GDPR art. 38

Norges Datatilsyn har udstedt en millionbøde til Telenor for manglende uafhængig DPO og utilstrækkelig dokumentation. Afgørelsen skærper kravene til funktionsadskillelse, rapportering til topledelsen og skriftlig vurdering af DPO'ens egnethed og interessekonflikter.

EDPB offentliggør en overvejende positiv, men nuanceret rapport om DPO-funktionen baseret på 17.000 svar. Anbefalingerne fokuserer på uafhængighed, ressourcer og kompetencer, mens CEF i 2024 prioriterer indsigtsretten. Nye procedureregler skal samtidig effektivisere EDPB’s arbejde.

Norsk tilsyn udstedte et milliongebyr til en medicinalvirksomhed for at overskride GDPR’s 72-timers frist efter et phishing-angreb mod HR’s mail. Afgørelsen fremhæver utilstrækkelige interne processer, øget risiko for identitetstyveri og manglende DPO-uafhængighed.

Datatilsynet undersøger kommunale DPO’er som led i EDPB’s koordinerede indsats. Et spørgeskema skal afdække opgaver, uafhængighed og ressourcer, og resultaterne analyseres både nationalt og i EU/EØS. Indsatsen kan føre til mere målrettet vejledning til kommunerne.