Formålsbegrænsning

EDPB skærper rammerne for anonymisering og web scraping til generativ AI og færdiggør vejledningen om blockchain. Fokus er på lovlige behandlingsgrundlag, håndtering af følsomme data, gennemsigtighed og EU-Domstolens praksis. Offentlig høring løber til 30. oktober 2026.

Datatilsynet gennemfører i 2026 et bredt tilsyn med oplysningspligten efter GDPR over for ansatte og jobansøgere som led i EDPB’s koordinerede indsats. 30 dataansvarlige indgår i undersøgelsen, der kan føre til ny national vejledning og indgå i en samlet europæisk rapport.

Det norske Datatilsyn udsteder 20 mio. NOK i bøde for ulovlig brug af kundedata i en kundeklub. Sagen fastslår, at rabatter ikke må betinges af omfattende databehandling, og at profilering og customer match kræver særskilte, frivillige samtykker og klar information.

Datatilsynet fastslår, at en arbejdsgivers deling af medarbejderoplysninger – inklusive fagforeningsforhold – med en rådgiver i en arbejdsretlig tvist var lovlig. Grundlaget var legitim interesse og retskravsreglen i GDPR, forudsat nødvendighed, proportionalitet og passende fortrolighed.

EDPB præciserer GDPR for forskning med en ny vejledning, der afklarer behandlingsgrundlag og garantier efter art. 89. Samtidig udvides Europrivacy til aktører i tredjelande og kan bruges som overførselsgrundlag efter art. 46.

Kommissionen og EDPB arbejder på fælles retningslinjer for samspillet mellem DMA og GDPR efter mere end 100 høringssvar. Retningslinjerne skal afklare datakombination, samtykke og interoperabilitet og bliver afgørende for gatekeepere og digitale aktører, der skal sikre ensartet efterlevelse.

Lovforslag om AI i den offentlige forvaltning skal skabe en generel hjemmel til behandling af personoplysninger. Danske Advokater støtter initiativet og opfordrer til, at anvendelsesområdet præciseres, så også faktisk forvaltning og mindre indgribende opgaver er omfattet.

Ny vejledning samler praksis for GDPR i konkursboer. Kuratorers dataansvar, lovlige behandlingsgrundlag og sikker håndtering af medarbejder-, kunde- og kreditoroplysninger beskrives med fokus på dataminimering, oplysningspligt, overdragelse af kundedata og sletning.

EDPB og EDPS bakker op om EU-Kommissionens Biotech Act og støtter et eksplicit behandlingsgrundlag for personoplysninger i kliniske forsøg. Samtidig efterlyser de klare afgrænsninger og stærke garantier for privatliv, så harmoniseringen sker i fuld overensstemmelse med GDPR.

Nye EU-regler kræver samtykke til målretning af politisk onlinereklame. Partier skal tydeligt oplyse formål, kilder og målretningskriterier og samtidig efterleve GDPR. Offline kontakt forudsætter dokumenteret interesseafvejning. Profilering ud fra følsomme data er forbudt.

Datatilsynet fastslår, at leverandører lovligt kan dele løn- og ansættelsesoplysninger med ordregiver ved kontrol af arbejdsklausuler. Delingen kan baseres på GDPR art. 6, stk. 1, litra f, hvis data minimeres, overføres sikkert og slettes rettidigt, og medarbejdere informeres korrekt.

GDPR blokerer ikke for, at forsikringsselskaber deler oplysninger med myndigheder ved mistanke om socialt bedrageri. Deling kræver et behandlingsgrundlag i art. 6 og ofte national hjemmel, mens begrænsninger følger af dansk ret – ikke forordningen. Klar praksis mindsker usikkerhed.

Datatilsynet giver alvorlig kritik til en tandlægeklinik for skjulte lydoptagelser af medarbejdersamtaler over 16 måneder uden forudgående oplysning. Afgørelsen præciserer grænserne for legitim interesse, krav til oplysningspligt og brug af optagelser som bevissikring i ansættelsesforhold.

Datatilsynet skærper i 2026 kontrollen med virksomheder, der overvåger ansatte via adgangslogning, kamera, GPS og AI. Arbejdsgivere skal dokumentere behandlingsgrundlag, proportionalitet, slettefrister og oplysningspligt samt leve op til AI-forordningens krav om risikovurdering, transparens og kompetencer.

Konkurrenceankenævnet ophæver Konkurrencerådets afgørelse i Botex-sagen og kræver en konkret effektanalyse frem for en automatisk formålsvurdering. Kendelsen bygger på EU’s horisontale retningslinjer og afviser henvisningen til ECIT Account. Indkøbsfællesskaber skal vurderes kontekstuelt.

Datatilsynet fortsætter undersøgelsen af Rejsekort-appen, der anvender lokationsdata til billettering. En formel udtalelse fra Det Europæiske Databeskyttelsesråd om dataminimering og privacy by design er på vej, og en endelig afgørelse forventes først efter sommer.