Datatilsynets tilsynsfokus i 2025
Datatilsynet har udpeget tre områder, der vil præge tilsynsindsatsen i år: digital sporing i den fysiske verden, registreredes ret til sletning og anvendelsen af generativ AI. Fokus hænger tæt sammen med GDPR’s grundprincipper om gennemsigtighed, dataminimering og ansvarlighed, og virksomheder skal kunne dokumentere, at relevante processer er implementeret og efterleves. Indsatserne gennemføres dels nationalt, dels som led i koordinerede europæiske aktiviteter under EDPB.
Virksomheder bør derfor sikre et styrket governance-setup omkring data og teknologi, herunder klare roller, procedurer og kontrolspor. Det gælder både udvikling og drift af digitale løsninger og håndtering af registreredes rettigheder. Se Datatilsynets samlede fokusområder for 2025 på myndighedens hjemmeside: Datatilsynet – Særlige fokusområder.
Digital sporing og retten til sletning
Digital sporing uden for nettet – fx via apps, loyalitetsprogrammer, beacons eller lokationsdata – kræver skarp styring af formål, hjemmel og dataminimering. Hvor sporing sker til marketing eller profilering, vil samtykke ofte være påkrævet, og oplysningspligten skal være klar, tilgængelig og specifik. Overførsel til tredjeparter skal være dækket af passende aftaler og fremgå af fortegnelsen over behandlingsaktiviteter.
Retten til sletning forudsætter modne processer efter GDPR art. 17. Det omfatter modtagelse og kvalificeret vurdering af anmodninger, afvejning mod lovlige undtagelser (fx retlige forpligtelser eller retskrav), samt effektiv teknisk eksekvering på tværs af systemer, backups og databehandlere. Dokumentation af beslutningsgrundlag, tidsfrister og kontrolspor er central for at kunne demonstrere compliance ved tilsyn.
Generativ AI og ansvarlighed
Implementering af generativ AI skal ske med databeskyttelse indbygget fra start. Virksomheder bør identificere persondatabehandling i træning, tuning og drift, vurdere risici via DPIA ved høj risiko, sikre lovligt behandlingsgrundlag og etablere aftaler og kontroller overfor leverandører og databehandlere. Overførsel til tredjelande, datakvalitet og formålsbegrænsning skal være gennemgået og dokumenteret.
For at reducere tilsyns- og sanktionsrisiko kan virksomheder prioritere nogle få kernetiltag, der giver størst effekt og sporbarhed i hverdagen:
- Kortlægning af datakilder og flows i apps og AI-løsninger med tydelig hjemmel og oplysningspligt.
- Robuste procedurer for sletning, inklusive systemunderstøttelse, log for sletninger og faste responstider.
- AI-governance med politikker, ansvar, træning af medarbejdere og løbende intern audit.
- Løbende dokumentation i fortegnelser, risikovurderinger og databehandleraftaler samt periodisk review.
Samlet peger tilsynsfokus på behovet for proaktiv styring, kontinuerlig dokumentation og teknisk- organisatoriske kontroller, der kan tåle indblik fra både Datatilsynet og de registrerede.
