Privacy Corner

Tredjelandsoverførsler og TIA-krav i kommunale Google-løsninger

Datatilsynet har givet alvorlig kritik til 51 kommuner for brugen af Google Workspace i folkeskoler på grund af manglende transfer impact assessments for data, der kan tilgås via underdatabehandlere i tredjelande uden tilstrækkelighed. Afgørelsen understreger, at kontraktvilkår ikke kan neutralisere fremmede myndigheders adgangsmuligheder.

Udviklingen skærper kravene til dokumenterede risikovurderinger, styring af databehandlere og lovligt overførselsgrundlag, særligt når børns data er i spil. Offentlige dataansvarlige bør omgående revidere TIA’er, SCC’er og underdatabehandlerkæder samt sikre tekniske og organisatoriske foranstaltninger.

Håndhævelsestendenser: CCPA-whistleblowere og EU-udviklinger

Californien forbereder en whistleblowerordning under CCPA, hvor ansatte og kontrahenter kan anmelde brud direkte til CPPA og modtage 15–33 procent af eventuelle bøder. Det øger intern eksponeringsrisiko og kræver styrkede kontroller og speak‑up‑kanaler.

Internationalt ses intensiveret håndhævelse: italienske sager om følsomme medarbejderdata, EU’s tilstrækkelighedsafgørelse for Brasilien og WhatsApps domstolssejr om EDPB‑tilsyn. Fokus er på sletning, misbrug af loyalitetsdata og mangelfuld brudunderretning.