Anmodning om indsigt i persondata: Er du tvunget til at gennemgå og udlevere millioner af dokumenter?

Afgørelse fra Datatilsynet får væsentlig praktisk betydning ved vurdering af indsigtsanmodninger. En virksomhed kan afvise en anmodning om indsigt i de dokumenter, der er genereret i kraft af ens jobfunktion, såsom e-mails, notater m.v., da de næppe indeholder personlige oplysninger om den pågældende.

 

Sagens baggrund
Datarådet har netop behandlet en sag om, i hvor høj grad, en virksomhed er forpligtet til at efterkomme anmodninger om indsigt i persondata.

Baggrunden for Datarådets behandling er en ganske kompleks sag om bevidst manipulering af regnskabsoplysninger. En af de anklagede i sagen havde anmodet om indsigt i mere end en million dokumenter, fordelt på forskellige selskaber der indgik i voldgiftssagen, og hvor pågældende havde været bestyrelsesmedlem hhv. administrerende partner. Begæringen var holdt i generelle vendinger, hvorfor omfanget af materialet ikke kunne nedbringes.

Datatilsynets afgørelse
Efter at sagen havde været behandlet i Datarådet bemærkede Datatilsynet følgende:

”Det følger af Datatilsynets praksis, at en dataansvarlig – under henvisning til at henvendelsen er overdreven, jf. databeskyttelsesforordningens artikel 12, stk. 5, litra b – som udgangspunkt kan afslå at fremsøge og gennemgå en større mængde breve, notater og e-mails mv., som er underskrevet af eller sendt til den registrerede i forbindelse med vedkommendes opgavevaretagelse, for at identificere og udlevere eventuelle oplysninger om den pågældende, som måtte fremgå heraf.

Baggrunden for dette er, at det har formodningen for sig, at oplysninger om den registrerede, f.eks. den pågældendes navn, der måtte fremgå af et brev, notat eller en e-mail, som den pågældende har underskrevet eller modtaget i forbindelse med sin opgavevaretagelse, alene optræder accessorisk i forhold til den funktion, som den pågældende har udført, og formålet med den pågældende behandling. Oplysninger som disse siger således ikke i sig selv noget om den pågældende og er heller ikke registreret med det formål at behandle oplysninger om vedkommende.

Dog vil der efter Datatilsynets opfattelse kunne forekomme tilfælde, hvor sådanne oplysninger ikke alene beskriver en funktion, som den pågældende har varetaget, men hvor registreringen i videre omfang indeholder oplysninger ”om” den pågældende.”

Dansk Erhverv er tilfreds med afgørelsen
Datatilsynet lagde i den konkrete sag til grund, at den indsigtsbegærende netop ønskede indsigt i den slags oplysninger som beskrevet ovenfor,  og da der ligeledes var tale om et eksorbitant stort antal dokumenter, der skulle gennemgås, gav Datatilsynet de indklagede medhold i, at de ikke var forpligtet til at fremsøge og gennemgå de nævnte dokumenter, for at imødekomme klagers uspecificerede indsigtsbegæring.

Afgørelsen er i tråd med tidligere afgørelser fra Datatilsynet og der er dermed lagt en linje som Dansk Erhverv bakker op omkring.

Du finder hele afgørelsen her: Virksomhed var ikke forpligtet til at gennemgå omfattende materiale i forbindelse med en anmodning om indsigt (datatilsynet.dk)