Tilsynsmyndighed

Datatilsynet fastslår i SmartResponse-sagen, at fem års opbevaring af personoplysninger alene for at dokumentere samtykke strider mod GDPRs opbevaringsbegrænsning. Ny vejledning præciserer, at dokumentation skal være nødvendig, proportionel og underlagt korte slettefrister.

EDPB samler europæisk praksis i ny rapport om offentlige myndigheders brug af cloud. Fokus er på fuld GDPR-efterlevelse, herunder rollefordeling, sikkerhedsforanstaltninger, DPIA og tredjelandsoverførsler. Datatilsynet har bidraget og følger op med tilsyn og vejledning.

Udbydere af onlineplatforme og søgemaskiner i EU skal senest 17. februar og derefter hvert halve år offentliggøre antal aktive brugere. Kravet stammer fra DSA og skal øge gennemsigtighed og tilsyn. Reglen gælder før den fulde ikrafttræden i 2024 og rummer undtagelser for mindre virksomheder.

EU-Domstolen slår fast, at registrerede som udgangspunkt kan kræve oplysning om de konkrete modtagere af deres personoplysninger. Kun ved ukendte fremtidige modtagere eller åbenbart grundløse anmodninger kan kategorier være nok. Afgørelsen flugter Datatilsynets praksis.

Irlands datatilsyn har, efter EDPB’s bindende afgørelser, givet Meta 390 mio. euro i bøder og påbudt ændringer. Myndighederne fastslår, at kontraktgrundlag ikke kan bære adfærdsbaseret markedsføring. Sagen skærper kravene til behandlingsgrundlag ved målrettede annoncer.

EDPB’s linje præger håndhævelsen: høje GDPR-bøder, strammere cookie-krav og fortsatte TIAs ved tredjelandsoverførsler. Samtidig skærpes vilkår for cyberforsikring, hvilket øger behovet for dokumenterede behandlingsgrundlag, sikkerhedsforanstaltninger og robust governance.