Anna Eide
Oskar Engman
Paal-André Storesund
Datatilsyn i EU skærper kursen mod store platforme og detailaktører med markante GDPR-bøder. EDPB’s linje får stigende vægt i praksis, mens tredjelandsoverførsler, cookie-compliance og cyberforsikring presser organisationers risikostyring. Virksomheder bør prioritere dokumenterede behandlingsgrundlag, TIAs og robuste sikkerhedsforanstaltninger.
Høje GDPR-bøder og EDPB’s betydning for behandlingsgrundlag
Flere sager mod globale platforme og detailkæder viser, at mangelfuld indbygget og standardmæssig databeskyttelse samt utilstrækkelig cookie-håndtering udløser høje bøder. Praktiske læringspunkter er klar adskillelse af politikker, konsekvent sletning i loyalitetsprogrammer og let adgang til fravalg.
EDPB’s koordinerende rolle påvirker vurderingen af, om “aftale” kan bære adfærdsbaseret markedsføring. One stop shop sikrer irsk kompetence i flere sager, men kollegialt pres fra øvrige tilsyn skærper linjen. Forvent øget fokus på gennemsigtighed, nødvendighed og proportionalitet ved brug af persondata til personaliserede tjenester.
Tredjelandsoverførsler og offentlige myndigheders hjemmel
På trods af politiske initiativer mellem EU og USA må virksomheder fortsætte med Transfer Impact Assessments og tekniske supplerende foranstaltninger. SCC’er og tilstrækkelighedsvurderinger skal opdateres i takt med praksis og trusselsbilledet.
Sager om offentlig statistik og “printede” persondata understreger, at myndigheder skal dokumentere klar hjemmel og dataminimering, mens alle dataformater er omfattet af GDPR. Offentlige aktører bør derfor justere processer, slettefrister og adgangsstyring i tråd med formål og retsgrundlag.
Cyberangreb, forsikringsdækning og cookie-compliance
Cyberforsikring er under pres med udbredte undtagelser for statssponsorerede angreb og krigslignende handlinger. Det øger behovet for beredskab, leverandørstyring og modstand mod MFA-fatigue-angreb, da hændelser hos databehandlere hurtigt kan eskalere.
Cookie-praksis bliver fortsat håndhævet med vægt på lige let afvisning og accept. Virksomheder bør sikre dokumenteret samtykke, granulære valg og løbende kontrol af tracking, så historiske fejl ikke fortsat udløser bøder.
