Offentlige myndigheder

En ny dansk lov giver fast-track og samlet myndighedsbehandling for forsvars- og beredskabsprojekter, uden at ændre de materielle krav til miljø, arbejdsmiljø, kemikalier, eksportkontrol og sanktioner. De første projekter omfatter ammunitionsproduktion og raketdrivmiddel.

Datatilsynet skærper vejledningen om adfærdskodekser efter GDPR. Den opdaterede side samler krav, proces og eksempler til brancheorganisationer og myndigheder, herunder godkendelse, monitorering og akkreditering samt en kort introduktion til certificeringsordninger med relevante links.

Datatilsynet åbner kontor i Grønland for at gøre databeskyttelse mere praktisk og tilgængelig lokalt. Kontoret bemandes med tre årsværk og skal styrke vejledning til borgere, virksomheder og myndigheder. Initiativet indgår i regeringens løft af justitsområdet i Grønland.

EDPB og EDPS støtter at målrette GDPR-fortegnelser til behandlinger med høj risiko – en mulig lettelse for mange SMV’er. De efterlyser dog begrundelse for 750-medarbejdergrænsen, klare definitioner af SMV/SMC og afklaring af offentlige myndigheder. Hvad bør virksomheder justere nu?

Microsoft strammer sin databehandleraftale og forbyder brug af kundedata til profilering og kommercielle formål. Tiltaget adresserer kritikpunktet fra Chromebook-sagen og styrker GDPR-overensstemmelse, men efterlader fortsat behov for dokumentation, audit og reel kontrol i den offentlige sektor.

Forbundne biler indsamler omfattende data om kørsel, lokation og brugere. Datatilsynet advarer om uklare samtykker og profilering. GDPR kræver lovligt grundlag, transparens og mulighed for fravalg uden tab af basale funktioner. Myndigheder bør gennemføre DPIA og vurdere tredjelandsoverførsler.

Offentlige myndigheder slipper fra 2025 for ligestillingsredegørelser, og krav om måltal og politikker for køn i bestyrelser gælder kun enheder med mindst 50 ansatte. Omfattede institutioner skal fremover indberette hvert andet år. Pligten til at fremme ligestilling består efter § 4.

Datatilsynet og Digitaliseringsstyrelsen åbner anden runde af AI-sandkassen. Projekter kan få praksisnær rådgivning om GDPR og risikoklassifikation efter AI-forordningen, styrket compliance og hurtigere vej til drift. Ansøgningsfrist: 4. april 2025.

Kommunerne bringes ind under NIS2, efter at regeringen har fremsat tre lovforslag. Det medfører skærpede krav til it-sikkerhed, risikovurdering, leverandørstyring, hurtig hændelsesrapportering og ledelsesforankring. Folketinget skal nu behandle reglerne.

Alle kommuner bliver omfattet af NIS2. Kravene gælder samtlige net- og informationssystemer, ikke kun kritiske tjenester. Lovforslaget er fremsat med foreslået ikrafttræden 1. juli 2025. Kommuner skal styrke governance, risikostyring og hændelsesrapportering.

Østre Landsret idømmer 3½ års tillægsstraf for omfattende udbytteskatbedrageri, der sammen med en belgisk dom på 4 år samlet svarer til 7½ års fængsel. Retten lagde vægt på sagens omfang, planlægning og grænseoverskridende karakter samt stadfæstede frakendelse af retten til selskabsdrift.

Datatilsynet har politianmeldt Lyngby-Taarbæk Kommune og indstillet en bøde på 350.000–400.000 kr. for langvarige mangler i adgangsstyring og fravær af flerfaktorautentifikation i interneteksponerede systemer. Hændelserne omfattede misbrug af konti og adgang til data om titusinder af borgere.

Datatilsynet kritiserer Aarhus Universitet for mangler i forskningsprojekters databehandling: uklart behandlingsgrundlag, utilstrækkelige databehandleraftaler og svagt tilsyn. Ved videregivelse manglede både overførselsgrundlag og påkrævede tilladelser efter databeskyttelsesloven § 10.

Datatilsynet kritiserer Københavns Kommunes DPIA for AULA for ikke at opfylde mindstekravene og efterlyser tydeligere risikovurderinger med kobling til konkrete foranstaltninger. Tilsynet anbefaler også præcise formål og brug af Sikker fildeling samt henviser til nye DPIA-skabeloner.

EU strammer kampen mod forsinkede betalinger: 30 dage som udgangspunkt, mulighed for 60 dage ved udtrykkelig aftale og op til 120 dage for langsomt omsættelige varer og sæsonvarer. Automatisk morarente og nationale bøder venter, og reglerne rammer også igangværende kontrakter.

Datatilsynet skærper kravet til e-mailbrug: Organisationer, der systematisk sender fortrolige eller følsomme oplysninger, skal indføre tekniske foranstaltninger mod fejlforsendelser fra autofuldførelse. Awareness er ikke nok, og brud skal håndteres efter GDPR.