Må jeg se mine personoplysninger?

Datatilsynet har netop offentliggjort to afgørelser, hvor der udtales alvorlig kritik af de omhandlede virksomheders måde at håndtere indsigtsanmodninger efter databeskyttelseslovgivningen på.

nvi_portraetter_done_046_web.jpg

Ifølge databeskyttelsesforordningen har man som udgangspunkt ret til at få indsigt i de personoplysninger, der behandles om en. Det følger således af forordningen, at den dataansvarlige ved anmodning har pligt til at bekræfte, om der behandles personoplysninger om den pågældende, og i så fald at give adgang til personoplysningerne. Men hvordan skal virksomhederne agere, når de modtager en indsigtsanmodning, og hvor meget har de pligt til at udlevere? Det har Datatilsynet udtalt sig om i to nyere afgørelser.

Indsigtsretten vil altid afhænge af en konkret vurdering
Den første afgørelse vedrørte et afslag på indsigt i en lægekonsulentvurdering, som en pensionskasse havde indhentet til brug for den interne behandling af en kundes ansøgning om invalidepension. Pensionskassen begrundede afslaget med, at det var fast praksis, at lægekonsulentvurderingerne blev indhentet, og at de ikke blev delt med kunderne.

Pensionskassen mente ikke, at lægekonsulentvurderingerne var omfattet af indsigtsretten, da de udgjorde ”interne juridiske notater”, der kan undtages i medfør af databeskyttelseslovgivningen. Alternativt at de kunne undtages fra retten til indsigt af hensyn til pensionskassens private interesser eller hensynet til virksomheders forretningshemmeligheder.

Ingen af begrundelserne blev imidlertid accepteret af Datatilsynet. Datatilsynet fastslog således, at der som altovervejende hovedregel skal gives indsigt i personoplysninger, og at der altid skal foretages en konkret vurdering af, om indsigtsanmodningen kan begrænses i forhold til forordningens eller lovens undtagelsesbestemmelser. Pensionskassen var derfor ikke berettiget til generelt at afskære lægekonsulentvurderinger fra indsigtsretten.

På baggrund af dette udtalte Datatilsynet alvorlig kritik og gav pensionskassen et påbud om at foretage en konkret vurdering af, hvorvidt kunden kunne få indsigt i lægekonsulentvurderingen.

Den registrerede skal ikke præcisere sin anmodning af sig selv
Den anden sag vedrørte en kunde, der havde anmodet om at få indsigt i alle de oplysninger, som virksomheden behandlede om hende. Kunden fik efter Datatilsynets henvendelse indsigt i en del af materialet, men hun fik aldrig indsigt i virksomhedens videomateriale, da materialet ikke blev sikret ved henvendelsen og derfor blev slettet efter 30 dage.

Virksomheden begrundede den manglende udlevering med, at kunden ikke udtrykkeligt havde anført, at indsigtsanmodningen også omfattede eventuelle personoplysninger indeholdt i videoovervågningerne. Dette var i strid med databeskyttelsesforordningen, da der ikke kan stilles krav om, at den registrerede udtrykkeligt anmoder om at få indsigt i konkrete personoplysninger.

Datatilsynet fastslog således i afgørelsen, at hvis der foreligger tvivl om omfanget af indsigtsanmodningen, skal den dataansvarlige anmode om yderligere afgrænsning fra den registrerede. Hvis den registrerede ikke fremkommer med yderligere oplysninger herefter, vil den dataansvarlige fortsat være forpligtet til at besvare anmodningen, i det omfang det er muligt.

Datatilsynet fremhævede herudover, at det var berettiget, at virksomheden ikke gav indsigt i de oplysninger, der eventuelt var indsamlet ved hjælp af cookies, da der ikke blev gemt (person)oplysninger på en sådan måde, at virksomheden ville være i stand til at identificere personen.

Afslutningsvis påpegede Datatilsynet, at virksomheden havde imødekommet anmodningen senere end 1 måned efter, at anmodningen var fremsat, hvilket er i strid med databeskyttelsesforordningen. Datatilsynet fandt således samlet grundlag for at udtale alvorlig kritik af virksomhedens håndtering af sagen.

Norrbom Vinding bemærker


  • at undtagelserne til indsigtsretten er snævre, og at der skal foreligge og gives en konkret begrundelse, hvis personoplysningerne skal undtages fra indsigtsret.

Indholdet i ovenstående nyhedstekst er ikke og kan ikke erstatte juridisk rådgivning.

Mere om emnet