Persondataret

Datatilsynet skærper kursen for databehandling i ansættelsesforhold: Samtykke kan sjældent bære behandlingen, referencer skal understøttes af lovligt grundlag, straffeattester må kun indhentes ved konkret behov, og offentliggørelse af medarbejderfotos kræver klar hjemmel.

Ulovlige opslag i patientjournaler og andre registre kan udløse politianmeldelse, bøder og disciplinære skridt. GDPR kræver sagligt formål, retsgrundlag og passende sikkerhed, mens arbejdsgivere skal sikre instrukser, rollebaseret adgang, logning og effektiv kontrol.

EDPB iværksætter en koordineret håndhævelsesindsats om databeskyttelsesrådgiverens rolle. 26 EØS-tilsyn, herunder Datatilsynet, vurderer efterlevelsen af GDPR-krav til udpegning, uafhængighed og ressourcer for DPO’er. Initiativet er anden runde under CEF.

Datatilsynet kritiserer Aalborg Universitet for manglende test efter systemændringer og utilstrækkelig kontrol af brugeradgange. En fejl ved servermigrering gav i flere år bred adgang til medarbejderoplysninger. Sagen fremhæver GDPR-krav om løbende kontrol og afprøvning.

EDPB bakker op om nøgleforbedringer i udkastet til tilstrækkelighedsafgørelse for EU‑US Data Privacy Framework, men advarer om uafklarede spørgsmål om rettigheder, profilering og amerikansk overvågning. Rådet efterlyser uafhængig kontrol, EO 14086-implementering og regelmæssig revision.

Uanmodet brug af kendtes portrætter i markedsføring kan udløse erstatning og godtgørelse. Dansk retsgrundsætning om retten til eget billede og markedsføringsloven kræver udtrykkelig tilladelse, og GDPR stiller særskilte krav til hjemmel og information. Få overblik over praksis og sikre løsninger.

EDPB har vedtaget tre endelige GDPR-vejledninger om territorielt anvendelsesområde versus reglerne om tredjelandsoverførsler, certificering som transferværktøj og bekæmpelse af vildledende design på sociale medier. Samtidig godkendes arbejdsprogrammet, som sætter retningen for tilsyn og praksis.

Datatilsynet udtaler alvorlig kritik af Leadwises samtykkeløsning på letfinans.dk, fordi cookies blev sat før brugerens aktive samtykke, og information om samtykke og tilbagekaldelse var utilstrækkelig. Sagen præciserer kravene i GDPR og cookiebekendtgørelsen om reelt, informeret opt‑in.

Datatilsynet præciserer, at personoplysninger ikke må opbevares for en sikkerheds skyld efter tilbagekaldt samtykke. Henvisning til generelle forældelsesfrister kan ikke begrunde flerårig opbevaring. Virksomheder skal slette data, når formålet ophører, og sikre tydelig information.

Datatilsynet undersøger Aarhus Universitetshospitals brug af Instagram efter en patienthenvendelse. Region Midtjylland skal redegøre for hjemmelsgrundlag, gennemsigtighed, risikovurdering og eventuel DPIA, da delte billeder kan afsløre helbredsoplysninger og udløse krav efter GDPR.

EDPB samler europæisk praksis i ny rapport om offentlige myndigheders brug af cloud. Fokus er på fuld GDPR-efterlevelse, herunder rollefordeling, sikkerhedsforanstaltninger, DPIA og tredjelandsoverførsler. Datatilsynet har bidraget og følger op med tilsyn og vejledning.