Behandling af personoplysninger, som foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter, er undtaget fra databeskyttelsesforordningens samt databeskyttelseslovens anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 2, litra c, samt databeskyttelseslovens § 1, stk. 2.

Ifølge databeskyttelsesforordningens præambelbetragtning nr. 18 skal denne afgrænsning forstås således, at databeskyttelsesforordningen og databeskyttelsesloven ikke finder anvendelse på aktiviteter, der udøves af en fysisk person (i modsætning til en juridisk person), hvis aktiviteterne ikke har nogen ”forbindelse med en erhvervsmæssig eller kommerciel aktivitet”.

Afgrænsningen har som udgangspunkt ikke betydning for myndigheders, virksomheders, institutioners mv. behandling af personoplysninger, idet disse organer almindeligvis er at betragte som juridiske personer og/eller idet deres aktiviteter almindeligvis vil være at betragte som erhvervsmæssige eller kommercielle.

Idet omfang du som f.eks. enkeltmandsvirksomhed behandler personoplysninger som led i din virksomheds virke, vil din behandling af personoplysninger således være omfattet af databeskyttelsesloven og databeskyttelsesforordningen, herunder disses regler om indsigtsret. Det samme gælder for andre virksomheder, offentlige myndigheder, institutioner, mv.

Behandling af personoplysninger, der foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder at beskytte mod og forebygge trusler mod den offentlige sikkerhed, er undtaget fra databeskyttelsesforordningens samt databeskyttelseslovens anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 2, litra d, samt databeskyttelseslovens § 1, stk. 2.

Det følger af databeskyttelsesforordningens præambelbetragtning nr. 19, at denne undtagelse vedrører Europa Parlamentets og Rådets direktiv (EU) 2016/680 (retshåndhævelsesdirektivet), der er gennemført ved lov om retshåndhævende myndigheders behandling af personoplysninger nr. 410 af 27. april 2017, jf. dennes lov § 1, stk.1.

”Kompetente myndigheder” omfatter i Danmark politiet, anklagemyndigheden, herunder den militære anklagemyndig, kriminalforsorgen, Den Uafhængige Politiklagemyndighed og domstolene.

Disse myndigheders behandling af personoplysninger er således undtaget fra databeskyttelsesforordningens og databeskyttelseslovens anvendelsesområde, når behandlingen foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner. Behandlingen er i stedet omfattet af retshåndhævelsesloven.

Det er i databeskyttelseslovens § 3, stk. 2, desuden fastslået, at databeskyttelsesloven og databeskyttelsesforordningen hverken finder anvendelse på politiets og forsvarets efterretningstjenesters behandling af personoplysninger.

Politiets og forsvarets efterretningstjenesters behandling af personoplysninger er i stedet reguleret af lov om Politiets Efterretningstjeneste (PET) nr. 231 af 3. juli 2017 samt Forsvarets Efterretningstjeneste (FE) nr. 1287 af 28. november 2017.

Hverken databeskyttelsesloven eller databeskyttelsesforordningen finder anvendelse for behandling af personoplysninger, idet omfang behandlingen sker som led i Folketingets parlamentariske arbejde, jf. databeskyttelseslovens § 3, stk. 3.

Bestemmelsen undtager alene den behandling af personoplysninger, der foretages for at understøtte det til parlamentariske arbejde, herunder behandling foretaget af administrationen som led i dette arbejde. Databeskyttelsesforordningen og databeskyttelsesloven finder således anvendelse på Folketingets behandling i øvrigt.

Både databeskyttelsesforordningen og databeskyttelsesloven har desuden et begrænset anvendelsesområde i relation til behandling af personoplysninger, som udelukkende finder sted med et journalistisk formål, jf. databeskyttelsesloven § 3, stk. 8, 1. pkt.  Således finder hverken databeskyttelsesloven eller databeskyttelsesforordningens regler om indsigt anvendelse for behandling, som udelukkende foretages som led i journalistisk virksomhed i forbindelse med udarbejdelse af artikler mv.

Bestemmelsen tager alene sigte på den behandling, der sker under anvendelse af almindelige tekstbehandlingssystemer. Databaser mv. vil alene kunne undtages, i det omfang det følger af undtagelsesbestemmelserne i lovens stk. 4-7.

En tilsvarende begrænsning gælder i henhold til behandling af personoplysninger, der udelukkende finder sted med et kunstnerisk eller litterært formål, jf. databeskyttelseslovens § 3, stk. 8, 3. pkt.  Det følger hertil af databeskyttelseslovens bemærkninger, at udtrykket ”litterær” omfatter både skøn- og faglitteratur.

Hvis behandlingen ikke kan anses for udelukkende at ske med et journalistisk, kunstnerisk eller litterært formål, finder databeskyttelsesforordningen samt databeskyttelsesloven fuldt ud anvendelse, uanset om behandlingen har nogen tilknytning i henhold til de nævnte aktiviteter. Det påhviler den dataansvarlige at sandsynliggøre, at dennes aktiviteter falder under databeskyttelseslovens § 3, stk. 8.

Databeskyttelseslovens § 3, stk. 10, fastslår, at databeskyttelsesforordningen samt databeskyttelsesloven ikke finder anvendelse for Forsvarets behandling af personoplysninger i forbindelse med Forsvarets internationale operative virke. Behandlingen er i stedet reguleret af bekendtgørelse om behandling af personoplysninger i forbindelse med Forsvarets internationale operative virke, nr. 594 af 29. maj 2018. 

Databeskyttelsesloven § 3, stk. 10, har baggrund i databeskyttelsesforordningen artikel 2, stk. 2, litra a, hvorefter databeskyttelsesforordningen ikke finder anvendelse for aktiviteter, der falder uden for EU-retten, herunder statens sikkerhed, jf. præambelbetragtning nr. 16.

Danmark har ved vedtagelsen af databeskyttelsesloven valgt, at artikel 2, stk. 2, litra a, ikke skal finde anvendelse, og udgangspunktet er således, at databeskyttelsesforordningen og databeskyttelsesloven finder anvendelse for størstedelen af Forsvarets behandling af personoplysninger, jf. databeskyttelseslovens § 1, stk. 2. 

Fra lovgivers side har man dog fundet, at der er et særligt hensyn at tage til Forsvaret internationale arbejde af operativ karakter, og behandling af personoplysninger som led i dette arbejde er derfor særskilt undtaget efter bekendtgørelse om behandling af personoplysninger i forbindelse med Forsvarets internationale operative virke, nr. 594 af 29. maj 2018, jf. databeskyttelseslovens 3, stk. 10.

Retten til indsigt efter databeskyttelsesforordningens artikel 15 finder ikke anvendelse på Procesbevillingsnævnets behandling af personoplysninger, der sker i henhold til retsplejelovens § 22, stk. 1, jf. databeskyttelseslovens § 22, stk. 7. Bestemmelsen bevirker, at Procesbevillingsnævnets behandling af personoplysninger i nævnets afdeling for appeltilladelser og afdelingen for appeltilladelser til landsretten vedrørende familierettens afgørelser undtages indsigtsretten. Nævnets behandling af personoplysninger i forbindelse med sager vedrørende fri proces og retshjælp, i henhold til retsplejelovens § 22, stk. 2, samt nævnets administrative forhold er fortsat omfattet af retten til indsigt. Som følge heraf er administrativ sagsbehandling ikke undtaget.

Derudover finder artikel 15 ikke anvendelse på Folketingets Ombudsmands behandling af personoplysninger i sagsaktiver fra myndigheder mv. der er sendt til ombudsmanden som led i behandling af en sag, jf. databeskyttelseslovens § 22, stk. 8. Med ”myndigheder mv.” forstås de myndigheder og private institutioner mv., som er omfattet af Folketingets Ombudsmands virksomhed efter § 7, stk. 1, i lov om Folketingets Ombudsmand. Desuden forstås selskaber, institutioner, foreninger mv., som helt eller delvist er inddraget under de regler og principper, der gælder for den offentlige forvaltning, og som ombudsmanden har besluttet at inddrage under sin virksomhed efter § 7, stk. 4, i ombudsmandsloven.

Bestemmelsen i § 22, stk. 8, regulerer alene adgangen til indsigt i sagsakter fra myndigheder mv., der er sendt til Folketingets Ombudsmand som led i behandlingen af en sag. Der vil således fortsat kunne anmodes om indsigt i Folketingets Ombudsmands behandling i andre personoplysninger, eksempelvis oplysninger i ombudsmandens brevveksling med klagere eller myndigheder samt disses høringssvar.