EDPB’s januar-rapport fremhæver centrale krav ved håndtering af indsigtsanmodninger efter GDPR art. 15. To temaer går igen: rettidig identifikation af anmodninger på tværs af kanaler og krav om individuelle, substansfyldte svar. Samtidig varsles opdaterede retningslinjer fra både EDPB og Datatilsynet.

Identifikation og interne procedurer

Der gælder ingen formkrav for en indsigtsanmodning, og den kan sendes via enhver kontaktkanal. Manglende eller forsinket identifikation kan medføre brud på GDPRs frister. EDPB peger derfor på behovet for klare workflows til triage, logging og rettidig besvarelse.

Rådet anbefaler, at alle relevante medarbejdere trænes i at genkende og eskalere anmodninger, uanset indgang, så svartider og indholdskrav overholdes. En tydelig ansvarsfordeling og dokumentation understøtter efterlevelse og sporbarhed.

Individuelle svar frem for skabeloner

Generiske svar, fx genbrug af privatlivspolitikker eller faste skabeloner, risikerer at være utilstrækkelige og kan blive anset som manglende besvarelse. Indsigtsret kræver konkret, case-specifik vurdering.

EDPB anbefaler tilpasning fra sag til sag, også når det øger omkostningerne. En praksis med målrettede svar og dokumenterede begrundelser styrker compliance og reducerer klagerisiko.

Vejledninger og danske undtagelser

EDPB forventer at indarbejde anbefalingerne i de eksisterende Guidelines, jf. opdatering af retningslinjerne her: edpb.europa.eu.

Datatilsynet har varslet opdateret vejledning i lyset af EDPB’s ændringer, se datatilsynet.dk. Danske undtagelser i databeskyttelsesloven § 22 er ikke behandlet i rapporten og kræver særskilt vurdering.