Når nogen beder om indsigt eller sletning, skal I sikre jer, at det er den rigtige person. Giver I oplysninger til en forkert, kan I stå med et brud på persondatasikkerheden, og sletter I på falsk anmodning, mister en anden sine data. Omvendt må kontrollen stå mål med risikoen. Art. 12, stk. 6, i databeskyttelsesforordningen tillader jer kun at bede om yderligere oplysninger, når der er rimelig tvivl om identiteten. Kunsten er at bruge det, I allerede ved om personen, og at nøjes med det.
Det, reglerne kræver
Datatilsynets vejledning om de registreredes rettigheder siger i afsnit 2.6, at I skal sikre jer, at I hverken giver uvedkommende indsigt eller sletter oplysninger om andre end den, der spørger. Identiteten kan sikres ved legitimationspapirer, men det er ingen pligt, hvis I på anden måde har sikret jer. Vejledningen nævner tre situationer, hvor der som regel ikke er grund til særlige undersøgelser:
- personen har skrevet via Digital Post,
- I kender personen i forvejen,
- brevet har navn og adresse, der stemmer med sagen, og svaret sendes til den adresse.
Vejledningen tilføjer, at det ikke er tilstrækkelig identifikation, at en person i telefonen kan oplyse et personnummer. Så kan det være nødvendigt at stille kontrolspørgsmål. Som hovedregel antager Datatilsynet, at I i udgangspunktet kan sende svaret via Digital Post eller en lignende løsning. Det er en praktisk vej for mange danske virksomheder, når modtageren er en borger.
EDPB, det europæiske samarbejdsorgan for tilsynsmyndighederne, stiller i sine retningslinjer 01/2022 et krav om proportionalitet. Vurderingen skal tage hensyn til typen af oplysninger, anmodningens art, sammenhængen og den skade, en forkert udlevering kan give. Og I må ikke indsamle flere oplysninger, end det er nødvendigt for at bekræfte identiteten.
Når kontrollen bliver for meget
Pas og kørekort er det, mange griber til, men EDPB advarer. Bruger I allerede onlinekonti, er krav om kopi af ID generelt ikke en passende metode. I eksempel 13 har en kunde en konto i en webbutik, og butikken beder om ID. Det kalder EDPB uforholdsmæssigt. Butikken kan i stedet bede kunden logge ind, besvare et sikkerhedsspørgsmål eller modtage en kode på den mail eller det nummer, kunden allerede har oplyst.
ID kan være berettiget, når oplysningerne er særligt følsomme, fx læge- eller sundhedsoplysninger. EDPB nævner, at ID-kort kan gøres mindre afslørende, og at unødvendige dele kan skjules, før de sendes. Modtager I alligevel en kopi, må I ikke bruge den til andet og bør slette den, når kontrollen er gennemført. Vær også opmærksom på, at en kopi af et ID-dokument selv er en risiko, I påtager jer.
EDPB siger også, at en krævende kontrol ikke må blive en bremse. Notarbekræftelse afviser EDPB som hovedregel.
En skala for virksomheden
Kilderne giver ingen fast skala, så skemaet her er vores forslag. Tilpas det til jeres sager.
Lav risiko, fx et nyhedsbrev eller en kundekonto uden særlige oplysninger. Bekræft ved login, eller svar til den mailadresse, I allerede har.
Middel risiko, fx en sag med økonomiske oplysninger eller en længere kundehistorik. Brug en engangskode til et kendt telefonnummer, eller stil et par kontrolspørgsmål, som kun kunden kan svare på. CPR-nummer og adresse tæller ikke, for de kan være kendt af andre.
Høj risiko, fx helbred, personalesag eller en sag med straffeforhold. Send via Digital Post eller en lignende sikker løsning. Skal der bruges ID, så kun med de nødvendige dele synlige.
Er tvivlen rimelig, så spørg med det samme. Et kort svar til personen om, hvilken type oplysninger I har brug for, gør sagen lettere for begge parter, og EDPB siger, at personen skal have den besked. Vent ikke til dagen før fristen.
Svar til en anden adresse end den kendte kræver ekstra omtanke. En ny mailadresse, et nyt nummer eller et ønske om hurtig levering er netop de tegn, en svindler vil skabe. Hvordan samme problem rammer kundeservice og bogholderi i hverdagen, er gennemgået i identitetskontrol efter CPR-læk.
Advokater og andre på vegne af personen
En anmodning kan komme fra en advokat, en pårørende eller en tjeneste, der skriver på vegne af personen. EDPB siger, at I skal kunne påvise, at der er en gyldig tilladelse, og at nationale regler om fuldmagt skal følges. Bed derfor om fuldmagten, og tjek om nødvendigt, at personen, der skriver, er den, personen siger, fx om en advokat er medlem af advokatsamfundet. Svaret skal gå til fuldmægtigen, hvis fuldmagten dækker det.
Når svaret bliver et brud
EDPB minder om, at det kan være et brud på persondatasikkerheden at stille oplysninger til rådighed for en person uden ret til dem. Sender I en personalesag til en forkert adresse, gælder reglerne om vurdering, dokumentation og eventuel anmeldelse, se er det et brud? og mail til forkert modtager.
Den samme risiko følger forsendelsen. EDPB kræver sikkerhed under hele behandlingen af en anmodning. Svar med personoplysninger bør derfor sendes på en sikker kanal, se kryptering af mail.
Sådan går I videre
Skriv tre linjer om kontrol ind i proceduren for anmodninger: hvad der er nok ved lav risiko, ved middel risiko og ved høj risiko. Træn de medarbejdere, der tager telefonen, og skriv ned, hvilken kontrol der blev brugt i hver sag. DPO’en rådgiver om skemaet og kontrollerer, at det bliver brugt.
Det skal I lade være med
- At bede om pas som standard · det er sjældent nødvendigt.
- At godtage et CPR-nummer som bevis i telefonen · Datatilsynet siger, det ikke er nok.
- At svare til en helt ny adresse uden at spørge · det er den klassiske svindel.
Det skal I kræve af den eksterne
- ☐ Rådgivning om en kontrol, der følger risikoen i jeres sager.
- ☐ Gennemgang af, hvordan ID-kopier opbevares og slettes.
- ☐ Klar anbefaling af sikre kanaler til svaret.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 12, stk. 6.
- Datatilsynet: Vejledning om de registreredes rettigheder: afsnit 2.6.
- EDPB: retningslinjer 01/2022 om indsigt, dansk tekst: afsnit 3, herunder punkt 65 til 81 og eksempel 12 til 14.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kunden kræver at blive slettet · CPR-numre i virksomheden
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
