Persondata og cybersikkerhed

EDPS fastslår, at Europa-Kommissionens brug af Microsoft 365 nu følger GDPR efter markante tekniske, organisatoriske og kontraktuelle ændringer. Afgørelsen signalerer til andre dataansvarlige at styrke overførsler, leverandørinstrukser og informationspligt ved cloudtjenester.

EU’s Space Act indfører sektorspecifikke cybersikkerhedskrav for rumaktører, gældende i hele livscyklussen og med ekstraterritorial effekt. Ledelser får personligt ansvar, tilsyn får stærke beføjelser, og NIS 2 fortrænges i sektoren. Ikrafttrædelse forventes fra 2030.

EU-Kommissionen fastslår, at medlemsstater kan indføre aldersgrænser for sociale medier, og at platforme skal håndhæve dem efter DSA art. 28. En fælles EU-løsning til alderstjek er på vej, Danmark går forrest. Hvad betyder det for compliance, markedsføring og dokumentation?

Danmark kan blive først i EU til at forbyde deepfakes via ophavsretsloven. Nye §§ 65 a og 73 a forbyder offentliggørelse uden samtykke, styrker artisters rettigheder og beskytter alle personers kendetegn med 50 års beskyttelse efter dødsår. Parodi undtages, med forbehold for skadelig misinformation.

Spamforbuddet i markedsføringsloven dækker e-mail, SMS, push og sociale medier. Gyldigt samtykke skal være forudgående, informeret, specifikt og let at tilbagekalde. Undtagelserne er snævre, og bøder udmåles per henvendelse. Praktiske processer er afgørende for compliance.

EDPB og EDPS støtter at målrette GDPR-fortegnelser til behandlinger med høj risiko – en mulig lettelse for mange SMV’er. De efterlyser dog begrundelse for 750-medarbejdergrænsen, klare definitioner af SMV/SMC og afklaring af offentlige myndigheder. Hvad bør virksomheder justere nu?

Datatilsynet udtaler alvorlig kritik af Digitaliseringsstyrelsen efter fem sager om sikkerhedsbrud i NgDP: forkerte læserettigheder, tab af adgang og utilsigtede tilmeldinger efter migrering og en release i august 2023. Offentlige it-løsninger skal løftes med stærkere TOMS, test og ændringsstyring.

Ny fælles cookievejledning samler reglerne for cookies og GDPR og skærper fokus på gyldigt samtykke, dokumentation og kontrol af tredjepartsteknologier. Vejledningen tydeliggør også, hvornår der opstår fælles dataansvar ved integrationer som sociale medier.

Europæiske myndigheder og virksomheder skærper kravene til AI efter usikkerhed om datasæt, overførsler og sikkerhed i nye sprogmodeller. EU satser samtidig på egne modeller og dataøkosystemer for at styrke lovmedholdelighed, sproglig diversitet og teknologisk suverænitet.

CEO-fraud topper i ferieperioden. I dansk ret bærer kunden som udgangspunkt betalingsrisikoen, mens banken sjældent hæfter. Leverandøren kan dog blive ansvarlig ved fejl eller svigt. Få overblik over dækning under cyber- og kriminalitetsforsikringer samt effektive forebyggende tiltag.

Fra i dag gælder NIS2 i 18 sektorer. Det kan løfte cybersikkerheden, men skaber også risiko for uens håndhævelse og stigende byrder. Jurister bør sikre harmoniserede kontraktkrav, effektiv risikostyring og klar rapportering – og hjælpe SMV’er med D-mærket og flere IT-kompetencer.

Microsoft strammer sin databehandleraftale og forbyder brug af kundedata til profilering og kommercielle formål. Tiltaget adresserer kritikpunktet fra Chromebook-sagen og styrker GDPR-overensstemmelse, men efterlader fortsat behov for dokumentation, audit og reel kontrol i den offentlige sektor.

Fratrædelseskommunikation kræver stram dataminimering og tydeligt retsgrundlag. Gennemgang af GDPR-regler, forskellen på interne og eksterne udmeldinger samt Bornholm-dommen om ulovlig deling af strafbare forhold. Konkrete tiltag hjælper arbejdsgivere til dokumenteret, risikominimeret praksis.

Advokater skal håndtere overlap mellem tavshedspligt og GDPR, særligt hvor transparenskrav kolliderer med fortrolighed. Sikkerhed hos både firma og leverandører er afgørende, og brud kan udløse anmeldelse til Datatilsynet. Vurder altid hjemmel og undtagelser efter begge regelsæt.

EU-Kommissionen har forlænget Storbritanniens tilstrækkelighedsafgørelser, så personoplysninger kan overføres til UK frem til 27. december 2025. Virksomheder bør sikre dokumentation og forberede et alternativ efter udløbet. Se EDPB-baggrund og de vedtagne afgørelser via linkene.

Ny vejledning fra Styrelsen for It og Læring præsenterer en syvtrinsmodel, der hjælper organisationer med at bruge AI lovligt efter GDPR, forvaltningsretten og EU’s AI-forordning. Modellen støtter DPO’er og compliance-funktioner op til de kommende AI-krav fra august 2025.