Jesper Bengtson
Danskere har ret til at få slettet personoplysninger hos virksomheder og myndigheder, hvis bestemte betingelser er opfyldt.
Når et abonnement opsiges, et jobforhold ophører eller en kundeprofil ikke længere bruges, skifter kontrollen over de personoplysninger, en organisation har registreret, ikke automatisk tilbage til borgeren. Men i en række situationer kan borgeren kræve oplysningerne slettet efter databeskyttelsesforordningens artikel 17, også kaldet retten til at blive glemt.
Udgangspunktet er, at du har ret til at få slettet dine personoplysninger, hvis én af betingelserne for sletning er opfyldt, oplyser Datatilsynet på sin borgerside.
Tre typiske situationer giver pligt til sletning
I Datatilsynets vejledning til dataansvarlige virksomheder og myndigheder peges på tre særligt hyppige situationer, hvor pligten indtræder: når oplysningerne ikke længere er nødvendige for det formål, de blev indsamlet til, når behandlingen hviler på et samtykke, som den registrerede trækker tilbage, eller når den dataansvarlige aldrig har haft lov til at behandle oplysningerne efter forordningen.
Artikel 17 opregner i alt seks tilfælde. De øvrige dækker blandt andet indsigelse mod behandling, hvor den dataansvarlige ikke kan påvise en legitim interesse, en retlig forpligtelse til at slette og oplysninger indsamlet i forbindelse med udbud af informationssamfundstjenester til børn.
Sletningen skal være reel. Datatilsynet understreger, at oplysningerne ikke må kunne genskabes, og at eventuelle back-ups så vidt muligt skal omfattes. Er oplysningerne videregivet til andre, skal den dataansvarlige underrette modtagerne om, at oplysningerne skal slettes fra deres systemer.
Virksomheden kan afvise i afgrænsede tilfælde
Retten til sletning er ikke ubetinget. Den dataansvarlige kan afvise en anmodning, hvis vedkommende efter loven er forpligtet til at beholde oplysningerne, eller hvis oplysningerne skal bruges i en kommende retssag. Datatilsynet nævner særligt offentlige myndigheder som eksempel på den første kategori.
I praksis dækker lov-undtagelsen blandt andet bogføringsloven, der pålægger virksomheder at opbevare regnskabsmateriale i fem år, samt opbevaringspligter i skatte-, arbejds- og arkivlovgivning. Behandling, der er nødvendig for at overholde en retlig forpligtelse, for at udføre en opgave i samfundets interesse eller for at udøve retten til ytrings- og informationsfrihed, giver ligeledes grundlag for afvisning.
En måneds svarfrist, med mulighed for forlængelse
Den dataansvarlige skal besvare en anmodning uden unødig forsinkelse og senest en måned efter modtagelsen. Fristen kan forlænges med op til to måneder i særligt komplekse sager, men den registrerede skal i så fald have besked om forlængelsen og begrundelsen inden for den første måned.
Datatilsynet har tidligere udtalt kritik af en kommune, der først reagerede på en sletningsanmodning efter fem måneder og 21 dage. Afgørelsen fastslog, at manglende svar inden for fristen i sig selv er en overtrædelse af reglerne.
Systematiske mangler i europæisk kontrol
En rapport fra Det Europæiske Databeskyttelsesråd (EDPB), vedtaget 18. februar 2026, peger på syv tilbagevendende udfordringer hos de dataansvarlige. 32 europæiske databeskyttelsesmyndigheder deltog i aktionen, og 764 controllere, fra små og mellemstore virksomheder til store internationale koncerner og offentlige instanser, besvarede undersøgelsen.
Rapporten dokumenterer blandt andet manglende interne procedurer for håndtering af anmodninger, utilstrækkelig information til borgerne om, hvordan retten udøves, brug af anonymiseringsteknikker som utilstrækkeligt alternativ til egentlig sletning og vanskeligheder med at omfatte back-ups. Ni myndigheder iværksatte eller videreførte formelle undersøgelser på baggrund af aktionen.
Sådan klager borgeren til Datatilsynet
Hvis en virksomhed eller myndighed ikke reagerer på en anmodning eller afviser den uden gyldig grund, kan borgeren klage til Datatilsynet. Tilsynet anbefaler, at man først forsøger at løse sagen direkte med den dataansvarlige, og at man gemmer dokumentation som mailkorrespondance og skærmbilleder.
Klagen indgives via Datatilsynets digitale klageformular med MitID. Som minimum skal navn og adresse oplyses, for at klagen kan behandles. Tilsynet oplyser aktuelt om stigende sagsbehandlingstider på grund af et voksende antal klager.
