2.1. Saksforholdet

EU-domstolens dom i sak C-579/21 Pankki gjaldt retten til innsyn i egne personopplysninger og tilhørende informasjon etter personvernforordningen artikkel 15. Et av spørsmålene fra den nasjonale domstolen var om innsynsretten også omfattet hvem som behandlet personopplysninger. Dette gjaldt både om opplysningen kunne anses som den registrertes egne personopplysninger etter artikkel 4 nr. 1, eller om de ansatte kunne anses som mottakere av personopplysninger etter artikkel 15 nr. 1 bokstav c.(6) Sak C-579/21 ECLI:EU:C:2023:501 Pankki, se avsnitt 28, spørsmål 1 og spørsmål 2 (b).

Selve saken gjaldt et innsynskrav som gikk langt tilbake i tid. Saksøker for de nasjonale domstoler var en tidligere ansatt og kunde i den finske banken S-Pankki.

I 2014 hadde saksøker (heretter også kalt «JM», som var pseudonymiseringen EU-domstolen brukte) fått vite at ansatte i banken hadde gjort oppslag i hans kundeopplysninger ved flere anledninger i perioden 1. november 2013 til 31. desember 2013.

I mai 2018 – kort tid etter personvernforordningen hadde trådt i kraft – krevde JM innsyn i hvilke ansatte som hadde gjort oppslag, nøyaktige datoer, og formålene ved denne behandlingen. På dette tidspunktet var JM sagt opp fra banken.(7) Dette fremgår av generaladvokatens redegjørelse, uten at det er opplyst noe nærmere tidspunkt for oppsigelsen, se opinion i sak C-579/21 ECLI:EU:C:2022:1001 avsnitt 19.Banken ga en generell redegjørelse for oppslagene, som knyttet seg til å undersøke en mulig interessekonflikt med en kunde av banken som JM hadde ansvar for, og opplyste ellers at alle ansatte hadde forklart seg til bankens internkontroll om grunnene for oppslagene. På bakgrunn av oppslagene hadde banken fått avkreftet at det var noen interessekonflikt.(8) Se sak C-579/21 ECLI:EU:C:2023:501 Pankki, avsnitt 20–26 for EU-domstolens oppsummering av saksforholdet.

JM klagde deretter bankens avslag inn for den finske tilsynsmyndigheten («Dataombudsmannens byrå» på svensk). Den finske tilsynsmyndigheten avslo klagen 4. august 2020. JM tok deretter ut søksmål mot tilsynsmyndigheten for å få avslaget annullert. Saken ble i første instans behandlet av den regionale forvaltningsdomstolen i Finland, som forela tolkningsspørsmål om innsynsretten til EU-domstolen.

2.2. EU-domstolens hovedkonklusjon

EU-domstolen drøftet både spørsmålet om de ansattes identitet kunne anses som JMs egne personopplysninger, eller om de kunne anses som mottakere, nokså langt og grundig. Som jeg gjennomgår senere, er resonnementet nokså innfløkt og til dels uklart. Konklusjonen på sin side er nokså rett frem. Konklusjonen er derfor det beste stedet å starte for å forstå dommen riktig. Konklusjonen lyder slik på engelsk:

Den første setningen besvarer i hvilken utstrekning den registrerte har rett til innsyn i datoer og formål knyttet til oppslag i egne personopplysninger. Spørsmålet om innsyn i hvilke ansatte som har gjort oppslag, er besvart i den siste setningen.

Det som fremgår direkte av konklusjonen, er at EU-domstolen oppstiller to vilkår for at en registrert skal ha rett til innsyn i hvilken ansatt hos den behandlingsansvarlige som har foretatt en behandling: For det første må slikt innsyn være avgjørende for å håndheve rettigheter etter forordningen. For det andre må interessene til de ansatte også tas i betraktning. Det siste vilkåret er vanskelig å forstå som noe annet enn et krav om en konkret interesseavveining.

Selve terskelen i det første vilkåret er i den engelske språkdrakten at innsyn må være «essential» for å håndheve rettighetene etter forordningen. Lignende terskel finner man også i den franske teksten («indispensables»).(9) Tilsvarende blant annet også i tysk og spansk språkdrakt, hvor henholdsvis ordene «unerlässlich» og «indispensable» er brukt.Ordvalget er viktig her, fordi det indikerer at innsyn krever noe mer enn bare interesseovervekt. Hadde EU-domstolen ment å formulere et krav til en vanlig interesseavveining, ville det vært lite naturlig å formulere en såpass høy terskel som «essential». Konklusjonen i dommen tilsier derfor at innsyn hører til unntakstilfellene. Det må – av en eller annen grunn – først konstateres at innsyn er uunnværlig elleravgjørende for å kunne håndheve rettighetene etter personvernforordningen.

Denne terskelen er imidlertid nedtonet i den danske utgaven av dommen, som ofte brukes av norske rettsanvendere.(10) Jf. hos blant annet advokat Eva Jarbekk, Høyesterett avklarer innsynsrettens rekkevidde, Nyhetsbrevet Privacy Tech (29. april 2026). Språkforskjellene er heller ikke problematisert av Gulbrandsen i Innsynsrettens rekkevidde – logginnsyn og identitetsinformasjon, Lov & Data nr. 167 3/2026, selv om Guldbrandsen også siterer den engelske teksten i parantes.Her er avsnitt 83 oversatt slik at innsyn må være «nødvendig» for at den registrerte effektivt kan utøve sine rettigheter etter forordningen. Etter normal språkbruk oppfattes nødvendig som mindre strengt enn de engelske og franske ordene. Det gjelder spesielt innenfor personvernforordningen og EU-retten mer generelt, hvor nødvendig stort sett bare er uttrykk for et krav om forholdsmessighet.(11) Jf. blant annet personvernforordningens fortalepunkt 39, og EU-domstolens storkammeravgjørelse i sak C-439/19 Penalty Points avsnitt 109–110. Se også Eidissen, Behandlingsgrunnlag for bakgrunnssjekk ved ansettelser, Lov & Data nr. 161 1/2025 punkt 3. Den danske teksten avviker derfor en del fra blant annet den engelske og franske språkdrakten. Isolert sett er den danske teksten derfor rimelig å forstå slik at den gir anvisning på en konkret interesseavveining, uten noen terskel før innsynskrav i det hele tatt kan være aktuelt.

Etter gjengs EØS-rettslig metode veier den franske teksten særlig tungt. Dette er fordi fransk er EU-domstolens arbeidsspråk, og den franske teksten er derfor den som gir uttrykk for domstolens rettsoppfatning.(12) Se nærmere Halvard Haukeland Fredriksen og Gjermund Mathisen, EØS-rett (5. utgave, 2026) s. 372–374.Det er derfor i utgangspunktet lite tvilsomt at man ved tolkningen av dommen, må ta utgangspunkt i den franske teksten (som for så vidt den engelske og de fleste andre språkdrakter gjenspeiler godt).

En nærmere gjennomgang av dommen og av generaladvokatens uttalelse, støtter også at Pankki-dommen må forstås i tråd med ordlyden i konklusjonen til å oppstille to vilkår for innsyn i opplysninger om hvilke ansatte som har foretatt behandlinger: Et grunnvilkår om at innsyn må være avgjørende for å håndheve rettigheter, og et tilleggsvilkår om interesseavveining knyttet til inngrepet i de ansattes personvern.

Et mer åpent spørsmål er om EU-domstolen som utgangspunkt forutsetter at slike innsynskrav først vurderes av den nasjonale tilsynsmyndigheten, før det eventuelt kan foreligge noen innsynsrett. Det innebærer i så fall at innsynsretten etter Pankki-dommen, forutsetter at den registrerte først må forsøke å håndheve rettighetene gjennom klage til Datatilsynet. Jeg kommer også nærmere inn på dette nedenfor.

2.3. Kort om generaladvokatens uttalelse

I Pankki-saken som ellers kan generaladvokatens uttalelse være relevant som kontekst for å tolke EU-domstolen.(13) Se nærmere Halvard Haukeland Fredriksen og Gjermund Mathisen, EØS-rett (5. utgave, 2026) s. 375–376.Generaladvokatens resonnement er både mer utfyllende og skarpere. Det er imidlertid viktig å merke seg at EU-domstolen ikke fulgte Generaladvokatens anbefaling til tolkningsuttalelse: Generaladvokaten foreslo at artikkel 15 nr. 1 måtte tolkes slik at den ikke ga noen rett til innsyn i identiteten til ansatte som hadde gjort oppslag i personopplysninger. Generaladvokaten formulerte ikke noe unntak fra dette for tilfeller hvor slikt innsyn var avgjørende for å håndheve rettighetene etter personvernforordningen.

Generaladvokatens resonnement er like fullt relevant for å tolke EU-domstolens endelige avgjørelse, fordi den belyser hvilke resonnementer EU-domstolen synes å slutte seg til, og hvilke resonnementer EU-domstolen så ulikt på.

Generaladvokaten tok utgangspunkt i at artikkel 15 nr. 1 skiller mellom innsyn i personopplysningene som behandles, og informasjon om behandlingen som angitt i bestemmelsens bokstav a–h. Det at det behandles personopplysninger og omstendighetene rundt behandlingen, var etter generaladvokatens syn ikke personopplysninger. Generaladvokaten konkluderte – som EU-domstolen senere – med at de ansatte heller ikke kunne anses som mottakere etter artikkel 15 nr. 1 bokstav c.

Når det gjaldt de registrertes behov for å vite hvilke ansatte som behandlet personopplysningene for å bedre kunne kontrollere lovligheten, pekte generaladvokaten på muligheten til å klage til den nasjonale tilsynsmyndigheten. Generaladvokaten anerkjente at en innsynsrett stiller de registrerte bedre i stand til å kontrollere lovligheten, men mente samtidig at det ikke var dekning i personvernforordningen for noen slik innsynsrett.

Generaladvokatet frarådet derfor EU-domstolen om å «…acting in a quasi legislative manner, to amendthe GDPR in order to introduce a new obligation to provide information, in addition to those provided for in Article 15(1) thereof».(14) Se opinion i sak C-579/21 ECLI:EU:C:2022:1001 avsnitt 75. Generaladvokaten pekte på behandlingsansvarliges interesse i fortrolighet, og ansattes personvern, som vektige mothensyn for en generell innsynsrett.(15) Se opinion i sak C-579/21 ECLI:EU:C:2022:1001 avsnitt 76–77.Generaladvokaten mente derfor at det å klage til tilsynsmyndigheten – og at tilsynsmyndigheten som nøytralt organ eventuelt kunne kontrollere lovligheten og eventuelt velge å gi innsyn – innebar en balansert løsning.(16) Se opinion i sak C-579/21 ECLI:EU:C:2022:1001 avsnitt 57–80.

Selv om Generaladvokaten selv påpekte at det var overflødig, fortsatte han for fullstendighetens skyld med en særskilt drøftelse av innsyn i ansattes identitet i tilfeller hvor dette fremgikk av filer eller logger hos behandlingsansvarlig. Generaladvokatens poeng her var at slike logger over behandlingsaktiviteter er noe en behandlingsansvarlig gjør for å ivareta datasikkerhet og -integritet, og også er pålagt å utarbeide etter personvernforordningen. Videre pekte generaladvokaten på at tilsynsmyndigheten kan kreve slik informasjon utlevert. Generaladvokaten mente imidlertid at ingen bestemmelse i forordningen krever at identiteten til ansatte som fremgår av slik dokumentasjon skal gjøres tilgjengelig til den registrerte selv.(17) Se opinion i sak C-579/21 ECLI:EU:C:2022:1001 avsnitt 81–93.

Resonnementet til generaladvokaten fremstår godt og treffende. Som jeg kommer nærmere tilbake til nedenfor, kan kanskje EU-domstolens avvikende konklusjon i stor grad forklares med at EU-domstolen vektla hensynet til at den registrerte skal kunne kontrollere lovligheten av behandlingen med personopplysninger. Det er liten tvil om at dette er et grunnleggende formål bak innsynsretten etter artikkel 15. Men ordlyden i artikkel 15 nr. 1 er et uttrykk for at EU-lovgiver likevel har oppstilt grenser for hvor langt denne innsynsretten skal strekke seg. At dette er et bevisst valg, underbygges også av hvordan informasjonstilgangen til tilsynsmyndighetene er regulert. Her følger det av forordningens artikkel 58 nr. 1 at behandlingsansvarlige må «framlegge all informasjon» som tilsynsmyndigheten trenger for å kunne utføre sine oppgaver. EU-lovgiver har altså bevisst valgt ikke å gi de registrerte noen tilsvarende adgang til «all informasjon» de måtte trenge for å håndheve rettighetene.

2.4. Nærmere om EU-domstolens resonnement

Som det følger ovenfor, var EU-domstolens hovedkonklusjon når det gjaldt innsyn i hvilke ansatte som har gjort oppslag, at innsyn i dette kan foreligge dersom det slikt innsyn er avgjørende for å håndheve rettighetene etter personvernforordningen, og at de ansattes rettigheter deretter også tas i betraktning.

EU-domstolen behandlet spørsmål om innsyn i datoer, formål og identiteten til de som har søkt under etter i avsnitt 37–83. Avsnitt 37–59 er kanskje de mest forståelige deler av dommen i så måte. Her vurderte EU-domstolen ordlyd, kontekst, formål og tidligere rettspraksis av betydning. Dommen klargjør her det som er sikre utgangspunkter: At begrepene personopplysning og behandling må tolkes bredt, at innsynsretten etter artikkel 15 nr. 1 skal sikre gjennomsiktighet i behandlingen overfor den registrerte, og at innsynsretten er nødvendig for at den registrerte skal utøve rettighetene knyttet til retting, sletting eller begrensning av behandling.

På bakgrunn av EU-domstolens dom C-487/21 Österreichische Datenschutzbehörde, var det også på det rene at oppslag («consultations») i personopplysninger er å anse som en behandling av personopplysninger. EU-domstolen klargjorde i avsnitt 61 forlengelsen av dette at artikkel 15 nr. 1 da gir både den registrerte rett til innsyn i selve personopplysningene som behandles («personal data»), og informasjon («information») knyttet til denne behandlingen. Dette avsnittet får frem at EU-domstolen trakk et begrepsmessig skille på innsyn i selve personopplysningene, og innsyn i informasjon knyttet til behandlingen av personopplysningene. Dette er også i tråd med generaladvokatens uttalelse i saken.(18) Se opinion i sak C-579/21 ECLI:EU:C:2022:1001 avsnitt 46–56. Fordi dette skillet er uttrykkelig klargjort av generaladvokaten, er det større grunn til å anta at skillet mellom innsyn i personopplysninger og innsyn i informasjon var veloverveid fra EU-domstolens side.

Det er først i avsnitt 62 og fremover at vi finner slutninger om hvordan disse utgangspunktene forholder seg det innsynskravet saken gjelder, nemlig datoer, formål og identiteten til de ansatte som har gjort oppslag i personopplysningene. I dette avsnittet og fremover resonnerte EU-domstolen hovedsakelig rundt hvorvidt det foreligger informasjon (altså ikke personopplysninger) som den registrerte har rett til innsyn i.

Deretter klargjorde domstolen at datoene gir den registrerte mulighet til å sjekke at personopplysninger er behandlet på et gitt tidspunkt, og at det derfor er en faktor som gjør det mulig å kontrollere lovligheten av behandlingen. Når det gjelder formålene ved oppslagene, viste EU-domstolen til at rett til innsyn i formålene ved behandlingen fremgår uttrykkelig av Artikkel 15 nr. 1 bokstav a.(19) Sak C-579/21 ECLI:EU:C:2023:501 Pankki avsnitt 62.

Det kan reises spørsmål om holdbarheten av EU-domstolens resonnement rundt innsyn i dato og formål. Når det gjelder formål, så vil oppslag i den registrertes personopplysninger sjelden skje basert på nye formål. Stort sett vil oppslag skje med bakgrunn i fra før av etablerte og legitime formål, som den registrerte allerede har rett til innsyn i. Dersom det i stedet er tale om oppslag basert på et nytt formål, kan det være mer riktig å si at innsynsrett knyttet til formålet ved det konkrete oppslaget følger av artikkel 15 nr. 1 bokstav a. Når det gjelder innsyn i dato, er EU-domstolens resonnement begrenset til at slikt innsyn bidrar til at den registrerte får vite at personopplysninger behandles på et gitt tidspunkt, og at det bidrar til at den registrerte kan kontrollere lovligheten av behandlingen. Men selv om dette isolert sett er riktig, er det likevel ingenting i ordlyden i artikkel 15 som støtter at EU-lovgiver likevel har ment at innsynsretten går så langt som å angi hvert enkelt tidspunkt for behandling av personopplysninger.

Hvorvidt EU-domstolens resonnement og konklusjon knyttet til dato og formål er tilstrekkelig holdbart til at man kan anta at senere rettspraksis fra EU-domstolen vil følge samme linje, går jeg ikke nærmere inn i her. For tolkningen av innsynsretten i hvilke ansatte som har gjort oppslag, er det uansett et poeng her å merke seg at innsynsretten i dato for oppslag, er begrunnet i at innsyn gjør det mulig å kontrollere lovligheten av behandlingen.

EU-domstolen ser ellers ut til å ha drøftet ferdig og konkludert med at den registrerte har rett til innsyn i datoer og formål bak oppslag i den registrertes personopplysninger i avsnitt 62. Dette er også i tråd med den første setningen i EU-domstolens hovedkonklusjon i avsnitt 83. Innsynsretten i disse opplysningene er altså ikke betinget av at innsynet må være avgjørende på noe vis.

Den påfølgende drøftelsen i avsnitt 63–70 synes å være begrenset til om innsyn må gis i loggdata mer generelt, eller om det skal foretas noen form for avgrensning. I avsnitt 68 pekte EU-domstolen på tilsvarende poeng som fra generaladvokaten om at utover eventuelle egne personopplysninger, så føres slik loggdata for at den behandlingsansvarlige skal etterleve sine egne dokumentasjonsplikter.

Avsnitt 69 er mer uklart. EU-domstolen uttalte her at innsyn i informasjon i loggdata «kan» være nødvendig for å gi tilgang til all informasjon som er påkrevd etter artikkel 15 nr. 1 og ellers for å overholde kravet til gjennomsiktighet og rettferdig behandling. I avsnitt 71 uttalte domstolen videre at slik loggdata – for det første – bekrefter at det behandles personopplysninger, noe man har rett til informasjon om etter artikkel 15 nr. 1. Videre uttalte domstolen at loggdata gir informasjon om hyppigheten og intensiteten av behandlingen, som gir den registrerte mulighet til å kontrollere om behandlingen faktisk skjer til de oppgitte formål. På tross av dette var likevel EU-domstolens innledende formulering kun at innsyn kunne («may») være påkrevd. Avsnittene gir derfor ikke noen klar konklusjon om innsynsretten knyttet til slik loggdata.

Det sentrale spørsmålet i saken var imidlertid spørsmålet om innsyn i de ansattes identitet. Drøftelsen gikk over til dette spørsmålet i avsnitt 71. Her påpekte EU-domstolen at loggfilene også inneholdt identiteten til de ansatte som har gjort oppslag. EU-domstolen slo fast i avsnitt 72 at det ikke var noen tvil om at de ansatte arbeidet under den behandlingsansvarliges instruksjon.

EU-domstolen kom deretter i avsnitt 73 med avklaringen om at de ansatte ikke kan anses som mottakere etter artikkel 15 nr. 1 bokstav c, så lenge de arbeidet under og innenfor den behandlingsansvarliges instruksjoner.

Resonnementet til EU-domstolen er så langt forholdsvis klart: EU-domstolen mente at artikkel 15 nr. 1 ga rett til innsyn i datoer og formål bak oppslag i personopplysninger, men at artikkel 15 nr. 1 bokstav c ikke ga rett til innsyn i ansatte som «mottakere» av personopplysninger. Fra avsnitt 75 og utover, er imidlertid premissene enda mer uklare.

EU-domstolen pekte i avsnitt 75 på at informasjon om hvilke personer som har gjort oppslag kan («may») utgjøre informasjon som anses som den registrertes egne personopplysninger, og viste til at denne informasjonen gjør den registrerte i stand til å vurdere lovligheten av de ansattes behandling. Avsnittet fremstår uklart, for hvorvidt noe klargjør om personopplysninger behandles lovlig eller ikke, er strengt tatt ikke relevant for hvorvidt det er den registrertes egne personopplysninger.

Hvorvidt noe utgjør en personopplysning, beror på definisjonen i forordningens artikkel 4 nr. 1. Det er klargjort i rettspraksis at begrepet skal forstås vidt.(20) Dette gjennomgås også av EU-domstolen i Pankki-dommen i avsnitt 42–44.Det sentrale for loggdata som Pankki-saken gjaldt, må være hvorvidt opplysningene i tilstrekkelig grad er knyttet til den registrerte selv. Det følger av langvarig rettspraksis at for at noe skal anses som personopplysninger, må det være knyttet til en person «by reason of its content, purpose or effect».(21) Jf. blant annet storkammersak C-492/23 ECLI:EU:C:2025:935 X mot Russmedia Digital SR mv. avsnitt 49 med videre henvisninger til tidligere rettspraksis og også Pankki-dommen i avsnitt 43.Poenget til generaladvokaten – som man kan være enig eller uenig i – oppfatter jeg slik at logger er opplysninger knyttet til den behandlingsansvarliges egne dokumentasjons- og sikkerhetskrav. Det er altså ikke opplysninger som i tilstrekkelig grad er knyttet til den registrerte ut fra innhold, formål eller virkning.(22) Se opinion i sak C-579/21 ECLI:EU:C:2022:1001 avsnitt 81–93.I Pankki-dommen argumenterte ikke EU-domstolen ut fra tilknytning basert på innhold, formål eller effekt. I stedet synes domstolen å ha bevegd seg bort fra den etablerte norm for hva som utgjør en personopplysning basert på om noe gjør den registrerte i stand til å kontrollere lovligheten av en behandling eller ikke. Jeg kan ikke se dekning i annen rettspraksis for at dette skal være et relevant moment i vurderingen.

Pankki-dommen holder også åpent hvorvidt konklusjonen skal være at hvilke ansatte som har gjort oppslag, også er den registrertes egne personopplysninger. EU-domstolen uttalte bare at dette kan utgjøre en personopplysning om den registrerte selv. EU-domstolens videre resonnement dreide seg om å håndtere at en eventuell innsynsrett i så fall utgjør et inngrep i ansattes rettigheter. I avsnitt 80 påpekte EU-domstolen at dersom den registrertes rettigheter gjør inngrep i andres rettigheter og friheter, må disse veies mot hverandre. I avsnitt 81 ble det videre påpekt at innsynskravet i saken ikke synes begrunnet med at de ansatte kan ha gått utenfor deres fullmakter, men at JM betvilte riktigheten av de opplyste formålene ved oppslagene.

Avsnitt 82 rett før konklusjonen er særlig interessant: EU-domstolen uttalte her at i slike situasjoner (hvor den registrerte har tvil om de oppgitte formål er lovlig), kan den registrerte sende inn en klage til tilsynsmyndigheten. EU-domstolen uttaler videre at tilsynsmyndigheten da har rett til å be om all nødvendig informasjon fra den behandlingsansvarlige.

Det konkluderende avsnittet kommer deretter. EU-domstolen klargjorde her at innsynsrett i hvilke ansatte som har gjort oppslag kun kan foreligge dersom innsyn er avgjørende for å håndheve rettighetene etter forordningen, og videre at rettighetene og friheten til de berørte ansatte tas hensyn til.

Basert på EU-domstolens eget resonnement, kan det synes som om domstolen legger til grunn at klage til tilsynsmyndigheten er det primære verktøyet for den registrerte i slike tilfeller. I motsatt fall gir tilføyelsen i avsnitt 82 lite mening. At generaladvokaten selv uttrykkelig formulerte et lignende poeng, støtter dette også ytterligere. Det samme gjør det forhold at Pankki-dommen nettopp var en tvist hvor den nasjonale tilsynsmyndigheten var saksøkt for uriktig håndtering av en klage.

Det kan altså være innsynsretten etter Pankki-dommen må forstås svært snevert, slik at den normalt kun kan foreligge dersom det gjennom en klage til tilsynsmyndigheten klargjøres at slikt innsyn er avgjørende.

Pankki-dommen er generelt uklar i sine resonnementer. Det har antakelig vært noe uenighet hos dommerne om spørsmålene i saken, slik at formuleringene i stor grad har blitt preget av ulne kompromisser. Dette skjer som kjent tidvis i EU-domstolen fordi dissenterende votum ikke er tillatt.(23) Se nærmere Halvard Haukeland Fredriksen og Gjermund Mathisen, EØS-rett (5. utgave, 2026) s. 370.Dommen etterlater derfor vanskelige tolkningsspørsmål. Noen av standpunktene fremstår også diskutable. Det gjør også at det er noe tvil om EU-domstolen selv vil fastholde alle rettsoppfatninger fra Pankki-dommen fremover.

Det som derimot fremstår mindre tvilsomt, er at selve konklusjonen i dommen må tolkes slik den er skrevet. Innsynsrett kan kun foreligge i unntakstilfeller hvor dette av en eller annen grunn er avgjørende for at den registrerte skal kunne håndheve sine rettigheter. Det er også mulig dette kravet innebærer at den registrerte først må klage til tilsynsmyndigheten. Dersom dette vilkåret er oppfylt, er det deretter nødvendig å veie den registrertes rett til innsyn mot de ansattes rettigheter og friheter.