Rett til dataportabilitet etter artikkel 20 GDPR gir en person rett til å motta bestemte personopplysninger i et strukturert, alminnelig anvendt og maskinlesbart format, og til å overføre dem til en annen behandlingsansvarlig uten hinder. Retten gjelder når flere vilkår er oppfylt samtidig. Det er ikke en generell rett til å flytte ethvert dokument, hele en kundekonto eller alle analyser virksomheten har laget.
Virksomheten må vurdere både opplysningenes opprinnelse, behandlingsgrunnlaget og om behandlingen er automatisert. Datatilsynets veiledning om dataportabilitet forklarer retten fra personens perspektiv. Når direkte overføring til en annen behandlingsansvarlig er teknisk mulig, kan personen kreve dette. Artikkelen viser hvordan du avgrenser datasettet, velger et brukbart format og dokumenterer utleveringen. Rettsgrunnlaget er GDPR artikkel 20, som gjelder i Norge gjennom personopplysningsloven.
Hva innebærer retten til dataportabilitet?
Retten har to sider: personen kan motta opplysningene selv og bruke dem videre, eller be om overføring til en annen behandlingsansvarlig. Den første siden gjelder selv om personen ennå ikke har valgt en ny leverandør. Virksomheten skal ikke kreve en forklaring på hvorfor kunden vil ha en kopi, eller gjøre utleveringen avhengig av at et abonnement først avsluttes.
Formålet er å gi personen kontroll og gjøre det enklere å gjenbruke egne opplysninger. Det betyr ikke at den avsendende virksomheten må gi fra seg alle interne analyser eller garantere at enhver mottaker kan importere filen uten tilpasning. En god eksport bevarer struktur og mening, mens retten ikke generelt pålegger virksomheter å bygge fullt kompatible systemer.
Personvernrådets tilsluttede retningslinjer om dataportabilitet, WP242 rev.01, er et viktig tolkningsgrunnlag. Retningslinjene skiller mellom opplysninger personen har gitt eller som observeres gjennom bruk, og opplysninger virksomheten selv utleder. Denne forskjellen bør brukes i kartleggingen, ikke bare gjengis som en generell formulering i personvernerklæringen.
Når gjelder retten til dataportabilitet?
Første spørsmål er om opplysningene gjelder den som fremmer kravet, og er gitt av vedkommende til den behandlingsansvarlige. Dette omfatter mer enn manuelt utfylte skjemaer. Observerte opplysninger fra personens bruk av tjenesten kan omfattes. Virksomheten må likevel skille disse fra materiale som bare gjelder andre personer eller som er innhentet fra en uavhengig ekstern kilde.
Andre spørsmål er om den aktuelle behandlingen bygger på samtykke etter artikkel 6 nr. 1 bokstav a eller artikkel 9 nr. 2 bokstav a, eller avtale etter artikkel 6 nr. 1 bokstav b. At en kunde har en kontrakt med virksomheten betyr ikke at all behandling om kunden skjer på avtalegrunnlag. Lovpålagt kontroll, markedsføring og tjenesteleveranse kan ha forskjellige grunnlag.
Tredje spørsmål er om behandlingen utføres automatisert. En rent manuell papirbasert behandling omfattes ikke av artikkel 20. Et digitalt saksbehandlingssystem blir derimot ikke automatisk unntatt fordi en medarbeider har registrert opplysningene manuelt. Det relevante er behandlingen av opplysningene. Alle vilkårene må vurderes samlet før omfanget av eksporten bestemmes.
Artikkel 20 gjelder ikke behandling som er nødvendig for en oppgave i allmennhetens interesse eller utøvelse av offentlig myndighet. Behandling basert på rettslig plikt eller berettiget interesse oppfyller heller ikke grunnlagsvilkåret. Guiden til behandlingsgrunnlag hjelper med å skille aktivitetene. En begrunnet avgrensning må likevel vurderes sammen med andre rettigheter, særlig innsyn.
Opplysninger personen har gitt: aktive og observerte data
Aktivt oppgitte opplysninger kan være kontaktinformasjon, egne tekster, bilder eller preferanser. Observerte data kan for eksempel være transaksjonshistorikk og registrert aktivitet som oppstår gjennom bruk av tjenesten. Virksomheten bør dokumentere hvor hvert datasett kommer fra. Ellers kan en eksport bli for snever fordi den bare henter feltene fra registreringsskjemaet.
Utledede opplysninger som en egenutviklet kredittscore eller en beregnet profilkategori omfattes normalt ikke av dataportabilitetsretten. De kan fortsatt være personopplysninger som omfattes av innsynsretten etter artikkel 15. Forklar dette skillet i svaret, fremfor å bruke «interne data» som en generell betegnelse på alt virksomheten ikke ønsker å utlevere.
Grensen må vurderes felt for felt. En lagret registrering av at kunden spilte av en bestemt sang er noe annet enn en utledet antakelse om kundens musikksmak. En registrert betaling er noe annet enn virksomhetens vurdering av fremtidig betalingsrisiko. Hvis et felt blander rådata og beregnet resultat, bør systemeieren forklare innholdet før beslutningen tas.
Det er heller ikke riktig å utelukke alle sikkerhetslogger som kategori uten vurdering. Enkelte registreringer kan være observerte brukerdata, men grunnlaget for sikkerhetsbehandlingen kan være et annet enn samtykke eller avtale. Vurder både opprinnelse og grunnlag. At ett kriterium er oppfylt betyr ikke at de øvrige er det. En rutine for sikkerhetslogger kan gjøre dette skillet tydeligere.
Et hypotetisk eksempel: bytte av treningstjeneste
En kunde vil flytte fra en digital treningstjeneste til en annen. Den gamle tjenesten behandler kontoinformasjon, treningsregistreringer, mål kunden har oppgitt, beregnede anbefalinger og dokumentasjon av betaling. Virksomheten bør ikke svare med én samlet konklusjon om hele kontoen. Den må undersøke hvilke aktiviteter hvert datasett inngår i, og hvilket grunnlag som brukes.
Kundens registrerte økter og selvoppgitte mål kan omfattes dersom behandlingen er automatisert og bygger på avtale eller gyldig samtykke. Virksomhetens egne beregnede anbefalinger kan falle utenfor artikkel 20. Regnskapsdokumentasjon som behandles utelukkende for lovpålagt oppbevaring må vurderes på et annet grunnlag. Det at opplysningene finnes i samme database avgjør ikke utfallet.
Dersom treningsdata avslører helseopplysninger, må grunnlaget vurderes også etter artikkel 9. Et samtykke må oppfylle vilkårene for gyldig og eventuelt uttrykkelig samtykke. Eksemplet gir ikke et generelt svar på om alle treningstjenester bør bruke samtykke. Det viser hvorfor virksomheten trenger oversikt over den faktiske behandlingen før den avgrenser eksporten.
Kunden kan motta registreringene med tidspunkt, aktivitetstype, varighet og forklaring av enheter. Hvis en økt måles i sekunder mens mottakeren forventer minutter, kan en fil se teknisk korrekt ut og likevel bli misforstått. Dokumentasjon av struktur og betydning er derfor en praktisk del av en brukbar utlevering. Beregnede anbefalinger kan eventuelt håndteres separat i et innsynssvar.
Hva betyr «strukturert, maskinlesbart format»?
Et format må gjøre det mulig å identifisere og hente ut relevante opplysninger maskinelt. CSV, JSON og XML kan være gode alternativer, men filendelsen alene er ingen garanti. En CSV-fil med hele kundehistorikken i én udokumentert tekstcelle er mindre anvendelig enn separate, tydelig beskrevne felter. Velg format ut fra datasettets struktur og relevante standarder.
Beskriv feltnavn, datoformat, tidssone, måleenheter, koder og koblinger mellom tabeller. Ved flere filer bør det fremgå hvordan personens poster henger sammen uten at mottakeren må gjette. Behold nødvendige identifikatorer for relasjonene, men unngå å sende nøkler eller tekniske hemmeligheter som gir uvedkommende tilgang. Riktige personopplysninger forutsetter også at verdiene tolkes korrekt.
En PDF laget for visuell lesing er normalt ikke en egnet eneste løsning for dataportabilitet. Den kan eventuelt følge med som forklaring. Det er samtidig for kategorisk å gjøre filtypen alene til hele rettsvurderingen. Spør om personopplysningene faktisk er tilgjengelige i et strukturert, alminnelig anvendt og maskinlesbart format som kan brukes videre.
Prøv et representativt uttrekk før utlevering. Kontroller at eksporten inneholder de besluttede datasettene, at norske tegn og datoer vises korrekt, og at koblinger ikke går til andre kunders opplysninger. Et tomt eksportresultat kan skyldes feil identifikator fremfor at virksomheten mangler data. Dokumenter slike kontroller uten å opprette unødvendige permanente kopier av hele eksporten.
Direkte overføring til en annen virksomhet
Når direkte overføring er teknisk mulig, kan personen kreve at opplysningene overføres til en annen behandlingsansvarlig. Det krever ikke nødvendigvis et API. En sikker filoverføring kan være egnet, avhengig av omstendighetene. Retten pålegger ikke generelt virksomheten å opprette teknisk kompatible systemer, men praktisk tilgjengelige løsninger må vurderes før direkte overføring avslås.
Avklar hvilken mottaker personen mener, hvilke opplysninger som skal sendes og hvordan mottakeren skal identifiseres. En videresendt e-post med et nytt kontonummer eller en ukjent opplastingslenke bør ikke uten videre aksepteres som tilstrekkelig bekreftelse. Tilpass kontrollen til risikoen og bruk helst kjente kontaktkanaler. Unngå samtidig identitetskrav som er mer omfattende enn nødvendig.
Hvis direkte overføring ikke er teknisk mulig, forklar årsaken og tilby opplysningene til personen i et egnet format når vilkårene for dette er oppfylt. Mottakerens konkurranseforhold til avsenderen er ikke i seg selv en begrunnelse for avslag. Forklar hvilke alternativer dere faktisk har undersøkt, slik at svaret ikke bare blir en ubegrunnet påstand om teknisk umulighet.
Direkte overføring til en mottaker utenfor EØS kan også kreve en særskilt vurdering etter kapittel V. Artikkel 20 opphever ikke reglene om tredjelandsoverføringer. Det er derfor nødvendig å avklare mottaker, rolle og overføringsgrunnlag før virksomheten sender opplysningene direkte. Personens ønske skal ikke behandles som en automatisk tillatelse til enhver utenlandsoverføring.
Andres opplysninger og mottakerens ansvar
Artikkel 20 nr. 4 krever at retten ikke virker negativt inn på andres rettigheter og friheter. En kontaktliste, samtale eller betaling kan gjelde både den som ber om eksport og andre personer. Det betyr ikke at hele datasettet alltid må holdes tilbake. Vurder hvilke opplysninger som kan utleveres, hvordan gjenbruk påvirker andre, og om begrensning eller redigering er nødvendig.
Begrunn konkrete utelatelser. Dersom et felt avslører opplysninger om en annen person som ikke er nødvendig for den aktuelle overføringen, kan det være aktuelt å fjerne eller begrense feltet. Veiledningen om innsyn og sladding beskriver en beslektet avveining, men dataportabilitetens formål og tekniske format må vurderes særskilt. Et maskinelt filter bør kontrolleres for utilsiktet fjerning av kundens egne data.
Mottakeren må ha et selvstendig grunnlag for den nye behandlingen og følge nødvendighet, formålsbegrensning og sikkerhet. Portabilitet gir ikke fri adgang til å bruke tredjeparters opplysninger til mottakerens egen markedsføring. Mottakeren bør vurdere hvilke felter den trenger, og hva som skal skje med overskytende opplysninger. Et stort mottatt datasett er ikke en plikt til å beholde alt.
Vurder også informasjonsplikten etter artikkel 14 der opplysninger ikke mottas fra personen selv, med relevante unntak. Mottakerens lovlige bruk må ikke forveksles med avsenderens plikt til å oppfylle portabilitetskravet. Partene kan samarbeide om praktisk overføring uten at den opprinnelige behandlingsansvarlige overtar alt ansvar for mottakerens senere virksomhet.
Dataportabilitet i praksis: fra krav til bekreftet levering
Registrer kravet når det kommer, også hvis personen ikke nevner artikkel 20. «Jeg vil ta med treningshistorikken min til en annen tjeneste» er tilstrekkelig til å starte en vurdering. Avklar nødvendig omfang hvis henvendelsen er uklar, men ikke krev at kunden kjenner deres interne systemnavn. Utpek en ansvarlig som kan følge juridiske og tekniske avklaringer samlet.
Ved rimelig tvil om identiteten kan dere be om ytterligere opplysninger som er nødvendige for å bekrefte den. Bruk eksisterende autentisering der den er egnet, og vurder risikoen ved endrede kontaktopplysninger. En standardrutine som krever passkopi i enhver sak kan gi unødvendig datainnsamling. Kontroll av identifikasjonsbehov hjelper med å avgrense slike krav.
Lag deretter en kort beslutning per datakategori: gjelder personen, gitt eller observert, aktuelt grunnlag, automatisert behandling og hensyn til andre. Knytt beslutningen til behandlingsprotokollen og systemoversikten, men ikke anta at protokollen alene beskriver hvert eksportfelt. Systemeieren må bekrefte hvordan den rettslige avgrensningen kan gjennomføres teknisk.
Lever opplysningene sikkert og gjør det klart hvordan de hentes. Hvis en nedlastingslenke utløper, bør personen få rimelig mulighet til å bruke den og en praktisk løsning dersom noe går galt. Dokumenter hva som ble levert, tidspunktet og hvilken kanal som ble brukt. Unngå at eksportfilen blir liggende ubeskyttet i en delt mappe lenge etter at saken er ferdig.
Frister, kostnader og begrunnede avslag
Etter artikkel 12 skal virksomheten svare uten ugrunnet opphold og senest innen én måned. Fristen kan forlenges med inntil to måneder når det er nødvendig på grunn av kompleksitet og antall forespørsler. Personen skal få beskjed om forlengelsen og begrunnelsen innen den første måneden. En vanlig kø eller mangelfull intern organisering er ikke et automatisk grunnlag for forlengelse.
Utøvelse av retten er som utgangspunkt kostnadsfri. Ved åpenbart grunnløse eller overdrevne forespørsler gjelder snevre muligheter for et rimelig gebyr eller avslag, og virksomheten må kunne begrunne dette. Ikke sett en standard eksportpris som vilkår for å bruke artikkel 20. Kostnader ved å ha utkontraktert databasen flyttes ikke automatisk over på personen.
Dersom dere ikke vil etterkomme kravet, skal personen få en forståelig begrunnelse og informasjon om klageadgang og rettsmidler etter artikkel 12. Forklar hvilket vilkår som ikke er oppfylt, og vurder om henvendelsen også gjelder innsyn. En kunde bør ikke måtte starte hele prosessen på nytt fordi virksomheten har tolket ordet «eksport» som bare artikkel 20.
Hva er forskjellen på dataportabilitet og innsyn?
Innsyn gir tilgang til personopplysninger og informasjon om behandlingen. Det gjelder flere behandlingsgrunnlag og kan omfatte utledede opplysninger, men har også lovlige begrensninger, blant annet av hensyn til andre. Portabilitet har snevrere vilkår for hvilke opplysninger som omfattes, og et særlig krav til format for gjenbruk. Et godt svar kan derfor inneholde separate deler for rettighetene.
Dataportabilitet medfører heller ikke automatisk sletting eller avslutning av tjenesten. Personen kan be om eksport mens kundeforholdet fortsetter. Et samtidig krav om sletting skal vurderes separat, inkludert lovpålagt oppbevaring og andre unntak. Vær tydelig på hva dere har gjort, så kunden ikke antar at en vellykket eksport også har fjernet opplysningene hos avsenderen.
Når tjenesten utvikles, bør eksport vurderes som del av innebygd personvern. Nye funksjoner kan skape nye observerte opplysninger eller endre relasjoner mellom filer. En eksport som var korrekt ved lansering kan senere bli ufullstendig. La endringsprosessen omfatte hvilke rettigheter som berøres, hvordan dataene kan finnes og hvordan formatet skal dokumenteres.
Ofte stilte spørsmål
Når gjelder retten til dataportabilitet?
Når personopplysningene gjelder personen og er gitt av vedkommende, den aktuelle behandlingen bygger på relevant samtykke eller avtale, og behandlingen er automatisert. Alle vilkårene må være oppfylt. Observerte bruksdata kan omfattes, mens egne utledninger normalt faller utenfor.
Må man overføre opplysningene direkte til en konkurrent?
Ja, når artikkel 20 gjelder og direkte overføring er teknisk mulig. Avsenderen skal kontrollere mottaker og sikkerhet. At mottakeren er en konkurrent er ikke i seg selv en gyldig grunn til å nekte.
Må vi bygge et API for å oppfylle portabilitetsretten?
Nei, artikkel 20 foreskriver ikke et API. En egnet fil eller annen sikker løsning kan oppfylle kravet. Virksomheten må vurdere direkte overføring når den er teknisk mulig, uten å anta at dette bare kan skje gjennom et eksisterende API.
Må vi slette opplysningene etter eksporten?
Ikke automatisk. Eksport og sletting er forskjellige handlinger med forskjellige vilkår. Vurder et eventuelt slettekrav separat og forklar hvilken behandling som fortsetter, hvorfor og hvor lenge.
Konklusjon
En god portabilitetsprosess begynner med avgrensning av datasettet og ender med en sikker, forståelig og brukbar levering. Vurder de kumulative vilkårene per behandling, kontroller eksportens struktur og beskytt andre personer. Gi et tydelig svar på hva som er levert, hva som eventuelt er utelatt og hvordan andre rettigheter er håndtert.
Sist faglig gjennomgått: 27. september 2026. Treningstjenesten er et hypotetisk eksempel, og anbefalingene om eksportkontroll må tilpasses tjenesten.