Datatilsynet justerer sin praksis for indsigt i logfiler efter EU-Domstolens dom i sag C-579/21. Fremover har den registrerede som udgangspunkt krav på indsigt i de personoplysninger om sig selv, der fremgår af logfiler, herunder oplysninger om at der er foretaget opslag, datoer og formål. Derimod er identiteten på medarbejdere, der har foretaget opslag, kun omfattet, hvis det er nødvendigt for, at den registrerede reelt kan udøve sine GDPR-rettigheder.
EU-domstolens linje og Datatilsynets praksis
EU-Domstolen fastslog, at artikel 15 omfatter information om søgninger i den registreredes oplysninger samt tidspunkt og formål. Datatilsynet har i en afgørelse fra juni 2024 lagt denne fortolkning til grund og forladt den tidligere opfattelse af loggen som en ren sikkerhedsfacilitet uden selvstændig behandlingskarakter. Afgørelsen kan læses hos Datatilsynet: Hvad gælder for indsigt i logfiler.
Praksisændringen udspringer af en klage vedrørende indsigt i CPR’s sikkerhedslog, som var forelagt via Folketingets Ombudsmand. Datatilsynet konkluderede, at informationen i loggen om den registrerede er omfattet af retten til indsigt. Datatilsynets nyhed kan læses her: Hvad gælder for indsigt i logfiler.
Konsekvenser for dataansvarlige
Dataansvarlige skal fremover kunne udlevere en kopi af de personoplysninger om den registrerede, som fremgår af loggen, når der anmodes om indsigt. Identiteten på medarbejdere, der har foretaget opslag, må kun udleveres, hvis det er nødvendigt, eksempelvis ved en konkret mistanke om uretmæssig adgang, og hvis hensynet til den registrerede vejer tungere end hensynet til medarbejderen.
Behandlingen af anmodninger forudsætter en dokumenteret interesseafvejning og en begrundet konklusion. Det er afgørende at holde sig til formålet med indsigt, det faktiske indhold af loggen og de potentielle konsekvenser for involverede personer.
For at sikre efterlevelse bør dataansvarlige overveje følgende tiltag:
- Opdatere procedurer for håndtering af artikel 15-anmodninger, så logdata eksplicit indgår.
- Gennemgå systemkonfigurationer og sikre, at logdata kan udtrækkes selektivt og sikkert.
- Etablere klare kriterier for, hvornår identitetsoplysninger om medarbejdere er ”nødvendige”.
- Dokumentere interesseafvejninger og eventuelle undtagelser systematisk.
Undtagelser og interesseafvejning
Efter databeskyttelsesloven § 22 kan indsigt begrænses, hvis tungtvejende offentlige interesser tilsiger det, eksempelvis statens eller den offentlige sikkerhed eller hensynet til retshåndhævelse. Anvendelsen kræver en konkret, saglig og proportional afvejning, som skal kunne efterprøves.
Praksisændringen har betydning for både offentlige myndigheder og private virksomheder. Den styrker transparensen omkring adgang til personoplysninger og stiller skærpede krav til governance, logning og dokumentation, så den registrerede kan få meningsfuld indsigt uden unødigt at kompromittere andres rettigheder.
