Kort svar
Datatilsynet accepterer ikke en behandling, blot fordi formålet er fornuftigt eller oplysningerne kan findes offentligt. Dansk praksis anvender GDPR's principper lag for lag: behandlingsgrundlag, nødvendighed, proportionalitet, formålsbegrænsning, dataminimering, gennemsigtighed, sletning og sikkerhed. Følsomme oplysninger, biometri, kreditoplysninger og CPR-numre har yderligere krav efter GDPR og databeskyttelsesloven.
Medarbejderovervågning kan være lovlig ved et sagligt og dokumenteret behov, men kontrollen må ikke være mere omfattende end nødvendigt, og medarbejderne skal normalt informeres på forhånd. En oplysning i et offentligt register er stadig en personoplysning; genpublicering, sammenstilling eller navnesøgning er en ny behandling med eget formål og grundlag.
Kreditoplysningsbureauer følger et særligt tilladelses- og regelsæt. Ved direkte markedsføring skal GDPR, databeskyttelseslovens § 13 og markedsføringslovens kanalregler holdes adskilt. Ikke-nødvendige cookies kræver som udgangspunkt forudgående samtykke, og efterfølgende brug af identifikatorer skal også have GDPR-grundlag.
Biometri til entydig identifikation er en særlig kategori efter artikel 9 og kræver både almindeligt behandlingsgrundlag og en artikel 9-undtagelse. Ved sikkerhedsbrud skal alle hændelser dokumenteres, risikofyldte brud anmeldes uden unødig forsinkelse og om muligt inden 72 timer, og de registrerede underrettes ved sandsynlig høj risiko.
Datatilsynets gennemgående test
En vurdering bør begynde med et datakort: hvem er dataansvarlig, hvilke personer og data berøres, hvad er hvert formål, hvor kommer oplysningerne fra, hvem modtager dem, og hvornår slettes de? Derefter vurderes hver behandlingsaktivitet efter artikel 5 og et grundlag i artikel 6. Eventuelle artikel 9-oplysninger, straffedomme, CPR-numre eller specialregler kommer oveni.
Et gyldigt grundlag gør ikke en uforholdsmæssig behandling lovlig. Datatilsynet kan eksempelvis acceptere kameraovervågningens formål, men samtidig kritisere adgangssikkerhed, opbevaring eller mangelfuld information. Den dataansvarlige skal kunne dokumentere vurderingen fra tidspunktet for behandlingen.
Medarbejderovervågning
Kamera, GPS, adgangskort, internet- og e-maillogning samt produktivitetssporing kan være kontrolforanstaltninger og behandling af personoplysninger. Arbejdsgiveren skal have et konkret sagligt formål, vælge den mindst indgribende effektive løsning, begrænse adgang og opbevaring og informere medarbejderne om formål og mulig brug.
"En arbejdsgiver kan foretage tv-overvågning på en arbejdsplads, hvis der er en saglig grund til det, og overvågningen ikke er mere omfattende end nødvendigt."
—
I Fitness World-sagen fra 2022 accepterede tilsynet på de konkrete oplysninger tv-overvågning til kriminalitetsforebyggelse og retskrav, fordi medarbejderne var orienteret. Samtidig udtalte tilsynet alvorlig kritik af, at blandt andet lægeerklæringer, opsigelser og optagelser var blevet gemt på en fælles computer, så andre kunne tilgå dem. Afgørelsen viser, at hjemmel, gennemsigtighed og sikkerhed er selvstændige krav.
Databeskyttelseslovens § 12 kan være relevant, når behandlingen sker som led i arbejdsretlige forpligtelser eller en kollektiv aftale om kontrolforanstaltninger. Uden en sådan ramme skal artikel 6-grundlaget fastlægges direkte. Samtykke er ofte uegnet på grund af afhængigheden i ansættelsen. Optagelser indsamlet for sikkerhed må ikke uden videre genbruges til skjult præstationskontrol.
Offentlige registre er ikke et databeskyttelsesfrit område
En myndighed kan have lovhjemmel til at føre og offentliggøre et register. Det betyder ikke, at enhver anden må kopiere hele datasættet, ændre søgeadgangen eller bruge det til profilering. Genbrugeren skal selv identificere grundlag, formål, nødvendighed, oplysningspligt og sletteperiode.
I Lectio-sagen fra 2019 fandt Datatilsynet, at offentlig adgang til nuværende og tidligere læreres og elevers skemaoplysninger gik videre end nødvendigt. At oplysningerne tidligere havde været offentligt tilgængelige gjorde ikke fortsat åben adgang lovlig.
"Offentliggørelsen af personoplysninger gik videre, end hvad der var nødvendigt i forhold til formålet med behandlingen."
—
For kommunale webarkiver understreger tilsynet tilsvarende, at hvis der ikke er en lovbestemt offentliggørelsespligt, kræves en konkret nødvendighedsvurdering. Login, søgebegrænsning, robotblokering, redaktion og adskillelse af fortrolige data kan være relevante designvalg. Retten til sletning er ikke automatisk, men en myndighed må heller ikke afvise en indsigelse alene med henvisning til, at dokumentet engang var offentligt.
Kreditoplysninger
Kreditoplysningsbureauer skal have Datatilsynets tilladelse og følge databeskyttelseslovens særlige regler. Oplysninger skal være relevante, korrekte og tilstrækkeligt dokumenterede. Den registrerede skal have information og mulighed for rettelse; videregivelse, modtagere og sletning er begrænset.
En bestridt gæld må ikke behandles som en endeligt konstateret betalingsmisligholdelse uden det nødvendige grundlag. Domme, offentlige bekendtgørelser eller andre kilder kan påvirke vurderingen, men »offentlig« er ikke ensbetydende med tidsubegrænset eller formålsfri kreditprofilering. Bureau og kunde skal kontrollere identitet, aktualitet, beløbsstatus og et legitimt kreditvurderingsbehov.
Praksis er særlig opmærksom på konsekvensen af en negativ registrering. Rettelse eller sletning hos kilden løser ikke altid automatisk kopier hos modtagere; procedurer for ajourføring og underretning skal derfor være indbygget.
Direkte markedsføring
Tre spørgsmål må ikke blandes sammen:
- Har virksomheden et GDPR-grundlag for at udvælge og profilere personen?
- Må oplysninger videregives til en anden virksomhed efter databeskyttelseslovens § 13?
- Må kanalen – e-mail, sms eller telefon – bruges efter markedsføringsloven?
Artikel 21 giver personen ret til når som helst at gøre indsigelse mod behandling til direkte markedsføring. Efter en sådan indsigelse må oplysningerne ikke længere bruges til det formål; der foretages ikke en ny interesseafvejning.
Databeskyttelseslovens § 13 kræver som hovedregel udtrykkeligt samtykke til at videregive forbrugeroplysninger til en anden virksomhed for direkte markedsføring. Visse generelle kundeoplysninger kan dog videregives efter interesseafvejning, hvis de øvrige betingelser, CPR's markedsføringsbeskyttelse og oplysning om indsigelsesretten respekteres. I Stofa-sagen fra 2020 blev navn, adresse, telefonnummer og kundenummer accepteret under denne undtagelse på de konkrete fakta.
I Telmore-sagen fra 2024 fandt Datatilsynet derimod, at deling af en e-mailadresse med Meta til målrettet markedsføring ikke kunne bæres af interesseafvejningen som gennemført. Tilsynet lagde vægt på kundens forventninger og utilstrækkelig særskilt gennemsigtighed. Samtykke til elektronisk reklame efter markedsføringsloven hører under Forbrugerombudsmandens kompetence; et GDPR-grundlag er ikke i sig selv et spam-samtykke.
Cookies og lignende teknologi
Cookiebekendtgørelsen regulerer lagring eller adgang på brugerens terminaludstyr. Strengt nødvendige cookies kan anvendes uden samtykke; analyse-, annonce- og andre ikke-nødvendige teknologier kræver normalt samtykke før placering eller aflæsning. Digitaliseringsstyrelsen fører tilsyn med cookiereglen. Når de indsamlede identifikatorer er personoplysninger, gælder GDPR parallelt, og Datatilsynet har kompetence for den efterfølgende behandling.
"For at være gyldigt skal et samtykke opfylde en række betingelser."
—
Samtykket skal være frivilligt, specifikt, informeret, utvetydigt og opdelt efter formål. Forudafkrydsede felter, fortsat browsing som samtykke og en afvisningsvej, der er væsentligt sværere end »acceptér alle«, er problematiske. Tilbagekaldelse skal være lige så let som afgivelse. En cookie-væg kræver en konkret frivillighedsvurdering, herunder om der findes et reelt og rimeligt alternativ.
Biometri
Ansigts- og fingeraftryksskabeloner er personoplysninger. Når de bruges til entydigt at identificere en person ved sammenligning mod en database, er de biometriske oplysninger omfattet af artikel 9's udgangspunkt om forbud. Den dataansvarlige skal både have artikel 6-grundlag og en artikel 9, stk. 2-undtagelse.
I en medarbejdersag fra 2020 accepterede Datatilsynet fingeraftryk til adgangskontrol i fødevareproduktion. Kontrollen var varslet efter den kollektive kontrolaftale, og virksomheden dokumenterede et særligt behov for entydigt at vide, hvem der havde adgang, som nøglebrikker ikke dækkede. Afgørelsen er konkret, ikke en generel tilladelse til biometrisk tidsregistrering.
"[B]iometriske data [...] vil kun skulle anses som en særlig kategori af oplysninger, når behandling sker med det formål entydigt at identificere en fysisk person."
—
I ansigtsgenkendelsessagen fra 2022 advarede tilsynet om, at et samtykkebaseret system skulle sikre, at personer uden samtykke ikke blev biometrisk behandlet. Senere stadiontilladelser viser krav om snævert formål, hurtig sletning af ikke-match, information, kryptering, netværksadskillelse og adgangslogning. Biometri udløser ofte en konsekvensanalyse efter artikel 35.
Sikkerhedsbrud
Et brud omfatter hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse eller adgang. Før hændelsen kræver artikel 32 risikotilpassede tekniske og organisatoriske foranstaltninger. Efter hændelsen skal den dataansvarlige begrænse skaden, bevare bevis og dokumentere alle brud – også dem, der ikke anmeldes.
Hvis det ikke er usandsynligt, at bruddet indebærer risiko for personers rettigheder og friheder, skal det anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer fra kendskab. Mangler der detaljer, kan anmeldelsen suppleres i faser; virksomheden bør ikke vente på en fuld forensisk rapport. Forsinkelse skal begrundes. Ved sandsynlig høj risiko skal de berørte personer som udgangspunkt underrettes klart og uden unødig forsinkelse.
Datatilsynet kritiserede i 2020 sin egen for sene anmeldelse af fejlagtigt bortskaffede følsomme papirer. Tilsynets kommunesager fremhæver, at organisationen skal have procedurer, træning og en eskalationsvej, så medarbejdere kan genkende og rapportere hændelser. En rettidig anmeldelse fritager ikke for ansvar for utilstrækkelig sikkerhed, og god sikkerhed fritager ikke fra korrekt anmeldelse.
Konklusion
Dansk databeskyttelsespraksis er kontekstuel, men konsekvent: et legitimt mål skal forfølges med nødvendige, gennemsigtige og sikre midler. Offentlig adgang, ansættelsesret, markedsføringsinteresse eller teknisk bekvemmelighed er ikke selvstændige undtagelser fra GDPR. Kreditdata, cookies og biometri har ekstra lag, og sikkerhedsbrud kræver både forudgående beredskab og hurtig risikobaseret respons. Den bedste compliance følger hele datalivscyklussen fra indsamling og information til adgang, genbrug, sletning og hændelseshåndtering.
Kilder
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.