En indsigtsanmodning skal besvares uden unødig forsinkelse og senest en måned efter, at I har modtaget den (art. 12, stk. 3, i databeskyttelsesforordningen). Svaret har tre dele: en bekræftelse af, om I behandler oplysninger om personen, en kopi af oplysningerne og en række faste oplysninger om behandlingen. Opgaven ligger hos virksomheden som dataansvarlig. DPO’en rådgiver om proceduren og bistår i de sager, hvor I er i tvivl.
Sådan regnes fristen
Mange søger på “indsigtsanmodning 30 dage”, men fristen regnes i måneder. EDPB, det europæiske samarbejdsorgan for tilsynsmyndighederne, giver to eksempler i sine retningslinjer 01/2022. Modtages anmodningen den 5. marts, er svarfristen den 5. april. Modtages den 31. august, er fristen den 30. september. Falder sidste dag i en weekend eller på en helligdag, har I til næste arbejdsdag.
Fristen kan forlænges med to måneder, når anmodningens kompleksitet eller antallet af anmodninger gør det nødvendigt. Personen skal have besked og en begrundelse inden for den første måned. EDPB kalder det en undtagelse. En stor arbejdsindsats gør ikke i sig selv en anmodning kompleks, mens oplysninger spredt over flere enheder eller et behov for at redigere i teksten kan gøre det.
Der er ingen formkrav. En anmodning kan lande i kundeservice, hos en HR-medarbejder eller i den almindelige kontaktpostkasse. Derfor skal de medarbejdere, der møder den, kunne genkende den og sende den videre samme dag, se GDPR-træning af medarbejdere.
Det, svaret skal rumme
Art. 15, stk. 1, kræver, at personen ud over adgangen til oplysningerne får at vide:
- hvad formålene med behandlingen er,
- hvilke kategorier af oplysninger der er tale om,
- hvem modtagerne er, især i lande uden for EU,
- hvor længe oplysningerne opbevares, eller hvilke kriterier der afgør det,
- at personen kan bede om berigtigelse, sletning og begrænsning og kan gøre indsigelse,
- at personen kan klage til Datatilsynet,
- hvor oplysningerne stammer fra, når de ikke er indsamlet hos personen selv,
- om der sker automatiske afgørelser, og hvilken logik de bygger på.
Sendes oplysninger til et land uden for EU, skal personen også høre om garantierne for overførslen (stk. 2).
To domme fra EU-Domstolen skærper kravene. C-154/21 siger, at personen har ret til at kende modtagernes konkrete identitet, medmindre det ikke er muligt, eller anmodningen er åbenbart grundløs eller overdreven. C-487/21 siger, at kopien skal være en nøjagtig og forståelig gengivelse af alle oplysningerne. Det kan kræve uddrag af dokumenter eller hele dokumenter, når det er nødvendigt for, at personen kan bruge sine rettigheder, og andres rettigheder skal tages i betragtning. En oversigt over kategorier rækker derfor ikke.
Den første kopi koster intet for personen. For yderligere kopier kan I tage et rimeligt gebyr baseret på de administrative omkostninger (stk. 3). Kommer anmodningen elektronisk, skal svaret som udgangspunkt også være elektronisk. Datatilsynet har en skabelon til svarbrevet, bilag B i skabelonerne til oplysningspligt og indsigtsret. Indholdet skal I selv fylde ud efter den konkrete sag.
Søgningen
EDPB siger, at den dataansvarlige skal søge i alle IT-systemer og i andre registre, og at søgekriterierne skal følge den måde, oplysningerne er struktureret på, fx navn, kundenummer eller brugernavn. Søgningen omfatter også det, jeres databehandlere har. Hvordan det gøres i praksis, står i indsigt i mailbokse og indsigt i logfiler.
En anmodning uden forbehold gælder alle oplysninger. Behandler I rigtig meget om personen, må I bede om en præcisering. I skal da samtidig fortælle, hvilke dele af virksomheden og hvilke systemer der kan være tale om. Præciseringen må aldrig bruges til at gøre svaret mindre, og svarer personen, at det gælder alt, så gælder det alt.
Opdager I undervejs oplysninger, der skulle have været slettet, kommer rækkefølgen ind. EDPB bruger en gammel jobansøgning som eksempel. Personen skal først have adgang til den, og derefter sletter I den.
Det, I må udelade
Retten til en kopi må ikke krænke andres rettigheder (art. 15, stk. 4). Datatilsynets vejledning om de registreredes rettigheder nævner forretningshemmeligheder og ophavsret, og databeskyttelseslovens § 22 giver adgang til undtagelse ved afgørende hensyn til private interesser. Begge steder gælder det kun de oplysninger, der faktisk rammes.
EDPB tilføjer, at en generel bekymring ikke er nok. I skal kunne vise, at andres rettigheder rent faktisk påvirkes, og oplysningerne om andre skal så vidt muligt gøres ulæselige, frem for at hele kopien holdes tilbage.
Afslår I helt eller delvis, skal personen senest inden for en måned have begrundelsen og besked om muligheden for at klage til Datatilsynet og gå til domstolene (art. 12, stk. 4).
Når en anmodning virker urimelig
Art. 12, stk. 5, lader jer afvise åbenbart grundløse eller overdrevne anmodninger. EDPB siger, at begreberne skal fortolkes snævert. C-526/24 af 19. marts 2026 tilføjer, at også en første anmodning kan være overdreven, når I godtgør, at den er indgivet med misbrug for øje, fx for kunstigt at skabe grundlag for en fordel. Bevisbyrden ligger hos jer, og alle omstændigheder skal med. At personen ifølge offentlige oplysninger har indgivet flere anmodninger efterfulgt af erstatningskrav, kan indgå i vurderingen.
Samme dom siger, at en tilsidesættelse af retten til indsigt kan give krav på erstatning efter art. 82. En afvisning er derfor en beslutning, ledelsen bør træffe med advokatens vurdering i hånden. DPO’en kan rådgive, men en afvisning er ikke DPO’ens afgørelse.
Forskellen på indsigt og aktindsigt
Indsigt er retten efter art. 15 til at få at vide, hvilke personoplysninger en dataansvarlig behandler om en selv. Retten gælder over for alle dataansvarlige, også private virksomheder. Aktindsigt er retten til at se dokumenter hos offentlige myndigheder. Efter offentlighedslovens § 7 kan enhver bede om dem, og forvaltningslovens § 9 giver den, der er part i en sag, adgang til sagens dokumenter.
En almindelig privat virksomhed er derfor uden for reglerne om aktindsigt. Enkelte selskaber er dog omfattet af offentlighedsloven, fx visse forsyningsselskaber og selskaber, der stort set ejes af det offentlige (§§ 3 og 4). Skriver en kunde “aktindsigt” til jer og beder om sine egne oplysninger, så behandl det som en indsigtsanmodning, for fristen løber fra modtagelsen.
Sådan går I videre
Peg på én person, der ejer anmodninger, og to, der kan tage over ved fravær. Opret en enkel liste med modtagedato, frist, søgninger, svar og begrundelser, så I kan vise, hvad der er sket. Gennemfør derefter en øvelse med en tænkt anmodning fra en kollega, og se, hvor lang tid det tager at finde alt. Det viser hurtigt, hvilke systemer proceduren mangler. Personens identitet er emnet i er det den rigtige, der spørger?.
Det skal I lade være med
- At tælle 30 dage · fristen er en måned fra modtagelsen.
- At slette først og svare bagefter · personen har ret til at se det, der fandtes, da anmodningen kom.
- At sende en oversigt i stedet for en kopi · oversigten opfylder ikke art. 15, stk. 3.
- At afvise, fordi tidspunktet er ubelejligt · bevisbyrden for misbrug ligger hos jer.
Det skal I kræve af den eksterne
- ☐ Rådgivning om en skriftlig procedure med ansvar, frist og stedfortræder.
- ☐ Bistand i de sager, hvor I er i tvivl om afgrænsning eller undtagelser.
- ☐ Kontrol af, at listen over anmodninger føres og fristerne holdes.
- ☐ En tydelig grænse for de sager, advokaten skal se.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 12, art. 15 og art. 82.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: § 22.
- Offentlighedsloven, LBK nr. 145 af 24. februar 2020: §§ 2 til 4 og 7, læst 6. november 2026.
- Forvaltningsloven, LBK nr. 433 af 22. april 2014: § 9, læst 6. november 2026.
- EDPB: retningslinjer 01/2022 om indsigt, dansk tekst: fristberegning, søgning, præcisering og begrænsninger.
- Datatilsynet: Vejledning om de registreredes rettigheder: afsnit 4.5 om undtagelser.
- Datatilsynet: skabeloner til oplysningspligt og indsigtsret: bilag B.
- EU-Domstolen, C-154/21, C-487/21 og C-526/24.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kunden kræver at blive slettet · Det en DPO ikke skal lave
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
