Ansvarlighedsprincippet

Datatilsynet undersøger i 2024, hvordan private virksomheder efterlever retten til indsigt for hjemmesidebesøgende ved onlinehandel. Resultaterne bliver til en national rapport, der kan føre til mere målrettet vejledning og indgår i en samlet EDPB-rapport.

Datatilsynet gennemfører et skriftligt tilsyn af behandlingssikkerhed i 48 kommuner. 77 spørgsmål på 15 emner skal afdække modenhed og risici, med mulighed for dokumentation, stikprøver og besøg. Individuelle rapporter og en risikobaseret strategi skal styrke kommunernes databeskyttelse.

EDPB præciserer rammerne for ‘consent or pay’ på store onlineplatforme. Udtalelsen fastlægger, hvornår samtykke til adfærdsbaseret markedsføring kan anses for frivilligt og gyldigt, og skærper dokumentationskrav efter ansvarlighedsprincippet. Afgørende i lyset af C-252/21.

Datatilsynet fastslår i tilsyn med tre parkeringsselskaber, at oplysningspligten ved kamerabaseret kontrol skal opfyldes senest ved udstedelsen af afgiften. To selskaber kritiseres for utilstrækkelig information, mens ét opfyldte kravet via link til persondatapolitik i betalingspåkravet.

Datatilsynet indstiller Capio til mindst 1,5 mio. kr. i bøde for manglende tilsyn med databehandlere. Sagen skærper fokus på dataansvarliges løbende kontrol, sikkerhedsforanstaltninger og dokumentation, særligt ved behandling af sundhedsoplysninger.

Datatilsynet åbner for offentliggørelse af AI‑grundmodeller og deling af sprogdatasæt, når GDPR-principper overholdes. Kontrakt som behandlingsgrundlag kan bære indsamling og deling, mens stemmeoplysninger ikke udløser art. 9, når formålet ikke er entydig identifikation.

Datatilsynet har politianmeldt et privathospital og indstillet en bøde på mindst 1,5 mio. kr. for manglende tilsyn med databehandlere. Sagen markerer skærpet håndhævelse af accountability og understreger krav om risikobaseret kontrol og dokumentation efter GDPR.

Datatilsynet skærper i 2024 tilsynet med AI og automatisering, adgangsstyring og behandlingssikkerhed hos kommuner og regioner. Få overblik over krav til behandlingsgrundlag, oplysningspligt, DPIA, kryptering og kontrolforanstaltninger samt relaterede temaer som indsigtsret og medarbejderovervågning.

Datatilsynet indstiller Netcompany til mindst 15 mio. kr. i bøde for GDPR-brud ved mit.dk. En autentifikationsfejl gav adgang til andres digitale post, og der manglede både privacy by design og en DPIA. Sagen signalerer skærpet sanktionslinje for kritisk digital infrastruktur.

EDPB vurderer, at GDPR fungerer, men efterlyser mere harmoniseret håndhævelse og klarere roller for tilsynsmyndigheder. Rådet støtter Kommissionens supplerende procedureregler, understreger behovet for ressourcer og vil fortsat vejlede, særligt med fokus på SMV’er og nye teknologier.

Datatilsynet slår fast, at Aarhus Universitetshospital ikke lovligt kan støtte sig på samtykke til at dele patientbilleder på Instagram. Magtubalancen og brud på GDPR-principper førte til et påbud om at slette opslag med helbredsoplysninger inden fire uger.

Datatilsynet retter kritik mod Digitaliseringsstyrelsen for ikke at dokumentere en særskilt risikovurdering af JavaScript i MitID. Tilsynet kræver, at kendte misbrugsscenarier adresseres, og at passende sikkerhedsforanstaltninger dokumenteres efter GDPR ved brug af standardteknologier.

Datatilsynet accepterer, at Københavns Kommune udvikler og gentræner en AI-baseret beslutningsstøtte med hjemmel i GDPR og serviceloven. Men driftsanvendelsen kræver en klar, specifik lovhjemmel, da behandlingen omfatter store mængder følsomme data og indebærer risiko for automation bias.

EDPB og EDPS støtter en digital euro som supplement til kontanter, men kræver skarpere databeskyttelsesrammer. Særligt det foreslåede fælles adgangspunkt til kontrol af beholdningsgrænser skal beskrives og begrundes bedre for at opfylde krav om nødvendighed, proportionalitet og transparens.

Datatilsynet retter alvorlig kritik mod Region Sjælland for at give bred adgang til patientlister uden tilstrækkelige kontroller. Logningen kunne ikke knytte opslag til konkrete oplysninger, i strid med GDPR art. 32. Tilsynet skærper kravene til dokumenteret behov, løbende kontrol og audit.

Østre Landsret har idømt en hotelkæde en bøde på 1 mio. kr. for at opbevare kundeprofiler længere end nødvendigt i strid med GDPR’s art. 5, stk. 1, litra e. Retten lagde ved udmålingen vægt på årsrapporten for gerningsperioden og Datatilsynets bødeindstilling.