Indsigtsret

Datatilsynet fastslår, at en arbejdsgivers deling af medarbejderoplysninger – inklusive fagforeningsforhold – med en rådgiver i en arbejdsretlig tvist var lovlig. Grundlaget var legitim interesse og retskravsreglen i GDPR, forudsat nødvendighed, proportionalitet og passende fortrolighed.

Datatilsynet afslutter tilsyn med skolefotoudbydere: Reglerne efterleves generelt, men én udbyder må forkorte opbevaring af skolefotos fra op til ti år til tre. Myndigheden betoner klar rollefordeling, databehandleraftaler og effektive slette- og rettighedsprocedurer.

EDPB præciserer, hvornår e-handelsplatforme kan kræve brugerkonti. Udgangspunktet er gæstekøb eller frivillig konto, mens obligatorisk kontooprettelse kun kan retfærdiggøres ved abonnementer eller eksklusive tilbud. Udkastet er i høring under GDPR.

Det østrigske datatilsyn sanktionerer brugen af Microsoft 365 Education for brud på GDPR: mangelfuld indsigt og oplysningspligt, ulovlige cookies og uigennemsigtig tredjepartsdeling. Afgørelsen skærper kravet til kommuner om DPIA, klare aftaler og dokumenteret transparens.

Datatilsynet har politianmeldt Klein2 ApS og Nordic Cleaning ApS for ikke at efterleve påbud om at behandle indsigtsanmodninger. Myndigheden indstiller bøder og lægger vægt på GDPR artikel 83, stk. 2, ved sanktionsvalget. Sagen udspringer af fagforeningsklager på vegne af medlemmer.

Datatilsynet udvider temasiden for skoler og daginstitutioner med praksisnære værktøjer og en omfattende FAQ. Vejledningen dækker samtykke, brug af billeder, indsigt, opbevaring og sikkerhed samt rollefordeling mellem dataansvarlige og databehandlere ved digitale læringsmidler.

Datatilsynet ser flere klager skrevet med AI, men advarer om risiko for utilsigtet deling af persondata og vildledende juridiske vurderinger. Myndigheden anbefaler egne formuleringer, dataminimering og at undgå følsomme oplysninger i prompts – samt at læse udbyderens vilkår.

Dataforordningen gælder nu bredt: Brugere af forbundne produkter har ret til adgang til enhedsgenererede data, og udvalgte tredjeparter kan få adgang på betingede vilkår. Ved personoplysninger har GDPR forrang med tilsyn hos de nationale datatilsyn, mens Digitaliseringsstyrelsen fører tilsyn med øvrige data.

Advokater skal håndtere overlap mellem tavshedspligt og GDPR, særligt hvor transparenskrav kolliderer med fortrolighed. Sikkerhed hos både firma og leverandører er afgørende, og brud kan udløse anmeldelse til Datatilsynet. Vurder altid hjemmel og undtagelser efter begge regelsæt.

Folketinget fjerner den åbne adgang til reelle ejere i CVR. Fremover kræves MitID-login og en tro og love erklæring om legitim interesse, mens myndigheder og forpligtede enheder fortsat har adgang til KYC. Forbered interne procedurer og ajourfør registreringer.

Advokater kan få privatadressen skjult i CVR ved at aktivere adressebeskyttelse i CPR. For ejendomsformidlere kræves manuel sagsbehandling hos Erhvervsstyrelsen med kommunal bekræftelse, og processen kan trække ud. Husk, at CPR-beskyttelsen skal fornyes årligt.

Advokatrådet advarer mod udvidet TV-overvågning og nye 500-meters opholdsforbud i Justitsministeriets lovudkast. Rådet kræver dokumenteret nødvendighed, proportionalitet, klare hjemler, domstolskontrol og gennemsigtighed om databehandling samt reelle klagemuligheder for borgere.

Regeringens tryghedspakke udvider kamera- og realtidsovervågning, mens nye teknologier som ansigtsgenkendelse og adgang til DNA-registre vinder indpas. Udviklingen kræver præcis lovhjemmel, proportionalitet, domstolskontrol og konsekvensvurderinger for at værne retssikkerheden.

Datatilsynet godkender, at kundesamtaler kan optages og analyseres med AI, men kritiserer IDA Forsikrings måde at indhente samtykke på. Sagen tydeliggør krav til behandlingsgrundlag, information ved opkaldets start og solide databehandleraftaler ved tale-til-tekst-løsninger.

EU-Domstolen udvider indsigtsretten: Logfiler over opslag i persondata er som udgangspunkt omfattet af GDPR. Virksomheder og myndigheder skal kunne udlevere tidspunkter, formål og i mange tilfælde medarbejderidentitet – med konkret afvejning af undtagelser.

EU-Domstolen slår fast, at logoplysninger om søgninger, datoer og formål er omfattet af GDPR art. 15. Dataansvarlige skal derfor udlevere relevante logdata og kun oplyse medarbejderes identitet, når det er nødvendigt og efter konkret afvejning. § 22-undtagelser kræver solid begrundelse.