Anna Eide
Oskar Engman
Paal-André Storesund
Europæiske tilsynsmyndigheder har markeret sig med rekordstore bøder og en tydelig vægtning af EDPB’s retningslinjer. For virksomheder betyder det skærpede krav til dokumentation, solide sikkerhedsforanstaltninger og større fokus på lovligt grundlag for adfærdsbaseret markedsføring og cookies. Samtidig er tredjelandsoverførsler fortsat et hovedtema, hvor TIA’er og supplerende foranstaltninger er nødvendige, uanset politiske løsninger.
Håndhævelse af GDPR og EDPB’s betydning for bødeniveauet
Flere afgørelser fra slutningen af 2022 viser, at efterfølgende afhjælpning ikke automatisk reducerer bøden. I den irske sag om datascraping på Facebook lagde tilsynet vægt på manglende indbygget og standardiseret databeskyttelse, selv om platformen havde foretaget ændringer undervejs. Bødeniveauet indikerer, at myndighederne forventer forebyggelse og løbende risikostyring, ikke blot reaktioner på hændelser.
EDPB’s rolle er central, særligt i grænseoverskridende sager under one stop shop-ordningen. I de verserende Meta-sager om brug af aftalegrundlag for adfærdsbaseret markedsføring har EDPB udstukket retningslinjer for den irske afgørelse. Den danske Datatilsynets omtale giver et godt indblik i processerne og den vejledende betydning, som andre tilsyn tillægger EDPB’s fortolkninger. Se Datatilsynet Danmarks gennemgang her: datatilsynet.dk.
Cookies og adfærdsbaseret markedsføring: krav til design og dokumentation
CNIL’s bøde til Microsoft for ulige let accept og afvisning af cookies understreger kravet om symmetriske valg. Brugerens mulighed for at sige nej skal være lige så enkel som at sige ja, og det skal kunne dokumenteres. I Danmark og Norge forventes yderligere afklaring og praksisnær regulering, så virksomheder med grænseflader mod forbrugere bør justere bannere og samtykkeflows.
Den italienske afgørelse mod Douglas fremhæver organisatoriske pligter: tydelig adskillelse mellem privatlivspolitik og cookiepolitik, dataminimering og klare slettefrister for loyalitetsprogrammer. For app-udbydere er konklusionen, at privacy by design og privacy by default skal oversættes til konkret UI-design, tekniske standarder og styring af opbevaringsperioder.
For at reducere risiko anbefales en systematisk tilgang til dokumentation og design af brugerrejser:
- Etabler symmetriske cookievalg, herunder et lige så fremtrædende afvis-alternativ som accept.
- Adskil formål og retlige grundlag, og dokumentér specifik hjemmel for adfærdsbaseret markedsføring.
- Fastlæg slettefrister, dataminimering og logning af samtykker i politikker og tekniske procedurer.
Datasikkerhed, cyberforsikring og konsekvenser af databrud
Udviklingen på forsikringsmarkedet peger mod strammere vilkår og undtagelser for statsstøttede cyberangreb. Tvister om krigs- og force majeure-klausuler illustrerer usikkerheden om dækning. Resultatet er et større pres for at investere i forebyggende sikkerhed og hændelseshåndtering, da økonomisk risiko i stigende grad bæres af virksomheden selv.
Aktuelle databrud viser kendte svagheder: MFA-udmattelsesangreb, utilstrækkelig adgangskontrol og hurtig spredning af stjålne data. Når angribere truer med offentliggørelse for at udløse GDPR-bøder, bliver compliance-eksponeringen en del af afpresningsscenariet. Effektiv logning, segmentering, overvågning og træning er derfor ikke blot bedste praksis, men centrale kontrolpunkter for at begrænse regulatorisk og kommerciel skade.
Tredjelandsoverførsler og offentlige myndigheders hjemmel
Et nyt EU-USA-overførselsregime ændrer næppe på behovet for Transfer Impact Assessments og supplerende foranstaltninger. Fokus bør være bredere end USA og også omfatte destinationer som Indien, hvor lovgivningen fortsat kritiseres. SCC’er, kryptering og organisatoriske garantier skal vurderes og dokumenteres pr. dataflow.
I offentlig sektor er hjemmelskravet lige så afgørende. Varslet forbud mod norske SSB’s plan for brug af bongdata rejser spørgsmålet, om statistiklovens grundlag rækker til den påtænkte behandling. Sagen illustrerer, at myndigheder – på linje med private aktører – skal dokumentere formål, nødvendighed og proportionalitet. Se Datatilsynet Norges omtale: datatilsynet.no.
Et tysk eksempel på forbrugerbeskyttelse viser også compliance-kravet om, at opsigelse af abonnement skal være lige så enkel som indgåelse. Udbydere med aktiviteter i Tyskland bør sikre en korrekt implementeret termination button og proces, der samtidig modvirker misbrug uden at gøre opsigelsen unødigt byrdefuld.
Endelig minder Datatilsynet i Danmark om, at GDPR også gælder på papir: simple tiltag ved printere og i postrum forhindrer utilsigtet spredning. En praksisnær plakat kan hentes her: datatilsynet.dk.
