Tilsynssag

Datatilsynet har politianmeldt Klein2 ApS og Nordic Cleaning ApS for ikke at efterleve påbud om at behandle indsigtsanmodninger. Myndigheden indstiller bøder og lægger vægt på GDPR artikel 83, stk. 2, ved sanktionsvalget. Sagen udspringer af fagforeningsklager på vegne af medlemmer.

Forbrugerombudsmanden indskærper reglerne over for Neste for en annonce med uklare og overdrevne grønne påstande. Udsagnet om 90 procent mere bæredygtighed manglede reference, og betegnelsen bæredygtigt brændstof gik for vidt. VE-direktiv-compliance er ikke tilstrækkelig dokumentation.

Verdo Trading betaler 3,5 mio. kr. i bøde for vildledende grøn markedsføring af træpiller. Forbrugerombudsmanden fandt udsagn om CO2-neutralitet og bæredygtighed egnet til at vildlede. Sagen skærper fokus på dokumentation og bødeudmåling efter markedsføringsloven.

Datatilsynet udtaler alvorlig kritik af Skatteforvaltningen for systematiske overskridelser af GDPR-frister ved indsigtsanmodninger. Gennemsnittet lå omkring 100 dages sagsbehandling. Ressource- og køhensyn accepteres ikke, og myndigheden skal afgive redegørelse i januar 2026.

Forbrugerombudsmanden har politianmeldt Salling Group for at markedsføre Nettos ØGO som Danmarks fjerde mest bæredygtige brand på baggrund af en forbrugerundersøgelse. Udsagnene vurderes at stride mod markedsføringsloven §§ 5, 6, 8 og 13 med mulig bødestraf efter § 37. Opslagene er fjernet.

Datatilsynet udtaler alvorlig kritik af Digitaliseringsstyrelsen efter fem sager om sikkerhedsbrud i NgDP: forkerte læserettigheder, tab af adgang og utilsigtede tilmeldinger efter migrering og en release i august 2023. Offentlige it-løsninger skal løftes med stærkere TOMS, test og ændringsstyring.

Forbrugerombudsmanden indskærper vildledningsforbuddet over for Velkommen for uigennemsigtige elpriser. Spottillæg, grøn kompensation og gebyrer var gemt væk. Sagen skærper krav til samlet pris og prisberegning ved web og telefonsalg – bøder kan følge.

Det irske datatilsyn tildeler TikTok en bøde på 530 mio. euro og kræver på seks måneder lovliggørelse af EU-brugeres dataoverførsler til Kina. Afgørelsen skærper kravene til TIA, SCC og klar information om tredjelandsoverførsler. Er jeres dokumentation og kontroller på plads?

Norges Datatilsyn har udstedt en millionbøde til Telenor for manglende uafhængig DPO og utilstrækkelig dokumentation. Afgørelsen skærper kravene til funktionsadskillelse, rapportering til topledelsen og skriftlig vurdering af DPO'ens egnethed og interessekonflikter.

Digitaliseringsstyrelsen har sendt et supplerende lovforslag til EU’s AI-forordning i høring. Forslaget udpeger Digitaliseringsstyrelsen og Datatilsynet som tilsyn med GDPR-lignende beføjelser, høje bøder og fem års forældelse. Regler indfases frem mod 2026.

Datatilsynet retter alvorlig kritik mod en virksomhed for at have tilgået en tidligere medarbejders private e-mail via en afleveret arbejdskomputer. Tilsynet afviser GDPR art. 6(1)(f) som grundlag og peger på manglende interesseafvejning, dataminimering og mulig overtrædelse af straffelov § 263.

Forbrugerombudsmanden indskærper reglerne over for Camilla Krøyer Jewellery efter tidsbegrænsede rabatkoder på Facebook, der virkede ud over fristen. Praksissen vurderes som vildledende efter markedsføringslovens §§ 5 og 6, jf. § 8, hvilket skærper kravene til klare og korrekte tilbudsbetingelser.

Datatilsynet kritiserer Udlændinge- og Integrationsministeriet for manglende kontrol af automatiske sletninger i visuminformationssystemet og for ikke straks at slette data, når visumansøgere bliver EU-statsborgere. Praktikken strider mod GDPR og VIS-forordningens krav.

Datatilsynet kritiserer Københavns Kommunes DPIA for AULA for ikke at opfylde mindstekravene og efterlyser tydeligere risikovurderinger med kobling til konkrete foranstaltninger. Tilsynet anbefaler også præcise formål og brug af Sikker fildeling samt henviser til nye DPIA-skabeloner.

Datatilsynet afviste at rejse tilsynssag mod en kommune, der ville etablere et internt referenceregister i én forvaltning. Udtalelsen bekræfter, at sådanne registre kan være lovlige under GDPR, hvis formål, adgang og slettefrister er snævert afgrænset og dokumenteret.

Datatilsynet udtaler kritik af et gymnasiums brug af eksamensovervågningssoftware for manglende risikovurdering og utilstrækkelige foranstaltninger efter GDPR art. 25. Øvrige krav om behandlingsgrundlag m.v. er opfyldt. Myndigheden anbefaler klarere oplysningspligt og elevvejledning samt justeringer hos andre gymnasier.