GDPR-rettigheter i Norge 2026: slik krever du innsyn

Hva er GDPR? Enkelt forklart

GDPR er forkortelsen for EUs personvernforordning, forordning (EU) 2016/679, som regulerer hvordan virksomheter samler inn, lagrer, bruker og deler opplysninger om enkeltpersoner. Forordningen fikk anvendelse i EU fra 25. mai 2018, etter artikkel 99. I Norge gjelder den som norsk lov gjennom personopplysningsloven § 1, og loven trådte i kraft 20. juli 2018, går det fram av personopplysningsloven § 32.

En personopplysning er enhver opplysning om en identifisert eller identifiserbar fysisk person, etter definisjonen i artikkel 4. Datatilsynet nevner blant annet bilder der du kan gjenkjennes, lydopptak av stemmen din og brukernavn som kan kobles til deg gjennom en konto, og skriver at du ikke har rettigheter etter personvernregelverket dersom en virksomhet ikke behandler personopplysninger om deg.

Kravene til virksomhetene bygger på prinsippene i artikkel 5: opplysningene skal behandles lovlig, rettferdig og åpent, samles inn for bestemte formål, begrenses til det som er nødvendig, være korrekte, ikke lagres lenger enn nødvendig og sikres mot uautorisert bruk og tap, og den behandlingsansvarlige skal kunne påvise at prinsippene følges. Regelverket gjelder først og fremst virksomheter, og når en privatperson bruker opplysninger om deg i en privat setting, gjelder ikke personvernreglene, ifølge Datatilsynets veiledning om innsyn.

Norge har brukt adgangen i artikkel 8 til å sette en lavere aldersgrense for barns samtykke til nettjenester enn forordningens utgangspunkt på 16 år: grensen er 13 år etter personopplysningsloven § 5. Justis- og beredskapsdepartementet sendte i juli 2025 på høring et forslag om å heve grensen til 15 år, og saken står som under behandling på regjeringen.no.

For deg som privatperson betyr GDPR at du kan kreve å få vite hva som er lagret om deg, få feil rettet og opplysninger slettet, og klage til Datatilsynet. For en bedrift betyr det at hver behandling må ha et lovlig grunnlag, at kundene skal informeres, at opplysningene skal sikres og at sikkerhetsbrudd som kan gi risiko for folk, skal meldes. Begge sidene gjennomgås under, først rettighetene og så pliktene.

Retten til innsyn: dette kan du kreve å få vite

Retten til innsyn i personvernforordningen artikkel 15 gir deg rett til å få bekreftet om en virksomhet behandler opplysninger om deg, og i så fall til å få en kopi. Sammen med kopien skal du få vite formålet med behandlingen, hvilke kategorier opplysninger det gjelder, hvem de er eller vil bli utlevert til, hvor lenge de lagres, hvor de kommer fra hvis de ikke er hentet fra deg, og om virksomheten bruker automatiserte avgjørelser.

Virksomheten har også plikt til å gi deg en kopi av loggen over oppslag ansatte har gjort i opplysningene dine, med dato og formål, men etter en dom fra EU-domstolen har du ikke nødvendigvis krav på navnene til de ansatte, skriver Datatilsynet. Ber du om innsyn elektronisk, skal kopien som hovedregel også gis elektronisk i et vanlig filformat, etter samme artikkel i forordningen.

Virksomheten skal svare uten ugrunnet opphold og senest én måned etter at den mottok kravet, etter artikkel 12. Fristen kan forlenges med ytterligere to måneder når kravene er mange eller kompliserte, men da skal du få beskjed om forlengelsen og begrunnelsen innen den første måneden, går det fram av samme artikkel.

Første kopi skal være gratis, og ber du om flere kopier, kan virksomheten ta et rimelig administrasjonsgebyr (Datatilsynet om innsyn). Er kravene åpenbart grunnløse eller overdrevne, for eksempel fordi de gjentas, kan virksomheten kreve et rimelig gebyr eller avslå, men det er virksomheten som må bevise at det er tilfellet (artikkel 12).

Innsyn kan nektes i enkelte tilfeller, blant annet for opplysninger som er underlagt taushetsplikt, som må holdes hemmelige av hensyn til etterforskning av straffbare handlinger, eller som bare finnes i dokumenter laget for intern saksforberedelse, etter personopplysningsloven § 16. Den som nekter innsyn, må begrunne avslaget skriftlig og vise presist til unntaksbestemmelsen, slår personopplysningsloven § 16 fast.

Slik ber du om innsyn i praksis

Send kravet skriftlig, gjerne på e-post, til virksomhetens kundeservice eller personvernombud. Datatilsynet anbefaler på det sterkeste å kontakte personvernombudet før du eventuelt klager, og har en oversikt over virksomheter som har ombud.

Tilsynet har også laget et innsynsskjema som kan brukes for opplysninger om deg selv, om barna dine eller om noen du har skriftlig fullmakt fra (Datatilsynet om innsyn). Virksomheten kan kreve at du identifiserer deg før du får opplysningene, slik at de ikke leveres ut til feil person, skriver Datatilsynet.

Mange store tjenester har selvbetjente nedlastinger av brukerdata. Hos Google heter verktøyet Google Takeout, der du velger hvilke produkters data som skal pakkes i et nedlastingsarkiv, for eksempel e-post, dokumenter, kalenderaktiviteter og bilder (Google-konto Hjelp). Vil du i tillegg vite formål, mottakere og lagringstid, er det et formelt innsynskrav som gir deg krav på svar.

Et innsynskrav bør inneholde dette:

• Navn og kontaktopplysninger, og gjerne kundenummer eller brukernavn, slik at virksomheten kan finne deg i systemene sine.
• At du ber om innsyn etter personvernforordningen artikkel 15, og at du vil ha en kopi av opplysningene.
• Hva du særlig vil vite, for eksempel hvem opplysningene er delt med, hvor lenge de lagres og om de brukes til profilering.
• Datoen kravet ble sendt, slik at det er lett å regne ut når svarfristen løper ut.
• En kopi av henvendelsen og svaret: hvis klagen din senere gjelder innsyn, retting eller sletting, krever Datatilsynet dokumentasjon på at du har vært i kontakt med virksomheten først.

Retting, sletting og begrensning

Er opplysninger om deg uriktige, har du rett til å få dem rettet uten ugrunnet opphold, etter artikkel 16, og ufullstendige opplysninger kan du få komplettert. Retten til sletting, ofte kalt retten til å bli glemt, gjelder blant annet når opplysningene ikke lenger er nødvendige for formålet, når du trekker tilbake et samtykke og det ikke finnes noe annet grunnlag, når du har protestert med gjennomslag, og når opplysningene er behandlet ulovlig (artikkel 17).

Retten er ikke absolutt: virksomheten kan beholde opplysninger når det er nødvendig av hensyn til ytrings- og informasjonsfriheten, for å oppfylle en rettslig plikt, av hensyn til folkehelsen, for arkiv og forskning eller for å fastsette, gjøre gjeldende eller forsvare rettskrav (artikkel 17). Datatilsynet bruker bokføringsreglene som eksempel og skriver at du kan kreve sletting når den lovpålagte lagringstiden har gått, og at virksomheten skal varsle dem den har delt opplysningene med.

Er du under 18 år og har brukt sosiale medier, har du en særlig rett til å be om sletting, opplyser Datatilsynet om sletting. Vil du rydde i egne profiler, finnes det en egen guide om å slette seg fra sosiale medier.

Du kan også be søkemotorer som Google og Bing om å fjerne treff på navnet ditt, men søkemotoren må veie personvernet ditt mot allmennhetens rett til informasjon, og treffet fjernes bare fra søk innenfor EU/EØS (Datatilsynet om sletting av søketreff). Selve nettsiden blir liggende, så vil du ha fjernet innholdet, må du kontakte den som er ansvarlig for siden, skriver tilsynet.

Retten til begrensning i artikkel 18 betyr at virksomheten som hovedregel bare får lagre opplysningene, ikke bruke dem, for eksempel mens den kontrollerer om opplysninger du har bestridt er riktige, eller mens den vurderer en protest fra deg.

Protest, dataportabilitet og automatiserte avgjørelser

Etter artikkel 21 kan du protestere mot behandling som bygger på berettiget interesse eller på en oppgave i allmennhetens interesse. Virksomheten må da stanse, med mindre den kan påvise tvingende berettigede grunner som går foran dine interesser, eller trenger opplysningene for et rettskrav.

Gjelder det direkte markedsføring, er retten ubetinget: protesterer du, skal opplysningene ikke lenger brukes til markedsføring, heller ikke til profilering knyttet til slik markedsføring (artikkel 21). En protest av andre grunner må knyttes til din særlige situasjon, men Datatilsynet skriver at det ikke stilles strenge krav til begrunnelsen, og at det kan holde å forklare hvorfor du er ukomfortabel med behandlingen. Du kan derimot ikke protestere mot behandling som er nødvendig for en avtale du har inngått, eller som virksomheten er pålagt i lov, skriver tilsynet.

Retten til dataportabilitet i artikkel 20 gir deg rett til å få opplysninger du selv har gitt en virksomhet i et strukturert og maskinlesbart format, og til å få dem overført direkte til en annen virksomhet når det er teknisk mulig. Retten gjelder bare når behandlingen bygger på samtykke eller avtale og skjer automatisert, og den omfatter ikke analyser virksomheten selv har laget om deg; dem kan du i stedet be om innsyn i (artikkel 20, Datatilsynet om dataportabilitet).

Du har også rett til ikke å bli underlagt en avgjørelse som utelukkende er automatisert, etter artikkel 22, når den har rettsvirkning eller i betydelig grad påvirker deg. Unntak gjelder blant annet når avgjørelsen er nødvendig for en avtale eller bygger på ditt uttrykkelige samtykke, og da skal du i det minste ha rett til menneskelig inngripen, til å si din mening og til å bestride avgjørelsen (artikkel 22).

Klage til Datatilsynet og erstatning

Retten til å klage til en tilsynsmyndighet står i artikkel 77, og du kan særlig klage i landet der du bor, arbeider eller der overtredelsen skjedde. I Norge er det Datatilsynet, og klageskjemaet krever innlogging via ID-porten; har du ikke BankID eller kan ikke bruke ID-porten, kan klagen sendes per post (Datatilsynet om klage).

En god klage forklarer kort hva virksomheten har gjort med opplysningene dine, og legger ved dokumentasjon på kontakten med den. Tilsynet skriver at det kontakter deg innen en måned med en orientering om saken og forventet saksbehandlingstid (Datatilsynet). Ønsker du ikke oppfølging eller vil være anonym, kan du i stedet sende et tips, som ikke besvares, men brukes i planleggingen av tilsyn (Datatilsynet om tips).

Mange saker løses ved at Datatilsynet påpeker overfor virksomheten hvilke plikter den har, og overtredelsesgebyr er forbeholdt de mest alvorlige sakene, ifølge tilsynets klageside. Vedtak fra Datatilsynet kan som hovedregel påklages til Personvernnemnda, som er et uavhengig forvaltningsorgan, men ikke vedtak i grenseoverskridende saker som er fattet etter samarbeidsreglene i forordningen, går det fram av personopplysningsloven § 22.

Datatilsynet har ingen myndighet til å vurdere erstatning, så vil du ha erstatning, må du ta det opp med virksomheten eller gå til domstolene (Datatilsynet). Retten til erstatning for materiell og ikke-materiell skade følger av artikkel 82, og personopplysningsloven § 30 åpner for oppreisning for skade av ikke-økonomisk art.

Er du utsatt for identitetstyveri eller hacking, kan ikke Datatilsynet hjelpe deg direkte (Datatilsynet), og guiden om phishing og svindel forklarer hvordan slike angrep foregår og hva du kan gjøre.

GDPR-krav til bedrifter: hva må gjøres?

Datatilsynets sjekkliste for virksomheter begynner med å kartlegge hvilke personopplysninger virksomheten behandler, for eksempel kontaktinformasjon til ansatte og kunder, opplysninger om skattetrekk, handlehistorikk og IP-adresser fra nettsiden, og å definere et klart formål for hver kategori. Deretter må virksomheten ha rutiner som sikrer at kunder og ansatte faktisk får rettighetene sine innen fristen, skriver tilsynet.

Hver behandling må ha et behandlingsgrunnlag etter artikkel 6: samtykke, avtale, rettslig forpliktelse, vitale interesser, en oppgave i allmennhetens interesse eller berettiget interesse. Grunnlaget må være identifisert før opplysningene hentes inn, og Datatilsynet understreker at virksomheten ikke kan bytte grunnlag hvis et samtykke trekkes tilbake eller ikke var gyldig innhentet.

Bygger behandlingen på samtykke, må virksomheten kunne påvise det, og det skal være like enkelt å trekke samtykket tilbake som å gi det (artikkel 7). Helseopplysninger, opplysninger om religion, politisk oppfatning, fagforeningsmedlemskap og seksuell orientering er særlige kategorier som i utgangspunktet er forbudt å behandle, med unntak som står i artikkel 9.

Informasjonsplikten i artikkel 13 betyr at virksomheten, når den samler inn opplysninger, skal opplyse om hvem den er, formålet og det rettslige grunnlaget, mottakere, lagringstid og den registrertes rettigheter, blant annet retten til å klage til tilsynsmyndigheten. Er opplysningene hentet fra andre enn personen selv, skal informasjonen gis innen rimelig tid og senest innen én måned, etter artikkel 14.

Informasjonen samles ofte i en personvernerklæring på nettsiden. Den kan gjerne være lagvis med det viktigste øverst, men en personvernerklæring som forsøker å gjemme viktig informasjon, er i strid med loven, skriver Datatilsynet.

Protokoll, databehandleravtale og internkontroll

Etter artikkel 30 skal den behandlingsansvarlige føre en skriftlig protokoll over behandlingsaktivitetene, med blant annet formål, kategorier av registrerte og opplysninger, mottakere, overføringer til land utenfor EØS, planlagte slettefrister og en beskrivelse av sikkerhetstiltakene. Protokollen skal gjøres tilgjengelig for tilsynsmyndigheten på anmodning, slår artikkel 30 fast.

Virksomheter med færre enn 250 ansatte har et unntak, men Datatilsynet beskriver det som snevert og skriver at i praksis og nesten uten unntak skal alle virksomheter føre protokoll. Det finnes ingen formkrav til protokollen, og tilsynet har laget to enkle maler i Excel, én for behandlingsansvarlige og én for databehandlere (Datatilsynet om protokoll).

Bruker virksomheten en leverandør som behandler personopplysninger på dens vegne, for eksempel et system for timeføring eller lønn, skal forholdet reguleres i en skriftlig databehandleravtale etter artikkel 28. Avtalen skal blant annet slå fast at databehandleren bare behandler opplysningene etter dokumenterte instrukser, at de som får tilgang har taushetsplikt, at andre databehandlere bare brukes med skriftlig tillatelse, og at opplysningene slettes eller leveres tilbake når oppdraget er over (artikkel 28).

Datatilsynet skriver at jo mer omfangsrik, inngripende eller risikofylt behandlingen er, desto mer konkret må databehandleravtalen være. Virksomheten må også ha internkontroll og informasjonssikkerhet, og den bør legge en plan for hvordan avvik skal håndteres før noe går galt (Datatilsynets sjekkliste).

Avvik: når og hvordan et brudd skal meldes

Ved et brudd på personopplysningssikkerheten skal den behandlingsansvarlige melde fra til Datatilsynet uten ugrunnet opphold og om mulig senest 72 timer etter å ha fått kjennskap til bruddet, etter artikkel 33. Kommer meldingen senere, skal årsaken til forsinkelsen oppgis, og en databehandler som oppdager et brudd, skal varsle den behandlingsansvarlige (artikkel 33).

Unntaket er brudd som sannsynligvis ikke medfører risiko for personers rettigheter og friheter, men Datatilsynet skriver at virksomheten må være tilnærmet helt sikker på at det ikke er noen risiko for at unntaket skal gjelde. Typiske brudd som må meldes når de kan gi slik risiko, er dataangrep der opplysninger er hentet ut, e-post eller brev sendt til feil mottaker, mistede ukrypterte datamaskiner og minnepinner og dokumenter som er kastet i stedet for makulert, og alle brudd skal dokumenteres internt, også de som ikke meldes (Datatilsynet).

Meldingen sendes gjennom et skjema i Altinn, og den som melder, må ha en rolle i Enhetsregisteret eller fullmakt til enkelttjenesten. Har virksomheten ikke full oversikt innen fristen på 72 timer, kan den melde trinnvis og sende tilleggsinformasjon etter hvert (Datatilsynet om å melde avvik).

Er risikoen for de berørte høy, skal de også varsles direkte og uten ugrunnet opphold, med en klar beskrivelse av bruddet, de sannsynlige konsekvensene, tiltakene som er satt i verk og et kontaktpunkt (artikkel 34). Datatilsynet nevner identitetstyveri, økonomisk tap, skade på omdømme og taushetsbelagte opplysninger på avveie som eksempler på følger som kan gi høy risiko.

Personvernkonsekvenser (DPIA) og personvernombud

Når en behandling sannsynligvis vil gi høy risiko for personers rettigheter og friheter, særlig ved bruk av ny teknologi, skal den behandlingsansvarlige gjøre en vurdering av personvernkonsekvenser (DPIA) før behandlingen starter, etter artikkel 35. Forordningen nevner særlig systematisk profilering som danner grunnlag for viktige avgjørelser, behandling i stor skala av særlige kategorier opplysninger og systematisk overvåking i stor skala av offentlig tilgjengelige områder.

Datatilsynets liste over behandlinger som alltid krever DPIA, omfatter blant annet systematisk monitorering av ansatte, kameraovervåking i skoler og barnehager i åpningstiden og innsamling av personopplysninger i stor skala gjennom tingenes internett (Datatilsynet om DPIA). Er virksomheten usikker på om en DPIA trengs, anbefaler tilsynet å gjennomføre den.

Et personvernombud er obligatorisk for offentlige myndigheter og organer, etter artikkel 37, og for virksomheter der kjernevirksomheten er regelmessig og systematisk monitorering i stor skala, eller behandling i stor skala av særlige kategorier opplysninger eller opplysninger om straffedommer.

Datatilsynet regner personaladministrasjon og vanlig IT-støtte som noe alle virksomheter har, slik at det ikke alene utløser plikt til ombud, og et vanlig kunderegister for varer og faktura regnes ikke som monitorering. Bruker virksomheten derimot kunderegisteret til å profilere kundene for tilpasset reklame, kan det regnes som monitorering, og tilsynet anbefaler å dokumentere vurderingen hvis virksomheten konkluderer med at den ikke trenger ombud (Datatilsynet om personvernombud).

Eksisterende kunder, nyhetsbrev og informasjonskapsler

Markedsføring på e-post og SMS til enkeltpersoner krever som hovedregel forutgående samtykke etter markedsføringsloven § 15. Kravet gjelder både privatpersoner og ansatte på jobbadressen, og loven håndheves av Forbrukertilsynet (Datatilsynet om nyhetsbrev og e-postlister). For eksisterende kunder gjelder et unntak når alle disse vilkårene er oppfylt: kunden har gitt fra seg e-postadressen i forbindelse med et kjøp, markedsføringen gjelder egne produkter eller tjenester som tilsvarer det kundeforholdet bygger på, og kunden kan reservere seg enkelt og gratis både når adressen samles inn og ved hver utsendelse (Datatilsynet).

Er vilkårene oppfylt, trenger virksomheten ikke et eget behandlingsgrunnlag etter personvernforordningen i tillegg, fordi EU-domstolen har avklart at de spesifikke reglene går foran de generelle (tilsynets veiledning). Sporer virksomheten om mottakeren åpner nyhetsbrevet og hva vedkommende klikker på, er det derimot egne behandlinger som krever eget grunnlag, skriver tilsynet. Reglene for samtykke, kjøpte lister og avmelding er forklart nærmere i guiden om e-postmarkedsføring og samtykke.

Kundeklubber kan bruke opplysninger så langt det er nødvendig for å gi rabatter og bonus, men analyse av handlemønster for persontilpasset markedsføring krever som hovedregel samtykke (Datatilsynet om kundeklubber).

Informasjonskapsler og lignende sporing krever samtykke etter ekomloven § 3-15, og samtykket skal oppfylle kravene i personvernforordningen. Unntak gjelder lagring som utelukkende trengs for å overføre kommunikasjon, eller som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om (ekomloven § 3-15).

Kravet har gjeldt i denne formen fra 1. januar 2025, og Datatilsynets veiledning om informasjonskapsler sier at det å avvise samtykke ikke skal kreve ekstra klikk, og at alternativet for å avvise ikke skal skjules eller gis lavere oppmerksomhetsverdi enn alternativet for å godta.

Sanksjoner: gebyrer og kjente norske saker

Brudd på grunnprinsippene, kravene til samtykke og de registrertes rettigheter kan gi overtredelsesgebyr på opptil 20 millioner euro eller, for foretak, opptil 4 prosent av den samlede globale årsomsetningen, der det høyeste beløpet gjelder, etter artikkel 83. For brudd på blant annet pliktene om protokoll, databehandlere, sikkerhet og avviksmelding er rammen opptil 10 millioner euro eller 2 prosent (artikkel 83). I Norge kan Datatilsynet også ilegge offentlige myndigheter og organer overtredelsesgebyr, etter personopplysningsloven § 26.

Grindr-saken viser hvor høyt et gebyr kan bli: datingappen fikk et gebyr på 65 millioner kroner i desember 2021 for å ha delt brukernes GPS-posisjon, IP-adresse, annonse-ID, alder, kjønn og det at de brukte Grindr med annonsepartnere uten gyldig samtykke (Datatilsynet). Personvernnemnda opprettholdt gebyret i 2023, Oslo tingrett i 2024 og Borgarting lagmannsrett 21. oktober 2025 (Datatilsynet om lagmannsrettens dom).

Gebyrer kan også falle bort etter klage. Datatilsynet ila Nav et overtredelsesgebyr på 20 millioner kroner i mars 2024 for svak tilgangsstyring og loggkontroll, men Personvernnemnda opphevet gebyrvedtaket i desember 2024 på grunn av mangler ved vedtaket (Personvernnemndas vedtak). Tilsynet har senere avsluttet den gamle saken og varslet et nytt tilsyn med Nav høsten 2026 (Datatilsynet).

Nyere saker viser hva tilsynet reagerer på i dag. Datatilsynet offentliggjorde i januar 2026 at Timegrip AS hadde fått et gebyr på 250 000 kroner for å ha avslått innsynskrav fra 80 ansatte i en konkursrammet butikkjede som trengte timelistene sine for å dokumentere lønnskrav (Datatilsynet). Datatilsynet offentliggjorde i juni 2026 et gebyr på 20 millioner kroner til Elkjøp, blant annet for behandling av personopplysninger i kundeklubben uten gyldig samtykke og for sene svar på rettighetsforespørsler (Datatilsynet).

Også offentlige nettsteder blir kontrollert: i et tilsyn med seks nettsteder som brukte sporingspiksler, fikk 116111.no, som drives av Kristiansand kommune, et gebyr på 250 000 kroner for å ha delt besøkendes opplysninger med tredjeparter, mens de andre nettstedene fikk irettesettelser (Datatilsynet).