Hvor går grænsen for den registreredes ret til indsigt?

Kort om sagen

Klager havde som registreret anmodet om indsigt i forbindelse med en verserende retssag. Anmodningen blev afvist af databehandleren og dette foranledigede klagers henvendelse til Datatilsynet. I sagen skulle Datatilsynet tage stilling til, om den dataansvarlige ved sin afvisning havde krænket klagers ret til indsigt.  

Lovgrundlag

Som udgangspunkt giver databeskyttelsesforordningens artikel 15, stk. 1 og 3, den registrerede ret til at få indsigt i de personoplysninger, der behandles om vedkommende. Bestemmelsen fastlægger rettens indhold og omfang, men de nærmere regler for udøvelsen af retten er reguleret ved forordningens artikel 12.

Retten til indsigt begrænses ved forordningens artikel 12, stk. 5, litra b, der bestemmer, at anmodninger kan afvises hvor de er åbenbart grundløse eller overdrevene, især fordi de gentages. Om det er tilfældet, beror på en konkret vurdering og bevisbyrden påhviler den dataansvarlige. Bortset fra det skrevne om gentagne anmodninger giver forordningen ikke nærmere vejledning om hvad, der har betydning for vurderingen. Det bliver derfor relevant at undersøge praksis og den nye afgørelse fra Datatilsynet bidrager til afklaring af spørgsmålet.

Datatilsynet har dannet den praksis, at en arbejdsgiver som udgangspunkt kan afvise at give en ansat indsigt i en omfattende mængde oplysninger, når de oplysninger, der måtte være om den registrerede, navnlig må forventes at beskrive den ansattes funktion under ansættelsen, og derfor ikke i videre omfang handle om den registrerede som sådan.

Den konkrete sag

Ifølge Datatilsynet var udgangspunktet, at klager som registreret havde ret til indsigt i de personoplysninger, som den dataansvarlige behandlede om vedkommende, jf. databeskyttelsesforordningens artikel 15, stk. 1 og 3.

For at kunne tage stilling til om afvisningen alligevel var berettiget, måtte Datatilsynet vurdere om anmodningen var åbenbart overdreven ifølge databeskyttelsesforordningens artikel 12, stk. 5, litra b.

Som følge af at anmodningen ville nødvendiggøre identifikation, indsamling, gennemgang og vurdering af mere end en mio. dokumenter fordelt på forskellige selskaber, sammenholdt med, at de oplysninger om klager, der måtte fremgå af dokumenterne, i det væsentligste måtte antages at beskrive en funktion som klager havde varetaget og altså ikke handle om klager som sådan, fandt Datatilsynet anmodningen åbenbart overdreven. Af betydning for vurderingen var altså både anmodningens omfang og karakteren de oplysninger, der formentligt ville komme frem ved at efterkomme anmodningen.

Afgørelsen fastslår på den måde, at Datatilsynets praksis om indsigt hos en tidligere arbejdsgiver også kan anvendes i andre sammenhænge. At den dataansvarlige kan afslå en anmodning om indsigt, der omfatter en større mængde dokumenter eller lignende, syntes derfor at være udgangspunktet i tilfælde, hvor oplysningerne ikke kan forventes at handle om den registrerede som sådan. Men forventes dokumenterne at indeholde oplysninger om den registrerede, vil den pågældende derimod som udgangspunkt have ret til indsigt og den dataansvarlige derfor være forpligtet til at identificere, indsamle, gennemgå og vurdere også en større mængde dokumenter.

Se om Datatilsynets praksis om indsigt hos en tidligere arbejdsgiver i afgørelserne 2019-812-0035 og 2021-32-2438, som Datatilsynet også henviser til i nærværende sag.

Datatilsynets afgørelse i nærværende sag kan læses her.

TVC Advokatfirma bemærker

Afgørelsen viser, at retten til indsigt ikke er absolut. I vurderingen af, om en anmodning kan afvises som åbenbart overdreven inddrages anmodningens omfang. Anmodningens omfang berettiger imidlertid ikke i sig selv en afvisning, da det synes afgørende, om oplysningerne handler om den registrerede eller ikke.

De nye regler for håndtering af persondata trådte i kraft i 2018. Reglerne giver de registrerede en række rettigheder, og korrekt håndtering er afgørende.

For nyligt afsluttede Datatilsynet en række tilsyn med håndtering af indsigtsanmodninger. Tilsynet kastede blandt andet lys over, hvad man som virksomhed kan gøre for at understøtte den registreredes ret til indsigt. Datatilsynet henstillede til, at der internt udarbejdes en arbejdsgang, som beskriver processen for at håndtere indsigtsanmodninger. Dette med henblik på at sikre og understøtte en ensartet praksis i hele virksomheden. På samme måde understøtter det en ensartet praksis at udarbejde skabeloner til brug for besvarelse af indsigtsanmodninger.

Du kan læse mere om Datatilsynets tilsyn her.

Vil du vide mere om, hvordan din virksomhed skal forholde sig til den registreredes rettigheder, herunder indsigtsretten, kan du kontakte TVC Advokatfirma. Vi sidder altid klar til en uforpligtende drøftelse af din konkrete case.