Tilsynssag

GDPR-krav om sikkerhed, dataminimering og sletning er centrale værn i Danmarks digitale forsvar. Datatilsynet omsætter erfaringer fra tusindvis af brudsanmeldelser til vejledning, tilsyn og påbud, der skærper beskyttelsen i offentlige og private it-løsninger.

Datatilsynet undersøger omfattende opslag i CPR og har sendt høringer til CPR-administrationen og Charity Guard ApS. Fokus er på hændelsesforløb, adgangsgrundlag og sikkerhedsforanstaltninger. Afgørelsen bygger på høringssvar og vurdering efter GDPR, bl.a. art. 5, 32 og 33.

Skattestyrelsen indfører et særnummer til borgere fritaget fra Digital Post for at sikre adgang til telefonisk vejledning under årsopgørelsen. Ombudsmanden vurderer initiativet positivt og vil følge, om kommunikationen rammer målgrupperne, og om tiltaget reelt forbedrer tilgængeligheden.

Datatilsynet gransker Kerteminde Kommune for brug af generativ AI uden risikovurdering og DPIA. Sagen skærper krav til governance, dokumentation og DPO-involvering og peger på, at FRIA kan blive relevant efter AI-forordningen. Få overblik over de centrale GDPR-pligter.

Københavns Byret har idømt en brancheforening 500.000 kr. for ulovlig reklame for nikotinprodukter. Reklameforbuddet i tobaksreklameloven gælder også for pressemeddelelser og hjemmesider og strider ikke mod grundloven § 77 eller EMRK art. 10. Sagen skærper kravene til erhvervspolitiske ytringer.

Forbrugerombudsmanden indskærper reglerne over for Neste for en annonce med uklare og overdrevne grønne påstande. Udsagnet om 90 procent mere bæredygtighed manglede reference, og betegnelsen bæredygtigt brændstof gik for vidt. VE-direktiv-compliance er ikke tilstrækkelig dokumentation.

Datatilsynet har politianmeldt Klein2 ApS og Nordic Cleaning ApS for ikke at efterleve påbud om at behandle indsigtsanmodninger. Myndigheden indstiller bøder og lægger vægt på GDPR artikel 83, stk. 2, ved sanktionsvalget. Sagen udspringer af fagforeningsklager på vegne af medlemmer.

Verdo Trading betaler 3,5 mio. kr. i bøde for vildledende grøn markedsføring af træpiller. Forbrugerombudsmanden fandt udsagn om CO2-neutralitet og bæredygtighed egnet til at vildlede. Sagen skærper fokus på dokumentation og bødeudmåling efter markedsføringsloven.

Datatilsynet udtaler alvorlig kritik af Skatteforvaltningen for systematiske overskridelser af GDPR-frister ved indsigtsanmodninger. Gennemsnittet lå omkring 100 dages sagsbehandling. Ressource- og køhensyn accepteres ikke, og myndigheden skal afgive redegørelse i januar 2026.

Forbrugerombudsmanden har politianmeldt Salling Group for at markedsføre Nettos ØGO som Danmarks fjerde mest bæredygtige brand på baggrund af en forbrugerundersøgelse. Udsagnene vurderes at stride mod markedsføringsloven §§ 5, 6, 8 og 13 med mulig bødestraf efter § 37. Opslagene er fjernet.

Datatilsynet udtaler alvorlig kritik af Digitaliseringsstyrelsen efter fem sager om sikkerhedsbrud i NgDP: forkerte læserettigheder, tab af adgang og utilsigtede tilmeldinger efter migrering og en release i august 2023. Offentlige it-løsninger skal løftes med stærkere TOMS, test og ændringsstyring.

Forbrugerombudsmanden indskærper vildledningsforbuddet over for Velkommen for uigennemsigtige elpriser. Spottillæg, grøn kompensation og gebyrer var gemt væk. Sagen skærper krav til samlet pris og prisberegning ved web og telefonsalg – bøder kan følge.

Det irske datatilsyn tildeler TikTok en bøde på 530 mio. euro og kræver på seks måneder lovliggørelse af EU-brugeres dataoverførsler til Kina. Afgørelsen skærper kravene til TIA, SCC og klar information om tredjelandsoverførsler. Er jeres dokumentation og kontroller på plads?

Norges Datatilsyn har udstedt en millionbøde til Telenor for manglende uafhængig DPO og utilstrækkelig dokumentation. Afgørelsen skærper kravene til funktionsadskillelse, rapportering til topledelsen og skriftlig vurdering af DPO'ens egnethed og interessekonflikter.

Digitaliseringsstyrelsen har sendt et supplerende lovforslag til EU’s AI-forordning i høring. Forslaget udpeger Digitaliseringsstyrelsen og Datatilsynet som tilsyn med GDPR-lignende beføjelser, høje bøder og fem års forældelse. Regler indfases frem mod 2026.

Datatilsynet retter alvorlig kritik mod en virksomhed for at have tilgået en tidligere medarbejders private e-mail via en afleveret arbejdskomputer. Tilsynet afviser GDPR art. 6(1)(f) som grundlag og peger på manglende interesseafvejning, dataminimering og mulig overtrædelse af straffelov § 263.