GDPR-rettigheter i Norge 2026: slik krever du innsyn

Hva er GDPR?

GDPR (General Data Protection Regulation) er EUs personvernforordning, vedtatt i 2018. I Norge gjelder den gjennom EØS-avtalen, og er gjennomført i personopplysningsloven. GDPR regulerer hvordan virksomheter — offentlige og private — kan samle inn, behandle og lagre personopplysninger om deg.

Forordningen gir deg som privatperson en rekke konkrete rettigheter som du aktivt kan benytte deg av. Disse rettighetene gjelder overfor alle virksomheter som behandler opplysninger om deg, enten det er Google, din arbeidsgiver, en nettbutikk eller et norsk kommunalt organ.

Dine rettigheter under GDPR

GDPR gir deg følgende sentrale rettigheter:

• Rett til innsyn (art. 15): Du kan kreve å få vite hvilke personopplysninger en virksomhet har om deg, hva de brukes til, hvem de deles med og hvor lenge de lagres. Virksomheten må svare innen én måned.
• Rett til retting (art. 16): Dersom opplysningene om deg er feil eller ufullstendige, kan du kreve at de rettes.
• Rett til sletting («retten til å bli glemt», art. 17): Du kan i mange tilfeller kreve at opplysningene om deg slettes. Dette gjelder særlig om samtykke er trukket tilbake, opplysningene ikke lenger er nødvendige, eller de er behandlet ulovlig.
• Rett til begrensning (art. 18): Du kan kreve at behandlingen av opplysningene dine midlertidig begrenses, for eksempel mens en klage behandles.
• Rett til dataportabilitet (art. 20): Du kan kreve å motta opplysningene dine i et maskinlesbart format og overføre dem til en annen leverandør.
• Rett til å protestere (art. 21): Du kan protestere mot at opplysningene dine brukes til direkte markedsføring eller profilering.
• Rettigheter mot automatiserte avgjørelser (art. 22): Du kan kreve menneskelig vurdering av avgjørelser som er tatt automatisk og som påvirker deg vesentlig.

Slik krever du innsyn — mal

For å benytte deg av innsynsretten sender du en skriftlig henvendelse til virksomhetens personvernombud eller kundeservice. Du trenger ikke oppgi grunn. Her er en mal:

«Til [virksomhetens navn], I henhold til GDPR artikkel 15 ber jeg herved om innsyn i alle personopplysninger dere behandler om meg. Vennligst oppgi: hvilke opplysninger som behandles, formålet med behandlingen, hvem opplysningene deles med, og lagringstid. Navn: [Ditt navn], E-post: [din e-post], Telefon: [ditt nr.]. Jeg forventer svar innen 30 dager. Med vennlig hilsen, [Navn].»

Send henvendelsen via e-post eller virksomhetens personvernportal. Store aktører som Google, Meta og Microsoft har egne portaler for dette (myaccount.google.com, facebook.com/dyn/privacy/policy, account.microsoft.com).

Hva bedrifter ikke har lov til

Under GDPR er følgende forbudt uten gyldig hjemmelsgrunnlag:

• Behandle sensitive personopplysninger (helse, religion, politisk syn, seksuell orientering) uten eksplisitt samtykke.
• Selge personopplysningene dine til tredjeparter uten ditt samtykke.
• Sende markedsføring per e-post uten samtykke (regulert av e-komloven).
• Lagre opplysninger lenger enn nødvendig for det oppgitte formålet.
• Nekte deg innsyn i egne opplysninger uten saklig grunn.
• Profilere deg for automatiske avgjørelser med rettslig virkning uten menneskelig kontroll.

Klage til Datatilsynet

Dersom en virksomhet ikke overholder dine rettigheter — for eksempel nekter innsyn, ikke sletter data etter krav, eller behandler opplysningene dine ulovlig — kan du klage til Datatilsynet.

Slik klager du: Gå til datatilsynet.no og finn klageskjemaet under «For privatpersoner» → «Send klage». Du trenger å beskrive hva som har skjedd, hvilken virksomhet det gjelder, og legge ved dokumentasjon (kopier av korrespondanse). Datatilsynet vil undersøke saken og kan pålegge virksomheten å rette opp forholdet eller ilegge bøter.

Merk at Datatilsynet primært behandler systemsaker og prinsipiell praksis. For individuelle krav (som å få slettet data) bør du fortsette dialogen direkte med virksomheten parallelt med klagen.

Les mer i vår steg-for-steg-guide til å klage til Datatilsynet. Vil du rydde i digitale spor, se hvordan du sletter deg fra sosiale medier og beskytter deg mot identitetstyveri og phishing.

Norsk lov vs. EU-GDPR

Norge har implementert GDPR gjennom personopplysningsloven av 2018. Regelverket er i all hovedsak likt EU-GDPR, men det finnes noen nasjonale tilpasninger. Blant annet er det egne regler for behandling av personopplysninger i arbeidslivet (arbeidsmiljøloven §9-3 og §9-4).

En viktig norsk særregel er at barn under 15 år ikke kan gi gyldig samtykke til behandling av personopplysninger for informasjonssamfunnstjenester (som sosiale medier) uten foreldrenes samtykke. EU-GDPR setter denne grensen ved 16 år, men tillater landene å senke den til 13 år — Norge valgte 15 år.

Klager som ikke løses av Datatilsynet kan videre bringes til Personvernnemnda, og i siste instans til domstolene. EU-borgere kan også klage til tilsynsmyndigheten i landet der virksomheten har sitt europeiske hovedkvarter.

GDPR og kunstig intelligens i 2026

Den største personvernutfordringen i 2026 er kunstig intelligens. KI-modeller trenes på enorme mengder data som ofte inneholder personopplysninger, og stadig flere tjenester bruker KI til å ta automatiske avgjørelser om folk — i kredittvurdering, ansettelser, forsikring og helsetjenester.

GDPR artikkel 22 gir deg rett til å ikke bli underlagt en avgjørelse som utelukkende er basert på automatisert behandling, dersom den har rettslig virkning eller på lignende måte påvirker deg vesentlig. Du kan kreve menneskelig vurdering, få forklart hovedlogikken bak avgjørelsen og bestride resultatet.

Datatilsynet har KI og personvern høyt på prioriteringslisten i 2026, og EUs KI-forordning (AI Act) trer gradvis i kraft parallelt med GDPR. Bruker du KI-verktøy i jobb eller egen virksomhet, bør du være bevisst på at personopplysninger du limer inn kan bli lagret og brukt til videre trening.

Cookies og samtykke på norske nettsteder

Når et nettsted ber om samtykke til informasjonskapsler (cookies), styres dette av ekomloven sammen med GDPR. Hovedregelen er at alt utover strengt nødvendige cookies — særlig sporing til markedsføring og analyse — krever et aktivt og frivillig samtykke fra deg.

Et gyldig samtykkebanner skal gjøre det like enkelt å si nei som ja. En «Godta alle»-knapp uten en like synlig «Avvis alle» er ikke i tråd med regelverket, og Datatilsynet har slått ned på flere norske aktører for nettopp dette. Du kan når som helst trekke tilbake samtykket i nettleseren eller nettstedets innstillinger.

GDPR for bedrifter: de viktigste pliktene

Driver du virksomhet, har du plikter etter GDPR uansett størrelse. De viktigste er:

• Behandlingsgrunnlag: All bruk av personopplysninger må ha et lovlig grunnlag — samtykke, avtale, rettslig forpliktelse eller berettiget interesse (art. 6).
• Protokoll over behandlingsaktiviteter: De fleste virksomheter må føre en oversikt over hvilke personopplysninger de behandler, til hvilke formål og hvor lenge.
• Databehandleravtale: Bruker du underleverandører (skytjenester, regnskapsbyrå, e-postverktøy) som behandler data på dine vegne, må dere ha en skriftlig databehandleravtale.
• Avviksmelding innen 72 timer: Ved brudd på personopplysningssikkerheten må du melde fra til Datatilsynet uten ugrunnet opphold, og senest innen 72 timer.
• Innebygd personvern (privacy by design): Personvern skal være standardinnstillingen i systemer og tjenester, ikke et tillegg man slår på i ettertid.
• Personvernombud: Offentlige organer og virksomheter som driver omfattende overvåking eller behandler sensitive data i stor skala må utpeke et personvernombud.

Bøter og kjente saker

Datatilsynet kan ilegge overtredelsesgebyr på inntil 20 millioner euro eller 4 % av virksomhetens globale årsomsetning — det høyeste av de to beløpene gjelder. Gebyrene skal være «effektive, forholdsmessige og avskrekkende».

I Norge har blant annet Grindr fått et betydelig gebyr for ulovlig deling av brukerdata med annonsører, og flere kommuner og selskaper har fått gebyrer for mangelfull sikring av personopplysninger. Sakene viser at tilsynet håndhever regelverket også overfor store internasjonale aktører som behandler nordmenns data.