Databehandler

EU-virksomheder, der sender persondata til Indien, skal kombinere SCC’er med en solid TIA og målrettede supplerende foranstaltninger. DPDPA ændrer risikobilledet og kan lette vurderingerne, men fraværet af en EU-tilstrækkelighed betyder, at compliance-arbejdet fortsat er afgørende.

EDPB’s udkast til anonymiseringsretningslinjer indfører relativ identifikationsrisiko, skærper kravene til bevis og indsnævrer databehandleres råderum. AI-inferens, lovlig hjemmel for anonymisering og løbende revurdering bliver afgørende for governance og kontrakter.

Nyt udkast til AI-hjemmelsloven giver offentlige myndigheder et klart retsgrundlag for at udvikle og anvende AI til beslutningsstøtte, men udelukker fuldautomatiske afgørelser efter GDPR artikel 22. Datatilsynet gennemgår ændringerne frem mod høringsfristen den 12. oktober 2026.

Datatilsynet og EDPB tydeliggør, hvornår behandling kan kvalificeres som videnskabelig forskning efter GDPR. Klassifikationen giver fleksibilitet for formåls- og opbevaringsbegrænsning, men kræver dokumenteret metode, etisk review og art. 89-garantier, særligt ved kliniske og AI-relaterede projekter.