GDPR-regler: dine rettigheder over dine persondata

GDPR, eller databeskyttelsesforordningen, giver dig en række rettigheder over de personoplysninger, som virksomheder, myndigheder og organisationer behandler om dig. Du kan se, hvad de har, få fejl rettet, i nogle tilfælde få oplysninger slettet og sige nej til direkte markedsføring. Den her guide gennemgår rettighederne en ad gangen, viser trin for trin, hvordan du fremsætter en anmodning, hvor lang tid svaret må tage, og hvad du kan gøre, hvis du får nej eller slet intet svar.

Guiden bygger på Datatilsynets egne vejledninger og afgørelser. Den er almindelig information og ikke juridisk rådgivning. Står du med en konkret sag, så læs Datatilsynets sider.

Kort svar: de otte rettigheder

Datatilsynet beskriver følgende rettigheder:

1. Ret til oplysning: Virksomheder og myndigheder skal selv fortælle dig, hvad de bruger dine oplysninger til, og hvor længe de gemmer dem. Du behøver ikke bede om det.
2. Ret til indsigt: Du kan se, hvilke oplysninger der behandles om dig, og få en gratis kopi.
3. Ret til berigtigelse: Du kan få urigtige oplysninger rettet og ufuldstændige oplysninger gjort fuldstændige.
4. Ret til sletning: Oplysningerne skal slettes, hvis en af forordningens betingelser er opfyldt. Det kaldes også »retten til at blive glemt«.
5. Ret til begrænsning af behandling: I visse tilfælde kan behandlingen begrænses, så oplysningerne kun må opbevares.
6. Ret til dataportabilitet: Du kan få de oplysninger, du selv har givet, i et læsevenligt format.
7. Ret til indsigelse: Du kan gøre indsigelse mod en lovlig behandling. Ved direkte markedsføring skal behandlingen stoppe, så snart indsigelsen er modtaget.
8. Ret til ikke at blive udsat for en automatisk afgørelse: Det gælder afgørelser med betydelig virkning, der alene bygger på automatisk behandling, herunder profilering.

Du retter din anmodning til den, der behandler oplysningerne, ikke til Datatilsynet. Svaret skal komme uden unødig forsinkelse og senest inden for en måned. Får du nej, eller hører du ingenting, kan du klage til Datatilsynet.

Vil du se, hvad der er offentligt synligt om dig, før du skriver til nogen? Remove Me laver en gratis analyse uden tilmelding. Den søger i det, der er offentligt tilgængeligt, i kendte datalæk (via Have I Been Pwned) og i et register over databrokere. En seks-cifret kode sendt til din e-mailadresse låser rapporten op. Remove Me sender endnu ikke anmodninger om sletning på dine vegne. Start min gratis analyse.

Hvem skal du henvende dig til?

Rettighederne gælder over for den, der bestemmer, hvorfor og hvordan dine oplysninger bruges. Juridisk kaldes den part for den dataansvarlige. I praksis kan det være en webshop, en bank, en arbejdsgiver, en forening, en kommune eller en hjemmeside, der offentliggør oplysninger om dig.

Datatilsynet anbefaler, at du altid begynder dér. Både siden om klager og siden om sikkerhedsbrud siger, at du først skal kontakte den virksomhed eller myndighed, der behandler dine oplysninger. Nogle sager kan løses direkte, så Datatilsynet slet ikke skal involveres.

Det er der en praktisk grund til. En dataansvarlig kan kun rette eller slette noget, hvis den ved, at du har et ønske. Og et klagebrev til Datatilsynet bliver stærkere, hvis du kan vedlægge din egen henvendelse og svaret på den.

Når du skal finde en kontaktadresse, så kig i virksomhedens privatlivspolitik eller under »kontakt« på hjemmesiden. Står der ingen e-mailadresse til databeskyttelse, kan du bruge den almindelige kundeservice. Datatilsynet skriver, at der ikke gælder regler for, hvordan du skal bede om indsigt, og at du kan henvende dig telefonisk, per brev eller per e-mail. Skriftligt er dog klogest, fordi du så kan dokumentere, hvornår du spurgte.

De otte rettigheder en ad gangen

Alle rettigheder har egne betingelser. Her er en gennemgang, der hjælper dig med at vælge den rigtige.

Ret til oplysning

Du skal ikke selv sætte gang i den her rettighed. Virksomheder, myndigheder og organisationer skal oplyse dig om behandlingen, blandt andet formål og opbevaringsperiode, i et kortfattet og letforståeligt format. Det står typisk i en privatlivspolitik eller en kort tekst, når du opretter en konto.

Hvis du ikke kan finde ud af, hvem der har dine oplysninger, eller hvad de bruges til, er det her det første sted at kigge. Mangler informationen, eller er den uforståelig, er det i sig selv et godt udgangspunkt for en henvendelse.

Ret til indsigt

Indsigt er ofte det bedste første skridt. Du kan se de personoplysninger, der behandles om dig, og få en gratis kopi. Du kan også få oplyst formålet med behandlingen, hvem der har modtaget oplysningerne, hvor længe de opbevares, og hvor de kommer fra.

Når du ved, hvad der findes, kan du vælge næste skridt: rette en fejl, bede om sletning eller gøre indsigelse. Vi gennemgår hele forløbet i artiklen om at anmode om indsigt i dine data.

Ret til berigtigelse

Er noget forkert, kan du få det rettet. Er noget ufuldstændigt, kan du få det gjort fuldstændigt. Datatilsynet skriver, at hvis du og den dataansvarlige er uenige, bliver din uenighed noteret, og de, der har fået oplysningerne, skal underrettes. Ved faglige vurderinger, for eksempel fra en læge, kan du få tilføjet en anden vurdering.

Sig tydeligt, hvilke oplysninger du mener er forkerte, og hvorfor. Datatilsynet skriver i sine ofte stillede spørgsmål, at virksomheden eller myndigheden skal tage stilling til, om oplysningerne skal slettes, blokeres eller rettes.

Ret til sletning

Retten til sletning er den, de fleste tænker på, når de siger GDPR. Den er dog ikke absolut. Ifølge Datatilsynet skal oplysninger slettes, hvis en af betingelserne i forordningen er opfyldt. Eksempler er, at formålet ikke længere er aktuelt, at du har trukket et samtykke tilbage, eller at behandlingen er ulovlig. Tredjemænd, som oplysningerne er videregivet til, skal også underrettes.

Undtagelserne er lige så vigtige. Datatilsynet skriver for eksempel, at oplysninger hos offentlige myndigheder normalt ikke kan slettes på grund af offentlighedsloven og arkivloven. I stedet skal myndigheden notere din indsigelse i sagen. Vi går i dybden i artiklen om retten til sletning.

Ret til begrænsning af behandling

Nogle gange vil du ikke have oplysningerne slettet, men heller ikke have, at de bliver brugt, mens en uenighed bliver afklaret. Det kan være tilfældet, hvis oplysningerne er forkerte, eller hvis du har gjort indsigelse. Begrænsning kan så betyde, at oplysningerne kun må opbevares, mens spørgsmålet bliver afklaret.

Ret til dataportabilitet

Hvis du skifter tjeneste, kan du få de oplysninger, du selv har givet, i et læsevenligt format. I nogle tilfælde kan de overføres direkte til en anden dataansvarlig, hvis det er teknisk muligt. Datatilsynet understreger, at retten kun gælder, når behandlingen sker automatisk og bygger på samtykke eller en kontrakt. Oplysninger, som virksomheden selv har fundet på om dig, er altså ikke omfattet.

Ret til indsigelse

Du kan gøre indsigelse mod en lovlig behandling, hvis du har tungtvejende grunde. Ved direkte markedsføring er reglen enklere: Behandlingen skal stoppe, så snart indsigelsen er modtaget. Her skal du altså ikke begrunde noget.

Hvis du får reklamer eller tilbud fra en virksomhed, du aldrig har bedt om kontakt fra, er indsigelse mod markedsføring den rettighed, du skal bruge. Skriv det kort og klart i en mail, og gem kopien.

Ret til ikke at blive udsat for en automatisk afgørelse

Du kan ikke blive underlagt en afgørelse med betydelig påvirkning, hvis den alene bygger på automatisk behandling, herunder profilering. Har du fået en afgørelse, hvor du mistænker, at ingen menneskelig sagsbehandler har kigget på din sag, kan du bede om at få forklaret, hvordan afgørelsen er truffet.

Sådan skriver du en anmodning, trin for trin

Der findes ingen officiel blanket til en henvendelse til en virksomhed. Her er en fremgangsmåde, der passer til de fleste situationer.

1. Find den dataansvarlige. Brug privatlivspolitikken eller kontaktsiden. Hvis oplysningerne ligger på en hjemmeside, og du ikke ved, hvem der står bag, kan du ifølge Datatilsynet slå domænet op i DK Hostmasters WHOIS-database.
2. Vælg én rettighed pr. henvendelse. Du kan godt skrive flere ønsker i samme mail, men det er nemmere for modtageren at svare, og for dig at se, hvad der er blevet besvaret, hvis hvert ønske står for sig.
3. Skriv det, så det kan dokumenteres. E-mail eller brev er bedre end et telefonopkald. Skriv datoen på din henvendelse, så du kan regne ud, hvornår fristen udløber.
4. Vær præcis. Beskriv, hvilke oplysninger det drejer sig om, og hvad du ønsker. Skal noget rettes, så sig hvad der er forkert, og hvorfor.
5. Regn med, at virksomheden vil vide, at det er dig. Send kun det, der er nødvendigt for at identificere dig, og lad være med at sende flere personoplysninger, end du behøver.
6. Gem svaret, og gem din egen henvendelse. Begge dele skal bruges, hvis du senere klager til Datatilsynet.

Et eksempel, du kan tilpasse

Tekst i kantede parenteser er pladsholdere. Brug dine egne oplysninger og lad være med at sende mere, end du skal.

Til [virksomhedens navn],

Jeg anmoder om indsigt i de personoplysninger, I behandler om mig, og om en kopi af dem. Jeg vil også gerne have oplyst formålet med behandlingen, hvem I har videregivet oplysningerne til, hvor længe I opbevarer dem, og hvor oplysningerne kommer fra.

Anmodningen gælder min kundekonto med e-mailadressen [din e-mailadresse].

[Dato, navn]

Vil du have noget slettet, kan du i stedet skrive: »Jeg beder jer slette de oplysninger om mig, som I behandler i forbindelse med [kort beskrivelse]. Grunden er, at [for eksempel: jeg har trukket mit samtykke tilbage]. Skriv til mig, hvis I mener, at noget forhindrer sletning.« Det sidste gør det lettere at forstå et eventuelt afslag.

Hvor lang tid må svaret tage?

Det er et af de spørgsmål, som Datatilsynets side om rettigheder ikke besvarer. Siden nævner ingen konkrete frister. Svaret findes i stedet i tilsynets afgørelser.

I en afgørelse fra september 2025 om Skatteforvaltningens håndtering af indsigtsanmodninger skriver Datatilsynet, at en anmodning skal behandles uden unødig forsinkelse og senest inden for en måned efter modtagelsen. Fristen kan forlænges med to måneder, hvis det er nødvendigt på grund af anmodningens kompleksitet og antallet af anmodninger.

Samme afgørelse sætter også grænser for forlængelsen. Datatilsynet vurderer, at begrundelsen skal knytte sig til den enkelte anmodning. En myndighed kan altså ikke udskyde din sag, fordi den har travlt med andre personers anmodninger. Mangel på ressourcer, personale eller prioritering er som udgangspunkt ikke en gyldig grund til lange sagsbehandlingstider. I den konkrete sag udtalte Datatilsynet alvorlig kritik af Skatteforvaltningen.

I praksis betyder det:

• Skriv datoen på din henvendelse, og læg en måned til.
• Er der gået mere end en måned uden svar eller uden en forklaring, kan du sende en kort påmindelse med en henvisning til din første henvendelse.
• Hjælper det ikke, har du grundlag for en klage til Datatilsynet.

Teksten i selve forordningen (artikel 12) var ikke tilgængelig, da den her guide blev skrevet. Fristerne ovenfor bygger derfor på Datatilsynets egen formulering i afgørelsen. Tjek altid fristen på Datatilsynets sider, hvis din sag er vigtig.

Hvad kan du få nej til?

Ikke alle anmodninger ender med, at du får, hvad du beder om. Datatilsynet skriver, at der i visse tilfælde kan gælde undtagelser fra rettighederne. Nogle af de vigtigste ser sådan ud:

• Sletning er ikke altid mulig. Virksomheder og myndigheder skal for eksempel gemme visse oplysninger i et bestemt tidsrum. Hos offentlige myndigheder kan oplysninger normalt ikke slettes på grund af offentlighedsloven og arkivloven.
• Ytringsfrihed og informationsfrihed vejer tungt. Datatilsynet skriver om søgemaskiner, at retten til sletning ikke gælder, når behandlingen er nødvendig for at udøve ytrings- og informationsfriheden.
• Samtykke er kun ét af flere behandlingsgrundlag. Det er derfor ikke altid nok at trække et samtykke tilbage. Datatilsynet skriver, at samtykke er ét blandt flere grundlag, og at det ikke altid er nødvendigt at give samtykke.
• Dataportabilitet gælder kun nogle behandlinger, nemlig automatisk behandling, der bygger på samtykke eller en kontrakt.

Et afslag er ikke nødvendigvis det sidste ord. Du kan klage til Datatilsynet, som vurderer, om sagen skal undersøges.

Sådan klager du til Datatilsynet

Det er kun muligt at klage over behandlingen af oplysninger om dig selv. Datatilsynet skriver, at hvis klagen ikke handler om dig, er du ikke klageberettiget. Du kan dog klage på en andens vegne med en fuldmagt, eller hvis du har forældremyndighed.

Forløbet ser sådan ud:

1. Kontakt virksomheden eller myndigheden først. Det anbefaler Datatilsynet. Hvis det løser problemet, er du færdig.
2. Gå til klageformularen. Du logger ind med MitID og udfylder en digital klageformular. Formularen guider dig til at give de oplysninger, tilsynet skal bruge.
3. Vedhæft det, du har. Din henvendelse, svaret eller dokumentation for, at du ikke fik svar. Datatilsynet kan ikke modtage visse filtyper, for eksempel .exe, .zip og .rar, og heller ikke filer med lyd eller video eller filer fra eksterne links.
4. Send klagen og gem kvitteringen. Du får en kvittering i Digital Post, og du kan også downloade både klagen og kvitteringen i din browser.

Har du ikke MitID, eller vil du ikke bruge formularen, kan du kontakte Datatilsynet på en anden måde via deres kontaktside. Tilsynet skal mindst kende dit navn og din adresse, og de behandler som udgangspunkt ikke anonyme klager. Vi gennemgår forløbet mere detaljeret i artiklen om at klage til Datatilsynet.

Hvad sker der med din klage?

Datatilsynet beskriver selv forløbet. Klagen registreres og overgives til en sagsbehandler. Tilsynet afgør, om klagen skal undersøges eller afvises. Nogle klager afvises, for eksempel fordi de ikke reelt handler om databeskyttelse. I andre tilfælde vejleder tilsynet dig og den, du har klaget over, så sagen kan løses uden en formel undersøgelse. Ifølge siden er det ofte den hurtigste løsning.

Hvis sagen undersøges, beder tilsynet normalt den, du har klaget over, om en udtalelse, og du får mulighed for at kommentere den. Til sidst vurderer tilsynet, om reglerne er overtrådt, og sender afgørelsen til begge parter.

Forvent ikke et hurtigt svar. Datatilsynets mål er, at 50 % af klagesagerne er afsluttet inden for 2 måneder, og at 80 % er afsluttet inden for 6 måneder. Siden oplyser ikke en fast svarfrist, og tilsynet skriver, at nogle sager tager længere tid end normalt, fordi det modtager flere klager. Tilsynet starter heller ikke undersøgelser på baggrund af alle klager.

Tilsynets afgørelser kan ikke påklages til tilsynet selv, men de kan indbringes for domstolene. Selve sagsbehandlingen kan klages til Folketingets Ombudsmand.

Hvad Datatilsynet ikke kan

Det er vigtigt at have rimelige forventninger. Ifølge Datatilsynet kan tilsynet ikke tage stilling til krav om erstatning eller godtgørelse. Sådanne krav skal rejses over for virksomheden eller myndigheden, og kan føre til en civil sag ved domstolene. Datatilsynet skriver også, at tilsynet næppe kan give et bindende svar på, om en konkret behandling er lovlig, hvis du bare er usikker. Handler din sag primært om andet end personoplysninger, kan en anden instans være den rette. Siden nævner blandt andre Forbrugerombudsmanden, Nævnenes Hus og Ankestyrelsen.

Hvilken rettighed passer til hvilken situation?

Mange ved, at noget er galt, men ikke hvilken rettighed der hjælper. Her er en hurtig oversigt:

• »Jeg ved ikke, hvad de har om mig.« Start med indsigt. Så får du et grundlag for næste skridt.
• »Oplysningerne er forkerte.« Bed om berigtigelse. Beskriv, hvad der er forkert.
• »Jeg vil ikke have, at de har oplysningerne.« Bed om sletning, men forvent, at virksomheden kan henvise til en undtagelse.
• »Jeg får reklamer, jeg ikke har bedt om.« Gør indsigelse mod direkte markedsføring. Behandlingen skal stoppe, så snart indsigelsen er modtaget.
• »Jeg har givet samtykke og fortryder.« Træk samtykket tilbage. Datatilsynet skriver, at behandlingen normalt skal ophøre, når et samtykke trækkes tilbage.
• »Jeg skifter tjeneste og vil have mine data med.« Brug retten til dataportabilitet.
• »En afgørelse om mig virker automatisk.« Brug retten til ikke at blive udsat for en automatisk afgørelse.

Særlige situationer

Søgeresultater om dig på Google eller Bing

Her er rækkefølgen en anden. Datatilsynet skriver, at du først skal henvende dig til søgemaskinen via dens klageformular, angive præcist hvilket søgeresultat det drejer sig om, og hvorfor du vil have det fjernet. Afviser søgemaskinen, kan du klage til Datatilsynet og vedlægge søgemaskinens svar.

Husk, at kun selve søgeresultatet fjernes, ikke kilden. Artiklen eller hjemmesiden findes stadig. Vil du have indholdet fjernet, skal du kontakte den ansvarlige for hjemmesiden. Klager du over indholdet af en nyhedsartikel, er det Pressenævnet, du skal henvende dig til. Du kan læse mere i vores guide til at fjerne dine oplysninger fra telefonbøger, virksomhedsregistre og Google.

Dine oplysninger er blevet lækket

Er dine oplysninger i et databrud, er rækkefølgen den samme. Datatilsynet skriver, at du først skal spørge den ansvarlige virksomhed, hvad den har gjort for at begrænse skaden. Skift derefter adgangskoder, også de steder, hvor du har brugt den samme, og vær opmærksom på phishing. Du kan få mere at vide i artiklen om, hvad du gør, når dine data er lækket. Datatilsynet kan ikke tage stilling til erstatning, og tilsynet afviser ofte at undersøge en klage, hvis samme forhold allerede behandles i forbindelse med et anmeldt sikkerhedsbrud.

Du er blevet ramt af identitetstyveri

Her er Datatilsynet ikke den rette adresse. Tilsynet skriver, at det ikke kan hjælpe med identitetstyveri, fordi det ligger uden for deres område. Hvis du er ramt, anbefaler tilsynet at anmelde det til politiet, kontakte din bank og andre berørte og holde øje med dine konti og din e-mail. Sikker Digitals hotline om identitetstyveri kan vejlede dig om næste skridt.

Andres oplysninger

Har du modtaget andres oplysninger ved en fejl, for eksempel en mail til den forkerte? Så skal du give virksomheden eller myndigheden besked, hvis du er i tvivl om, at den kender til fejlen. Anmeldelsen til Datatilsynet er den dataansvarliges ansvar, og du kan ikke klage over behandlingen af andres oplysninger. Hvis du vil gøre tilsynet opmærksom på noget uden at være selv berørt, kan du sende et tip, men tilsynet er ikke forpligtet til at undersøge det.

Almindelige misforståelser

»Datatilsynet kan slette mine oplysninger.« Nej. Du retter anmodningen til den, der behandler oplysningerne. Datatilsynet behandler klager og vurderer, om reglerne er overtrådt.

»GDPR betyder, at alt skal slettes, hvis jeg beder om det.« Nej. Retten til sletning gælder kun, hvis en af betingelserne er opfyldt, og der findes undtagelser.

»Jeg skal give samtykke til alt.« Nej. Datatilsynet skriver, at samtykke kun er ét af flere behandlingsgrundlag. Datatilsynet har desuden en side om myter om GDPR, som er værd at læse.

»Jeg kan klage over, hvad som helst.« Nej. Du kan kun klage over oplysninger om dig selv. Over andres oplysninger kan du højst sende et tip.

»Når et søgeresultat er væk, er oplysningerne væk.« Nej. Kun søgeresultatet fjernes. Kilden skal du henvende dig til hjemmesidens ansvarlige om, og nye adresser skal du anmode om at få fjernet særskilt.

Sådan kommer du videre i dag

Hvis du kun har tid til tre ting, så gør de her:

1. Find ud af, hvem der behandler de oplysninger, du er bekymret for, og find kontaktadressen.
2. Send en kort, skriftlig anmodning om indsigt. Notér datoen.
3. Er der gået en måned uden svar, så send en påmindelse. Hjælper det ikke, så klag til Datatilsynet med MitID.

Det er også en god idé at samle dine rettigheder ét sted. Hvis du vil have et overblik over, hvad der i dag er offentligt synligt om dig, før du begynder at skrive breve, kan du starte med den gratis analyse fra Remove Me. Husk, at ingen analyse eller anmodning kan sikre, at alle oplysninger forsvinder. Hver dataansvarlig vurderer din anmodning ud fra reglerne, og nogle gange er svaret nej.

Kilder

• Datatilsynet: Dine rettigheder
• Datatilsynet: Klager og tips
• Datatilsynet: Sådan klager du
• Datatilsynet: Sådan behandler vi klager
• Datatilsynet: Omfattet af et sikkerhedsbrud?
• Datatilsynet: Søgemaskiner
• Datatilsynet: Ofte stillede spørgsmål
• Datatilsynet: Afgørelse om Skatteforvaltningens håndtering af indsigtsanmodninger (september 2025)