Databeskyttelsesloven § 22

EDPB skærper kravene til håndtering af indsigtsanmodninger. Rapporten advarer mod forsinkede svar og standardsvar baseret på privatlivspolitikker og anbefaler træning, klare workflows og dokumentation. EDPB og Datatilsynet opdaterer vejledninger, mens undtagelser i databeskyttelsesloven § 22 kræver særskilt vurdering.

Datatilsynet fastslår, at utilsigtede modtagere er omfattet af indsigtsretten efter GDPR art. 15. UFS kunne ikke undtage revisorens navn efter skatteforvaltningslovens § 17, mens klientens identitet forbliver fortrolig. Afgørelsen skærper dokumentationskrav ved databrud.

Datatilsynet ændrer praksis efter EU-Domstolens sag C-579/21: Registrerede kan få indsigt i personoplysninger i logfiler, herunder datoer og formål. Medarbejderes identitet udleveres kun, hvis det er nødvendigt. Undtagelser kan bruges efter databeskyttelsesloven § 22 ved konkret afvejning.

EU-Domstolen slår fast, at logoplysninger om søgninger, datoer og formål er omfattet af GDPR art. 15. Dataansvarlige skal derfor udlevere relevante logdata og kun oplyse medarbejderes identitet, når det er nødvendigt og efter konkret afvejning. § 22-undtagelser kræver solid begrundelse.