Datatilsyn er behandlingsansvarlige overfor klagere

Et datatilsyn som behandler en klage, er behandlingsansvarlig for klagerens opplysningerEuropa og må gi innsyn etter artikkel 15Europa, fastslo Domstolen (tredje avdeling) 5. november 2026 i sak C-205/25 (Lindenberg mot Bayerisches Landesamt für Datenschutzaufsicht). Et generelt lovfestet forbud mot all tilgang til tilsynets dokumenter, som paragraf 20 annet ledd i den bayerske personvernloven, strider mot artikkel 23 i GDPREuropa: tredjeparts konfidensialitet og tilsynets funksjon krever avveining, sladding eller målrettede begrensninger, aldri totalnekt, og offentlig sikkerhet krever en reell, tilstrekkelig alvorlig trussel.

Klageren, en journalist med en personvernblogg, hadde siden 2021 inngitt flere klager til det bayerske tilsynet. Etter hans klage av 13. mai 2022 mot tredjepart meddelte tilsynet per e-post 11. oktober 2022 å ha funnet personvernbrudd og å ville ilegge overtredelsesgebyr ved fortsatte brudd. Samme dag ba han om fullstendige opplysninger etter artikkel 15 nr. 1 og 3; 20. oktober 2022 nektet tilsynet med henvisning til det bayerske generelle forbudet. Han saksøkte i desember for kopi av alt i klagesaksdokumentene; i februar 2024 ga tilsynet elektronisk dokumentinnsyn uten å vedgå noen plikt, mens han fortsatt krever nektelsen kjent ulovlig.

Vedrørende det første spørsmålet klassifiserer Domstolen det klagebehandlende tilsynet som behandlingsansvarlig etter artikkel 4 nr. 7Europa: det registrerer, konsulterer, lagrer og bruker klagerens opplysninger, og formålene og midlene ved behandlingen følger av de unionsbestemmelsene som styrer tilsynet, som kan utpeke den ansvarlige ikke bare uttrykkelig, men også implisitt, uten at tilsynet selv beslutter dem. Ellers mistet klageren overfor tilsynet alle kapittel III-rettigheter, fra informasjon og innsyn til retting, sletting og begrensning, og tilsynet unngikk artikkel 5-prinsippene og kapittel IVs sikkerhetsregler. Et organ kan være både tilsyn og ansvarlig, ved å tilpasse sin interne organisasjon slik at ansvarlighandlinger underkastes uavhengig tilsyn. Men artikkel 15 gir innsyn i egne personopplysninger og den opplistede informasjonen, ingen generell rett til forvaltningssaksdokumentene eller ethvert oppbevart dokumentEuropa.

Vedrørende det andre spørsmålet utelukker artikkel 23 nr. 1 bokstav c), h) og i) det generelle forbudetEuropa. Vernet av tredjeparts opplysninger etter bokstav i) krever avveining, der mulig gjennom sladding eller anonymisering, siden resultatet aldri må bli nektelse av alle opplysninger. Bevaring av tilsynets ordentlige funksjon og uavhengighet etter bokstav h) er legitimt i prinsippet, men utøvelsen av innsyn kan ikke undergrave uavhengigheten, og et generelt abstrakt forbud er uforholdsmessig: administrativ byrde møtes av ressursplikten og artikkel 12 nr. 5-gebyrer eller -avslag ved åpenbart grunnløse eller overdrevne anmodninger. Offentlig sikkerhet etter bokstav c) krever en reell og tilstrekkelig alvorlig trussel mot en grunnleggende samfunnsinteresse, hvorav intet fremgår her.

Rettslig grunnlag: artikkel 4 nr. 7 lest med artikkel 15 samt artikkel 23 nr. 1 bokstav c), h) og i) i forordning (EU) 2016/679.