Privacy by design

Datatilsynet skærper tilsynet i 2026 med AI-overvågning i pleje, hjemmemonitorering af patienter, sporing på websites og kontrol af medarbejdere. Der fokuseres også på datasikkerhed, gennemsigtighed, store databehandlere samt behandling i EU-informationssystemer og PNR.

De fleste kommuner har nu offentlige webarkiver og arbejder efter Datatilsynets praksis for publicering af personoplysninger. Scanningsværktøjer og interne retningslinjer er udbredte, men tilsynet efterlyser løbende stikprøver og manuel kontrol samt henviser til foranstaltningskataloget.

Id-kort på større byggepladser foreslås gjort obligatoriske for at bekæmpe social dumping. Modellen kritiseres for svag retssikkerhed, mulig konflikt med GDPR ved synlige personoplysninger og konkurrenceretlige risici. Der efterlyses klar hjemmel, dataminimering og ansvar for egen forsømmelse.

Datatilsynet finder Rigspolitiets DPIA for ansigtsgenkendelse veludført, men efterlyser klar lovhjemmel for, hvilke strafbare forhold der kan begrunde brugen. Tilsynet anbefaler også interne politiretningslinjer, der sikrer nødvendighed og proportionalitet ved hver anvendelse.

Datatilsynet præciserer, at databehandleraftaler efter GDPR art. 28 stadig er påkrævet ved pseudonymiserede data, selv når databehandleren ikke kan identificere de registrerede. Udmeldingen følger SRB-dommen og skærper fokus på oplysningspligt og den dataansvarliges perspektiv.

AI-loven og en ændring af ældreloven sætter rammen for ansvarlig brug af kunstig intelligens i Danmark. Forslagene styrker tilsyn, håndhævelse og databeskyttelse, mens ny telelov konsoliderer regler og implementerer EU’s gigabitkrav ved at afskaffe masteloven og graveloven.

En ny analyse fra CNIL viser, at GDPR kan skabe forretningsværdi: øget tillid, færre sikkerhedshændelser og procesgevinster. Store virksomheder høster skalaeffekter, mens SMV’er styrker konkurrenceevnen – også i udbud. Erfaringerne vurderes overførbare til Danmark.

EU-Domstolen fastslår, at pseudonymiserede data kan være anonyme for modtageren uden adgang til nøglen, mens den dataansvarliges oplysningspligt stadig gælder før videregivelse. Afgørelsen letter deling og tredjelandsoverførsler, men kræver robuste foranstaltninger og solid dokumentation.

Advokatfirmaer skal systematisere GDPR-arbejdet med en klar persondatapolitik, risikometode og dokumentation. Vurder leverandørers sikkerhed før databehandleraftaler, og foretag risikovurdering ved brud. Opdater løbende vurderinger og styrk beredskab mod cyberangreb.

Det irske datatilsyn har idømt TikTok 530 mio. euro i bøde for ulovlige overførsler af personoplysninger til Kina og mangelfuld gennemsigtighed. Afgørelsen pålægger virksomheden at sikre et tilsvarende beskyttelsesniveau eller standse overførslerne inden seks måneder.

Landsretten hæver bøden i en principiel GDPR-sag til 250.000 kr. Udgangspunktet på 500.000 kr. reduceres pga. seks års sagsbehandling. Afgørelsen skærper sanktionsniveauet for manglende sletning og understreger behovet for dokumenterede sletteprocedurer og effektiv governance.

Forbundne biler indsamler omfattende data om kørsel, lokation og brugere. Datatilsynet advarer om uklare samtykker og profilering. GDPR kræver lovligt grundlag, transparens og mulighed for fravalg uden tab af basale funktioner. Myndigheder bør gennemføre DPIA og vurdere tredjelandsoverførsler.

Datatilsynet retter alvorlig kritik mod en arbejdsgiver, der via en returneret arbejdscomputer tilgik og downloadede en tidligere medarbejders private e-mails som bevis. Privatliv og GDPR’s interesseafvejning vejede tungere end bevisbehovet, hvilket skærper kravene til interne procedurer.

EDPB sender udkast til retningslinjer om behandling af personoplysninger på blockchain i offentlig høring og igangsætter samarbejde med EU’s AI Office om vejledning i samspillet mellem AI-forordningen og GDPR. En ny ekspert-rapport kortlægger samtidig privatlivsrisici ved LLMs.

Datatilsynet og Digitaliseringsstyrelsen åbner anden runde af AI-sandkassen. Projekter kan få praksisnær rådgivning om GDPR og risikoklassifikation efter AI-forordningen, styrket compliance og hurtigere vej til drift. Ansøgningsfrist: 4. april 2025.

EDPB fastlægger 10 GDPR-baserede principper for alderskontrol og udvider sin taskforce til bred AI-håndhævelse. Målet er ensartet praksis i EU og stærkere beskyttelse af børn online. Mere detaljerede retningslinjer om børns data er på vej med dansk deltagelse.