Ulovlig behandling

Det norske Datatilsyn udsteder 20 mio. NOK i bøde for ulovlig brug af kundedata i en kundeklub. Sagen fastslår, at rabatter ikke må betinges af omfattende databehandling, og at profilering og customer match kræver særskilte, frivillige samtykker og klar information.

Datatilsynet undersøger et forskningsprojekt i Region Hovedstaden og efterspørger grundlaget for persondatabehandlingen. Myndigheden betoner krav om DPIA ved høj risiko, især ved sundhedsdata og AI. Ulovlig behandling kan medføre stop og sletning af data og resultater.

Datatilsynet udtaler alvorlig kritik af en virksomhed for at have tilgået en tidligere ansats private e-mailkonto som led i bevisindsamling. Interesseafvejning efter GDPR art 6 stk 1 litra f kunne ikke bære. Afgørelsen skærper kravene til HR-undersøgelser, proportionalitet og dokumentation.

EDPB har vedtaget en udtalelse efter GDPR art. 64 om AI-modeller. Den præciserer, hvornår modeller trænet på personoplysninger kan anses for anonymiserede, hvordan interesseafvejningsreglen kan anvendes som behandlingsgrundlag, og at ulovlig udvikling kan påvirke senere brug.