Tilsynsafgørelse

En norsk udsteder har accepteret et gebyr for selektiv deling af intern viden under pre close-opkald. Finanstilsynet fandt overtrædelse af MAR og norsk værdipapirhandellov, og understreger, at guidance og konsensusopdateringer kræver ad hoc-offentliggørelse og stærke IR-processer.

Datatilsynet retter alvorlig kritik mod Nets DanID efter et fire dages NemID-nedbrud, hvor backup ikke kunne aktiveres. Afgørelsen skærper fokus på GDPR art. 32, dokumenteret og regelmæssig test af backup og genetablering samt øget robusthed i kritisk national infrastruktur.

Datatilsynet underkender Berlingskes cookie wall for indlejret indhold: Samtykke til statistik- og marketingcookies var ikke frivilligt og derfor ugyldigt efter GDPR. Mediet får påbud om at bringe praksis i orden. Afgørelsen præciserer grænsen for pay-or-okay og adgangsbetinget samtykke.

Loftet over Nets’ indtægter fra indløsning af Dankort sænkes med knap 30 pct. efter ny omkostningsundersøgelse. Reguleringen følger lov om betalinger og påvirker ikke nødvendigvis prisen pr. transaktion. Mobile betalingsløsninger sidestilles nu med kort i den fysiske handel. Gebyreforbuddet i butikkerne gælder fortsat.

Datatilsynet påbyder 53 kommuner at lovliggøre brugen af Chromebooks, fordi Google behandler skoledata til egne formål uden hjemmel. Afgørelsen skærper kravet om klar rollefordeling, gyldigt retsgrundlag og tekniske kontroller ved offentlige cloud-løsninger.

Datatilsynet fastslår, at Rigsrevisionen lovligt kan indhente personoplysninger under revisionsopgaver med hjemmel i rigsrevisorloven § 12. Tilsynet vurderer også, at dataminimering efterleves. Afgørelsen udspringer af målrettet kontrol med Folketinget og dets institutioner.

Datatilsynet kritiserer en databehandler for at have eksponeret personoplysninger i en ejendomshandelsplatform via browserens DevTools. Myndigheden slår fast, at data ikke må ligge i kildekode eller kommentarer, og at manglende tests udgør brud på GDPR art. 32 og kræver skærpede foranstaltninger.

Datatilsynet giver alvorlig kritik for at have videregivet oplysninger om strafbare forhold til en arbejdsgiver. Myndigheden fastslår, at det var tilstrækkeligt at oplyse om adgangsforbuddet — ikke årsagen. Afgørelsen skærper kravene til dataminimering og interesseafvejning.

Datatilsynet retter alvorlig kritik mod en boligforening, der afviste en beboers indsigtsanmodning med henvisning til aktindsigtsregler. Afgørelsen præciserer, at vurderingen skal ske efter GDPR, med målrettede undtagelser og navneredaktion for at beskytte tredjemands rettigheder.

Datatilsynet retter alvorlig kritik mod en Meny-købmand for uden lovligt grundlag at have videregivet oplysninger om et strafbart forhold til klagers tidligere arbejdsgiver. Myndigheden vurderede, at den detaljerede beskrivelse ikke var nødvendig efter interesseafvejningen og stred mod databeskyttelsesloven.

Datatilsynet kritiserer OrderYOYO for først at besvare en indsigt- og sletteanmodning efter fem måneder. Sagen fremhæver GDPR’s enmåneders svarfrist og behovet for dokumenterede processer ved e-mailmarkedsføring, herunder klar rollefordeling mellem dataansvarlig og databehandler.

Datatilsynet udtaler alvorlig kritik af Digitaliseringsstyrelsen og Signaturgruppen efter netbank-login via MitID gav adgang til fremmede konti. Manglende krav til Broker Security Context og forkert implementering førte til brud på persondatasikkerheden og skærper kravene til risikovurdering.

Datatilsynet retter kritik mod en arbejdsgiver for at have delt unødvendige detaljer om en afskedigelse internt. Afgørelsen præciserer grænsen for legitim interesse, dataminimering og modtagerkreds og markerer vigtigheden af need-to-know og neutral intern kommunikation.

Datatilsynet godkender, at en arbejdsgiver kan dele navn, jobtitel og CPR-nummer med PET og FE for at opnå sikkerhedsgodkendelse uden samtykke. Samtykke er sjældent frivilligt i ansættelsesforhold; behandlingen kan baseres på legitim interesse og behov for entydig identifikation.

Datatilsynet retter alvorlig kritik mod Rigspolitiet for at have delt oplysninger om fartbøder til forskning, når bødesager var bestridt og uafklarede. Hjemlen til forskning blev anerkendt, men tilsynet påbød stop for delinger i verserende sager og krævede sletning af udleverede data.

Datatilsynet kritiserer Aalborg Universitet for manglende test efter systemændringer og utilstrækkelig kontrol af brugeradgange. En fejl ved servermigrering gav i flere år bred adgang til medarbejderoplysninger. Sagen fremhæver GDPR-krav om løbende kontrol og afprøvning.