Datatilsynet udtalte alvorlig kritik og gav påbud til en boligportal, der havde implementeret Facebook Business Tools og dermed indsamlede oplysninger som IP-adresser og enhedsdata. Tilsynet vurderede, at portalen og Meta var fælles dataansvarlige, men at kravene i GDPR artikel 26 ikke var opfyldt.
Der manglede et klart og dokumenteret arrangement for rolle- og ansvarsfordeling, herunder hvem der opfylder oplysningspligten og hvordan krav om ansvarlighed og dokumentation håndteres. Datatilsynet fremhævede, at fælles dataansvarlige skal kunne påvise compliance i fællesskab.
Praktiske implikationer
Virksomheder bør ved kortlægning af behandlingsaktiviteter konkret vurdere, om samarbejder med tredjepartsværktøjer udløser fælles dataansvar, og indgå et artikel 26-arrangement, der er let tilgængeligt for de registrerede.
Det anbefales samtidig at opdatere fortegnelser, gennemføre risikovurdering og sikre, at privatlivspolitikken tydeligt beskriver delingen med tredjemænd. Afgørelsen vedrørte Datatilsynets sag nr. 2021-7329-0052.
