Indhold

Dette afsnit handler om den registreredes ret til indsigt efter databeskyttelsesforordningen (DBF) og de supplerende undtagelser i databeskyttelsesloven (DBL).

Afsnittet indeholder:

• Indledning
• Personkreds
• Krav til anmodning
• Sikring af den registreredes identitet
• Sagsområder
• Hvilke informationer skal den registrerede modtage?
• Undtagelser fra indsigtsretten
• Bestemmelsesnøgle
• Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Indledning

Reglerne om den registreredes indsigtsret regulerer i hvilket omfang, at den person, der behandles personoplysninger om (den registrerede), har ret til at få indsigt i sine personoplysninger hos den dataansvarlige. Se DBF artikel 15 og DBL § 22.

Derudover indebærer retten til indsigt, at den registrerede har ret til at modtage en række informationer om den eller de behandlinger, der foretages. Se DBF artikel 15, stk. 1 og 2.

Formålet med retten til indsigt er at give den registrerede mulighed for at se, hvilke personoplysninger, der behandles om den pågældende og skabe mere gennemsigtighed omkring behandlingen. Den registrerede kan på den baggrund kontrollere, at personoplysningerne er korrekte og i øvrigt behandles lovligt.

Personkreds

Retten til at anmode om indsigt efter databeskyttelsesforordningen er en personlig ret, der gælder for den registrerede. Se DBF artikel 15, stk. 1.

Den registrerede kan være hovedpersonen eller en biperson.

Ved bipersoner forstås her personoplysninger om personer, der ikke er den egentlige genstand for behandlingen, men derimod alene optræder underordnet i tilknytning til personoplysninger om hovedpersonen. Det kan fx dreje sig om pårørende til den registrerede hovedperson eller om vidner i en civil retssag. Bipersoner har som udgangspunkt samme rettigheder som andre registrerede personer.

Krav til anmodning

Der er ikke særlige formkrav til, hvordan en anmodning om indsigt skal fremsættes. En anmodning om indsigt kan derfor fremsættes både mundtligt og skriftligt. Såfremt den registrerede indgiver anmodningen om indsigt elektronisk, gives svaret i elektronisk form, medmindre den registrerede anmoder om andet. Se DBF artikel 15, stk. 3.

Den dataansvarlige må gerne anmode den person, der ønsker indsigt, om at præcisere sin anmodning, men kan ikke stille krav om, at en anmodning om indsigt skal indeholde en præcis angivelse af den eller de behandlinger, der ønskes indsigt i. En anmodning om indsigt kan derfor principielt omfatte alle de behandlinger, som måtte blive foretaget af den dataansvarlige.

Sikring af den registreredes identitet

Den dataansvarlige skal sikre sig, at den registrerede også er den, som vedkommende præsenterer sig som, for at sikre, at personoplysninger ikke kommer til uvedkommendes kendskab. Hvis der hersker rimelig tvivl om identiteten af den person, der fremsætter anmodningen, kan den dataansvarlige anmode om yderligere personoplysninger, der er nødvendige for at bekræfte den registreredes identitet. Se DBF artikel 12, stk. 6.

Der gælder ikke specifikke regler for, hvordan identiteten på en registreret sikres. Dette kan fx ske ved forevisning af sædvanlige legitimationspapirer som pas, kørekort eller andet ID.

Vær opmærksom på, at det ikke vil være tilstrækkelig identifikation af den registrerede, at vedkommende er i stand til telefonisk eller lignende at oplyse et personnummer. I situationer, hvor personnummer oplyses, kan det derfor være nødvendigt at stille kontrolspørgsmål, der kan bekræfte identiteten.

►Den dataansvarliges anmodning om yderligere personoplysninger med henblik på at identificere den registrerede skal være proportional. Se DBF artikel 5, stk. 1, litra c. Den dataansvarlige må derfor ikke kræve flere personoplysninger, end hvad der er nødvendigt for at kunne identificere den registrerede. ◄

Særligt om bipersoner

Vedrørende anmodninger om indsigt, der vedrører bipersoner, er det ikke en forudsætning for at imødekomme anmodningen, at bipersonen er søgbar i den dataansvarliges it-systemer. I de tilfælde, hvor det kun er muligt at søge på behandlingens hovedpersoner, er den dataansvarlige berettiget til at anmode bipersonen de fornødne personoplysninger til, at den dataansvarlige kan finde frem til eventuelle behandlinger af personoplysninger om bipersonen.

Sagsområder

Retten til indsigt gælder for de personoplysninger, som helt eller delvist er undergivet automatisk databehandling, og for de personoplysninger, som er indeholdt i et register. Se DBF artikel 2, stk. 1.

Ved register forstås enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier. Se DBF artikel 4, nr. 6. Omfattet af begrebet er fx kartotekskasser, journalbøger, fortegnelser, systematiske ringbind og elektroniske samlinger.

For så vidt angår den offentlige forvaltning, omfatter behandling af personoplysninger både afgørelsessager, faktisk forvaltningsvirksomhed og anden administrativ virksomhed.

Sager inden for strafferetsplejen, lovgivningssager og personalesager er dog undtaget fra retten til indsigt i samme omfang som efter offentlighedsloven. Se DBL § 22, stk. 3, der henviser til OFL §§ 19-29 og § 35.

Hvilke informationer skal den registrerede modtage?

Den registrerede har ret til at få den dataansvarliges bekræftelse på, om der behandles personoplysninger om den pågældende, og i givet fald adgang til at blive gjort bekendt med indholdet af disse personoplysninger. Se DBF artikel 15, stk. 1.  

Indsigten kan gives ved enten at udlevere en kopi af dokumenterne mv., eller kopiere personoplysningerne om den registrerede over i et nyt dokument, som udleveres. Det vigtigste er, at den registrerede får en egentlig kopi af selve personoplysningerne, idet den registrerede dermed bedst vil kunne kontrollere, hvorvidt de konkrete personoplysninger er korrekte og behandles lovligt. Se Datatilsynets vejledning af juli 2018 om de registreredes rettigheder, side 26-27.

Det er kun personoplysninger om den registrerede selv, der skal udleveres. Hvis der i kopierne mv. indgår personoplysninger om andre personer, skal disse personoplysninger sløres eller fjernes.

Foruden selve indholdet af de personoplysninger, der behandles om den registrerede, har den registrerede også ret til at modtage en række yderligere informationer om behandlingen. Se DBF artikel 15, stk. 1 og 2. Disse informationer kan fx gives i et følgebrev til den registrerede og omfatter følgende:

• formålene med behandlingen

• de berørte kategorier af personoplysninger

• de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer

• om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum

• retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling

• retten til at klage til Datatilsynet

• enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede

• hvis der anvendes automatiske afgørelser, herunder profilering, skal den registrerede gives meningsfuld information om logikken i denne behandling samt betydningen og de forventede konsekvenser for den registrerede

• hvis personoplysningerne overføres til et tredjeland (lande uden for EU/EØS), er det et krav at oplyse den registrerede om dette og om overførselsgrundlaget. Der skal også oplyses om de såkaldte "fornødne garantier" for overførslen, som hænger sammen med overførselsgrundlaget.

Særligt om anmeldelser

Når Skatteforvaltningen modtager anmeldelser om fx skatteunddragelse fra en borger, har den, der er blevet anmeldt, ret til indsigt i de identifikationsoplysninger, der er registreret om anmelderen med de undtagelser, der følger af DBL § 22. Se nærmere om undtagelser fra retten til indsigt nedenfor.

Anmelder kan i øvrigt selv vælge om vedkommende vil være anonym eller ej, da der hverken i databeskyttelsesforordningen eller anden lovgivning findes regler om, at en anmeldelse skal indeholde identifikationsoplysninger om anmelder. Om notatpligten se afsnit A.A.7.4.4 Notatpligt.

Undtagelser fra indsigtsretten

Den dataansvarlige kan i en række tilfælde afslå en anmodning om indsigt.

Hensynet til andres rettigheder og frihedsrettigheder

Den registreredes anmodning om indsigt kan afslås, hvis imødekommelsen vil krænke andres rettigheder og frihedsrettigheder. Se DBF artikel 15, stk. 4. Eksempler på sådanne rettigheder kan være forretningshemmeligheder eller ophavsret.

Det er alene de oplysninger, der indebærer en krænkelse, som kan undtages fra indsigt. Den registrerede skal derfor have en kopi af alle øvrige personoplysninger.

Afgørende hensyn til private eller offentlige interesser

Den dataansvarlige kan afslå en anmodning om indsigt, hvis den registreredes interesse i informationerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Se DBL § 22, stk. 1.

Den dataansvarlige kan også afslå den registreredes anmodning om indsigt, hvis den registreredes interesse i at få kendskab til informationerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til:

• statens sikkerhed

• forsvaret

• den offentlige sikkerhed

• forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

• andre vigtige målsætninger i forbindelse med beskyttelse af Den Europæiske Unions eller en medlemsstats generelle samfundsinteresser, især Unionens eller en medlemsstats økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

• beskyttelse af retsvæsenets uafhængighed og retssager

• forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

• kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omfattet af punkterne 1-5 og 7 umiddelbart ovenfor

• beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder

• håndhævelse af civilretlige krav.

Se DBL § 22, stk. 2.

Konkret afvejning af de modstående interesser

Indskrænkninger i den registreredes indsigtsret efter DBF artikel 15, stk. 4, og DBL § 22, stk. 1 og 2, kan kun ske efter en konkret afvejning af de modstående interesser, som er nævnt i bestemmelserne.

I afvejningen indgår på den ene side hensynet til den registreredes interesse i at få kendskab til informationerne. I den forbindelse sigtes der ikke blot til den registreredes interesse i forbindelse med overvejelser om indbringelse af en sag for domstolene, højere administrativ myndighed, tilsynsmyndighed eller Folketingets Ombudsmand, men også til den registreredes interesse i at kunne kontrollere personoplysningernes rigtighed i sammenhæng med den dataansvarliges anvendelse af personoplysningerne.

På den anden side indgår i afvejningen de afgørende hensyn til offentlige eller private interesser, herunder hensynet til den registrerede selv. De private og offentlige interesser, som kan indgå i afvejningen, er såvel den dataansvarliges som tredjemands interesser. Ved tredjemand forstås enhver anden fysisk eller juridisk person, offentlig myndighed, institution eller ethvert andet organ end den registrerede og den dataansvarlige. Se DBF artikel 4, nr. 10.

En anmodning om indsigt kan afslås, hvis der er en nærliggende fare for, at de private eller det offentliges interesser vil lide skade af væsentlig betydning.

Afvejningen skal foretages i forhold til hver enkelt information. Hvis afgørende hensyn til private eller offentlige interesser kun gør sig gældende for nogle af de personoplysninger, som behandles af den dataansvarlige, skal den registrerede gøres bekendt med de øvrige informationer.

Der er således ikke adgang til generelt at undtage bestemte former for behandling fra indsigtsretten.

Særligt om hvidvaskreglerne

For en nærmere gennemgang af hvidvaskreglernes forhold til indsigt efter databeskyttelsesforordningen og databeskyttelsesloven henvises der til A.C.2.9.1 Underretning til Hvidvasksekretariatet (NSK).

Offentlighedslovens §§ 19-29 (undtagelser) og § 35 (tavshedspligt)

De oplysninger, der behandles for den offentlige forvaltning som led i administrativ sagsbehandling, kan undtages fra retten til indsigt efter DBF artikel 15, stk. 1, i samme omfang som efter reglerne i OFL §§ 19-29 og § 35, der handler om undtagelse af sager og dokumenter samt tavshedspligt. Se DBL § 22, stk. 3.

Bestemmelsen er indsat for at sikre, at forvaltningsmyndigheders behandling af personoplysninger kan undtages fra den registreredes ret til indsigt i samme udstrækning som efter offentlighedslovens regler om egenacces.

Eksempel

Det forhenværende SKAT har i en konkret sag afslået indsigt i SKATs segmentering af virksomhedsmassen. Det fremgår bl.a. af begrundelsen, at da SKATs databehandling i form af segmentering af virksomhedsmassen er et arbejdsredskab eller en arbejdsmetode, som SKAT anvender til egen planlægning mv. af indsatsarbejdet i forhold til virksomheder, er segmentering og resultatet heraf for den enkelte virksomhed undtaget fra indsigt i medfør af persondatalovs § 32, stk. 2, (nu DBL § 22, stk. 3) og princippet i den dagældende offentlighedslovs § 7 om interne arbejdsdokumenter. Se SKM2008.737.SKAT.

I forhold til tavshedspligten er den registreredes ret til indsigt begrænset af særlige regler herom. Se DBL § 22, stk. 3, der henviser til OFL § 35.

Det betyder, at oplysninger omfattet af den særlige tavshedspligt efter SFL (skatteforvaltningsloven) § 17, stk. 1, skal undtages fra retten til indsigt i samme omfang som efter OFL § 35. Se afsnit A.A.6.2.2.3 Aktindsigt efter offentlighedsloven om aktindsigt efter offentlighedsloven.

De oplysninger, som er omfattet af hvidvaskloven, kan undtages fra retten til indsigt efter DBF artikel 15, stk. 1. Se hvidvaskloven § 38 a.

Det samme gælder efter en konkret fortolkning andre bestemmelser om særlig tavshedspligt i international ret. Se afsnit A.A.6.1.4.1 Generelt om særlig tavshedspligt i international ret om særlig tavshedspligt i international ret.

Videnskabeligt eller statistisk øjemed

Endelig finder retten til indsigt ikke anvendelse, hvis den dataansvarlige udelukkende behandler personoplysningerne i videnskabeligt eller statistisk øjemed. Se DBL § 22, stk. 5.

Bestemmelsesnøgle

Databeskyttelsesforordningen, der trådte i kraft den 25. maj 2018, og som suppleres af databeskyttelsesloven, erstatter den tidligere persondatalov. Se tidligere version af Den juridiske vejledning 2023-1 (version 3.10), som indeholder en bestemmelsesnøgle.

Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Skemaet viser de omtalte afgørelser på området.