Dataportabilitet giver den registrerede ret til at modtage de personoplysninger, vedkommende har givet dig, i et struktureret, almindeligt anvendt og maskinlæsbart format — og ret til at få oplysningerne overført direkte til en anden dataansvarlig, hvor det er teknisk muligt. Retten følger af artikel 20 i databeskyttelsesforordningen (GDPR). Formålet er at give den registrerede bedre kontrol over egne data og mulighed for at flytte dem mellem tjenester. Dataportabilitet er dog snævrere end indsigtsretten: den gælder kun for oplysninger, den registrerede selv har leveret, og kun når behandlingen bygger på samtykke eller kontrakt og foretages automatisk.
Denne guide gennemgår, hvornår retten gælder, hvilke oplysninger den omfatter, hvordan den adskiller sig fra indsigtsretten, og hvad kravet om maskinlæsbart format betyder i praksis.
Hvornår gælder retten til dataportabilitet?
Artikel 20, stk. 1, kræver, at behandlingsgrundlag og behandlingsform er på plads, og at anmodningen vedrører personoplysninger om personen selv, som vedkommende har leveret. Som praktisk kontrol kan du stille tre spørgsmål:
- Behandlingen bygger på samtykke (art. 6, stk. 1, litra a, eller art. 9, stk. 2, litra a) eller på kontrakt (art. 6, stk. 1, litra b).
- Behandlingen foretages automatisk (dvs. ikke rent manuelt/papirbaseret).
- Der er tale om oplysninger, som den registrerede selv har leveret.
Bygger behandlingen på et andet grundlag — fx retlig forpligtelse eller legitim interesse — gælder retten til dataportabilitet ikke. Det er en vigtig forskel fra indsigtsretten, som gælder uanset behandlingsgrundlag. Lønoplysninger, der behandles alene for at opfylde en retlig forpligtelse, falder derfor uden for artikel 20, men kan stadig være omfattet af indsigtsretten. Undersøg grundlaget for den konkrete behandling i stedet for at afgøre det efter oplysningens navn.
Hvilke oplysninger er omfattet?
Retten omfatter oplysninger, den registrerede har “leveret”. EDPB’s vejledning (WP 242) fortolker dette bredt til at omfatte:
- Aktivt afgivne oplysninger — fx navn, e-mail og adresse indtastet i en formular.
- Observerede oplysninger genereret ved brugerens aktivitet — fx søgehistorik, lokationsdata eller aktivitetslog fra en tjeneste.
Derimod er afledte og udledte oplysninger, som den dataansvarlige selv har skabt — fx en kreditvurdering, en profil eller et scoringsresultat — ikke omfattet. De kan være genstand for indsigt, men ikke for portabilitet.
Udøvelsen af dataportabilitet må desuden ikke krænke andres rettigheder og friheder (art. 20, stk. 4). Indeholder de leverede oplysninger data om tredjeparter (fx kontakter eller beskeder til andre), skal begge dataansvarlige være opmærksomme på de andres rettigheder. Retten kan ikke bruges som en generel adgang til at videregive tredjeparters oplysninger til et nyt formål.
Format: struktureret, almindeligt anvendt og maskinlæsbart
Oplysningerne skal leveres i et struktureret, almindeligt anvendt og maskinlæsbart format — i praksis fx CSV, XML eller JSON. En scannet billedfil opfylder normalt ikke kravet. En PDF kan være læsbar, men en ren PDF uden strukturerede, genanvendelige data vil normalt ikke give den maskinlæsbarhed, artikel 20 kræver for portabilitet. Formålet er, at den registrerede reelt skal kunne genbruge oplysningerne hos en anden udbyder.
Hvor det er teknisk muligt, har den registrerede desuden ret til at få oplysningerne overført direkte fra én dataansvarlig til en anden. Bestemmelsen kræver ikke, at alle udbydere bygger indbyrdes kompatible systemer. Vælg et relevant, genanvendeligt format og forklar eventuelle tekniske begrænsninger ved direkte overførsel.
Frist og forhold til øvrige rettigheder
Fristen for at efterkomme en portabilitetsanmodning er den samme som for indsigt: uden unødig forsinkelse og senest én måned, med mulighed for forlængelse i op til to måneder ved komplekse anmodninger (art. 12, stk. 3). Udøvelse af dataportabilitet påvirker ikke retten til sletning: den registrerede kan både flytte sine data og bede om, at de slettes hos den oprindelige udbyder — forudsat betingelserne for sletning er opfyldt.
For at kunne efterleve retten skal du vide, hvilke oplysninger den registrerede har leveret, og på hvilket grundlag de behandles. Det fremgår af din fortegnelse over behandlingsaktiviteter, hvor behandlingsgrundlaget for hvert formål bør være noteret. En oversigt over formål, behandlingsgrundlag og datakilder gør det lettere at afgrænse anmodningen og dokumentere vurderingen.
Praktiske scenarier for dataportabilitet
Mulige situationer, hvor retten kan være relevant, hvis alle artikel 20-betingelser er opfyldt:
- Skift af bank eller betalingstjeneste. Transaktionshistorik og kontooplysninger kan være omfattet, når de vedrører personen selv, er leveret af denne og behandles automatisk på det krævede grundlag; særlige sektorregler kan også spille ind.
- Skift af e-mail- eller cloud-tjeneste. Kontakter, kalender og filer, brugeren selv har lagt op, er omfattet.
- Sociale medier og streamingtjenester. Opslag, spillelister og aktivitetshistorik kan hentes ud i et maskinlæsbart format.
- IoT og wearables. Måledata fra fx en aktivitetsmåler, som brugeren har genereret, kan flyttes til en anden platform.
I alle tilfælde gælder de tre betingelser: samtykke eller kontrakt som grundlag, automatisk behandling, og oplysninger brugeren selv har leveret. En afledt score eller profil, som udbyderen selv har skabt, følger som udgangspunkt ikke med efter artikel 20.
Når en profil indgår i en beslutning om personen, skal I også afklare reglerne om automatiske afgørelser; portabilitetens afgrænsning afgør ikke, om beslutningen er lovlig.
Sikkerhed ved udlevering
Dataportabilitet skaber en sikkerhedsrisiko, der ofte overses: du udleverer en samlet pakke med personoplysninger, og havner den hos den forkerte, er det i sig selv et brud på persondatasikkerheden. Tre forholdsregler:
- Bekræft identiteten af den, der anmoder, inden du udleverer — men uden at kræve unødige oplysninger (art. 12, stk. 6).
- Vælg en sikker leveringskanal. Send ikke en ukrypteret fil med følsomme oplysninger på e-mail. Brug en sikker portal eller kryptering.
- Beskyt tredjeparter. Indeholder de leverede data oplysninger om andre (fx kontakter eller beskeder), må udleveringen ikke krænke deres rettigheder (art. 20, stk. 4).
Hold styr på, hvilke behandlinger der er omfattet af portabilitet, i din fortegnelse over behandlingsaktiviteter, hvor behandlingsgrundlaget for hvert formål bør fremgå — det er den hurtigste måde at afgøre, om en anmodning er omfattet.
Frist, gebyr og afslag
De processuelle regler for dataportabilitet følger de almindelige regler i artikel 12:
- Frist: uden unødig forsinkelse og senest én måned, med mulighed for forlængelse i op til to måneder ved komplekse eller mange anmodninger. Underret om en forlængelse inden for den første måned.
- Gebyr: udgangspunktet er gratis. Kun ved åbenbart grundløse eller uforholdsmæssige anmodninger — navnlig gentagne — kan du opkræve et rimeligt gebyr eller afvise. Bevisbyrden ligger hos dig.
- Afslag: afviser du helt eller delvist, skal du begrunde afslaget og oplyse om retten til at klage til Datatilsynet og til at indbringe sagen for domstolene. Et typisk delvist afslag angår oplysninger, der ikke er “leveret” af den registrerede (fx udledte profiler), eller hvor udleveringen ville krænke andres rettigheder.
Det retlige grundlag findes i artikel 20 i databeskyttelsesforordningen. For fortolkningen af, hvornår retten gælder, og hvordan den adskiller sig fra de øvrige rettigheder, henviser Datatilsynet til de fælleseuropæiske retningslinjer. Håndtér portabilitet i samme interne proces som indsigt og sletning, så fristerne styres ét sted.
Første kontrol: grundlaget hører til den konkrete behandling
Den samme oplysning kan indgå i flere behandlinger med forskellige grundlag. En adresse kan være nødvendig for levering efter en kontrakt, gemmes i et regnskabsbilag for at opfylde en retlig pligt og bruges til markedsføring på et tredje grundlag. Artikel 20 vurderes pr. behandling; du kan ikke konkludere, at hele adressefeltet altid skal eksporteres eller aldrig skal det. Gennemgå formålet og det faktisk anvendte grundlag efter artikel 6, stk. 1, litra a eller b, eller et udtrykkeligt samtykke efter artikel 9, stk. 2, litra a, hvor følsomme oplysninger er relevante.
Et tænkt eksempel: En træningsapp registrerer brugerens aktiviteter for at levere en aftalt tjeneste. De automatisk behandlede aktivitetspunkter kan være omfattet, hvis de øvrige betingelser er opfyldt. Appens egen model, som beregner en risikoscore, er derimod en udledning, der normalt falder uden for artikel 20. Et lovpligtigt regnskabsbilag i samme virksomhed bliver ikke omfattet alene fordi appen har et kontraktforhold med brugeren. En fortegnelse over behandlinger kan vise formålene, men datakilderne skal også undersøges i systemet.
Anden kontrol: er data leveret af personen?
EDPB’s vejledning om dataportabilitet skelner mellem aktivt afgivne oplysninger, observerede data og data, som den dataansvarlige selv har afledt. En indtastet adresse er aktivt afgivet. En registrering af brugerens egen aktivitet i en tjeneste kan være observeret og dermed omfattet. En intern vurdering af, hvor sandsynligt det er, at brugeren forlader tjenesten, er afledt. Vejledningen handler om datatyper; det konkrete grundlag og automatiseringskravet skal stadig være opfyldt.
Undersøg om et felt faktisk er en personoplysning om den registrerede. En fil, som personen har uploadet, kan også indeholde oplysninger om andre, forretningshemmeligheder eller ophavsretligt beskyttet indhold. Artikel 20, stk. 4, siger, at retten ikke må krænke andres rettigheder og frihedsrettigheder. Det betyder ikke, at enhver forekomst af en anden persons navn automatisk udelukker hele eksporten. Overvej en afgrænsning, særskilt håndtering eller beskyttelse, og forklar et eventuelt delvist afslag præcist.
Tredje kontrol: automatisering og den ønskede overførsel
Retten gælder behandling, der foretages automatisk. En rent papirbaseret mappe falder uden for artikel 20, selv om den kan være omfattet af andre rettigheder. Et digitalt register kan være omfattet, men det er ikke nok, at en medarbejder engang har scannet et dokument; undersøg hvilken behandling anmodningen gælder. Direkte overførsel til en anden dataansvarlig kræves kun, hvor den er teknisk mulig. Modtagerens identitet og den sikre leveringskanal skal afklares, før et samlet datasæt sendes.
Den registrerede har også ret til selv at modtage de relevante oplysninger uden hindring fra den dataansvarlige. Et brugbart eksportformat har strukturerede felter og et format, som almindelige systemer kan læse, fx CSV eller JSON. Supplér om nødvendigt med en kort forklaring af felternes betydning og tidsstempler. En fil med værdier uden kolonneforklaring kan være teknisk maskinlæsbar, men svær at genbruge. Undlad at gøre eksporten afhængig af et lukket værktøj, som kun den gamle udbyder stiller til rådighed.
Sådan afgør du, om en aktivitetslog er omfattet
Ordet »log« er ikke en retlig kategori. En historik over brugerens klik eller målinger kan være observerede oplysninger om personen og dermed potentielt portable. En sikkerhedslog kan derimod indeholde oplysninger om flere brugere, systemhændelser og interne vurderinger. Gennemgå felterne ét for ét: handler værdien om personen, blev den leveret gennem vedkommendes aktivitet, og behandles den automatisk på et relevant grundlag? Overvej dernæst andre personers rettigheder og systemets sikkerhed.
En eksport behøver ikke indeholde hele den rå tekniske database for at opfylde artikel 20. Den skal indeholde de omfattede personoplysninger i et anvendeligt format. Hvis en logværdi kun kan forstås med en kodebog, kan en kort forklaring hjælpe personen med at genbruge data. Hvis der er stor forskel mellem rå lagring og de data, brugeren faktisk har leveret, så forklar afgrænsningen i svaret. Det er bedre end en ubegrundet standardbesked om, at »logs aldrig udleveres«.
En anmodning kan omfatte både indsigt og portabilitet
En person behøver ikke kende artikelnummeret. Skriver vedkommende »send mig alle mine data, så jeg kan skifte udbyder«, bør du se på både indsigtsretten og artikel 20. Indsigt kan række til oplysninger, som ikke er leveret af personen, mens portabilitet giver et særligt format og mulighed for direkte overførsel. Et svar kan derfor indeholde en portabel eksport og en særskilt forståelig kopi eller forklaring for øvrige data. Afslå ikke hele anmodningen, fordi én udledt profil falder uden for artikel 20.
Retten til portabilitet medfører ikke automatisk sletning hos den gamle udbyder. Artikel 20, stk. 3, siger netop, at artikel 17 ikke berøres. Hvis personen også beder om sletning, skal denne del vurderes efter sine egne betingelser og undtagelser. En kunde kan fx få flyttet visse kontooplysninger, mens regnskabsbilag stadig bevares på et selvstændigt retligt grundlag. Forklar forskellen i svaret, så brugeren ikke tror, at flytningen lukker alle kopier.
Sikker levering og konkrete begrænsninger
Bed kun om yderligere identitetsoplysninger, hvis der er rimelig tvivl om identiteten, jf. artikel 12, stk. 6. En allerede sikkert logget ind bruger behøver ikke rutinemæssigt sende kopi af pas. Kontroller derimod, at en direkte overførsel virkelig går til den dataansvarlige, personen har angivet, og brug passende kryptering og nøglehåndtering for leveringen. Adskil registreredes data ved eksport, og test med et lille udsnit, så andre kunders oplysninger ikke havner i filen. En fejlagtig udlevering kan blive et brud på persondatasikkerheden.
Hvis direkte overførsel ikke er teknisk mulig, forklar hvilken begrænsning der findes, og tilbyd den registrerede en brugbar eksport af de omfattede oplysninger. Hvis noget udelades på grund af andres rettigheder eller fordi det er udledt af virksomheden, angiv kategorierne og begrundelsen. Hvis en anmodning er kompleks, kan fristen forlænges efter artikel 12, stk. 3, men besked om forlængelse og dens grund skal gives inden for den første måned. Som Datatilsynets vejledning understreger, er formålet, at personen faktisk kan modtage og flytte egne data.
Ofte stillede spørgsmål
Hvad er forskellen på indsigtsret og dataportabilitet?
Indsigtsretten (art. 15) har et bredere anvendelsesområde end artikel 20 og kan give ret til en kopi af de personoplysninger, du behandler om personen, uanset behandlingsgrundlag, med de begrænsninger der følger af reglerne. Dataportabilitet (art. 20) gælder kun for oplysninger, den registrerede selv har leveret, og kun når behandlingen bygger på samtykke eller kontrakt og foretages automatisk — men til gengæld i et maskinlæsbart format, der kan overføres til en anden udbyder.
Skal jeg kunne overføre data direkte til en konkurrent?
Kun hvor det er teknisk muligt. Du har pligt til at levere oplysningerne i et struktureret, maskinlæsbart format, som kan importeres andetsteds, men bestemmelsen kræver ikke kompatible integrationer med alle andre udbydere.
Er en kreditvurdering eller profil omfattet af dataportabilitet?
Nej. Afledte og udledte oplysninger, som du selv har skabt — fx en scoringsmodel, en profil eller en kreditvurdering — er ikke omfattet af dataportabilitet. De kan dog være omfattet af indsigt efter artikel 15. Særlige oplysninger om logikken bag automatiske afgørelser afhænger af, om betingelserne for den oplysningspligt er opfyldt.
Konklusion
Dataportabilitet er en målrettet ret: den gælder for de oplysninger, den registrerede selv har leveret, når behandlingen bygger på samtykke eller kontrakt og foretages automatisk. Oplysningerne skal leveres i et struktureret, maskinlæsbart format og om muligt overføres direkte til en anden udbyder. Hold styr på behandlingsgrundlaget i din fortegnelse, håndtér portabilitet i samme proces som indsigt og sletning, og overhold månedsfristen. Byg gerne portabilitet ind fra start gennem databeskyttelse gennem design.