GDPR art. 9

Nye vejledninger præciserer AI-forordningens forbud mod bl.a. følelsesgenkendelse i rekruttering og medarbejderovervågning. Virksomheder bør kortlægge AI-brug, standse forbudte systemer og opdatere HR-, indkøbs- og complianceprocesser for at minimere tilsynsrisici og potentielle sanktioner.

Østre Landsret har tilkendt 2.500 kr. i erstatning for immateriel skade efter en kommunes uberettigede videregivelse af helbredsoplysninger under en aktindsigt. Afgørelsen er den første af sin art efter GDPR art. 82 og er anket til Højesteret med mulig bred betydning.

Datatilsynet accepterer som udgangspunkt behandling af personoplysninger til en AI-støtteløsning for handicaptillæg på SU-området efter GDPR art. 6 og 9, hvis der er national hjemmel. Oplysningspligten består ved brug af historiske sager, og AI-SU-bekendtgørelsen dækker driften.

Datatilsynet kritiserer en tandlægevirksomhed for hemmelige lydoptagelser af medarbejdersamtaler. Optagelserne manglede behandlingsgrundlag, og gennemsigtighedskravet var tilsidesat. Legitimitet kunne ikke baseres på mulige retskrav, da ingen konkrete tvisttegn forelå på optagetidspunktet.

AI-loven og en ændring af ældreloven sætter rammen for ansvarlig brug af kunstig intelligens i Danmark. Forslagene styrker tilsyn, håndhævelse og databeskyttelse, mens ny telelov konsoliderer regler og implementerer EU’s gigabitkrav ved at afskaffe masteloven og graveloven.

AI Act er trådt i kraft med forbud mod uacceptable risici, krav til generelle modeller og omfattende regler for højrisikosystemer. Virksomheder skal dokumentere, risikovurdere, sikre menneskeligt tilsyn og transparens samt tilpasse datastyring til GDPR for at undgå høje sanktioner.

Østre Landsret tilkender for første gang erstatning for immateriel skade efter GDPR. En kommunal fejludlevering af helbredsoplysninger udløste 2.500 kr., og retten afviste en bagatelgrænse. Afgørelsen skærper dataansvarliges ansvar og tydeliggør forskellen til tortgodtgørelse.

Datatilsynet ser flere klager skrevet med AI, men advarer om risiko for utilsigtet deling af persondata og vildledende juridiske vurderinger. Myndigheden anbefaler egne formuleringer, dataminimering og at undgå følsomme oplysninger i prompts – samt at læse udbyderens vilkår.

Datatilsynet undersøger et forskningsprojekt i Region Hovedstaden og efterspørger grundlaget for persondatabehandlingen. Myndigheden betoner krav om DPIA ved høj risiko, især ved sundhedsdata og AI. Ulovlig behandling kan medføre stop og sletning af data og resultater.

Datatilsynet godkender ansigtsgenkendelse ved Superligaklubbernes kampe i 2025/2026 for at håndhæve karantæner, men afslår 1. division af proportionalitetshensyn. Tilladelsen kræver forudgående DPIA og kan være omfattet af tv-overvågningsloven. Eksisterende tilladelser til FCK og Brøndby består.

Datatilsynet er udpeget som markedsovervågningsmyndighed for to forbud i AI-forordningen: kriminalitetsrisikovurdering baseret alene på profilering/personlighed og biometrisk kategorisering til udledning af følsomme forhold. Klage og indberetningspligt gælder fra 2. august 2026. Indtil da kan tilsynet besvare forespørgsler og indlede sager af egen drift.

Fratrædelseskommunikation kræver stram dataminimering og tydeligt retsgrundlag. Gennemgang af GDPR-regler, forskellen på interne og eksterne udmeldinger samt Bornholm-dommen om ulovlig deling af strafbare forhold. Konkrete tiltag hjælper arbejdsgivere til dokumenteret, risikominimeret praksis.

Advokater skal håndtere overlap mellem tavshedspligt og GDPR, særligt hvor transparenskrav kolliderer med fortrolighed. Sikkerhed hos både firma og leverandører er afgørende, og brud kan udløse anmeldelse til Datatilsynet. Vurder altid hjemmel og undtagelser efter begge regelsæt.

Rådets linje i lægemiddelreformen skærper presset: 8 års dataeksklusivitet, kortere markedsbeskyttelse og risiko for at miste eksklusivitet ved manglende lancering. EMA strammer transparensen om kliniske data, og Danmark indfører Ét Kontaktpunkt og omfordeler sundhedsopgaver.

Større virksomheder skal nu dokumentere S’et i ESG efter CSRD og årsregnskabsloven § 99 a. Klare DE&I-politikker og en GDPR-kompatibel whistleblowerordning er centrale greb. Fokus på implementering, måling og speak up-kultur gør indsatsen forankret i driften.

Planlagte ændringer af PET-loven, adgang til kommercielle slægtsdatabaser og lempet kameraovervågning skærper statens indgreb i privatlivet. Juridiske krav om proportionalitet og kontrol presser på for at standse hastebehandlingen og nedsætte en uafhængig privatlivskommission.