De registreredes rettigheder

Alle, I har oplysninger om, har rettigheder over for jer. Reglerne står i art. 12 til 22, og den registrerede er den person, oplysningerne handler om: en kunde, en ansat, en ansøger eller en leverandørs medarbejder. Anmodningerne kommer sjældent på et belejligt tidspunkt, og svaret afhænger ofte af, hvor hurtigt I kan finde oplysningerne. Derfor er rettighederne både et juridisk og et teknisk emne. Siden her samler artiklerne og forklarer kort de rettigheder, der ikke har en artikel for sig.

Det, der gælder for alle anmodninger

Efter art. 12, stk. 3, skal I svare senest en måned efter modtagelsen. Fristen kan forlænges med to måneder ved komplekse eller mange anmodninger, og personen skal have besked. En anmodning behøver ingen bestemt form, så den kan lande i en hvilken som helst postkasse, og derfor skal alle vide, hvem den skal videre til. Ved åbenbart grundløse eller overdrevne anmodninger giver art. 12, stk. 5, en udvej. Ifølge EU-Domstolen i C-526/24 af 19. marts 2026 gælder det også den allerførste anmodning, hvis formålet er misbrug. Det er jer, der skal bevise det.

Indsigt

• Indsigtsanmodning: sådan svarer I inden for fristen Fristens beregning, svarets indhold og det, I må holde ude efter art. 15.
• Den tidligere medarbejder beder om indsigt Tvisten ændrer ikke fristen, og kollegers oplysninger kræver en særlig gennemgang.
• Skal I gennemsøge mailboksene ved en indsigtsanmodning? Rammen for en rimelig søgning, hvem der må udføre den, og hvad der skal logges.
• Har en person ret til at se, hvem der har slået dem op? EU-Domstolens linje om søgninger, datoer og formål i logfiler og om de ansattes navne.

Sletning og identitet

• Kunden kræver at blive slettet: hvad gør I? Betingelserne, undtagelserne og det praktiske arbejde i CRM, mail og backup.
• Er det den rigtige, der spørger? Identitetskontrol ved anmodninger Kontrol, der står mål med risikoen, så I hverken svarer forkert eller spærrer for retten.

Ligger oplysningerne i et AI-værktøj, gælder de samme rettigheder, og I skal vide, hvad I selv kan levere. Det er beskrevet i Indsigt og sletning, når data ligger i et AI-værktøj.

De øvrige rettigheder kort

Fire rettigheder bliver sjældnere brugt. De skal stadig kunne håndteres, og proceduren bør nævne dem.

Hvad er retten til berigtigelse?

Retten til berigtigelse betyder, at urigtige oplysninger skal rettes uden unødig forsinkelse (art. 16). Ufuldstændige oplysninger kan kræves gjort fuldstændige, fx med en supplerende erklæring.

Hvad er retten til begrænsning af behandling?

Retten til begrænsning betyder, at oplysningerne fryses i bestemte situationer, fx mens I undersøger, om de er rigtige (art. 18). Bortset fra opbevaring må de så kun bruges på særlige betingelser. I praksis skal systemet kunne markere eller spærre posten.

Hvad er dataportabilitet?

Dataportabilitet betyder, at personen kan få de oplysninger, vedkommende selv har givet jer, i et struktureret, maskinlæsbart format og få dem flyttet til en anden dataansvarlig, hvis det er teknisk muligt (art. 20). Retten gælder, når behandlingen sker automatisk og bygger på samtykke eller kontrakt.

Hvad er retten til indsigelse?

Retten til indsigelse betyder, at personen kan modsætte sig en behandling, der bygger på legitim interesse, og så skal I stoppe, medmindre I kan påvise vægtige legitime grunde eller et retskrav (art. 21). Mod direkte markedsføring kan der altid gøres indsigelse, og så stopper behandlingen til det formål.

Automatiske afgørelser

Art. 22 giver desuden ret til ikke at blive underlagt en rent automatisk afgørelse. Det er behandlet i Automatiske afgørelser.

Hvem gør hvad

Virksomheden svarer som dataansvarlig. Datatilsynets vejledning holder konkrete vurderinger af rettigheder uden for rollen, og den nyere FAQ åbner for, at DPO’en bistår ved tvivl om indsigt. Ifølge art. 38, stk. 4, kan personer kontakte DPO’en direkte. Det giver en enkel arbejdsdeling: råd om proces og de svære tilfælde hos DPO’en, og selve sagen hos en navngiven medarbejder. Ligger en anmodning hos en leverandør, skal databehandleren hjælpe jer, og den pligt bør være tydelig i databehandleraftalen. Svaret er jeres, og hvad en DPO kan bistå med, når I er i tvivl, står under Det får I.

Det skal I lade være med

• At lade fristen løbe, mens anmodningen ligger i en ansats postkasse · den løber fra modtagelsen.
• At spørge, hvorfor personen vil have indsigt · retten kræver ingen begrundelse.
• At bede om mere legitimation, end sagen kalder på · det kan hindre retten.

Det skal I kræve af den eksterne

• ☐ Rådgivning om en proces, som medarbejderne kan følge uden hjælp.
• ☐ Bistand i de svære sager, med begrundelse på skrift.
• ☐ En prøve på, om systemerne kan finde og slette det, I lover.
• ☐ En kort status til ledelsen om antal anmodninger og overskredne frister.

Kilder

• Databeskyttelsesforordningen (EU) 2016/679: art. 12, 15 til 18, 20 til 22 og 38.
• Datatilsynet: Vejledning om de registreredes rettigheder, juli 2018.
• EDPB: Retningslinjer 01/2022 om indsigt, på dansk.
• EU-Domstolen, C-526/24, 19/3 2026.
• Datatilsynet: Databeskyttelsesrådgivere (DPO’er) og vejledningen fra december 2017.

Senest gennemgået: november 2026.

Næste skridt

• Indsigtsanmodning: sådan svarer I inden for fristen
• Kunden kræver at blive slettet

Læs også: Oplysningspligten · Politikken siger ét, systemet gør noget andet

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT