Databehandleraftale

Datatilsynet kritiserer Vækstfonden for brug af spy pixels i nyhedsbreve uden samtykke og uden korrekt information til modtagerne. Afgørelsen slår fast, at e-mailtracking er persondatabehandling, som kræver gyldigt behandlingsgrundlag og opfyldelse af oplysningspligten.

Datatilsynet flytter i 2023 fokus fra dybe enkeltklager til flere generelle tilsyn. Indsatserne retter sig mod børn, DPO-rollen, cookies og tv-overvågning samt fælleseuropæiske informationssystemer og Retshåndhævelsesloven. Organisationer bør styrke dokumentation og risikovurderinger.

DORA skærper kravene til digital robusthed i finans og udvalgte sektorer. FAIF’er og investeringsforvaltningsselskaber skal styrke governance, risikostyring og hændelsesrapportering samt sikre kontraktuel kontrol med it- og cloud-leverandører under et proportionalt EU-regime.

EDPB udstikker 13 anbefalinger til offentlige myndigheders brug af cloud: gennemskuelig rollefordeling, risikovurdering og DPIA, stærk kontrol med underdatabehandlere samt kortlægning af tredjelandsoverførsler. Rapporten giver dog ingen nye løsninger på transfer-udfordringer.

EDPB samler europæisk praksis i ny rapport om offentlige myndigheders brug af cloud. Fokus er på fuld GDPR-efterlevelse, herunder rollefordeling, sikkerhedsforanstaltninger, DPIA og tredjelandsoverførsler. Datatilsynet har bidraget og følger op med tilsyn og vejledning.

Datatilsynet har gransket seks statslige myndigheders kontrol med databehandlere. Efter gennemgang af lister, tilsynsplaner og opfølgning fandt tilsynet i fem sager, at praksis fulgte GDPR’s krav. Sagen tydeliggør krav til planlægning, dokumentation og risikobaseret tilsyn.