GDPR art. 35

Datatilsynet retter kritik mod Digitaliseringsstyrelsen for ikke at dokumentere en særskilt risikovurdering af JavaScript i MitID. Tilsynet kræver, at kendte misbrugsscenarier adresseres, og at passende sikkerhedsforanstaltninger dokumenteres efter GDPR ved brug af standardteknologier.

EDPB og EDPS støtter en digital euro som supplement til kontanter, men kræver skarpere databeskyttelsesrammer. Særligt det foreslåede fælles adgangspunkt til kontrol af beholdningsgrænser skal beskrives og begrundes bedre for at opfylde krav om nødvendighed, proportionalitet og transparens.

Datatilsynet udgiver ny vejledning til myndigheder om brug af AI med fokus på behandlingsgrundlag, oplysningspligt og konsekvensanalyser. En kortlægning viser begrænset udbredelse, udbredt brug af standardløsninger og udfordringer med rettidige DPIA’er. Skabelon og mere vejledning er på vej.

Datatilsynet udvider Brøndby IF’s tilladelse til ansigtsgenkendelse: Teknologien kan nu bruges ved udekampe og på baggrund af CCTV-billeder til registrering af tilskuere, der bryder ordensreglementet. Krav om GDPR-compliance og hensyn til tv-overvågningsloven § 4 c fastholdes.

Datatilsynets modenhedstilsyn afslører mangler i sletning, adgangsstyring, e-mailhåndtering, DPIA’er og it-beredskab. Private kan styrke GDPR-compliance ved at benchmarke mod statens tekniske minimumskrav og teste beredskabsplaner med fokus på praktisk gennemførbarhed.

Datatilsynets modenhedstilsyn 2022 viser behov for stærkere sletningsprocedurer, adgangskontrol, sikker mailhåndtering, konsekvensanalyser og test af it-beredskab i kommuner og regioner. Tilsynet integrerede statens tekniske minimumskrav og udsendte målrettet vejledning med konkrete anbefalinger.

Datatilsynet skifter i 2023 mod mere risikobaserede, tematiske tilsyn og peger bl.a. på børn, DPO-rollen, cookies, TV-overvågning, forskning og fælleseuropæiske systemer. Virksomheder bør styrke dokumentation, DPIA, brudshåndtering og governance for at imødekomme bredere kontroller.

EDPB identificerer høje GDPR-risici ved myndigheders brug af cloud, med direkte betydning for private. Krav til DPIA og TIA, uklare roller, begrænset kontraktfrihed, tredjelandsoverførsler og DPO’s manglende inddragelse skærper behovet for dokumenteret governance, audits og supplerende foranstaltninger.