Efter databeskyttelsesforordningens artikel 12, stk. 1, skal oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Oplysningerne bør gøres tilgængelige i elektronisk form, når det, af hensyn til den anvendte teknologis kompleksitet, vil være vanskeligt for den registrerede at sætte sig ind i, hvem og til hvilke formål der indsamles personoplysninger om vedkommende.

Hvis indsigtsanmodningen er indgivet elektronisk, skal oplysningerne så vidt muligt også meddeles elektronisk, jf. databeskyttelsesforordningens artikel 12, stk. 3. Det vil kunne undlades at give oplysningerne elektronisk, hvis det ikke findes hensigtsmæssigt i den pågældende situation, uanset om indsigtsanmodningen er sket elektronisk. Bemærk, at det ved lov kan være bestemt, at det offentlige er berettiget til at kommunikere elektronisk med borgerne.

Oplysningerne kan også gives mundtligt, hvis den registrerede anmoder herom, og vedkommendes identitet kan godtgøres med andre midler.

Ved besvarelse af indsigtsanmodningen skal den dataansvarlige – såfremt anmodningen imødekommes – give den registrerede en gratis kopi af de oplysninger, der behandles om vedkommende. Det kan f.eks. være oplysninger fra en personalesag eller billeder fra videoovervågning. Det dataansvarlige må kun udlevere oplysninger om den person, som har sendt indsigtsanmodningen. Hvis der er oplysninger om andre personer, skal du huske at fjerne eller sløre disse, inden oplysningerne gives.

I Datatilsynets afgørelse af 26. januar 2022, j.nr. 2021-31-5346, udtalte tilsynet kritik af, at Jagtbar Randers ikke havde udleveret en kopi af oplysningerne i en sag, hvor en person havde anmodet om indsigt i oplysninger, som virksomheden behandlede om vedkommende som led i opretholdelsen af en karantæne. Under sagens behandling kom det frem, at Jagtbar Randers havde opbevaret en skærmprint af klagers Facebook profil med henblik på at kunne identificere vedkommende. Efter klagers anmodning havde Jagtbar Randers slettet skærmprintet uden først at udlevere en kopi af dette. Datatilsynet fandt på baggrund heraf, at Jagtbar Randers ikke havde besvaret klagers indsigtsanmodning i overensstemmelse med databeskyttelsesforordningen, fordi Jagtbar Randers ikke havde udleveret en kopi af det pågældende skærmprint.

Afgørelsen viser, at det ikke er nok at informere en registreret om, hvilke personoplysninger den dataansvarlige opbevarer om vedkommende. Indsigtsretten indebærer også, at den registrerede har krav på at modtage en kopi af oplysningerne.

I Datatilsynets afgørelse af 27 oktober 2021, j.nr. 2020-31-3887, lagde tilsynet vægt på, at Group Buy, ved at have slettet oplysninger, som umiddelbart var omfattet af klagerens ret til indsigt, uden forinden at have behandlet indsigtsanmodningen, ikke i tilstrækkelig grad havde givet den registrerede mulighed for at udøve sin ret til indsigt. Datatilsynet har i en pressemeddelelse af den 15. maj 2020 oplyst, at tilsynet har politianmeldt og indstillet JobTeam til bøde som følge af, at virksomheden har slettet personoplysninger omfattet af en registrerets indsigtsanmodning i perioden efter fremsættelsen af anmodningen og inden virksomhedens besvarelse.

Det er ikke tilladt at lave en opdelt proces for indsigtsanmodninger, hvorefter den registrerede kun modtager en del af de behandlede personoplysninger, og efterfølgende selv skal bede om yderligere oplysninger. I Datatilsynets afgørelse af 28. juli 2022, j.nr. 2021-41-0121, udtalte tilsynet alvorlig kritik af Danske Banks opdelte procedure for håndtering af indsigtsanmodninger, hvorefter den registrerede gives indsigt i en rapport, som ikke indeholdte alle oplysninger og medfølgende information om, at yderligere personoplysninger kunne udleveres efter anmodning. Den registrerede har krav på at modtage en kopi af alle oplysninger, første gang der anmodes om indsigt. Afgørelsen viser dog også, at det er tilladt at henvise den registrerede til selv at tilgå oplysningerne, eksempelvis gennem sin Netbank, forudsat det er enkelt og ligetil for den registrerede at finde selv.

Du skal ved besvarelse af en indsigtsanmodning give den registrerede en række oplysninger om, hvad du gør med personoplysninger, og hvorfor du behandler dem. Disse kan gives i et følgebrev eller lignende. Du skal give informationer om følgende:  

• Formålene med behandlingen
• De berørte kategorier af personoplysninger
• Modtagere af oplysningerne, såfremt de videregives
• Tidsrummet for opbevaring af personoplysningerne
• Den registreredes ret til berigtigelse, sletning, indsigelse og begrænsning af behandling
• Retten til at klage
• Hvorfra oplysningerne stammer fra, hvis de ikke er fra personen selv
• Om der benyttes automatiske afgørelser, herunder profilering
• Overførsel til usikre tredjelande eller internationale organisationer

Den registrerede har både krav på at få oplysninger om kategorier af modtagere af personoplysninger samt de konkrete modtagere af oplysninger, jf. databeskyttelsesforordningens artikel 15, stk. 1, litra c.

Det fremgår af præambelbetragtning nr. 63, at den registrerede bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed.

Du kan læse mere om kontekstoplysninger i vores trin for trin guide ”omfanget af indsigten – ret til indsigt i behandlingen af og kontekstoplysninger”.

Du kan bruge denne skabelon, hvis du fuldt ud imødekommer den registreredes indsigtsanmodning.

Du skal være opmærksom på, at alle breve i en indsigtssag skal afspejle sagens konkrete omstændigheder, og at du derfor bør foretage de nødvendige tilpasninger i skabelonen. Du skal navnlig være opmærksom på, om der er behov for en mere konkret begrundelse, end skabelonteksten lægger op til.