GDPR art. 28

Pseudonymiserede data er fortsat personoplysninger i et databehandlerforhold, fastslår Datatilsynet med henvisning til EU-Domstolen i C-413/23. Vurderingen sker fra den dataansvarliges perspektiv. Brug til egne formål kræver lovlig videregivelseshjemmel hos den oprindelige dataansvarlige.

EU-Kommissionen har forlænget Storbritanniens tilstrækkelighedsafgørelser til udgangen af 2025. Overførsler kan fortsætte uden SCC eller BCR, men virksomheder skal fortsat dokumentere konkrete risikovurderinger, opdatere databehandleraftaler og sikre passende tekniske foranstaltninger.

Microsoft strammer sin databehandleraftale og forbyder brug af kundedata til profilering og kommercielle formål. Tiltaget adresserer kritikpunktet fra Chromebook-sagen og styrker GDPR-overensstemmelse, men efterlader fortsat behov for dokumentation, audit og reel kontrol i den offentlige sektor.

Advokatfirmaer skal systematisere GDPR-arbejdet med en klar persondatapolitik, risikometode og dokumentation. Vurder leverandørers sikkerhed før databehandleraftaler, og foretag risikovurdering ved brud. Opdater løbende vurderinger og styrk beredskab mod cyberangreb.