Artikkel 12 — Klar informasjon og regler for utøvelse av rettighetene

Artikkel 12 sier ikke hva den registrerte skal få vite (det står i art. 13 og 14), men hvordan: kortfattet og forståelig, gratis, innen en frist, og med en plikt for den behandlingsansvarlige til å gjøre det enkelt å bruke rettighetene. Den er derfor den bestemmelsen som avgjør om rettighetene i art. 15–22 virker i praksis.

Lovteksten

Artikkel 12. Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter

1. Den behandlingsansvarlige skal treffe egnede tiltak for å framlegge for den registrerte informasjonen nevnt i artikkel 13 og 14 og all kommunikasjon i henhold til artikkel 15-22 og 34 om behandlingen på en kortfattet, åpen, forståelig og lett tilgjengelig måte og på et klart og enkelt språk, især når det gjelder informasjon som spesifikt er rettet mot et barn. Informasjonen skal gis skriftlig eller på en annen måte, herunder elektronisk dersom det er hensiktsmessig. På anmodning fra den registrerte kan informasjonen gis muntlig, forutsatt at den registrertes identitet bevises på andre måter.
2. Den behandlingsansvarlige skal legge til rette for at den registrerte kan utøve sine rettigheter i henhold til artikkel 15-22. I tilfellene nevnt i artikkel 11 nr. 2 skal den behandlingsansvarlige ikke nekte å etterkomme den registrertes anmodning om å utøve sine rettigheter i henhold til artikkel 15-22, med mindre den behandlingsansvarlige påviser at vedkommende ikke er i stand til å identifisere den registrerte.
3. Den behandlingsansvarlige skal informere den registrerte om tiltak som er truffet på grunnlag av en anmodning i henhold til artikkel 15-22, uten ugrunnet opphold og senest én måned etter mottak av anmodningen. Denne fristen kan ved behov forlenges med ytterligere to måneder, idet det tas hensyn til antall anmodninger og anmodningenes kompleksitet. Den behandlingsansvarlige skal informere den registrerte om enhver slik forlengelse senest én måned etter mottak av anmodningen sammen med en begrunnelse for forsinkelsen. Dersom den registrerte inngir anmodningen elektronisk, skal informasjonen om mulig gis elektronisk, med mindre den registrerte anmoder om noe annet.
4. Dersom den behandlingsansvarlige ikke treffer tiltak på anmodning fra den registrerte, skal den behandlingsansvarlige informere den registrerte uten opphold og senest én måned etter mottak av anmodningen om årsakene til dette og om muligheten for å inngi klage til en tilsynsmyndighet og for rettslig prøving.
5. Informasjon som gis i henhold til artikkel 13 og 14, og enhver kommunikasjon og ethvert tiltak som treffes i henhold til artikkel 15-22 og 34, skal være gratis. Dersom anmodninger fra en registrert er åpenbart grunnløse eller overdrevne, særlig dersom de gjentas, kan den behandlingsansvarlige enten

a. kreve et rimelig gebyr, idet det tas hensyn til administrasjonskostnadene for å gi informasjonen eller treffe de tiltak det anmodes om, eller b. nekte å etterkomme anmodningen. Den behandlingsansvarlige skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.

6. Uten at det berører artikkel 11, kan den behandlingsansvarlige, dersom det hersker rimelig tvil om identiteten til den fysiske personen som inngir anmodningen nevnt i artikkel 15-21, anmode om ytterligere opplysninger som er nødvendige for å kunne bekrefte den registrertes identitet.
7. Informasjonen som skal gis de registrerte i henhold til artikkel 13 og 14, kan gis sammen med standardiserte ikoner for å gi en lett synlig, forståelig, lettlest og meningsfull oversikt over den tiltenkte behandlingen. Dersom ikonene presenteres elektronisk, skal de være maskinlesbare.
8. Kommisjonen skal gis myndighet til å vedta delegerte rettsakter i samsvar med artikkel 92 for å fastsette hvilken informasjon som skal gis ved hjelp av ikoner, og framgangsmåtene for å tilveiebringe standardiserte ikoner.

— Personvernforordningen artikkel 12, norsk tekst i vedlegget til personopplysningsloven ¹

Hva bestemmelsen betyr

Form (nr. 1). Informasjonen skal være «kortfattet, åpen, forståelig og lett tilgjengelig» og på «et klart og enkelt språk» ¹. Datatilsynet utleder blant annet at virksomhetene ikke kan bruke juridisk eller teknisk sjargong, at informasjonen skal være konkret, og at den må være adskilt fra annen informasjon som brukervilkår ². Lagdelt informasjon er anbefalt, men: «En personvernerklæring som forsøker å gjemme viktig informasjon er i strid med loven.» ²

Tilrettelegging (nr. 2). Plikten er aktiv. Datatilsynet: virksomheten må «setje av ressursar til og ha system for å vurdere førespurnadene frå privatpersonar» ³. EDPB minner om at plikten også gjelder ved behandling etter art. 6 nr. 1 bokstav f ⁴ (avsnitt 61).

Frister (nr. 3 og 4). Svar «uten ugrunnet opphold og senest én måned etter mottak av anmodningen» ¹. Forlengelse med inntil to måneder krever behov, og den registrerte skal varsles innen den første måneden «sammen med en begrunnelse for forsinkelsen» ¹. Også et nei skal gis innen én måned, med årsakene og opplysning om klagerett og rettslig prøving (nr. 4). Datatilsynet: «I så fall skal verksemda, før fristen går ut, seie frå om og grunngje forseinkinga.» ³

Gratis (nr. 5). Hovedregelen er gratis. Unntaket for åpenbart grunnløse eller overdrevne anmodninger er snevert, og bevisbyrden ligger hos den behandlingsansvarlige ¹. Datatilsynet: «Hovudregelen er at den einskilde kan bruke rettane sine gratis og utan å måtte forklare seg.» ³

Identitet (nr. 6). Ytterligere opplysninger kan kreves bare ved «rimelig tvil om identiteten» ¹, og bare det som er «nødvendige for å kunne bekrefte den registrertes identitet» ¹. Kontrollen må stå i forhold til hva som utleveres.

Ikoner (nr. 7 og 8). Kommisjonen har myndighet til å fastsette standardiserte ikoner; ingen slik rettsakt er hentet inn i kildegrunnlaget.

Norske særregler

• Personopplysningsloven § 16 gir særnorske unntak fra retten til informasjon og innsyn (blant annet taushetsplikt og interne saksforberedelser), og den som nekter, «må begrunne dette skriftlig og gi en presis henvisning til unntakshjemmelen» ¹.
• Datatilsynets veiledning om tilrettelegging er skrevet på nynorsk; sitatene i dette kapitlet er derfor på nynorsk ³.

Sentrale avgjørelser

Ingen hentet avgjørelse fra Personvernnemnda, Høyesterett eller EU-domstolen gjelder art. 12 direkte. EDPB- retningslinjene 1/2024 omtaler art. 12 i sammenheng med bokstav f: den behandlingsansvarlige skal svare på anmodninger etter art. 15–22 innen fristen, og det gjelder også når behandlingen bygger på berettiget interesse ⁴ (avsnitt 61). Kapitlet oppdateres når relevante avgjørelser er hentet og ført i ledgeren.

Slik bruker du rettighetene dine

Henvendelser til Byggsikt om personvern kan sendes til [email protected]. Oppgi hvilken side eller behandling henvendelsen gjelder, og hva du ønsker undersøkt. Du trenger ikke kjenne artikkelnummeret for å be om innsyn, retting, sletting, begrensning eller for å protestere. Se personvernerklæringen.

Hovedregelen er svar uten ugrunnet opphold og senest innen én måned etter mottak. Ved nødvendig forlengelse skal den registrerte få beskjed og begrunnelse innen den første måneden. Én måned er ikke alltid det samme som 30 dager. ⁵

Identitetskontroll skal være forholdsmessig. Ved rimelig tvil kan den behandlingsansvarlige be om tilleggsopplysninger som er nødvendige for å bekrefte identiteten. Kontrollen må ta hensyn til risikoen ved å gi opplysninger til feil person. ⁶

Et avslag skal begrunnes og forklare muligheten for klage til tilsynsmyndigheten og rettslig prøving. Informasjon og behandling av anmodninger er som hovedregel gratis; unntakene i artikkel 12 nr. 5 er snevre. ⁷

Kilder

Kildene er oppført med lenker til utgiverne i kildelisten.

• ² Datatilsynet — Informasjon og åpenhet, alle sider (utskriftsversjon). https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/informasjon-og-apenhet/?print=true — hentet 2026-10-16, sha256 3bc6d93081cca1e9…
• ³ Legge til rette for rettigheter | Datatilsynet Til hovedinnhold Vis/skjul søk Skjul Hva leter du etter? Søk Meny Vis/skj. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/legge-til-rette-for-rettigheter/ — hentet 2026-10-16, sha256 a37a67795e989549…
• ⁴ EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0 adopted 8 October 2024 (PDF). https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf — hentet 2026-10-16, sha256 55394a154bbcaa70…
• ¹ Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* — hentet 2026-10-16, sha256 145e977449481b51…