Dataansvarlig

Kommunerne efterlever Datatilsynets påbud i Chromebook-sagen: ulovlig deling til Googles egne formål er ophørt, og kontrakten er strammet. Tredjelandsoverførsler begrænses, men kommunerne skal selv lukke risikofyldte tjenester. EDPB-udtalelse afventer endelig vurdering af underdatabehandlere.

EU-Domstolen slår fast, at logoplysninger om søgninger, datoer og formål er omfattet af GDPR art. 15. Dataansvarlige skal derfor udlevere relevante logdata og kun oplyse medarbejderes identitet, når det er nødvendigt og efter konkret afvejning. § 22-undtagelser kræver solid begrundelse.

Datatilsynet indleder en undersøgelse af Rejsekort-appen efter spørgsmål om indsamling og brug af lokationsdata. Rejsekort er bedt om en redegørelse for behandlingsgrundlag, dataminimering, oplysningspligt og sikkerhed. Tilsynet har ikke taget stilling til andre trafikselskabers apps.

Datatilsynet kritiserer Københavns Kommunes DPIA for AULA for ikke at opfylde mindstekravene og efterlyser tydeligere risikovurderinger med kobling til konkrete foranstaltninger. Tilsynet anbefaler også præcise formål og brug af Sikker fildeling samt henviser til nye DPIA-skabeloner.

Datatilsynet påpeger mangler i underretning og dokumentation ved databrud. Dataansvarlige skal informere registrerede uden unødig forsinkelse ved høj risiko og kunne bevise underretningen. Få overblik over krav, myndighedspraksis og praktiske tiltag.

Meta har efter anmodning fra den irske DPC midlertidigt sat AI-træning på europæiske brugeres offentlige indhold i bero. Grundlaget er påberåbt legitim interesse med indsigelsesret. Sagen behandles via GDPR’s one-stop-shop, og Datatilsynet deltager i den fortsatte vurdering.

Fra 1. juli 2024 skal arbejdsgivere registrere medarbejderes daglige arbejdstid i et objektivt, pålideligt og tilgængeligt system. Ordningen skal dokumentere overholdelse af 48-timersreglen, sikre medarbejderindsigt og integreres med GDPR, herunder slettefrister og databehandleraftaler.

Datatilsynet undersøger i 2024, hvordan private virksomheder efterlever retten til indsigt for hjemmesidebesøgende ved onlinehandel. Resultaterne bliver til en national rapport, der kan føre til mere målrettet vejledning og indgår i en samlet EDPB-rapport.

Datatilsynet udvider foranstaltningskataloget med en vejledning om sikkerhedstest af software. Tiltaget omsætter GDPRs krav om passende sikkerhed til praksis, fremhæver bl.a. sårbarheds- og penetrationstest, og understreger leverandørkrav samt solid testdokumentation. Erfaringer fra brud går igen.

Datatilsynet retter alvorlig kritik mod Nets DanID efter et fire dages NemID-nedbrud, hvor backup ikke kunne aktiveres. Afgørelsen skærper fokus på GDPR art. 32, dokumenteret og regelmæssig test af backup og genetablering samt øget robusthed i kritisk national infrastruktur.

Datatilsynet skærper fokus på underretning ved brud på persondatasikkerheden: Underretninger skal være fuldstændige, i klart sprog og kunne dokumenteres skriftligt. En aktør modtog kritik for manglende bevis. Myndigheden har udsendt ny vejledning om de gældende krav.

Datatilsynet fastslår, at forskning med registerdata kan fortsætte, selv om § 10 i databeskyttelsesloven ikke er en generel hjemmel. Alternative grundlag i GDPR og sundhedslovgivningen kan anvendes, og praksis er præciseret over for ministeriet i nye breve.

Datatilsynet gennemfører et skriftligt tilsyn af behandlingssikkerhed i 48 kommuner. 77 spørgsmål på 15 emner skal afdække modenhed og risici, med mulighed for dokumentation, stikprøver og besøg. Individuelle rapporter og en risikobaseret strategi skal styrke kommunernes databeskyttelse.

Datatilsynet udtaler kritik af et gymnasiums brug af eksamensovervågningssoftware for manglende risikovurdering og utilstrækkelige foranstaltninger efter GDPR art. 25. Øvrige krav om behandlingsgrundlag m.v. er opfyldt. Myndigheden anbefaler klarere oplysningspligt og elevvejledning samt justeringer hos andre gymnasier.

EDPB har lanceret to standardklageformularer for overførsler til USA under Data Privacy Framework. Klager indgives til det nationale datatilsyn mod enten certificerede virksomheder eller amerikanske efterretningstjenester. Tiltaget styrker klageadgang og skærper compliancekrav.

EDPB præciserer rammerne for ‘consent or pay’ på store onlineplatforme. Udtalelsen fastlægger, hvornår samtykke til adfærdsbaseret markedsføring kan anses for frivilligt og gyldigt, og skærper dokumentationskrav efter ansvarlighedsprincippet. Afgørende i lyset af C-252/21.