Datatilsynets tilsynsfokus 2025

Datatilsynet har udmeldt otte fokusområder for tilsyn i 2025: beskyttelse af børn, digital tracking via indkøbsapps, registreredes ret til sletning, styring af adgang til Det Fælles Medicinkort (FMK) hos privatpraktiserende læger og tandlæger, kunstig intelligens med fokus på generativ AI og sundhedssektoren, retshåndhævelsesloven, behandling i fælleseuropæiske informationssystemer samt et pilotforsøg med fælles tilsyn med Finanstilsynet. Virksomheder og myndigheder kan forvente målrettede kontroller af governance, dokumentation og praksis.

Fokus på børn omfatter bl.a. rollefordeling mellem dataansvarlige og databehandlere i forbindelse med skolefoto, samt opbevaring og sletning. Om sletning deltager Datatilsynet i den fælles EDPB-indsats, hvor håndteringen af anmodninger efter GDPR art. 17 vurderes. For indkøbsapps rettes blikket mod profilering og deling med tredjelande og sociale medier. Retshåndhævelsesloven og de fælleseuropæiske informationssystemer fremhæver kravet om særskilte retsgrundlag, nødvendighedsvurderinger og stærke sikkerhedsforanstaltninger.

Særlige sektorer: sundhed og finans

Adgangsstyring til FMK bringer klassiske sikkerhedskrav i spil: personlige login, mindst mulige rettigheder, løbende log-kontrol og dokumenterede procedurer. Datatilsynet vil se på, om praksis matcher politikker, og om der reageres effektivt på uretmæssige opslag. Sundhedsdata kræver desuden klare hjemler efter GDPR art. 9 og robuste organisatoriske kontroller.

Generativ AI og beslutningsstøtte i patientforløb rejser spørgsmål om gennemsigtighed, dataminimering, kvalitet af træningsdata og konsekvensanalyser. I den finansielle sektor undersøges et fælles tilsyn med Finanstilsynet for at sikre sammenhæng mellem GDPR og sektorregler i lov om finansiel virksomhed og betalingsloven. Aktører bør forvente øget fokus på formålsbegrænsning, logging og profilering.

Praktiske skridt for organisationer

Opdater sletteprocedurer og registrer konkrete frister for systemer og kategorier af data. Kortlæg dataflows i apps, SDK’er og tredjepartssamarbejder, og ajourfør databehandleraftaler og transfer-vurderinger. Verificer at privacy notices tydeligt forklarer tracking og profilering.

Styrk adgangsstyring med rollebaseret kontrol, periodiske rettighedsreviews og aktiv logovervågning – særligt omkring FMK og andre følsomme systemer. For AI-løsninger bør der gennemføres DPIA, dokumenteres test og etableres menneskelig kontrol med output.

1. Etabler dokumenteret proces for håndtering af sletningsanmodninger.
2. Gennemfør årlige rettigheds- og logreviews i kritiske systemer.
3. Udfør DPIA for generativ AI og trackingteknologier.
4. Map og kontraktregulér al deling med tredjeparter og sociale medier.