Enhver har ret til at klage til en tilsynsmyndighed, hvis vedkommende mener, at behandlingen af hans eller hendes oplysninger er i strid med reglerne. Det står i databeskyttelsesforordningens art. 77, og klagesager er en fast del af Datatilsynets tilsyn. Når klagen er nået frem, får virksomheden typisk et brev, hvor tilsynet beder om en udtalelse. Det brev er en anmodning om jeres forklaring, og det siger intet om, hvordan sagen ender. Svaret skal bygge på det, der faktisk skete, og derfor kommer undersøgelsen først.
Det, høringen spørger om
Tilsynets spørgsmål følger klagen. Et offentliggjort eksempel er en sag, Datatilsynet afgjorde i oktober 2024, hvor en tidligere ansat klagede over en virksomheds adgang til en privat mailkonto. Tilsynet bad virksomheden om at oplyse, om materialet var hentet, til hvilke formål det blev behandlet, og på hvilket retligt grundlag i forordningen og loven det skete. Mønsteret går igen i mange sager. Hvad skete der, hvorfor, og med hvilken hjemmel?
Læs brevet og selve klagen grundigt. Klagen kan være skrevet af personen selv eller af en repræsentant, og den kan rumme flere punkter end det første, man får øje på. Notér hvert spørgsmål for sig, og notér fristen, hvor to kan se den. Har I brug for mere tid, så bed om det i god tid før fristen, og begrund det.
Hvem der svarer
Svaret er virksomhedens. Ledelsen eller en person med mandat fra ledelsen skal stå bag det, for det er den dataansvarlige, der har ansvaret. Dataansvarlig betyder den virksomhed, der bestemmer, hvorfor og hvordan oplysningerne behandles.
Har I en DPO, skal vedkommende med fra begyndelsen. I en nyhed fra 2019 nævner tilsynet netop klagesager som en situation, hvor DPO’en skal have besked. DPO’ens rolle er at rådgive om reglerne, kontrollere fremgangsmåden og være kontakt til tilsynet. Vurderingen af den enkelte persons sag og beslutningen om svaret bør ligge hos den enhed, der har ansvaret, så DPO’en kan bevare sin rolle, se det, en DPO ikke skal lave.
Tag lederen af personen med, hvis klagen kommer fra en ansat, men hold kredsen lille. En klage indeholder ofte personlige forhold, og de bør kun kendes af dem, der skal bruge dem. Er der en arbejdsretlig tvist eller en retssag bag klagen, bør advokaten læse svaret, før det sendes.
Undersøg sagen i systemerne
Her vindes eller tabes mange sager, for en forklaring uden belæg vejer lidt. Find de faktiske spor:
- Hvad står der om personen? Søg i de systemer, hvor personen kan optræde, og notér, hvad I fandt.
- Hvem har haft adgang? Adgangslogs viser, hvem der har set eller ændret oplysningerne, og hvornår.
- Hvad blev sendt? Mailspor og sagsnoter viser, hvad I har svaret eller videregivet.
- Hvad siger jeres egne regler? Sammenhold det skete med fortegnelse, oplysningstekst og slettepolitik.
- Hvad har leverandøren gjort? Har en databehandler stået for en del af forløbet, skal I bede om dennes oplysninger.
Gem det, I finder, og pas på, at automatisk sletning ikke fjerner logs, I skal bruge, mens sagen kører. Er klagen om en indsigtsanmodning, så se samtidig på selve anmodningen. Art. 12, stk. 3, giver en måned til at svare, med mulighed for yderligere to måneder, når sagen er kompleks eller anmodningerne mange. Mangler der et svar til personen, er det første, der skal rettes, se indsigtsanmodning.
Skriv svaret
Et godt svar er kort, sagligt og i samme rækkefølge som spørgsmålene. Begynd med forløbet i datoer. Beskriv derefter behandlingen og grundlaget for den. Slut med det, I har gjort, siden I blev bekendt med klagen.
Er I enige i, at noget gik galt, så skriv det. Oplys, hvad der er rettet, og hvad der sker fremover, med dato. Er I uenige, så begrund det med henvisning til regel og fakta. En udtalelse, der angriber klageren, hjælper ikke sagen. Datatilsynet kan offentliggøre udtalelser og afgørelser (§ 33 i databeskyttelsesloven), så skriv, så teksten kan tåle at blive læst af andre.
Pligten til at give tilsynet oplysninger står i § 29, stk. 1. Er der en konkret mistanke om noget strafbart, gælder særlige regler, og så skal en advokat ind, se sådan fører Datatilsynet tilsyn.
Behandl klageren som før
Klagen er en ret. Personen skal behandles på samme måde som alle andre, og anmodninger skal besvares som normalt. En ansat, der har klaget, må ikke opleve, at klagen får betydning for arbejdet. Det kan have konsekvenser ud over GDPR, og i tvivlstilfælde er det et spørgsmål til advokat. Vil I løse sagen direkte med personen, er det fint at tage kontakt, men et forlig ændrer ikke det, I skal fortælle tilsynet.
Brug sagen til at rette årsagen
Når svaret er sendt, begynder den nyttige del. En enkelt klage peger ofte på en proces, der fejler for mange. Spørg, hvorfor det gik galt. Vidste medarbejderen ikke, hvad reglen var? Manglede der en sletterutine? Kunne alle se oplysningerne, fordi rettighederne aldrig blev ryddet op?
Skriv årsag, rettelse, ansvarlig og dato ind i et kort notat, og læg det ved jeres GDPR-dokumentation. DPO’en kan følge op på, at rettelsen virker. Reaktionerne, hvis sagen ender med kritik eller påbud, står i kritik, påbud og politianmeldelse.
Det gør I nu
Modtager I brevet i dag, så giv det til ledelsen og DPO’en, stop automatisk sletning af det relevante materiale, og lav en liste over spørgsmålene. Har I ikke fået en klage, så find den seneste indsigtsanmodning eller klage fra en kunde, og se, om I kan fortælle forløbet ud fra det, der ligger gemt.
Det skal I lade være med
- At svare på hukommelse · find logs og mails, før I skriver.
- At dele klagen bredt internt · den indeholder ofte personlige forhold.
- At lade DPO’en vurdere den enkelte sag og beslutte svaret · DPO’en rådgiver, og ledelsen beslutter.
- At lukke sagen med svaret · årsagen er stadig der.
Det skal I kræve af den eksterne
- ☐ Rådgivning om fremgangsmåde og kritisk læsning af jeres svar.
- ☐ Hjælp til at finde ud af, hvor sporene ligger i systemerne.
- ☐ Klar besked om, hvornår sagen skal til advokat.
- ☐ Opfølgning på, at årsagen er rettet.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 12, stk. 3, art. 39 og art. 77.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 29 og 33.
- Datatilsynet: Generelt om tilsyn: klagesager som del af tilsynet.
- Datatilsynet: afgørelse af 25. oktober 2024, j.nr. 2024-31-0529: tilsynets spørgsmål i en klagesag.
- Datatilsynet: nyhed af 24. juni 2019 om tilsyn med udpegning af DPO’er: DPO’ens inddragelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Datatilsynet varsler tilsyn: de første dage · Indsigtsanmodning
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
