Datatilsynet fastslår, at utilsigtede modtagere af personoplysninger er omfattet af indsigtsretten efter GDPR art. 15. Udviklings- og Forenklingsstyrelsens afslag på at udlevere revisorens navn med henvisning til skatteforvaltningslovens § 17 kunne derfor ikke opretholdes. Derimod er revisorens klients identitet fortsat beskyttet af særlig tavshedspligt.
Retten til indsigt og modtagerbegrebet
Indsigtsretten giver registrerede adgang til oplysninger om blandt andet modtagere af deres data. Efter drøftelse i Datarådet anlægger Datatilsynet en bred forståelse af modtager, som også omfatter personer, der modtager oplysninger ved fejl. Den registrerede kan derfor få oplyst sådanne modtagere.
Afgørelsen tilsiger, at dataansvarlige skal kunne identificere modtagere ved brud på datasikkerheden og dokumentere videregivelser. Indsigtsretten kan omfatte både aktuelle og historiske oplysninger, medmindre en konkret hjemlet undtagelse finder anvendelse.
Tavshedspligt og afgrænsning
UFS henviste til skatteforvaltningslovens § 17, offentlighedsloven § 35 og databeskyttelsesloven § 22, stk. 3. Datatilsynet lagde vægt på Skatteministeriets udtalelse om, at en revisor, der søger aktindsigt for en klient, som udgangspunkt ikke er omfattet af den særlige tavshedspligt. Revisorens identitet skulle derfor udleveres.
Klientens identitet er derimod omfattet af tavshedspligten, fordi oplysningen kan afsløre fortrolige økonomiske eller personlige forhold. Den del af indsigtsanmodningen kunne derfor lovligt afslås.
Praktiske implikationer
Dataansvarlige bør opdatere brudshåndtering, logning og svarbreve, så utilsigtede modtagere kan identificeres og meddeles ved indsigtsanmodninger. Processer for partshøring og eventuel delvis indsigt bør beskrives og dokumenteres.
Ved større brud med mange modtagere kræves en proportional afvejning mellem indsigtsretten og tredjemands privatliv. Afgørelsen øger transparens for registrerede og skærper krav til dokumentation og korrekt sagsbehandling, særligt i den offentlige forvaltning.
