Datatilsynet er den norske tilsynsmyndigheten for personvern. Tilsynet veileder, behandler klager og kontrollerer at behandling av personopplysninger følger regelverket. Det kan kreve opplysninger, gjennomføre undersøkelser og treffe vedtak om blant annet retting, begrensning, stans og overtredelsesgebyr. En henvendelse til Datatilsynet kan derfor ha svært forskjellig formål og rettslig betydning.
For en virksomhet er det viktig å skille veiledning fra et bindende vedtak, og en klage fra en melding om brudd på personopplysningssikkerheten. For en privatperson er det tilsvarende viktig å vite hva tilsynet kan løse, hva som først bør tas opp med virksomheten, og når et vedtak kan påklages. Denne guiden beskriver rollene og saksgangen slik de er kontrollert 28. september 2026.
Datatilsynets plass i norsk forvaltning
Datatilsynet er administrativt underlagt Digitaliserings- og forvaltningsdepartementet, slik departementets oversikt over etaten viser. Samtidig er det et uavhengig forvaltningsorgan. Etter personopplysningsloven § 20 kan departementet ikke instruere tilsynet om enkeltsaker eller den faglige virksomheten, og heller ikke omgjøre vedtakene.
Dette skillet har praktisk betydning. Uenighet med et pålegg skal håndteres gjennom den aktuelle klage- eller domstolsveien, ikke ved å be departementet overprøve tilsynets faglige konklusjon. Administrative styringsdokumenter og bevilgninger gir heller ikke en virksomhet adgang til å se bort fra pliktene sine fordi dens bransje ikke omtales som et prioritert område.
Datatilsynet er ikke et generelt klageorgan for alle digitale problemer. En kontostenging, en arbeidskonflikt eller en nabotvist kan inneholde personvernspørsmål, men tilsynets myndighet gjelder behandlingen av personopplysninger innenfor det aktuelle regelverket. Beskriv derfor hvilken konkret behandling som er problemet. En uenighet om kvaliteten på en tjeneste blir ikke automatisk en personvernsak.
Hvorfor GDPR gjelder i Norge
GDPR gjelder som norsk lov gjennom personopplysningsloven § 1 og innlemmelsen i EØS-avtalen. Den norske loven trådte i kraft 20. juli 2018. Norge er ikke EU-medlem, og det er derfor mer presist å beskrive denne gjennomføringen enn å si at forordningen fikk direkte virkning her på nøyaktig samme måte som i en EU-stat.
Den praktiske vurderingen omfatter både forordningen og norske utfyllende regler. Personopplysningsloven har blant annet bestemmelser om visse behandlinger, rettighetsbegrensninger, tilsyn og klage. Andre sektorregler kan også ha betydning. En generell guide til personvern og GDPR i Norge gir oversikten, mens denne artikkelen konsentrerer seg om kontakten med myndigheten og konsekvensene av dens saksbehandling.
Ved grenseoverskridende behandling kan samarbeidsreglene i GDPR gjøre at flere tilsynsmyndigheter deltar. At en person bor i Norge, betyr ikke nødvendigvis at Datatilsynet alene avgjør alle spørsmål om en internasjonal tjeneste. Datatilsynet inngår i det europeiske samarbeidet. EDPB opplyser at EØS/EFTA-landenes myndigheter deltar i GDPR-relaterte saker uten stemmerett; deltakelse og beslutningsmyndighet må derfor ikke beskrives som identiske på alle punkter.
Veiledning, kontroll og bindende avgjørelser
Datatilsynets oppgaver og virkemidler følger særlig av GDPR artiklene 57 og 58. Veiledning skal hjelpe personer og virksomheter med å forstå regelverket. Et svar på et generelt spørsmål er ikke nødvendigvis en godkjenning av en konkret løsning, særlig hvis vesentlige opplysninger om behandlingen ikke er lagt frem.
Ved kontroll kan tilsynet kreve nødvendig informasjon fra behandlingsansvarlige og databehandlere, undersøke behandlinger og få tilgang til opplysninger og relevante lokaler innenfor regelverkets rammer. Virksomheten må kunne forklare både hvorfor behandlingen er lovlig og hvordan den faktisk gjennomføres. En policy kan vise hva ledelsen har bestemt, men viser ikke alene at de ansatte eller systemene følger den.
De korrigerende virkemidlene er forskjellige. En advarsel kan rette seg mot planlagt behandling som sannsynligvis vil være ulovlig. En irettesettelse gjelder en konstatert overtredelse. Et pålegg kan kreve at virksomheten oppfyller en rettighet, endrer behandlingen eller sletter opplysninger. Tilsynet kan også begrense eller forby behandling. Virksomheten bør derfor lese selve vedtaksslutningen og fristene, ikke bare overskriften eller omtalen i et nyhetsoppslag.
Når en privatperson vil klage
Datatilsynets klageveiledning anbefaler at personen først kontakter den klagen gjelder. Mange saker kan løses ved at virksomheten undersøker hendelsen eller svarer på en rettighetsforespørsel. Dersom klagen gjelder manglende innsyn, retting eller sletting, er det særlig viktig å dokumentere den opprinnelige forespørselen og eventuelle svar.
En nyttig klage forklarer kort hvilke opplysninger saken gjelder, hva virksomheten har gjort, når det skjedde og hvorfor personen mener det er feil. Legg ved relevant korrespondanse og nødvendig dokumentasjon. Unngå å sende store mengder opplysninger om andre personer som ikke belyser spørsmålet. Dersom noen klager på vegne av en annen, må representasjonsforholdet dokumenteres, normalt med fullmakt etter tilsynets anvisninger.
Det digitale klageskjemaet bruker innlogging gjennom ID-porten. Den som ikke kan bruke løsningen, kan sende klagen per post etter de gjeldende kontaktanvisningene. Kontroller alltid den offisielle nettsiden før innsending, fordi kanaler og tekniske krav kan endres. En uformell melding i en annen kanal bør ikke uten videre behandles som dokumentasjon på at en komplett klage er levert.
Et tips er noe annet enn en formell klage om behandling av egne personopplysninger. Tips kan bidra til at tilsynet oppdager problemer eller velger tema for kontroll, men gir ikke samme forventning om individuell oppfølging. Hvis saken egentlig gjelder en konkret innsynsrett etter artikkel 15, bør henvendelsen gjøre det klart hvilken forespørsel virksomheten ikke har oppfylt.
Hva en klage kan føre til
Et klagemål gir ikke automatisk rett til at tilsynet ilegger gebyr eller gjennomfører et stedlig tilsyn. Oppfølgingen kan blant annet bestå av veiledning, en påpeking av plikt, innhenting av redegjørelse eller et formelt vedtak. Tiltaket må vurderes ut fra saken og myndighetens oppgaver. Personen bør først og fremst beskrive den behandlingen eller rettigheten som ønskes undersøkt.
Datatilsynet opplyser at det orienterer klageren innen en måned om saken og forventet behandlingstid. Dette er ikke et løfte om en ferdig avgjørelse innen en måned. Det må heller ikke blandes sammen med virksomhetens ordinære frist for å besvare en rettighetsforespørsel etter GDPR artikkel 12.
GDPR artikkel 77.2 krever informasjon om fremdriften og utfallet av klagen. Artikkel 78.2 gir en rett til et effektivt rettsmiddel når den kompetente myndigheten ikke behandler klagen eller ikke informerer om fremdrift eller utfall innen tre måneder. Bestemmelsen betyr ikke at enhver undersøkelse skal avsluttes innen nitti dager. Skill manglende oppfølging fra at en sak krever tid til forsvarlig utredning.
Datatilsynet avgjør ikke krav om erstatning. Et slikt krav må tas opp med virksomheten eller forfølges for domstolene. Et mulig regelbrudd, et gebyr til staten og personens krav på erstatning er forskjellige spørsmål med ulike vilkår. Tilsynets klageveiledning presiserer denne avgrensningen, som er særlig viktig når en person forventer økonomisk kompensasjon som resultat av klagen.
Når virksomheten mottar et tilsynsbrev
Les først om brevet er en forespørsel, et pålegg om opplysninger, et varsel om mulig vedtak eller et endelig vedtak. Noter saksnummer, frist, hvilke spørsmål som skal besvares og eventuelle klagemuligheter. Fordel ansvaret slik at faktiske opplysninger innhentes fra de funksjonene som kjenner behandlingen, samtidig som én person samordner svaret.
Beskriv dokumenterte forhold og skill dem fra antakelser. Hvis en rutine nylig er endret, oppgi både hva som gjaldt i den undersøkte perioden og hva som gjelder nå. En ny policy skal ikke presenteres som bevis for at praksisen var den samme flere år tidligere. Oppgi når tiltak ble gjennomført og hvilket underlag som viser det.
Forberedelse til et personverntilsyn handler derfor om sporbarhet, ikke bare om å samle flest mulig dokumenter. Behandlingsprotokoll, vurderinger av rettslig grunn, informasjon til registrerte, databehandlerregulering og sikkerhetsrutiner kan være relevante. Hvilke dokumenter som trengs, avhenger av spørsmålene i den aktuelle saken.
Et verktøy kan gjøre dokumentene lettere å finne, men virksomheten må kontrollere innholdet. Dersom dere vurderer programvare for behandlingsprotokoll, undersøk hvordan løsningen viser ansvar, endringer og eksport av underlag. Det er ikke et generelt krav om å kjøpe en bestemt type programvare for å kunne svare Datatilsynet.
Brudd på personopplysningssikkerheten har en egen kanal
En melding om sikkerhetsbrudd fra en behandlingsansvarlig er ikke det samme som en privatpersons klage. Etter GDPR artikkel 33 skal brudd meldes uten ugrunnet opphold og om mulig innen 72 timer etter at den behandlingsansvarlige ble kjent med bruddet, med mindre det er lite sannsynlig at det medfører risiko for fysiske personers rettigheter og friheter. Ved senere melding må forsinkelsen begrunnes.
Alle brudd på personopplysningssikkerheten skal dokumenteres etter artikkel 33.5, også når meldeterskelen ikke er nådd. Et teknisk avvik er imidlertid ikke alltid et personopplysningsbrudd; vurder om konfidensialitet, integritet eller tilgjengelighet for personopplysninger er berørt. En databehandler skal varsle den behandlingsansvarlige uten ugrunnet opphold, slik at den ansvarlige kan foreta sine vurderinger.
Datatilsynets veiledning om melding av brudd beskriver den aktuelle Altinn-løsningen og hvordan tilleggsinformasjon sendes. Manglende full oversikt er ikke grunn til å vente med en melding som skal gis: artikkel 33 åpner for trinnvis informasjon uten ytterligere ugrunnet opphold. Følg særskilte instruksjoner for tilleggsopplysninger til eldre meldinger.
Ved sannsynlig høy risiko må virksomheten også vurdere informasjon til de berørte etter artikkel 34, med bestemmelsens vilkår og unntak. Dette er en egen beslutning, og en melding til Datatilsynet erstatter ikke slik informasjon. Under hendelseshåndteringen bør noen ha ansvar for både myndighetsdialogen, tiltakene og kommunikasjonen med personene som kan bli rammet.
Gebyr og tvangsmulkt må skilles fra hverandre
GDPR artikkel 83 har to hovednivåer for maksimale overtredelsesgebyrer: ti millioner euro eller to prosent av foretakets samlede globale årsomsetning i foregående regnskapsår, og tjue millioner euro eller fire prosent, avhengig av hvilke bestemmelser som er overtrådt. For foretak gjelder det høyeste av de relevante beløpene. Maksimumsbeløpet er ikke det samme som forventet gebyr i en konkret sak.
Fastsettelsen skal blant annet ta hensyn til overtredelsens art, alvor og varighet, skyld, tiltak og øvrige relevante forhold etter artikkel 83.2. Personopplysningsloven § 26 åpner også for overtredelsesgebyr mot offentlige myndigheter og organer. Norske offentlige virksomheter kan derfor ikke bygge sin risikovurdering på en antakelse om at gebyr bare gjelder private bedrifter.
Tvangsmulkt etter personopplysningsloven § 29 skal bidra til at et pålegg blir oppfylt. Den kan løpe per dag etter at oppfyllelsesfristen er utløpt og frem til pålegget er oppfylt. Dette skiller seg fra et overtredelsesgebyr for en overtredelse. Ved omtale av Datatilsynets overtredelsesgebyrer må dessuten varsel, endelig forvaltningsvedtak og senere klageavgjørelse holdes fra hverandre.
Klage på et vedtak til Personvernnemnda
Personvernnemndas beskrivelse av saksgangen angir en ordinær klagefrist på tre uker fra vedtaket er mottatt. Klagen sendes til Datatilsynet, som vurderer saken på nytt før den eventuelt oversendes til nemnda. En klage bør identifisere vedtaket, forklare hva som ønskes endret og begrunne dette med relevante faktiske og rettslige forhold.
Ikke bruk treukersfristen ukritisk på ethvert brev. For pålegg om å gi opplysninger og enkelte kontrollbeslutninger gjelder særskilte regler, blant annet korte frister etter forvaltningsloven §§ 14 og 15. Datatilsynets varsel om tilsyn med grunnskoler våren 2026 illustrerer dette ved å angi klage snarest og innen tre dager. Les den konkrete anvisningen straks brevet kommer.
Det finnes også et viktig saklig unntak: etter personopplysningsloven § 22 kan Datatilsynets vedtak etter GDPR artikkel 56 og kapittel VII ikke påklages til Personvernnemnda. Grenseoverskridende samarbeid kan dermed påvirke klageveien. Dette betyr ikke at retten til domstolsprøving generelt bortfaller; vurder den aktuelle avgjørelsen og rettsmidlene som gjelder for den.
Nemndas avgjørelse kan ikke påklages videre som en ordinær forvaltningsklage. Gyldigheten kan prøves for domstolene etter de aktuelle reglene, slik nemndas veiledning forklarer. Hvis et vedtak inneholder en oppfyllelsesfrist, bør virksomheten også avklare om gjennomføringen er utsatt. En innsendt klage er ikke alene tilstrekkelig dokumentasjon på at alle plikter i vedtaket kan settes på vent.
Gjør myndighetskontakten til en del av ansvarsfordelingen
Ledelsen bør på forhånd bestemme hvem som mottar myndighetsbrev, hvem som kan innhente dokumentasjon, og hvem som godkjenner svar og tiltak. Et personvernombud kan gi råd og fungere som kontaktpunkt, men behandlingsansvaret overføres ikke til ombudet. Ressurser og beslutningsmyndighet må ligge hos funksjonene som faktisk kan rette forholdene.
Plikten til å utpeke ombud vurderes separat etter artikkel 37. Den omfatter blant annet offentlige myndigheter og organer, med unntak for domstoler i dømmende virksomhet, samt virksomheter der kjerneaktivitetene innebærer regelmessig og systematisk overvåking i stor skala eller behandling i stor skala av opplysninger etter artikkel 9 eller 10. En enkelt klage gjør ikke i seg selv alle disse vilkårene oppfylt.
En gjennomgang av GDPR-programvare bør ta utgangspunkt i denne arbeidsdelingen. Kan de ansvarlige finne riktig versjon av dokumentene og følge opp frister? Et system som lagrer dokumentasjon, erstatter verken den konkrete juridiske vurderingen eller arbeidet med å kontrollere faktisk praksis. Avklar også når en personvernkonsekvensvurdering trengs før en behandling settes i gang.
To eksempler på hvordan sakens tema styrer forberedelsen
Ved kontrolltiltak på arbeidsplassen kan dokumentasjon av formål, nødvendighet, informasjon og drøfting være avgjørende. En beskrivelse av teknisk sikkerhet alene besvarer ikke spørsmålet om selve overvåkingen er lovlig. Kartlegg også hvem som har tilgang til resultatene, og om opplysningene brukes til andre formål enn det de ansatte er informert om.
Ved kameraovervåking i borettslag eller sameie trenger styret et faktisk bilde av opptaksområdet, begrunnelsen, lagringstiden og tilgangen. Hvis en klage gjelder filming av en inngang eller et naboområde, bør dette fremgå konkret av svaret. En generell leverandørbrosjyre om et lovlig kameraprodukt sier lite om hvorvidt den bestemte installasjonen oppfyller kravene.
Begge eksemplene viser hvorfor et tilsynsbrev bør besvares med forholdene i den aktuelle behandlingen. Dersom gjennomgangen avdekker en mangel, skill den historiske beskrivelsen fra planen for forbedring. Oppgi ansvarlig person, hva som skal endres og hvordan gjennomføringen kan kontrolleres. Det gjør både myndighetsdialogen og virksomhetens egen oppfølging mer presis.
Vanlige spørsmål om Datatilsynet
Kan Datatilsynet godkjenne at virksomheten følger GDPR?
Veiledning om en avgrenset problemstilling er ikke en generell godkjenning av virksomhetens etterlevelse. Særskilte prosedyrer kan gjelde i bestemte situasjoner, men virksomheten har fortsatt ansvar for sine behandlinger. Beskriv derfor hva som faktisk er vurdert, i stedet for å bruke en henvendelse til tilsynet som et generelt kvalitetsstempel.
Må alle personopplysningsbrudd meldes innen 72 timer?
Alle skal dokumenteres, men meldeplikten etter artikkel 33 har et risikobasert unntak. Når melding skal gis, gjelder uten ugrunnet opphold og om mulig innen 72 timer etter at den behandlingsansvarlige ble kjent med bruddet. En senere melding må begrunnes. Informasjon til de berørte etter artikkel 34 er en separat vurdering.
Kan alle Datatilsynets vedtak påklages til Personvernnemnda?
Nei. Dette er hovedveien for mange vedtak, men personopplysningsloven § 22 gjør unntak for vedtak etter artikkel 56 og kapittel VII. Enkelte kontrollbeslutninger har også særskilte klageregler og frister. Les vedtakets anvisninger og avklar hvilket regelsett avgjørelsen bygger på.