvernforordningen (GDPR) artikkel 12 nr. 3. Fristen kan forlenges med inntil to måneder ved komplekse eller mange begjæringer, men du skal da få melding om forlengelsen og grunnen til den innen en måned.

Trinn 9 — Daterer og underskriv begjæringen. Oppgi sted og dato (format DD.MM.ÅÅÅÅ) og undertegn begjæringen. Datoen har betydning for beregningen av svarfristen, som regnes fra den behandlingsansvarlige mottar begjæringen. Underskriften bekrefter at begjæringen kommer fra deg selv, noe som er viktig for identifikasjonen.

Trinn 10 — Send begjæringen og følg opp. Send begjæringen til den behandlingsansvarlige på en måte som gir notoritet, for eksempel rekommandert post eller e-post med kvittering, slik at du kan dokumentere når den ble mottatt. Ta vare på en kopi. Dersom du ikke får svar innen fristen, eller svaret ikke er tilfredsstillende, kan du klage til Datatilsynet etter personvernforordningen (GDPR) artikkel 77; Datatilsynets vedtak kan påklages til Personvernnemnda etter personopplysningsloven (2018).

GDPR innsynsbegjæring Norge omfattes av et regelverk i personvernforordningen (GDPR) og personopplysningsloven (2018) som fastsetter den registrertes rettigheter og den behandlingsansvarliges plikter.

GDPR gjelder i Norge gjennom EØS-avtalen. Personvernforordningen (GDPR), Europaparlaments- og rådsforordning (EU) 2016/679, gjelder i Norge gjennom EØS-avtalen og er gjennomført i norsk rett ved personopplysningsloven (2018). Det betyr at de samme grunnleggende rettighetene og pliktene gjelder i Norge som i EU, herunder innsynsretten etter artikkel 15. Datatilsynet er den nasjonale tilsynsmyndigheten, og Personvernnemnda er klageorgan.

Innsynsretten etter personvernforordningen (GDPR) artikkel 15. Etter artikkel 15 nr. 1 har den registrerte rett til å få bekreftet om det behandles personopplysninger om vedkommende, og dersom det er tilfellet, rett til innsyn i opplysningene og til informasjon om formålene med behandlingen, kategoriene av personopplysninger, mottakerne, lagringstiden, retten til retting og sletting, retten til å klage til Datatilsynet, kilden til opplysningene og forekomsten av automatiserte avgjørelser inkludert profilering. Etter artikkel 15 nr. 3 har den registrerte rett til en kopi av personopplysningene, og den første kopien skal være gratis.

Informasjonsplikten etter personvernforordningen (GDPR) artikkel 13 og 14. Innsynsretten etter artikkel 15 supplerer den behandlingsansvarliges informasjonsplikt etter artikkel 13 (når opplysningene samles inn fra den registrerte) og artikkel 14 (når opplysningene samles inn fra andre kilder). Informasjonsplikten innebærer at den behandlingsansvarlige allerede ved innsamlingen skal gi den registrerte informasjon om behandlingen, typisk gjennom en personvernerklæring. Innsynsretten gir den registrerte mulighet til å få denne informasjonen og selve opplysningene på forespørsel.

Svarfristen etter personvernforordningen (GDPR) artikkel 12 nr. 3. Den behandlingsansvarlige skal gi den registrerte informasjon om hvilke tiltak som er truffet på grunnlag av begjæringen, uten ugrunnet opphold og senest innen en måned etter at begjæringen er mottatt. Fristen kan forlenges med inntil to måneder dersom det er nødvendig på grunn av begjæringens kompleksitet eller antallet begjæringer. Ved forlengelse skal den registrerte underrettes om forlengelsen og grunnen til den innen en måned.

Gratis behandling og adgang til å nekte etter personvernforordningen (GDPR) artikkel 12 nr. 5. Informasjon og tiltak etter artikkel 15 skal som hovedregel gis vederlagsfritt. Dersom begjæringen er åpenbart grunnløs eller overdreven, særlig på grunn av gjentakelse, kan den behandlingsansvarlige enten kreve et rimelig gebyr basert på administrasjonskostnadene, eller nekte å etterkomme begjæringen. Den behandlingsansvarlige har bevisbyrden for at en begjæring er åpenbart grunnløs eller overdreven.

Identifikasjon etter personvernforordningen (GDPR) artikkel 12 nr. 6. Dersom den behandlingsansvarlige har rimelig tvil om identiteten til den som fremsetter begjæringen, kan den behandlingsansvarlige be om ytterligere opplysninger som er nødvendige for å bekrefte identiteten. Dette skal verne mot at personopplysninger utleveres til feil person. Kravet til identifikasjon skal likevel ikke være mer omfattende enn nødvendig.

Begrensninger i innsynsretten etter personvernforordningen (GDPR) artikkel 15 nr. 4 og personopplysningsloven (2018). Retten til å få en kopi etter artikkel 15 nr. 3 skal ikke krenke andres rettigheter og friheter. Personopplysningsloven (2018) inneholder dessuten unntak fra innsynsretten, blant annet av hensyn til etterforskning, rikets sikkerhet, andres rettigheter og visse lovbestemte taushetsplikter. Innsyn kan også være begrenset for opplysninger som behandles utelukkende for journalistiske, akademiske, kunstneriske eller litterære formål.

Klageadgang etter personvernforordningen (GDPR) artikkel 77 og personopplysningsloven (2018). Dersom den registrerte mener at behandlingen av personopplysninger er i strid med regelverket, eller at en innsynsbegjæring ikke er korrekt behandlet, kan vedkommende klage til Datatilsynet etter artikkel 77. Datatilsynets vedtak kan påklages til Personvernnemnda etter personopplysningsloven (2018). Den registrerte har også rett til effektivt rettsmiddel for domstolene etter artikkel 79.

Forholdet til andre innsynsregler. Innsynsretten etter personvernforordningen (GDPR) artikkel 15 kommer i tillegg til andre innsynsregler i norsk rett. For pasientjournaler gjelder pasientjournalloven (2014) og pasient- og brukerrettighetsloven (1999); for forvaltningssaker gjelder forvaltningsloven (1967) og offentleglova (2006). Disse reglene kan gi rett til innsyn på selvstendig grunnlag, og den registrerte kan velge å bruke det grunnlaget som gir best innsyn i det konkrete tilfellet.

Vanlige feil ved utforming og bruk av GDPR innsynsbegjæring Norge kan forsinke behandlingen, svekke begjæringen eller føre til at den ikke etterkommes.

Feil 1 — Mangelfull identifikasjon. En begjæring uten tilstrekkelige opplysninger til å identifisere den registrerte gjør at den behandlingsansvarlige må be om mer informasjon før den kan behandles, noe som forsinker svaret. Løsning: oppgi fullt navn og ved behov fødselsdato eller fødselsnummer slik at den behandlingsansvarlige kan identifisere deg sikkert etter personvernforordningen (GDPR) artikkel 12 nr. 6, men ikke mer enn nødvendig.

Feil 2 — Begjæringen rettes til feil mottaker. Å sende begjæringen til feil avdeling eller feil virksomhet gjør at den ikke når den behandlingsansvarlige, og svarfristen begynner ikke å løpe. Løsning: identifiser den behandlingsansvarlige korrekt etter personvernforordningen (GDPR) artikkel 4 nr. 7, og finn riktig kontaktadresse i virksomhetens personvernerklæring eller i Enhetsregisteret hos Brønnøysundregistrene.

Feil 3 — For vag begjæring. En begjæring som ikke gjør det klart hva man ber om, kan føre til at den behandlingsansvarlige besvarer den snevert eller ber om presisering. Løsning: angi om du ber om alle opplysninger eller bestemte opplysninger; ved avgrensning beskriv hvilke opplysninger eller hvilken behandling du ber om, slik at den behandlingsansvarlige raskt finner frem.

Feil 4 — Manglende henvisning til artikkel 15 og svarfristen. En begjæring som ikke viser til personvernforordningen (GDPR) artikkel 15 og svarfristen på en måned etter artikkel 12 nr. 3, kan bli behandlet som en uformell henvendelse uten at fristene overholdes. Løsning: vis uttrykkelig til at begjæringen fremsettes etter artikkel 15, og at du forventer svar innen en måned etter artikkel 12 nr. 3.

Feil 5 — Manglende dokumentasjon av når begjæringen ble sendt. Å sende begjæringen uten å kunne dokumentere når den ble mottatt, gjør det vanskelig å fastslå om svarfristen er oversittet. Løsning: send begjæringen på en måte som gir notoritet, for eksempel rekommandert post eller e-post med kvittering, og ta vare på en kopi av begjæringen og kvitteringen.

Feil 6 — Oppgir mer sensitiv informasjon enn nødvendig. Å oppgi unødvendig mye sensitiv informasjon, for eksempel fødselsnummer der det ikke er nødvendig, øker risikoen ved behandlingen. Løsning: oppgi kun den informasjonen som er nødvendig for sikker identifikasjon etter personvernforordningen (GDPR) artikkel 12 nr. 6; mange virksomheter kan identifisere deg på grunnlag av navn og kundeforhold.

Feil 7 — Forveksling med andre rettigheter. Å be om innsyn når man egentlig ønsker retting, sletting eller dataportabilitet kan føre til at man ikke får det resultatet man ønsker. Løsning: vær klar over forskjellen mellom innsyn etter personvernforordningen (GDPR) artikkel 15, retting etter artikkel 16, sletting etter artikkel 17 og dataportabilitet etter artikkel 20; bruk riktig begjæring for formålet, eller kombiner dem.

Feil 8 — Urealistiske forventninger om hva man har krav på. Å forvente innsyn i opplysninger som krenker andres rettigheter, eller som er unntatt etter personopplysningsloven (2018), kan føre til skuffelse. Innsynsretten kan begrenses etter personvernforordningen (GDPR) artikkel 15 nr. 4 og lovbestemte unntak. Løsning: vær oppmerksom på at innsynsretten ikke er ubegrenset, og at den behandlingsansvarlige kan måtte sladde opplysninger om andre.

Feil 9 — Ikke følge opp ved manglende eller utilstrekkelig svar. Å la være å følge opp dersom man ikke får svar innen fristen, eller får et utilstrekkelig svar, gjør at man ikke får håndhevet innsynsretten. Løsning: dersom svaret uteblir eller ikke er tilfredsstillende, send en påminnelse, og klag deretter til Datatilsynet etter personvernforordningen (GDPR) artikkel 77; Datatilsynets vedtak kan påklages til Personvernnemnda.

Feil 10 — Betale et urettmessig gebyr. Å betale et gebyr for den første kopien av opplysningene er unødvendig, fordi den første kopien skal være gratis etter personvernforordningen (GDPR) artikkel 15 nr. 3. Den behandlingsansvarlige kan bare kreve et rimelig gebyr ved åpenbart grunnløse eller overdrevne begjæringer etter artikkel 12 nr. 5, eller for ytterligere kopier. Løsning: ikke betal gebyr for den første kopien; be om en begrunnelse dersom det kreves gebyr, og klag til Datatilsynet dersom kravet er urettmessig.