Hvornår kan man få indsigt efter personoplysningsloven?

A.A.6.3.1 Indsigtsretten

Indhold

Dette afsnit handler om den registreredes ret til indsigt efter databeskyttelsesforordningen (DBF), jf. databeskyttelsesloven (DBL).

Afsnittet indeholder:

• Indledning
• Personkreds
• Krav til anmodning
• Sikring af den registreredes identitet
• Sagsområder
• Hvilke oplysninger skal den registrerede modtage?
• Undtagelser fra indsigtsretten
• Bestemmelsesnøgle
• Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Indledning

Reglerne om den registreredes indsigtsret er regler om egenacces. Reglerne regulerer derfor i hvilket omfang den person, der behandles oplysninger om (den registrerede), har ret til at få indsigt i oplysninger om sig selv. Se DBF artikel 15 og DBL § 22.

Derudover indebærer retten til indsigt, at den registrerede har ret til at modtage en række informationer om den eller de behandlinger, der foretages. Se DBF artikel 15, stk. 1, og stk. 2.

Formålet med retten til indsigt er at give den registrerede mulighed for at se hvilke oplysninger, der behandles om den pågældende, og skabe mere gennemsigtighed omkring behandlingen. Den registrerede kan på den baggrund kontrollere, at personoplysningerne er korrekte og i øvrigt behandles lovligt.

På www.skat.dk under punktet "privatlivspolitik" er beskrevet, hvordan Skatteforvaltningen behandler personoplysninger, og hvilke rettigheder den registrerede kan gøre brug af.

Personkreds

Retten til at begære indsigt efter DBF er en personlig ret, der gælder for den registrerede. Se DBF artikel 15, stk. 1.

Den registrerede kan være hovedpersonen eller en biperson.

Ved bipersoner forstås her oplysninger om personer, der ikke er den egentlige genstand for behandlingen, men derimod alene optræder underordnet i tilknytning til oplysninger om hovedpersonen. Det kan fx dreje sig om pårørende til den registrerede hovedperson eller om vidner i en civil retssag. Bipersoner har som udgangspunkt samme rettigheder som andre registrerede personer.

Krav til anmodning

Der stilles ikke særlige formkrav til anmodningen. En anmodning om indsigt kan derfor fremsættes både mundtligt, skriftligt og gennem e-post. Såfremt den registrerede indgiver anmodningen elektronisk, gives svaret i elektronisk form, medmindre den registrerede anmoder om andet. Se DBF artikel 15, stk. 3.

Der kan ikke stilles krav om, at en anmodning om indsigt skal indeholde en præcis angivelse af den eller de behandlinger, der ønskes indsigt i. En begæring om indsigt kan derfor principielt omfatte alle de behandlinger, som måtte blive foretaget af den dataansvarlige.

Sikring af den registreredes identitet

Den dataansvarlige skal sikre sig, at den registrerede også er den, som vedkommende præsenterer sig som, således at det sikres, at oplysninger om den registrerede ikke kommer til uvedkommendes kendskab. Hvis der hersker rimelig tvivl om identiteten af den person, der fremsætter anmodningen, kan der anmodes om yderligere oplysninger, der er nødvendige for at bekræfte den registreredes identitet. Se DBF artikel 12, stk. 6.

Der gælder ikke specifikke regler for, hvordan identiteten på en registreret sikres. Dette kan eksempelvis ske ved forevisning af sædvanlige legitimationspapirer som pas, kørekort eller andet ID-kort. Hvis anmodningen om indsigt ikke fremsættes skriftligt, vil den dataansvarlige ligeledes være berettiget til at kræve, at den, der fremsætter anmodningen, underskriver en begæring om indsigt.

Vær opmærksom på, at oplysning om personnummer hverken er nødvendig eller tilstrækkelig til at identificere den registrerede, ligesom der ikke kan stilles krav om, at den registrerede ved anmodningen om indsigt skal oplyse personnummer. I situationer, hvor personnummer oplyses, kan det derfor være nødvendigt at stille kontrolspørgsmål, der kan bekræfte identiteten.

Særligt om bipersoner

Vedrørende begæringer om indsigt, der vedrører bipersoner, er det ikke en forudsætning for at imødekomme anmodningen, at bipersonen er søgbar i den dataansvarliges it-systemer. I de tilfælde, hvor det kun er muligt at søge på behandlingens hovedpersoner, er den dataansvarlige således berettiget til at anmode bipersonen om at fremkomme med de fornødne oplysninger til, at den dataansvarlige kan finde frem til eventuelle behandlinger af oplysninger om den pågældende biperson.

Sagsområder

Retten til indsigt gælder for de personoplysninger, som helt eller delvist er undergivet automatisk databehandling, og for de personoplysninger, som er indeholdt i et register. Se DBF artikel 2, stk. 1.

Ved register forstås enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier. Se DBF artikel 4, nr. 6. Omfattet af begrebet er eksempelvis kartotekskasser, journalbøger, fortegnelser, systematiske ringbind og elektroniske samlinger, men ikke samlinger af "papirsager" eller enkelte "papirsager".

For så vidt angår den offentlige forvaltning, omfatter behandling af personoplysninger både afgørelsessager, faktisk forvaltningsvirksomhed og anden administrativ virksomhed.

Sager inden for strafferetsplejen, lovgivningssager og personalesager er dog undtaget fra retten til indsigt i samme omfang som efter offentlighedsloven. Se DBL § 22, stk. 3, der henviser til OFL §§ 19-29 og § 35.

Hvilke oplysninger skal den registrerede modtage?

Den registrerede har ret til at få den dataansvarliges bekræftelse på, om der behandles personoplysninger om den pågældende, og i givet fald adgang til at blive gjort bekendt med indholdet af disse personoplysninger. Se DBF artikel 15, nr. 1.

Indsigten kan gives ved at udlevere en kopi af dokumenterne m.v., eller oplysningerne om den registrerede kan kopieres over i et nyt dokument, som udleveres. Det vigtigste er, at den registrerede får en egentlig kopi af selve oplysningerne, idet den registrerede dermed bedst vil kunne forvisse sig om, hvorvidt de konkrete oplysninger, der behandles om den pågældende, er korrekte og lovlige. Se Datatilsynets vejledning af marts 2018 om de registreredes rettigheder, side 26-27.

Det er kun oplysninger om den registrerede selv, der skal udleveres. Hvis der i kopierne m.v. indgår oplysninger om andre personer, skal disse oplysninger sløres eller fjernes.

Foruden selve indholdet af de personoplysninger, der behandles om den registrerede, har den registrerede også ret til at modtage en række yderligere informationer om behandlingen. Se DBF artikel 15, stk. 1, og stk. 2. Disse informationer kan eksempelvis gives i et følgebrev til den registrerede og omfatter følgende:

• Formålene med behandlingen

• De berørte kategorier af personoplysninger

• De modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer

• Om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum

• Retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling

• Retten til at indgive klage til Datatilsynet

• Enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede

• Ved automatiske afgørelser, herunder profilering, skal den registrerede oplyses herom, og som minimum have meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede

• Hvis personoplysningerne overføres til usikre tredjelande eller internationale organisationer, og der er fastsat fornødne garantier for overførslen i medfør af DBF artikel 46, skal den registrerede informeres om disse garantier.

Særligt om anmeldelser

Når Skatteforvaltningen modtager anmeldelser om eksempelvis skatteunddragelse fra en borger, har den, der er blevet anmeldt, ret til indsigt i de identifikationsoplysninger, der er registreret om anmelderen med de undtagelser der følger af DBF artikel 23, jf. DBL § 22. Se nærmere om undtagelser fra retten til indsigt nedenfor.

Anmelder kan i øvrigt selv vælge om vedkommende vil være anonym eller ej, da der hverken i databeskyttelsesforordningen eller anden lovgivning findes regler om, at en anmeldelse skal indeholde identifikationsoplysninger om anmelder. Om notatpligten se afsnit A.A.7.4.4 Notatpligt.

Undtagelser fra indsigtsretten

Den dataansvarlige kan i en række tilfælde afslå en anmodning om indsigt.

1. Hensynet til andres rettigheder og frihedsrettigheder

Den registreredes anmodning om indsigt kan afslås, hvis imødekommelsen vil krænke andres rettigheder og frihedsrettigheder. Se DBF artikel 15, stk. 4. Eksempler på sådanne rettigheder kan være forretningshemmeligheder eller ophavsret.

Det er alene de oplysninger, der indebærer en krænkelse, som kan undtages fra indsigt. Den registrerede skal derfor have en kopi af alle øvrige personoplysninger.

2. Afgørende hensyn til private og offentlige interesser

Den dataansvarlige kan afslå en anmodning om indsigt, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Se DBL § 22, stk. 1.

Den dataansvarlige kan ligeledes afslå den registreredes anmodning om indsigt, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til:

• Statens sikkerhed

• Forsvaret

• Den offentlige sikkerhed

• Forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

• Andre vigtige målsætninger i forbindelse med beskyttelse af Den Europæiske Unions eller en medlemsstats generelle samfundsinteresser, især Unionens eller en medlemsstats økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

• Forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

• Kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omfattet af de punkterne opregnet umiddelbart ovenfor

• Beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder

• Håndhævelse af civilretlige krav.

Se DBL § 22, stk. 2.

Konkret afvejning af de modstående interesser

Indskrænkninger i den registreredes indsigtsret efter DBF artikel 15, stk. 4, og DBL § 22, stk. 1 og 2, kan kun ske efter en konkret afvejning af de modstående interesser, som er nævnt i bestemmelserne.

I afvejningen indgår på den ene side hensynet til den registreredes interesse i at få kendskab til oplysningerne. Hermed sigtes der ikke blot til den registreredes interesse i forbindelse med overvejelser om indbringelse af en sag for domstolene, højere administrativ myndighed, tilsynsmyndighed eller Folketingets Ombudsmand, men også til den registreredes interesse i at kunne kontrollere oplysningernes rigtighed med henblik på den dataansvarliges anvendelse af oplysningerne.

På den anden side indgår i afvejningen de afgørende hensyn til offentlige eller private interesser, herunder hensynet til den registrerede selv. De private og offentlige interesser, som kan indgå i afvejningen, er såvel den dataansvarliges som tredjemands interesser. Ved tredjemand forstås enhver anden fysisk eller juridisk person, offentlig myndighed, institution eller ethvert andet organ end den registrerede og den dataansvarlige. Se DBF artikel 4, nr. 10.

Indsigt kan kun afslås, hvis der er en nærliggende fare for, at de private eller det offentliges interesser vil lide skade af væsentlig betydning.

Afvejningen skal foretages for hver enkelt oplysning for sig. Hvis afgørende hensyn til private eller offentlige interesser kun gør sig gældende for nogle af de oplysninger, som behandles af den dataansvarlige, skal den registrerede gøres bekendt med de øvrige oplysninger.

Der er således ikke adgang til generelt at undtage bestemte former for behandling fra indsigtsretten.

Særligt om hvidvaskreglerne

For en nærmere gennemgang af hvidvaskreglernes forhold til indsigt efter databeskyttelsesforordningen og databeskyttelsesloven henvises der til A.C.2.9.1 Underretning til Hvidvasksekretariatet (Statsadvokaten for Særlig Økonomisk og International Kriminalitet).

3. Offentlighedslovens §§ 19-29 og § 35 (tavshedspligt)

De oplysninger, der behandles for den offentlige forvaltning som led i administrativ sagsbehandling, kan undtages fra retten til indsigt efter DBF artikel 15, stk. 1, i samme omfang som efter reglerne i OFL §§ 19-29 og § 35, der handler om undtagelse af sager og dokumenter samt tavshedspligt. Se DBL § 22, stk. 3.

Bestemmelsen er indsat for at sikre, at forvaltningsmyndigheders behandling af oplysninger kan undtages fra den registreredes ret til indsigt i samme udstrækning som efter offentlighedslovens regler om egenacces.

Eksempel

SKAT har i en konkret sag afslået indsigt i SKATs segmentering af virksomhedsmassen. Det fremgår bl.a. af begrundelsen, at da SKATs databehandling i form af segmentering af virksomhedsmassen er et arbejdsredskab eller en arbejdsmetode, som SKAT anvender til egen planlægning mv. af indsatsarbejdet i forhold til virksomheder, er segmentering og resultatet heraf for den enkelte virksomhed undtaget fra indsigt i medfør af persondatalovs § 32, stk. 2, (nu DBL § 22, stk. 3) og princippet i den dagældende offentlighedslovs § 7 om interne arbejdsdokumenter. Se SKM2008.737.SKAT.

I forhold til tavshedspligten er den registreredes ret til indsigt begrænset af særlige regler herom. Se DBL § 22, stk. 3, der henviser til OFL § 35.

Det betyder, at oplysninger omfattet af den særlige tavshedspligt efter SFL (skatteforvaltningsloven) § 17, stk. 1, og SKL (skattekontrolloven) § 6 F, stk. 2, skal undtages fra retten til indsigt i samme omfang som efter OFL § 35. Se afsnit A.A.6.2.2.3 Aktindsigt efter offentlighedsloven om aktindsigt efter offentlighedsloven.

De oplysninger, som er omfattet af hvidvaskloven, kan undtages fra retten til indsigt efter DBF artikel 15, stk. 1. Se § 69 c, stk. 1 i lov nr. 1563 af 27/12 2019 om ændring af hvidvaskloven, lov om finansiel virksomhed og forskellige love.

Det samme gælder efter en konkret fortolkning andre bestemmelser om særlig tavshedspligt i international ret. Se afsnit A.A.6.1.3 Skattemyndighedernes særlige tavshedspligt efter hvidvaskloven om særlig tavshedspligt i international ret.

4. Videnskabeligt eller statistisk øjemed

Endelig finder retten til indsigt ikke anvendelse, hvis den dataansvarlige udelukkende behandler oplysningerne i videnskabeligt eller statistisk øjemed. Se DBL § 22, stk. 5.

Bestemmelsesnøgle

Databeskyttelsesforordningen, der trådte i kraft den 25. maj 2018, og som suppleres af databeskyttelsesloven, erstatter den tidligere persondatalov (PDL). Her ses en oversigt over udvalgte bestemmelser i persondataloven og hvilke bestemmelser i henholdsvis databeskyttelsesforordningen og databeskyttelsesloven, de svarer til.

Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Skemaet viser de omtalte afgørelser på området.