Datatilsynet er den uafhængige myndighed, der fører tilsyn med, at reglerne om databeskyttelse bliver overholdt. Tilsynet består efter databeskyttelseslovens § 27 af et råd og et sekretariat. Justitsministeren nedsætter rådet, og tilsynet udøver sine funktioner i fuld uafhængighed. Ordet tilsyn dækker bredere, end mange ledere tror. Hos Datatilsynet omfatter det klagesager, anmeldte brud på persondatasikkerheden, sager, tilsynet selv tager op, og de planlagte tilsyn. Et brev fra tilsynet kan derfor komme, uden at virksomheden er udvalgt til noget som helst. Denne artikel gennemgår vejene ind til en sag og det, I må og skal, hvis tilsynet står i receptionen. Rettigheder og pligter bygger på Datatilsynets side om tilsyn, læst 5. november 2026.
Fire veje ind til en sag
Datatilsynet beskriver selv tilsynsopgaven som fire slags arbejde.
- Klagesager. En kunde, ansat eller anden person klager over jeres behandling af oplysninger. Hvordan I bruger den første tid, står i en klage til Datatilsynet.
- Brud på persondatasikkerheden. En anmeldelse fra jer kan føre til spørgsmål, og Datatilsynet kan bede om flere oplysninger. Derfor bør vurderingerne ligge i jeres brudlog, før nogen spørger.
- Sager af egen drift. Tilsynet kan selv tage en sag op, fx efter en henvendelse eller andet input.
- Planlagte tilsyn. De følger de emner, tilsynet har valgt for året.
Alle fire kan ende med en reaktion. Hvad reaktionerne betyder, står i kritik, påbud og politianmeldelse.
Planlagte tilsyn og årets emner
Hvert år offentliggør Datatilsynet de områder, de planlagte tilsyn skal se på. Listen er styrende for det, tilsynet selv vælger at sætte i gang, og sager fra klager og anmeldelser kommer oven i. For 2026 rammer flere emner private virksomheder direkte, og de er gennemgået i Datatilsynets fokus i 2026.
Et planlagt tilsyn kan foregå skriftligt, typisk med spørgsmål og anmodning om dokumenter, eller som besøg. De sider, der er læst til denne artikel, beskriver ikke, hvor lang tid tilsynet giver til at svare, eller om et besøg altid varsles. Brevet angiver det, I skal forholde jer til.
Det må Datatilsynet på et besøg
Hjemlen står i databeskyttelsesforordningens art. 58 og i databeskyttelseslovens § 29. Efter § 29, stk. 2, har tilsynets personale adgang til de lokaler, hvor der behandles personoplysninger. Det kræver ingen retskendelse. De skal vise legitimation.
I praksis betyder det, at tilsynet kan inspicere lokalerne og databehandlingsudstyret, herunder computere. Efter § 29, stk. 1, kan tilsynet desuden kræve enhver oplysning af betydning for sit arbejde. I har pligt til at afgive de oplysninger, tilsynet beder om. At undlade det kan være strafbart efter § 41, stk. 2.
Forberedelsen er derfor enkel at beskrive. Receptionen skal vide, hvem der ringes til. Den, der kommer ned, skal kunne finde fortegnelsen, politikkerne og aftalerne. Og IT skal kunne vise, hvem der har adgang til hvad, uden at det tager en uge at finde ud af.
Jeres rettigheder under tilsynet
Tilsynets beføjelser har grænser, og de grænser står i retssikkerhedsloven.
Retten til ikke at inkriminere sig selv. Har tilsynet en konkret mistanke om noget strafbart hos jer, kan det ikke forlange oplysninger om forholdet. Datatilsynet skal i den situation vejlede om retten til ikke at udtale sig. Det gælder, hvad enten sagen ender med en administrativ bøde eller sendes til politiet. Bliver sådan en mistanke nævnt, er det tid til at ringe til jeres advokat. Hvornår en mistanke er konkret, er et juridisk spørgsmål, som Justitsministeriets vejledning om loven uddyber.
Inspektion af lokaler. Ved lokaler, der ikke er offentligt tilgængelige, skal tilsynet overholde reglerne om proportionalitet og fremgangsmåde ved tvangsindgreb. Butikker og restauranter med almindelig adgang falder uden for, men det gør baglokalerne ikke. Undersøgelse af dokumenter er altid omfattet af loven, også hvor lokalet ellers ikke er det.
Aktindsigt. I kan bede om aktindsigt i tilsynets sager, også sagen om jer selv. Datatilsynet skal svare snarest muligt og som hovedregel inden for 7 arbejdsdage. Tilsynet skal samtidig overholde sin tavshedspligt.
Domstole og Ombudsmanden. En afgørelse fra Datatilsynet kan ikke klages til en anden administrativ myndighed (§ 30). Den kan derimod indbringes for domstolene, og tilsynets arbejde hører under Folketingets Ombudsmand. Efter § 30, stk. 2, kan tilsynet selv indbringe spørgsmål for retten.
DPO’ens plads i et tilsyn
Har I en DPO, er vedkommende kontaktpunkt for tilsynet og skal samarbejde med det (art. 39, stk. 1, litra d og e). Datatilsynet har skrevet, at DPO’en skal inddrages, når en klagesag indbringes, eller når tilsynet beslutter at føre tilsyn hos virksomheden. Kontaktpunktet ændrer ingenting ved ansvaret. Det er virksomheden, der svarer for behandlingen, og ledelsen, der beslutter, hvad der skal rettes. Tilsyn kan også rette sig mod selve rollen, og det er emnet i tilsynenes fund hos DPO’er.
DPO’en kan hjælpe med at læse spørgsmålene rigtigt, pege på det, der mangler, og gennemgå udkastet til svar. Vedkommende skal kunne gøre det med samme uafhængighed som ellers, så et svar, DPO’en er uenig i, må ikke sendes i DPO’ens navn. Uenighed bør stå skrevet, se råd, ledelsen vælger fra.
Har I ingen DPO, skal I på forhånd have aftalt, hvem der tager rollen som kontakt. Var vurderingen af DPO-kravet et nej, er det notat et af de første dokumenter at finde frem, se vi skal ikke have en DPO.
Det gør I nu
Skriv en kort instruks på en halv side. Den skal sige, hvem receptionen kontakter, hvem der taler med tilsynet, hvor dokumenterne ligger, og hvilken advokat der ringes til ved tvivl. Læs derefter årets emner igennem, og vælg det, der ligner jeres virksomhed mest. Det er et godt sted at prøve, om dokumentationen kan findes på en time.
Det skal I lade være med
- At lægge et tilsyn hos IT alene · det er en ledelsessag.
- At afvise tilsynet i døren · adgangen kræver ingen retskendelse, kun legitimation.
- At svare på gæt · sig, at I undersøger det, og vend tilbage med det rigtige.
- At fortsætte samtalen, når en mistanke om noget strafbart nævnes · ring til advokaten først.
Det skal I kræve af den eksterne
- ☐ At instruksen til et tilsyn bliver gennemgået, før den skal bruges.
- ☐ Et klart skel mellem DPO’ens rådgivning og virksomhedens svar.
- ☐ Rådgivning om årets emner set i forhold til jeres behandlinger.
- ☐ En ærlig melding om, hvilke dokumenter der ikke ville holde i dag.
Kilder
- Datatilsynet: Rettigheder og pligter ved tilsyn: læst 5. november 2026.
- Datatilsynet: Generelt om tilsyn: tilsynets opgaver, læst 5. november 2026.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 27, 29, 30 og 41.
- Datatilsynet: Om Datatilsynet: læst 6. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 39 og 58.
- Datatilsynet: nyhed af 24. juni 2019 om tilsyn med udpegning af DPO’er: DPO’ens inddragelse ved klager og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Anmelder DPO’en os til Datatilsynet? · GDPR-dokumentation
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
