Når en registreret anmoder om indsigt, skal du oplyse om, hvorvidt du behandler oplysninger om vedkommende, jf. databeskyttelsesforordningens artikel 15, stk. 1. Hvis ikke du behandler oplysninger om den registrerede, skal du meddele den pågældende, at dennes oplysninger ikke behandles, og du kan således ikke undlade at besvare anmodningen, blot fordi du ikke længere eller aldrig har behandlet oplysninger om vedkommende.
Ovenstående krav fulgte også af den tidligere persondatalov og blev fremhævet i Datatilsynets afgørelse af 16. juli 2010, j.nr. 2009-219-0304. Datatilsynet udtalte i den konkrete sag, at ”… anmodning om indsigt efter persondataloven skal besvares også i de tilfælde, hvor der ikke behandles oplysninger om den pågældende person”. For offentlige myndigheder følger dette krav ligeledes almindelige forvaltningsretlige principper om bl.a. god forvaltningsskik.
Hvis du behandler oplysninger om den pågældende, skal du videre oplyse om selve indholdet af de oplysninger, som du behandler, jf. databeskyttelsesforordningens artikel 15, stk. 1. Det er her ikke tilstrækkeligt at meddele den registrerede, at du behandler oplysninger om f.eks. vedkommendes ”navn” og ”adresse”. Du skal i stedet meddele den registrerede, at du behandler navnet ”Hans Jensen” og adressen ”Fuglebakken 10”. Kun herved kan den registrerede kontrollere, om oplysningerne om vedkommende er korrekte og lovlige.
Du skal være opmærksom på, at retten til indsigt som udgangspunkt gælder alle registreringer, herunder også e-mails, interne arbejdsdokumenter, optagelser fra tv-overvågning mv., og at der ikke stilles krav om, at den registrerede udtrykkeligt beder om indsigt i de forskellige former for registreringer, som du måtte have om den pågældende.
Tidligere var det antaget, at backup og tekniske sikkerhedslogs var undtaget retten til indsigt, jf. blandt andet Datatilsynets afgørelse af 19. december 2018, hvor Datatilsynet fandt, at Skattestyrelsens sikkerhedslog over, hvilke medarbejdere der havde tilgået klagers oplysninger, ikke var omfattet af klagers ret til indsigt. EU-Domstolen har i afgørelse af 22. juni 2023 (C-579/21) fastslået, at logfiler, herunder oplysninger om datoerne for søgninger og formålet hermed, er oplysninger, som den registrerede er berettiget til at få indsigt i. Såfremt den registrerede også ønsker identiteten på de personer, som har foretaget søgningerne, skal der foretages en konkret afvejning af hensynet til den registrerede og de ansatte selv. Denne information skal alene gives, såfremt oplysningerne er nødvendige for, at den registrerede effektivt kan udøve sine rettigheder, og forudsat at de ansattes rettigheder og frihedsrettigheder iagttages. Datatilsynet har som følge af ovennævnte dom valgt at fjerne afgørelsen af 19. december 2018 fra sin hjemmeside.
Du er som dataansvarlig ikke forpligtet til at beholde, indhente eller behandle oplysninger blot med det formål at kunne identificere en registeret, hvis formålene med din behandling i øvrigt ikke kræver eller ikke længere kræver, at den registrerede kan identificeres, jf. databeskyttelsesforordningens artikel 11, stk. 1. Modtager du en anmodning om indsigt, og kan du påvise, at du ikke kan identificere den registrerede, finder indsigtsretten ikke anvendelse, jf. databeskyttelsesforordningens artikel 11, stk. 2, og 12, stk. 2. Du er dog forpligtet til at underrette den registrerede herom, herunder give den registrerede mulighed for at give yderligere oplysninger, der gør det muligt at identificere den pågældende, jf. databeskyttelsesforordningens artikel 11, stk. 2. Princippet følger også af databeskyttelsesforordningens præambelbetragtning nr. 64, hvoraf et det fremgår, at en dataansvarlig ikke bør ”… opbevare personoplysninger alene for at kunne reagere på mulige anmodninger” og er blandt andet behandlet i Datatilsynets afgørelse af 18. november 2019, j.nr. 2019-32-0670.
Endelig skal du huske, at du også skal give den registrerede en række yderligere oplysninger om den kontekst behandlingen af oplysningerne indgår i, herunder oplysninger om behandlingens formål, oplysninger om, hvilke kategorier af personoplysninger der behandles, oplysninger om modtagere eller kategorier af modtagere, som personoplysningerne er blevet eller vil blive videregivet til mv. Se nærmere herom i oplistningen i databeskyttelsesforordningens artikel 15, stk. 1, litra a – h.
I forhold til din forpligtelse til at give indsigt i modtagere, som personoplysningerne er blevet eller vil blive videregivet til (databeskyttelsesforordningens artikel 15, stk. 1, litra c), skal du så vidt muligt oplyse, hvilke konkrete modtagere du har eller vil videregive oplysningerne til. Det vil således ikke være tilstrækkeligt blot at angive kategorien af modtagere, herunder at oplysningerne videregives til f.eks. ”offentlige myndigheder”, hvis det er muligt at give mere konkrete oplysninger, jf. betænkning nr. 1565 om databeskyttelsesforordningen, side 321. Den registrerede har derimod ikke ret til at få oplyst, hvilke specifikke oplysninger der er registreret eller vil blive videregivet, jf. Datatilsynets afgørelse af 2. juni 2020, j.nr 2019-31-1713.