Klage til Datatilsynet når en virksomhet bryter personvernreglene

Har en virksomhet brutt personvernreglene overfor deg, kan du klage gratis til Datatilsynet. Be virksomheten om innsyn, retting eller sletting først – den skal svare innen én måned. Datatilsynets vedtak kan påklages til Personvernnemnda, men erstatning må du kreve i domstolene.

Mener du at en virksomhet behandler personopplysningene dine i strid med personvernregelverket, kan du klage til Datatilsynet. Det er gratis (personvernforordningen artikkel 57 nr. 3), og det finnes ingen lovfestet frist. Men klagen står langt sterkere hvis du først har tatt saken opp med virksomheten selv – og har skriftlig dokumentasjon på hva du ba om og hva du fikk til svar. Datatilsynet skriver selv at du bør kontakte virksomheten før du klager.

Datatilsynet kan pålegge virksomheten å rette opp, og i alvorlige saker ilegge overtredelsesgebyr. Det kan ikke gi deg erstatning. Vil du ha penger for et personvernbrudd, må du kreve det fra virksomheten og eventuelt gå til domstolene.

Først: krev rettighetene dine hos virksomheten

De fleste klager til Datatilsynet handler om at en virksomhet ikke har oppfylt en konkret rettighet. Da må du ha bedt om den først. Personvernforordningen gir deg blant annet rett til:

• Innsyn – å få vite hvilke opplysninger virksomheten har om deg, hva de brukes til og hvem de er delt med (artikkel 15).
• Retting av uriktige opplysninger (artikkel 16).
• Sletting når opplysningene ikke lenger trengs, eller behandlingen er ulovlig (artikkel 17).
• Å protestere mot behandling, for eksempel mot direkte markedsføring (artikkel 21).

Virksomheten skal svare uten ugrunnet opphold og senest én måned etter at den mottok kravet ditt. Fristen kan forlenges med to måneder til ved behov, men da skal du få beskjed og en begrunnelse innen den første måneden. Sier virksomheten nei, skal den forklare hvorfor og opplyse om at du kan klage til Datatilsynet (artikkel 12 nr. 3 og 4). Det er gratis å bruke rettighetene – bare åpenbart grunnløse eller overdrevne krav kan gi gebyr (artikkel 12 nr. 5).

Et regnestykke: Sender du et innsynskrav på e-post 5. oktober 2026, skal virksomheten svare senest 5. november 2026. Har den varslet forlengelse, er ytterste frist 5. januar 2027.

Innsynskrav etter personvernforordningen artikkel 15. Jeg ber om kopi av alle personopplysninger dere behandler om meg, formålet med behandlingen, hvem opplysningene er utlevert til, hvor lenge de lagres, og hvor dere har hentet dem fra. Jeg ber om svar innen én måned, jf. artikkel 12 nr. 3. Navn: … Fødselsdato: … Kundenummer: …

Hva du kan – og ikke kan – klage på

Du kan klage når du selv har opplevd noe du har grunn til å tro bryter personvernregelverket. Datatilsynet nevner manglende innsyn, retting eller sletting, overvåking og uønsket utlevering eller publisering av personopplysninger som typiske eksempler. Typiske saker er en tidligere arbeidsgiver som fortsatt leser e-postkontoen din, en butikk som ikke vil slette kundeprofilen, et kameraovervåket inngangsparti som filmer inn i hagen din, eller et kredittopplysningsforetak som ikke retter feil.

Datatilsynet tar ikke imot klager når:

• saken gjelder andres opplysninger og ikke dine – med mindre du har skriftlig og signert fullmakt fra den det gjelder,
• du mener en virksomhet generelt har dårlig sikkerhet, uten at det gjelder et konkret brudd på dine rettigheter – da kan du heller sende et tips,
• du vil ha endret et annet organs vedtak – Datatilsynet kan ikke endre andre instansers vedtak,
• det gjelder innsyn i en konkret straffesak – det avgjøres etter straffeprosessloven.

Datatilsynet peker også på at klager som egentlig handler om en underliggende konflikt – et dårlig arbeidsmiljø, en nabokrangel – ofte ikke løses av en personvernklage, og at saksgangen kan gjøre konflikten verre. Er du utsatt for identitetstyveri eller hacking, kan tilsynet ikke hjelpe deg direkte.

Vil du være anonym, eller trenger du ikke at tilsynet følger opp saken med deg, sender du et tips i stedet for en klage. Tips brukes blant annet i planleggingen av tilsyn.

Slik sender du klagen

Klagen sendes via Datatilsynets klageskjema, som krever innlogging med ID-porten. Kan du ikke bruke det, sender du klagen i posten til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo. Klager skal være skriftlige. Datatilsynet ber om:

1. Hvem du klager på.
2. En kort forklaring på hva virksomheten har gjort med personopplysningene dine som du mener er ulovlig.
3. Dokumentasjon på kontakten med virksomheten – når du ba om innsyn, retting eller sletting, og hva du fikk til svar.
4. Dokumentasjon på eventuell kontakt med andre myndigheter om samme sak.

Vedlegg kan lastes opp som jpg, png eller pdf. Er du usikker på om du bør klage, kan du ringe Datatilsynets veiledningstjeneste på 22 39 69 00 (mandag 12.00–14.30, tirsdag–fredag 9.00–11.30, per september 2026). Tilsynet svarer ikke på generelle spørsmål på e-post. Datatilsynet advarer for øvrig mot klager skrevet med KI-verktøy som viser til feil eller ikke-eksisterende regler – slike klager tar lengre tid å behandle. Hold deg til hva som faktisk skjedde. Flere råd står i slik skriver du en god klage og dokumentasjon og bevis i klagesaken.

Hva skjer med klagen?

Datatilsynet kontakter deg innen én måned etter at klagen er mottatt, med en orientering om saken og forventet saksbehandlingstid. Hvor lang tid det tar, varierer mye, og tilsynet oppgir ingen fast tid.

Forvent ikke bot. Mange saker ender med at Datatilsynet sender virksomheten et brev som påpeker hvilke plikter den har. Har du ikke fått innsyn, kan neste steg være at tilsynet ber virksomheten om en redegjørelse, og deretter et pålegg om å gi deg innsyn eller en vurdering av om regelverket er brutt. Overtredelsesgebyr er ifølge tilsynet forbeholdt de mest alvorlige sakene. Datatilsynet avgjør også selv hvilke deler av klagen det er hensiktsmessig å vurdere.

Etter personvernforordningen skal tilsynet holde deg orientert om saksgangen og utfallet (artikkel 77 nr. 2). Behandler tilsynet ikke klagen, eller får du ingen orientering innen tre måneder, har du rett til å bringe saken inn for domstolene (artikkel 78 nr. 2).

Gjelder klagen et selskap med hovedsete i et annet EU- eller EØS-land, kan saken bli behandlet sammen med tilsynsmyndigheten der, etter samarbeidsreglene i forordningen. Du klager likevel til Datatilsynet i Norge.

Klage på Datatilsynets vedtak: Personvernnemnda

Treffer Datatilsynet et vedtak i saken din, kan du klage på det. Klagen sendes Datatilsynet, som vurderer den på nytt. Holder tilsynet fast på vedtaket, går saken til Personvernnemnda, som avgjør klager over Datatilsynets vedtak (personopplysningsloven § 22). Klagefristen står i vedtaket og er normalt tre uker etter forvaltningsloven § 29. Et brev der tilsynet bare påpeker en plikt, er ikke nødvendigvis et vedtak du kan klage på.

Personvernnemnda er uavhengig, har sju medlemmer, og verken Kongen eller departementet kan instruere den eller omgjøre vedtakene. Nemnda kan prøve alle sider av saken, også skjønnet. Vedtak Datatilsynet treffer i saker som behandles etter samarbeidsreglene med andre EØS-land, kan ikke påklages til nemnda. Vil du angripe nemndas vedtak, må søksmål rettes mot staten ved Personvernnemnda (§ 25).

Erstatning: det må du kreve selv

Har du lidd et økonomisk tap, eller en ikke-økonomisk skade, fordi en virksomhet har brutt personvernforordningen, har du rett til erstatning fra den behandlingsansvarlige (artikkel 82). Datatilsynet har ingen myndighet til å vurdere erstatning. Kravet rettes til virksomheten, og følger den det ikke opp, må du gå til domstolene. Du kan normalt saksøke i Norge når du bor her, med mindre motparten er en offentlig myndighet som handler i offentlig myndighetsutøvelse (artikkel 79 nr. 2). For mindre krav starter du ofte i forliksrådet.

En avgjørelse fra Datatilsynet eller Personvernnemnda om at regelverket er brutt, er ikke en dom om erstatning, men den er et sterkt bevis. Derfor kan det lønne seg å gå veien om tilsynet først, og deretter kreve erstatning.

Personvern i offentlig sektor og kredittopplysning

Regelverket gjelder også for Nav, kommunen og helsevesenet. Gjelder saken innsyn i din egen sak hos et offentlig organ, har du ofte både rett til partsinnsyn etter forvaltningsloven og innsynsrett etter personvernforordningen – se innsyn i egen sak. Journalinnsyn hos lege og sykehus følger pasient- og brukerrettighetsloven § 5-1, og der er det Statsforvalteren som tar klagen – se klage på helsehjelp.

Datatilsynet fører også tilsyn med kredittopplysningsforetakene. Gjelder saken en ulovlig kredittsjekk eller en feil i kredittopplysningene som ikke blir rettet, har søstersiden vår en egen gjennomgang av hvordan du klager til Datatilsynet i kredittsaker. Andre klageveier mot det offentlige står i klage på offentlige vedtak.