Personen har ret til at få at vide, at oplysningerne er blevet søgt frem, hvornår og til hvilket formål. Personen har som udgangspunkt ingen ret til at få navnene på de ansatte, der søgte efter instruks fra virksomheden. Sådan lyder hovedreglen fra EU-Domstolen i C-579/21 af 22. juni 2023. Undtagelsen gælder, når navnet er nødvendigt, for at personen effektivt kan bruge sine rettigheder, og de ansattes rettigheder samtidig iagttages. Artiklen viser, hvad det betyder for jeres log.
Dommen
Sagen handlede om en ansat i en finsk bank, som også var kunde i banken. Personen havde fået at vide, at kolleger havde søgt i hans kundeoplysninger, og bad om navnene og formålet. Domstolen kom frem til tre ting.
Art. 15, stk. 1, dækker information om søgningerne, deres datoer og deres formål. Oplysningerne viser, at behandlingen har fundet sted, og hvor ofte og i hvilket omfang der er søgt, så personen kan kontrollere, at formålet passer.
Identiteten på ansatte, der handler under den dataansvarliges ledelse og efter instruks, er som udgangspunkt ikke omfattet. De ansatte er ikke modtagere efter art. 15, stk. 1, litra c, og oplysninger i logfilerne er også personoplysninger om dem. Bliver navnet nødvendigt, skal rettighederne afvejes.
At personen også har arbejdet for virksomheden, og at virksomheden er en reguleret bank, er principielt uden betydning for omfanget af retten.
Tvivler personen på det oplyste, kan personen klage til Datatilsynet, som kan kræve oplysningerne frem (præmis 82).
To slags log
I hverdagen er det praktisk at skelne mellem to slags logdata.
Den ene slags viser personens egne handlinger, fx login, adgangskort og aktivitet i en kundeportal. EDPB, det europæiske samarbejdsorgan for tilsynsmyndighederne, regner aktivitetslogge med til de personoplysninger, der er omfattet af indsigt i sine retningslinjer 01/2022. Svaret må gerne samles i en form, personen kan forstå. EDPB advarer mod at udlevere hundredvis af sider rå logfil, for det opfylder måske retten på papiret uden at give personen nogen viden.
Den anden slags viser, hvem der har set på personens oplysninger. Det er den, dommen handler om.
Det, I kan trække ud
Hvad I kan levere, afhænger af det, systemet logger. Datatilsynets katalog over foranstaltninger har logning af brugernes anvendelser af personoplysninger som foranstaltning, men art. 32 fastsætter ingen fast liste, så mange mindre virksomheder logger kun dele af det.
Gå derfor systemerne igennem for hver slags oplysning og svar på tre spørgsmål:
- Logges opslag, eller kun ændringer?
- Hvor længe gemmes loggen, og kan den søges på en person?
- Fremgår formålet, eller skal det udledes af en sag eller en rolle?
Formålet står sjældent i en log. I mange systemer må I oversætte. Et opslag fra kundeservice samme dag som en henvendelse kan forklares med henvendelsen. Et opslag uden nogen sag kræver et spørgsmål til den leder, der kender arbejdet.
Svaret kan bygges som en enkel oversigt med dato, klokkeslæt, system, handling, afdeling eller funktion og formål. Domstolen siger i præmis 69, at det kan være nødvendigt at sende en kopi af informationen fra logfilerne for at opfylde indsigten. Det kan ske i en form, hvor navnene på de ansatte er fjernet, så længe det, personen har krav på, står tilbage. Afdeling eller funktion er vores forslag til et mellemled, og I bør overveje, om en lille afdeling i praksis afslører personen.
Når opslaget ikke var en del af arbejdet
Dommens hovedregel bygger på, at de ansatte handlede efter instruks. Viser gennemgangen, at en medarbejder har slået personen op af nysgerrighed eller af private grunde, står I et andet sted. EDPB skriver, at en person, der behandler oplysninger i andet øjemed end at følge instrukserne, kan blive dataansvarlig for den behandling. Domstolen holdt det spørgsmål åbent i præmis 81, fordi personen i sagen ikke havde påstået, at de ansatte handlede uden for instruks.
Sagen har da tre spor. Personen skal have et korrekt svar om søgningen. I skal vurdere, om det er et brud på persondatasikkerheden, se er det et brud?. Og ledelsen skal tage stilling til det personalemæssige. Om navnet på kollegaen så skal udleveres, afhænger af afvejningen i den konkrete sag og er et spørgsmål til advokat.
Findes der ingen log, skal svaret sige det, og I kan ikke opfinde en oversigt. Det kan derimod være en grund til at se på sikkerheden. Hvad logs kan betyde ved et brud, står i logs afgør, om I skal underrette.
Loggene skal også beskyttes
Logoplysninger er personoplysninger om både kunden og medarbejderen. Adgangen skal være begrænset, og opbevaringstiden skal sættes efter formålet. Lange opbevaringstider giver bedre svar, men de giver også flere oplysninger at beskytte. Beslutningen hører hjemme i jeres slettepolitik, og medarbejderne skal vide, at deres opslag logges.
Sådan går I videre
Vælg de tre systemer med de mest følsomme oplysninger, og afklar, hvad de logger. Lav en skabelon til et logudtræk uden medarbejdernavne, og beslut, hvem der vurderer sagen, når nogen beder om navne. DPO’en rådgiver om skabelonen og kontrollerer, at loggen findes, hvor risikoen kræver det. Den almindelige procedure står i indsigtsanmodning.
Det skal I lade være med
- At afvise med henvisning til, at loggen er intern · oplysninger om søgninger er omfattet.
- At udlevere rå logfiler med kollegers navne · de ansatte har også rettigheder.
- At sende hundredvis af sider uden forklaring · svaret skal kunne forstås.
Det skal I kræve af den eksterne
- ☐ En gennemgang af, hvad jeres vigtigste systemer faktisk logger.
- ☐ Rådgivning om et udtræk, der respekterer dommens grænse.
- ☐ Bistand, når nogen beder om navne på ansatte.
Kilder
- EU-Domstolen, C-579/21 af 22/6 2023: konklusionen og præmis 69 til 83.
- EDPB: retningslinjer 01/2022 om indsigt, dansk tekst: aktivitetslogge, punkt 108 og afsnit 5 om forståelig form.
- Datatilsynet: Katalog over foranstaltninger: logning af brugernes anvendelser af personoplysninger.
- Forordning (EU) 2016/679, dansk tekst: art. 15 og art. 29.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal I gennemsøge mailboksene? · Alle kan se alt
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
