Innsynskrav fra ansatte og kunder: frister, unntak og krav som brukes i konflikt

Et innsynskrav kommer ofte på det verst tenkelige tidspunktet. En ansatt er i en oppsigelsessak, en kunde har varslet søksmål, eller en tidligere leverandør vil finne bevis. Kravet ser ut som et personvernspørsmål, men brukes som et verktøy i konflikten. Virksomheten må likevel svare korrekt og innen fristen, og det er få muligheter til å avvise kravet.

Hva er et innsynskrav etter GDPR?

Et innsynskrav er en anmodning fra en person om å få vite hvilke personopplysninger virksomheten behandler om vedkommende. Retten følger av GDPR art. 15 i personvernforordningen, som gjelder i Norge gjennom personopplysningsloven.

Den registrerte har rett til bekreftelse på om opplysninger behandles, og i så fall en kopi av opplysningene. Virksomheten skal i tillegg opplyse om formålene, kategoriene av opplysninger, mottakerne, lagringstiden, hvor opplysningene kommer fra, retten til å klage og eventuelle automatiserte avgjørelser.

Det finnes ingen formkrav. Et innsynskrav kan komme muntlig, i en e-post til en tilfeldig ansatt eller i et brev fra en advokat. Fristen løper fra kravet er mottatt i virksomheten, ikke fra det når personvernombudet.

Hvilken frist gjelder for å svare på et innsynskrav?

Fristen er én måned fra mottak, og svaret skal gis uten ugrunnet opphold, jf. GDPR art. 12 nr. 3. Er kravet komplekst, eller har virksomheten mottatt mange krav, kan fristen forlenges med ytterligere to måneder. Den registrerte skal da varsles om forlengelsen og begrunnelsen innen den første måneden.

Behandler virksomheten store mengder opplysninger om personen, kan den be om at kravet presiseres, jf. fortalepunkt 63. En slik forespørsel stopper etter EDPBs syn ikke fristen, og virksomheten kan ikke avslå kravet fordi den registrerte ikke ønsker å avgrense det.

Hvilke unntak finnes fra innsynsretten?

Unntakene er få og tolkes strengt. De viktigste i praksis er disse.

Andres rettigheter. Retten til kopi skal ikke krenke andres rettigheter og friheter, jf. GDPR art. 15 nr. 4. Fortalepunkt 63 nevner forretningshemmeligheter og immaterielle rettigheter. Opplysninger om kolleger, kunder eller andre tredjepersoner må vurderes konkret og eventuelt sladdes. Unntaket gir grunnlag for å holde tilbake enkeltopplysninger, ikke for å nekte innsyn helt.

Nasjonale unntak. personopplysningsloven § 16 unntar blant annet opplysninger som må hemmeligholdes av hensyn til etterforskning av straffbare handlinger, opplysninger underlagt lovbestemt taushetsplikt, og tekst utarbeidet for intern saksforberedelse som ikke er delt med andre, så langt det er nødvendig for å sikre forsvarlige interne avgjørelsesprosesser. Den som nekter innsyn etter § 16, må begrunne det skriftlig med presis henvisning til unntaket.

Åpenbart grunnløse eller overdrevne krav. Etter GDPR art. 12 nr. 5 kan virksomheten kreve et rimelig gebyr eller avslå krav som er åpenbart grunnløse eller overdrevne, særlig fordi de gjentas. Det er virksomheten som må bevise at vilkåret er oppfylt.

Unntaket for intern saksforberedelse er særlig aktuelt i personalsaker. Arbeidsnotater fra en pågående intern undersøkelse kan etter omstendighetene holdes tilbake så lenge de ikke er delt utenfor virksomheten. Unntaket gjelder ikke de faktiske opplysningene om den ansatte som ligger i andre systemer, og det faller bort når teksten deles med for eksempel motparten eller en ekstern rådgiver som ikke er virksomhetens egen. Vurderingen er konkret, og grensen er ikke trukket opp i norsk praksis.

Kan et innsynskrav avvises fordi det brukes i en konflikt?

Som hovedregel nei. Dette er det viktigste punktet for arbeidsgivere og virksomheter i tvist.

I C-307/22 fra 26. oktober 2023 hadde en pasient bedt om kopi av journalen for å vurdere et erstatningskrav mot tannlegen. EU-domstolen kom til at første kopi skal være gratis, og at den registrerte ikke trenger å begrunne kravet. At kravet har et annet formål enn å kontrollere lovligheten av behandlingen, gir ikke grunnlag for å avvise det. EDPB har i sine retningslinjer lagt til grunn at virksomheten ikke skal vurdere hvorfor kravet fremsettes, og at innsyn ikke kan nektes fordi opplysningene kan brukes i en oppsigelsessak eller en kommersiell tvist.

Et innsynskrav trenger ingen begrunnelse, og at det brukes i en konflikt med dere, er ikke grunn til å avslå det.

Grensen går ved misbruk. I C-526/24 Brillen Rottler fra 19. mars 2026 slo EU-domstolen fast at også et første innsynskrav kan være overdrevent etter GDPR art. 12 nr. 5. Det forutsetter at virksomheten kan dokumentere at kravet ble fremsatt i misbrukshensikt, for eksempel for å skape grunnlag for erstatningskrav, og ikke for å kontrollere behandlingen. Offentlig tilgjengelig informasjon om at personen har fremsatt en rekke tilsvarende krav mot andre virksomheter, kan være et bevis. Terskelen er høy, og en vanlig arbeidskonflikt er ikke misbruk.

Innsynskravet gir dermed i praksis en form for bevistilgang ved siden av reglene i tvisteloven, og uten at det må reises sak. Hvordan norske domstoler vil se på forholdet mellom de to regelsettene, er ikke avklart i høyesterettspraksis så langt vi kjenner til.

Hva skal kopien inneholde?

Kopien skal være en tro og forståelig gjengivelse av alle personopplysningene. I C-487/21 fra 4. mai 2023 kom EU-domstolen til at dette kan omfatte utdrag av dokumenter, hele dokumenter eller utdrag fra databaser, når det er nødvendig for at opplysningene skal være forståelige. En arbeidsgiver kan derfor ikke nøye seg med en liste over kategorier når den ansatte ber om e-poster og notater som omtaler vedkommende.

Logger over hvem som har sett opplysningene, er også omfattet. I C-579/21 Pankki S fra 22. juni 2023 la EU-domstolen til grunn at den registrerte har rett til å få vite når og hvorfor opplysningene ble konsultert. Navnene på de ansatte som gjorde oppslagene, må som hovedregel ikke oppgis, med mindre det er nødvendig for at den registrerte skal kunne ivareta sine rettigheter.

Et innsynskrav kommer ofte etter at arbeidsgiver har tatt innsyn i den ansattes e-post. Har virksomheten fulgt reglene i artikkelen om innsyn i ansattes e-post, er dokumentasjonen allerede på plass og kravet lettere å besvare.

Hva er risikoen ved å svare feil eller for sent?

Brudd på innsynsretten kan gi overtredelsesgebyr etter GDPR art. 83 nr. 5, med en øvre ramme på 20 millioner euro eller 4 prosent av global årsomsetning. I praksis er den største risikoen ofte en annen. Et forsinket eller ufullstendig svar gir motparten et ekstra angrepspunkt, svekker virksomhetens troverdighet og kan gi grunnlag for erstatning.

EU-domstolen la i C-526/24 også til grunn at brudd på innsynsretten i seg selv kan gi rett til erstatning etter GDPR art. 82, og at tap av kontroll over egne opplysninger kan utgjøre ikke-økonomisk skade. I Norge kan det i tillegg kreves oppreisning etter personopplysningsloven § 30.

Innsynskrav avdekker også andre feil. Et svar kan vise at opplysninger er lagret for lenge, delt uten grunnlag eller at det har skjedd et brudd på personopplysningssikkerheten. Da gjelder egne regler, se artikkelen om brudd på personopplysningssikkerheten.

Hva bør virksomheten gjøre?

1. Lær opp de ansatte til å kjenne igjen et innsynskrav og sende det videre samme dag, uansett hvordan det er formulert.
2. Registrer mottaksdato og beregn fristen straks. Vurder forlengelse tidlig, og varsle innen én måned.
3. Kartlegg alle kilder, som e-post, saksbehandlingssystemer, HR-system, chat, logger og sikkerhetskopier.
4. Vurder unntakene konkret, sladd opplysninger om andre, og begrunn hvert unntak skriftlig med hjemmel.
5. Ikke avslå fordi kravet brukes i en konflikt. Bare dokumentert misbruk gir grunnlag for avslag etter art. 12 nr. 5.
6. Koordiner med advokaten i saken, slik at svaret på innsynskravet og prosessen i tvisten henger sammen.
7. Dokumenter hele prosessen, slik at virksomheten kan vise Datatilsynet og retten hva som ble gjort, og hvorfor.

Flere artikler om temaet finnes på pilarsiden om personvern.

Spørsmål og svar

Neste faglige kontroll: 1. april 2027