Datatilsynet: hvad de laver, og hvornår du møder dem

Hvad er Datatilsynet?

Datatilsynet er den danske tilsynsmyndighed for databeskyttelse. Det er den myndighed, GDPR i Danmark bliver håndhævet af. Tilsynet er en uafhængig statslig myndighed: det modtager ikke instruktioner fra regeringen i sine afgørelser, hvilket er et krav i selve forordningen (artikel 52). Hvert EU-land har en tilsvarende myndighed, og de koordinerer på tværs af grænser i Det Europæiske Databeskyttelsesråd (EDPB), blandt andet når en sag involverer virksomheder i flere lande.

For en dansk virksomhed er Datatilsynet to ting på én gang: den myndighed, der kan komme på besøg eller træffe afgørelse i en klagesag, og den mest praktiske kilde til vejledning om, hvad reglerne betyder i konkrete situationer. Det sidste bliver ofte overset: tilsynets vejledningsunivers er skrevet for at blive brugt, ikke som jura for jurister.

Hvad laver Datatilsynet?

Tilsynets arbejde falder i fire spor:

Vejledning. Skriftlige vejledninger, skabeloner og et samlet GDPR-univers for små virksomheder. Når et nyt område giver anledning til tvivl (cookies, kunstig intelligens, tv-overvågning), kommer der typisk en vejledning eller en udtalelse, der beskriver tilsynets forståelse af reglerne.

Tilsyn af egen drift. Datatilsynet udvælger hvert år fokusområder og fører planlagte tilsyn med både myndigheder og virksomheder, skriftligt eller ved besøg. Udvælgelsen offentliggøres, så man kan se, hvilke temaer der aktuelt har tilsynets opmærksomhed.

Klagesager. Borgere kan klage over en virksomheds eller myndigheds behandling af deres oplysninger. En typisk klage handler om noget konkret og hverdagsagtigt: et afslag på sletning, manglende svar på en indsigtsanmodning, markedsføring uden samtykke eller et cookie-banner, der sporer før klik.

Afgørelser og udtalelser. Sagerne ender i afgørelser, som offentliggøres i afgørelsesdatabasen. Databasen er undervurderet som arbejdsredskab: den viser, hvilke typer sager der faktisk rejses, og hvordan tilsynet vægter dem, langt mere konkret end nogen paragraflæsning.

Hvornår møder en virksomhed Datatilsynet?

De tre almindelige veje ind i en sag:

En borger klager. Langt de fleste sager starter her. Klageren er typisk en kunde, et tidligere medlem, en afvist jobansøger eller en utilfreds tidligere medarbejder, altså en person, virksomheden allerede har en relation til. Tilsynet hører virksomheden, før der afgøres noget: der kommer et brev med spørgsmål og en frist. Kvaliteten af svaret (og af den dokumentation, der kan vedlægges) er i praksis det, sagen står og falder med.

Virksomheden anmelder selv et brud. Et brud på persondatasikkerheden skal anmeldes inden for 72 timer, medmindre det næppe indebærer en risiko for de berørte. En anmeldelse fører ikke automatisk til kritik. Tilsynet vurderer håndteringen: blev bruddet opdaget, inddæmmet, dokumenteret, og fik de berørte besked, hvor det var påkrævet?

Planlagt tilsyn. Virksomheden udvælges i et af årets fokusområder og modtager et spørgeskema eller et varsel om besøg. Her efterspørges netop den dokumentation, GDPR-reglerne kræver: fortegnelsen, databehandleraftalerne, procedurerne for rettigheder og brud.

Fælles for alle tre: mødet med tilsynet handler om dokumentation. Det afgørende er sjældent, om noget er gået galt. Det er, om virksomheden kan vise, hvad den gør, og at den reagerede fornuftigt, da problemet opstod.

Hvad kan en afgørelse indeholde?

Datatilsynets reaktionsmuligheder spænder bredt, og de fleste sager ender i den milde ende:

• Ingen kritik: behandlingen var i orden, eller virksomheden havde allerede rettet op.
• Kritik: tilsynet konstaterer, at reglerne ikke var fulgt. Kritik er den hyppigste reaktion og offentliggøres med virksomhedens navn i afgørelsesdatabasen.
• Påbud og forbud: et pålæg om at gøre noget bestemt (fx slette oplysninger, besvare en anmodning) eller stoppe en behandling. At undlade at efterkomme et påbud er selvstændigt strafbart.
• Bødespor: Danmark har her en særlig model. Hvor tilsynsmyndigheder i de fleste EU-lande selv kan udstede administrative bøder, anmelder Datatilsynet som udgangspunkt sagen til politiet med en indstilling om bøde, hvorefter spørgsmålet afgøres i retssystemet. I ukomplicerede sager kan tilsynet udstede et administrativt bødeforelæg, hvis den berørte accepterer. Rammerne står i databeskyttelsesloven.

Vi nævner bevidst ingen bødebeløb her: beløbene afhænger af den konkrete sag, og enhver liste ville være forældet, kort efter den blev skrevet. Vil du se niveauet, så slå de nyeste sager op i afgørelsesdatabasen. Dér står de med dato, begrundelse og sagstype.

For de fleste virksomheder er den reelle omkostning ved en sag i øvrigt ikke et eventuelt bødebeløb, men tiden: indsamling af dokumentation, svarskrivelser og (hvis afgørelsen offentliggøres med navn) samtalen med de kunder, der har læst den.

Datatilsynet er ikke alene: cookie-tilsynet ligger et andet sted

En sondring, der overrasker de fleste: selve cookie-reglerne (kravet om samtykke, før der lagres eller læses data på den besøgendes udstyr) står i den danske cookiebekendtgørelse, og tilsynet med den ligger hos Digitaliseringsstyrelsen, ikke hos Datatilsynet.

Arbejdsdelingen på en hjemmeside er altså: Digitaliseringsstyrelsen fører tilsyn med, om der må sættes en cookie (adgangen til udstyret), mens Datatilsynet fører tilsyn med den efterfølgende behandling af de personoplysninger, cookien indsamler. Cookie-ID'er og IP-adresser er nemlig personoplysninger i GDPR's forstand. I praksis rører mange sager begge regelsæt, og de to myndigheder henviser til hinandens vejledninger. For virksomheden er pointen enkel: et cookie-banner, der sporer før klik, kan blive et emne hos begge. Mekanikken bag er forklaret i vidensbasens cookie-side.

Hvis du vil klage eller selv er i tvivl

Klageadgangen for borgere er samlet på datatilsynet.dk/borger: hvilke rettigheder man har, og hvordan man klager digitalt. Før en klage giver mening, skal man dog typisk først have bedt virksomheden selv om det, man ønsker (indsigt, sletning, afmelding), og have fået et afslag eller ingen reaktion.

Står du som virksomhed med et konkret spørgsmål, er rækkefølgen den omvendte af, hvad mange gør: læs først tilsynets vejledning på området, og ring eller skriv derefter til deres informationstjeneste, hvis vejledningen ikke dækker. At spørge først og læse bagefter giver længere ventetid på et svar, vejledningen allerede havde.

Hvad du selv kan gøre, inden de banker på

En tilsynssag afgøres af det arbejde, der var gjort, før brevet kom. De tre dokumenter, tilsynet i praksis altid beder om, er fortegnelsen, databehandleraftalerne og privatlivspolitikken, og det mest målbare, en udenforstående kan kontrollere, er hjemmesiden: hvilke cookies der sættes, hvilke scripts der loader, og om banneret gør det, det siger. Gennemgangen af pligterne står i GDPR-reglerne forklaret, og mekanikken bag hjemmesidens behandlinger (cookies, tracking-scripts og resten) er forklaret side for side i vidensbasen.