Gabriel L. K. Martiny

Fra 1. januar 2026 skal advokatvirksomheder indhente og straks dele klienters identitetsoplysninger med banken ved indbetalinger til samleklientkonti. Kravene i hvidvasklovens § 38 b gælder alle sagstyper og håndteres efter GDPR’s regler. Her er de centrale konsekvenser og råd.

Datatilsynet retter alvorlig kritik mod en tandlægevirksomhed for hemmelige lydoptagelser af en medarbejder. Afgørelsen understreger kravet om lovligt behandlingsgrundlag, oplysningspligt og proportionale kontrolforanstaltninger i ansættelsesforhold – også når optagelser bruges som bevis.

Overførsler af personoplysninger til tredjelande kræver et gyldigt grundlag efter GDPR kapitel V. Vurder om landet er omfattet af en tilstrækkelighedsafgørelse, eller brug SCC, BCR m.v. Gennemfør en TIA og etabler supplerende foranstaltninger. Husk skærpet oplysningspligt.

EU-Kommissionen har forlænget Storbritanniens tilstrækkelighedsafgørelser til udgangen af 2025. Overførsler kan fortsætte uden SCC eller BCR, men virksomheder skal fortsat dokumentere konkrete risikovurderinger, opdatere databehandleraftaler og sikre passende tekniske foranstaltninger.

EU-Domstolen fastslår, at GDPR-bøder kan beregnes ud fra koncernens samlede omsætning. Afgørelsen skærper bøderisikoen for større grupper og stiller højere krav til central governance, slettepraksis og dokumentation. M&A-due diligence må nu eksplicit adressere koncernbaseret bødeberegning.

Landsretten hæver bøden i en principiel GDPR-sag til 250.000 kr. Udgangspunktet på 500.000 kr. reduceres pga. seks års sagsbehandling. Afgørelsen skærper sanktionsniveauet for manglende sletning og understreger behovet for dokumenterede sletteprocedurer og effektiv governance.

Manglende sletning af personoplysninger kan udløse påbud og bøder. GDPR kræver formålsbaserede slettefrister, dokumenteret praksis og teknisk understøttelse. Få overblik over krav, undtagelser efter bogføringsloven og hvidvaskloven samt centrale kontroltiltag og myndighedspraksis.

Datatilsynet prioriterer i 2025 kontrol med digital sporing uden for nettet, håndtering af sletningsanmodninger og brug af generativ AI. Virksomheder bør styrke transparens, samtykke, sletningsprocedurer og AI‑governance for at kunne dokumentere GDPR‑compliance ved tilsyn.

Fra 2. februar 2025 kræver AI-forordningen, at udbydere og idriftsættere sikrer relevante medarbejderes AI-kompetencer. Kravet skal opfyldes med rollebaseret træning, dokumentation og løbende opdatering, koblet til governance, risikostyring og databeskyttelse for at undgå sanktioner.

Databrud kræver hurtig risikovurdering, anmeldelse til Datatilsynet inden 72 timer og, ved høj risiko, underretning af de berørte. Få overblik over definitionen af databrud, typiske hændelser og de vigtigste tekniske og organisatoriske skridt, der styrker efterlevelse og minimerer skade.

Datatilsynet indstiller Capio til mindst 1,5 mio. kr. i bøde for manglende tilsyn med databehandlere. Sagen skærper fokus på dataansvarliges løbende kontrol, sikkerhedsforanstaltninger og dokumentation, særligt ved behandling af sundhedsoplysninger.

Datatilsynet indstiller Netcompany til en rekordbøde på 15 mio. kr. efter alvorlige sikkerhedsfejl i mit.dk gav uautoriseret adgang til digital post. Myndigheden kritiserer utilstrækkelig behandlingssikkerhed og manglende DPIA, og markerer et skærpet håndhævelsesniveau.

Østre Landsret har fastslået en millionbøde til en hotelkæde for manglende sletning af kundeprofiler i strid med GDPRs opbevaringsbegrænsning. Dommen skærper praksis for bødeniveauer og understreger behovet for robuste slettepolitikker, kontrolrutiner og dokumenteret efterlevelse.

Datatilsynet retter alvorlig kritik mod en boligforening, der afviste en beboers indsigtsanmodning med henvisning til aktindsigtsregler. Afgørelsen præciserer, at vurderingen skal ske efter GDPR, med målrettede undtagelser og navneredaktion for at beskytte tredjemands rettigheder.

Arbejdsgivere skal give klare, forudgående og konkrete oplysninger ved digital overvågning af medarbejdere. GDPR kræver detaljer om formål, behandlingsgrundlag, datatyper, opbevaring, modtagere og rettigheder. Mundtlig orientering eller intranetopslag er ikke tilstrækkeligt.

EU-Kommissionens tilstrækkelighedsafgørelse for USA aktiverer EU-U.S. Data Privacy Framework og tillader overførsel til certificerede amerikanske modtagere uden SCC efter GDPR art. 45. Virksomheder bør verificere certificering, opdatere fortegnelser, privatlivspolitikker og kontrakter, og bruge andre grundlag for ikke-certificerede modtagere.