Eva Jarbekk

EU-Domstolen afklarer grænsen mellem pseudonymiserede data og personoplysninger med en relativ, risikobaseret vurdering. Oplysningspligten kan stadig gælde ved realistisk identifikation. Afgørelsen for EU-institutioner får betydning for GDPR-compliance hos både afsendere og modtagere.

Privat indførsel af kopivarer kan udgøre varemærkekrænkelse, når afsenderen er kommerciel. Oslo tingrett nedlagde importforbud og beordrede beslag og destruktion uden kendskabskrav med støtte i EU-Domstolens Rolex-dom. Afgørelsen skærper håndhævelsen.

Drøftelser om lempelse af GDPR’s artikel 30 for SMV’er møder markant modstand fra civilsamfundet. Mulige ændringer kan svække accountability og påvirke tilstrækkelighedsafgørelser og dataoverførsler. Få overblik over risici, compliance-prioriteter og praktiske tiltag.

EMD udvider beskyttelsen af aktindsigt for medier og NGO’er: En polsk organisation fik ret til adgang til forfatningsdommeres mødekalendere efter EMRK art. 10. Myndighedernes indsigelser blev afvist, og doktrinens rækkevidde for watchdog-aktører styrkes.

EU-Kommissionen fremlægger udkast til tilstrækkelighedsafgørelse for EU‑USA-overførsler, baseret på Executive Order 14086, Data Protection Review Court og EU‑U.S. Data Privacy Framework. Få overblik over proces, konsekvenser for overførsler og anbefalede compliance-tiltag.

Arbejdsgivere kan kun overvåge ansattes brug af it-udstyr inden for snævre rammer. GDPR kræver lovligt grundlag, nødvendighed, proportionalitet og gennemsigtighed. Danmark og Norge stiller særlige krav, mens Sverige ikke har særregler, men GDPR gælder uændret.

PTS har idømt en teleoperatør en bøde på 12,5 mio. SEK for brud på svenske krav til personalesikkerhed. Sagen understreger pligt til sikkerhedsklassificering, sikkerhedsgodkendelse og dokumenteret registertjek, da myndigheder kun kan dele data ved korrekt klassificering.

En domstol i Georgia har frifundet OpenAI i en injuriesag om ChatGPT-hallucinationer. Sagen viser, at klassiske bevis- og skadekrav stadig gælder for AI-output og understreger behovet for klare advarsler, solide brugsbetingelser og systematisk verifikation hos brugerne.

EU’s Ret har afvist et søgsmål mod den nuværende EU‑USA‑ramme for overførsel af personoplysninger og fastslår, at ordningen opfylder GDPR’s krav om et væsentligt tilsvarende beskyttelsesniveau. Virksomheder kan fortsætte brugen, men sagen kan ankes, og compliance bør fastholdes.

Automatiseret præscreening af bankkunder udfordrer kravet om individuel vurdering ved adgang til basale betalingstjenester. Hordaland-dommen fremhæver retssikkerhed, governance og EØS-konformitet som styrende parametre for banker og kreditinstitutter.

Frifindelsen af Flashbacks stifter i Stockholms tingsrätt tydeliggør, at strafansvar for platforme kræver grov uagtsomhed. Sagen skærper skellet mellem Yttrandefrihetsgrundlagen og BBS-loven og sætter DSA’s risikobaserede model i spil i den nordiske debat.

EDPB’s linje præger håndhævelsen: høje GDPR-bøder, strammere cookie-krav og fortsatte TIAs ved tredjelandsoverførsler. Samtidig skærpes vilkår for cyberforsikring, hvilket øger behovet for dokumenterede behandlingsgrundlag, sikkerhedsforanstaltninger og robust governance.

IABs TCF 2.2 skærper kravene til gyldigt samtykke, transparens og granularitet ved cookies. Konsekvenserne rammer CMP-opsætning, publishers og annoncører, og kræver hurtige justeringer for at sikre overholdelse af GDPR og ePrivacy.

IMY går i fire Google Analytics-sager imod EU-Domstolens SRB-linje og forudsætter, at tredjeparter kan re-identificere brugere. Det skærper vurderingen af, hvornår data er personoplysninger, og øger kravene til lovlige tredjelandsoverførsler og supplerende foranstaltninger.

EU opdaterer produktansvarsreglerne: Software og digitale produktionsfiler bliver omfattet, ansvarskredsen udvides, og præsumptioner om defekt og kausalitet letter bevisbyrden. Et parallelt AI-ansvarsudkast skal supplere de erstatningsretlige rammer.

EU-Domstolen behandler sag C‑654/23 om e-mailmarkedsføring uden forudgående samtykke. Sagen belyser rækkevidden af ePrivacy-direktivets undtagelse i artikel 13, stk. 2, herunder om gratis konti udgør salg og hvornår nyhedsbreve er lignende produkter. Vigtige compliance-implikationer.