Denne månedens Privacy Corner samler en rekke saker og nyheter som til sammen tegner et tydelig bilde: personvernforpliktelser håndheves på bredere front og med liten tålmodighet overfor argumentet om at etterlevelse kan vente til etter at kontrakten er signert. Siden Omnibus-forslagene fortsatt er under behandling og endring, har jeg valgt å sette fokus på andre forhold.
En sak som skiller seg ut, er det danske Datatilsynets endelige avgjørelse mot 51 kommuner om bruken av Google Workspace i grunnskolen. Alle 51 fikk alvorlig kritikk, og to fikk pålegg. Kjerneproblemet var at det ikke var gjennomført overføringsvurderinger for personopplysninger som ble sendt videre i Googles kjede av underdatabehandlere – til land utenfor EUs adekvansavgjørelse. En påminnelse om at en kontrakt, uansett hvor godt utformet, ikke kan overstyre hva et fremmed lands myndigheter kan kreve.
På den andre siden av Atlanterhavet, vurderer California å innføre et varslersystem under CCPA. Ansatte skal kunne rapportere personvernbrudd direkte til California Privacy Protection Agency – og få en belønning på mellom 15 og 33 prosent av eventuelle bøter (!). For virksomheter med aktivitet i California endrer dette risikobildet betraktelig. Risikoen er ikke lenger bare et fjernt tilsyn. Den kan sitte i din egen organisasjon.
Nyhetsbrevet tar også for seg Amazons ulovlige registrering av arbeidstakeres sensitive personopplysninger i Italia, EUs adekvansavgjørelse for Brasil, WhatsApps seier om å kunne overprøve EDPBs vurderinger, og mye annet. Det er en del å ta inn over seg denne måneden – igjen.
God lesning!
Hilsen Eva,
med god bistand fra advokatfullmektig Sofie Axelsson
California foreslår belønning til varslere ved personvernbrudd
Hva skjer når de som vet mest om en bedrifts personvernbrudd, sitter inne i selskapet selv og får økonomisk insentiv til å si ifra? California er i ferd med å finne ut av det.
Et nytt lovforslag under CCPA-rammeverket vil innføre et formelt varslersystem. Ansatte, oppdragstakere og andre skal kunne sende klager direkte til California Privacy Protection Agency – og få betalt for det. Vi snakker om en belønning på mellom 15 og 33 prosent av bøtene som ilegges som følge av vellykkede håndhevingstiltak. Det er et betydelig økonomisk insentiv, tatt i betraktning at CCPA-bøter kan løpe opp i millionbeløp.
For selskaper med virksomhet i California – og det gjelder en bemerkelsesverdig stor andel av globalt næringsliv – endrer dette risikoprofilen ved manglende etterlevelse betydelig. Det er én ting å ta stilling til en abstrakt mulighet for en undersøkelse fra et datatilsyn. Det er noe helt annet når dine egne ansatte kan ha en direkte økonomisk interesse av å rapportere svakheter i personvernprogrammet ditt. Mange compliance-team vil trolig måtte se kritisk på om de interne prosessene faktisk er solide – eller om de bare har satt sin lit til at håndhevingen historisk sett har vært treg og underfinansiert.
Lovforslaget inneholder også vern mot represalier for ansatte som trer frem. Sett under ett ligner insentivstrukturen på det den amerikanske Securities and Exchange Commission bygde inn i finansreguleringen – og det programmet har vært svært effektivt til å avdekke lovbrudd.
Dersom du eller dine klienter har aktivitet i California, er dette et godt tidspunkt for å gå etterlevelsen av CCPA grundig etter i sømmene. CCPA ligner på GDPR. Varslerordninger har en tendens til å skjerpe oppmerksomheten. Spørsmålet er ikke lenger bare om tilsynet vil komme på døren. Spørsmålet er om noen innenfor organisasjonen kanskje vil hjelpe dem med å gjøre det.
Amazon Italia tatt i å registrere arbeidstakernes mest sensitive opplysninger
Driver du HR-systemer, fremmøteplattformer eller noen form for overvåking av arbeidsstyrken? Da bør denne saken leses umiddelbart.
Det italienske datatilsynet, Garante, har nedlagt et straksforbud mot Amazon Italia Logistica og beordret selskapet til å stanse behandlingen av personopplysninger om mer enn 1.800 arbeidstakere.
Hva foregikk egentlig?
I et system som var koblet til informasjon om ansattes fremmøte – tilgjengelig for en rekke ledere – hadde Amazon systematisk registrert detaljerte notater om arbeidstakere etter intervjuer ved retur fra fravær. Opplysningene som ble samlet inn, gikk langt utover det arbeidsforholdet kunne rettferdiggjøre. Konkrete medisinske diagnoser som Crohns sykdom og prolaps, deltakelse i streik og fagforeningsaktivitet, dypt personlige familieforhold – herunder alvorlig syke pårørende – ble registrert. Opplysningene ble oppbevart i opptil ti år etter at arbeidsforholdet opphørte.
Hva betyr dette for din virksomhet?
Det rettslige utgangspunktet er enkelt: etter GDPR kan ikke arbeidsgivere behandle opplysninger som er uten relevans for vurderingen av en ansatts faglige egnethet. Helseforhold og fagforeningsengasjement er særlige kategorier personopplysninger. De krever et eksplisitt og spesifikt rettslig grunnlag – noe ordinær arbeidsmessig nødvendighet simpelthen ikke kan gi. Jeg undrer meg over hvor mange selskaper med tilsvarende intervjuprosesser som faktisk har gått gjennom hva lederne registrerer på disse plattformene. Gapet mellom policy og praksis i den daglige HR-driften kan være større enn compliance-teamene er klar over.
Garante har i tillegg utvidet forbudet til å gjelde øvrige Amazons logistikkanlegg i Italia som bruker den samme plattformen på tilsvarende måte. Den systemiske tilnærmingen er viktig. Den signaliserer at myndighetene i økende grad ser ut over det individuelle tilfellet og spør om en mangelfull praksis er forankret i hele organisasjonen.
For virksomheter med store skiftbaserte eller logistikkpregede arbeidsstyrker – der fremmøtestyring er intensiv og lederens skjønn er bredt – er dette en aktuell oppfordring til å se gjennom ikke bare retningslinjene, men hva som faktisk registreres i systemene.
EU gir Brasil adekvans - viktig ny korridor for datatransfer
For de fleste virksomheter som opererer i Europa, er overføring av personopplysninger ut av EU en jevnlig kilde til bry – standard kontraktsbestemmelser, overføringsvurderinger, adekvansavgjørelser. Det er ikke bare bakgrunnsstøy. Derfor fortjener Europakommisjonens siste adekvansavgjørelse oppmerksomhet: Brasil har nettopp sluttet seg til den korte listen over land dit personopplysninger kan flyte fritt fra Europa.
Europakommisjonen har vedtatt en formell adekvansavgjørelse etter GDPR artikkel 45, og anerkjenner Brasils personvernrammeverk som å gi et i det vesentlige tilsvarende beskyttelsesnivå. Det brasilianske datatilsynet har på sin side vedtatt en tilsvarende anerkjennelse av EU-rammeverket under LGPD, noe som muliggjør gjensidige datastrømmer.
I praktisk forstand kan personopplysninger nå overføres fra EU til Brasil uten behov for tilleggsmekanismer som standard kontraktsbestemmelser eller overføringsvurderinger.
Til sammen representerer EU og Brasil en kombinert befolkning på omtrent 670 millioner mennesker. Dette skaper en av de største jurisdiksjonssonene globalt der personopplysninger kan sirkulere mellom to store økonomier uten supplerende overføringssikkerhetstiltak.
Hvorfor Brasil, og hvorfor nå?
Det rettslige grunnlaget har vært under utbygging over tid. Brasil vedtok sin personvernlov – LGPD – i 2018, tett modellert etter GDPR. Landet opprettet deretter et uavhengig datatilsyn. Kommisjonen har nå konkludert med at LGPD har en høy grad av konvergens med GDPR når det gjelder virkeområde, individuelle rettigheter, plikter for virksomheter, tilsyn og håndhevelse. Det er verdt å merke seg at avgjørelsen også kommer i kjølvannet av EU-Mercosur-handelsavtalene undertegnet i januar 2026 – tidspunktet sender dermed et bevisst geopolitisk signal om multilateralisme og regelbasert samarbeid.
For europeiske selskaper som allerede opererer i Brasil – mange innenfor produksjon, landbruk, finansielle tjenester og teknologi – fjerner dette et lag med etterlevelsesfriksjon som lenge har vært en kilde til irritasjon. Datadeling mellom konsernenheter, overføringer til brasilianske tjenesteleverandører og grensekryssende HR-datastrømmer blir alle betydelig enklere. Det samme gjelder for brasilianske virksomheter som ekspanderer inn i EU-markedet.
Jeg synes det også er verdt å dvele ved det bredere signalet dette sender. EUs adekvansramme har historisk beveget seg sakte, og listen over anerkjente land har vokst forsiktig. At Brasil – en stor fremvoksende økonomi med et GDPR-tilpasset rammeverk – nå tas inn, tyder på at Kommisjonen er villig til å bruke adekvansavgjørelser som et strategisk partnerskapsverktøy, ikke bare som et teknisk stempel. Hvorvidt den tilnærmingen vil strekke seg til andre jurisdiksjoner i Latin-Amerika eller andre steder, gjenstår å se.
51 danske kommuner får kraftig refs for Google i skolen
Når en stor skyplattform anskaffes, er fokus gjerne på funksjonalitet, pris og kontraktsvilkår. Spørsmålet om hvor personopplysningene havner, kommer ofte senere – hvis det i det hele tatt kommer. Det danske Datatilsynets siste avgjørelse i den meget langvarige Chromebook-saken er en påminnelse om at «senere» ikke er godt nok.
Bakgrunn
Saken gjelder 51 danske kommuners bruk av Google Workspace for Education og Google Chrome Education i grunnskolen. Datatilsynet har nå avsagt sin endelige avgjørelse. Resultatet er alvorlig kritikk av samtlige 51 kommuner, og to pålegg. Avgjørelsen kommer etter flere års undersøkelse og følger en uttalelse fra EDPB i oktober 2024 om hvor langt en behandlingsansvarlig plikter å strekke seg når den benytter databehandlere og underdatabehandlere. Det korte svaret, slik EDPB gjorde klart: lenger enn de fleste virksomheter har antatt.
Problemet med underdatabehandlere
Kjernen i saken er overføringer til tredjeland. Konkret: hva skjer når Google, som kommunenes databehandler, sender data videre til sine egne underdatabehandlere – mange av dem utenfor EU? Data flyter fra Google Cloud EMEA i Irland til Google LLC i USA, og derfra til en rekke underdatabehandlere i land som India, Mexico, Taiwan, Chile, Singapore og Hong Kong.
Kommunene hadde primært støttet seg på EU-US Data Privacy Framework (DPF) for å begrunne overføringer til USA, og på Googles kontraktskjede for å dekke videre overføringer. Datatilsynet aksepterer at DPF gir et gyldig overføringsgrunnlag for overføringer til Google LLC selv. Men det aksepterer faktisk ikke at dette er tilstrekkelig for hele underdatabehandlerkjeden.
For overføringer til land uten adekvansavgjørelse – de såkalte «utrygge tredjeland» – burde kommunene ha gjennomført overføringsrisikovurderinger (TIAer) for å verifisere om kravene i henhold til Schrems II-dommen faktisk var oppfylt. Det hadde de ikke gjort. Det fantes ingen dokumentasjon som viste at noen hadde gått skikkelig inn i om kontraktsbasert vern alene kunne stå seg mot myndigheters tilgangsregimer i land som India eller Taiwan.
Datatilsynet er direkte på dette punktet: en kontrakt mellom en underdatabehandler i et trygt tredjeland og en underdatabehandler i et utrygt land gir ikke i seg selv et tilsvarende beskyttelsesnivå. Ingen kontrakt kan kontrollere hva myndighetene i det landet kan kreve.
Det er særlig interessant å lese at avgjørelsen slår fast at Datatilsynet mener følgende land i underdatabehandlerkjeden burde ha vært undersøkt før kommunene inngikk kontrakt med Google: Australia, Chile, Canada (ettersom det ikke er angitt om underdatabehandleren er omfattet av den kanadiske PIPEDA), India, Mexico, Singapore, Taiwan, Brasil, Hong Kong og Japan (ettersom det ikke er angitt om underdatabehandleren er omfattet av den japanske APPI).
Hva betyr dette for din virksomhet?
Jeg synes den mest slående passasjen i hele avgjørelsen er den avsluttende bemerkningen fra Datatilsynet, der det slår fast at alt dette kunne og burde ha vært unngått dersom de relevante personvernvurderingene var gjennomført før produktet ble anskaffet og tatt i bruk. Det er ikke et subtilt budskap.
Avgjørelsen gjør det også klart at dersom du velger et produkt der behandlingsaktiviteter eller kontraktsvilkår endres hyppig, må du være i stand til løpende å dokumentere at behandlingen er lovlig etter hver endring. Klarer du ikke det, må du enten slutte å bruke produktet eller bytte leverandør. Det er en betydelig operasjonell implikasjon for enhver organisasjon som er tungt avhengig av amerikanske teknologileverandører.
Praktiske anbefalinger
Bruker din organisasjon Google Workspace, Microsoft 365 eller tilsvarende plattformer som støtter seg på et globalt nettverk av underdatabehandlere? Da kan denne avgjørelsen gi grunn til konkrete tiltak. Noen aktuelle steg:
Kartlegg hele underdatabehandlerkjeden – ikke bare din direkte databehandler, men alle som håndterer personopplysninger på vegne av deg lenger ned i kjeden, inkludert hvor de befinner seg.
Gjennomfør eller oppdater overføringsrisikovurderinger for overføringer til land uten EUs adekvansavgjørelse, og dokumenter vurderingen eksplisitt.
Kontroller at plattformen er konfigurert i tråd med de konkrete tekniske og funksjonelle kravene sektoren din stiller, og dokumenter denne konfigurasjonen.
Bygg rutiner for å følge med på endringer i listen over underdatabehandlere og vurdere de rettslige konsekvensene når de inntreffer.
Vurder om ditt nåværende anskaffelsesrammeverk krever personvernvurderinger som forutsetning for kjøp, fremfor som en ettertanke.
Det danske Datatilsynet har signalisert at det vil ta en hardere linje på sanksjoner i fremtidige saker der disse prinsippene ikke følges – særlig der brukere har begrenset valg av leverandør. Den advarselen gjelder langt utover danske kommuner.
Microsoft 365 i skolen: Sporing av barn uten samtykke
Fortsatt om teknologiplattformer i skolen, men relevant for flere: Den østerrikske personvernmyndigheten har avgjort at Microsoft ulovlig plasserte sporings-informasjonskapsler på enheten til en mindreårig som brukte Microsoft 365 Education. Intet samtykke ble innhentet. Skolen visste det ikke. Utdanningsdepartementet visste det ikke.
Ifølge Microsofts egen dokumentasjon analyserte disse kapslene brukeratferd, samlet inn nettleserdata og leverte reklame. Microsoft ble pålagt å stanse dette innen fire uker.
Dette er den andre østerrikske avgjørelsen mot Microsoft i denne saksrekken. Den første, i oktober 2025, gjaldt brudd på retten til innsyn. Det var også et jurisdiksjonsspørsmål verdt å merke seg: Microsoft hevdet at dets irske datterselskap burde anses som relevant behandlingsansvarlig – noe som elegant hadde kanalisert saken mot en jurisdiksjon der håndhevingen historisk sett har vært tregere. Den østerrikske myndigheten avviste dette argumentet og fastslo at det er Microsoft i USA som treffer de relevante beslutningene.
Jeg synes det er vanskelig å lese denne avgjørelsen som noe annet enn en advarsel til enhver organisasjon som kjører Microsoft 365 – ikke bare skoler. Education- og standard bedriftsversjoner deler den samme underliggende infrastrukturen. Tyske personvernmyndigheter har tidligere reist bekymringer om Microsoft 365s GDPR-etterlevelse, og denne avgjørelsen tillegger dette bildet tyngde. Det kan være du bør se på hvilken sporing som faktisk er aktiv i Microsoft 365-miljøet ditt, og på hvilket rettslig grunnlag.
Du kan lese mer om saken her (PDF), og få tilgang til den fullstendige avgjørelsen her.
Data om avviste leietakere kan ikke beholdes
Når en utleier avslår en leiesøknad, hva skjer da med alle dokumentene som ble levert inn – legitimasjon, kontoutskrifter, inntektsbevis? Når formålet med å samle inn opplysningene har falt bort, faller også retten til å beholde dem bort. Det er enkelt – og likevel vanskelig å etterleve i praksis. Når personopplysninger ikke lenger er nødvendige, skal de slettes. Særlig når den registrerte aktivt krever sletting og behandlingsansvarlig ikke kan peke på noe rettslig grunnlag for å beholde dem.
En familie søkte om å leie en bolig i 2023 og overleverte en rekke personlige dokumenter som del av søknadsprosessen. Da utleieren avslo å inngå leieavtale, krevde familien sletting av opplysningene etter GDPR artikkel 17. Utleieren svarte ikke. Verken på slettekravet eller på et etterfølgende meklingsforsøk. Familien innga til slutt en formell klage til datatilsynet, som beordret utleieren til å slette opplysningene innen 30 dager og minnet dem om at behandlingsansvarlige etter artikkel 12 GDPR også er forpliktet til å informere den registrerte om hvilke tiltak som er truffet som svar på slike krav.
Det hender jeg lurer på hvor mange utleiebyråer og rekrutterere som har klare rutiner for å håndtere slettekrav. Denne saken antyder at svaret er: ikke nok. Et avslag er ikke bare avslutningen på en kommersiell samtale. Det utløser en plikt til å handle raskt og dokumentere det.
Retten til sletting: Fortsatt mer ambisjon enn virkelighet
Nesten åtte år etter at GDPR trådte i kraft, har en bred EU-undersøkelse bekreftet det mange personvernfolk lenge har mistenkt: et betydelig antall virksomheter håndterer fortsatt ikke slettekrav på riktig måte.
På plenumsmøtet i februar 2026 vedtok EDPB en rapport om behandlingsansvarliges etterlevelse av retten til sletting etter GDPR artikkel 17. Funnene stammer fra en koordinert tilsynsøvelse med deltakelse fra datatilsyn i 33 EU- og EØS-land, der det ble samlet inn 764 svar fra offentlige organer og private selskaper.
Svikten er konsistent – og, for å si det rett ut, grunnleggende. På tvers av deltagende jurisdiksjoner avdekket myndighetene: manglende dokumenterte interne rutiner for håndtering av slettekrav; utilstrekkelig opplæring av ansatte; mangelfull informasjon til den registrerte; forvirring rundt unntakene fra retten til sletting; utfordringer med å fastsette og gjennomføre oppbevaringsfrister; utfordringer knyttet til sletting fra sikkerhetskopier; og utfordringer med bruk av anonymisering som alternativ til sletting.
Ingen av de to siste punktene har enkle løsninger, men virksomheter som ikke eksplisitt har adressert dem i sletterutinene sine, har et etterlevelseshull som tilsynsmyndighetene nå aktivt kan være på utkikk etter.
Årets koordinerte tilsynsøvelse for 2026 er allerede annonsert, og temaet vil være etterlevelse av informasjonsplikter. Har du ikke nylig gjennomgått personvernmerknadene og transparensdokumentasjonen din? Nå er en god tid.
Du kan lese mer om saken her.
Whatsapp får rett til å utfordre EDPB-avgjørelse i domstolen
Det kan høres ut som en prosessuell detalj. I praksis er det en viktig avklaring av hvordan GDPRs håndhevingsarkitektur fungerer – og hvem som kan utfordre hva og for hvem.
Bakgrunn
Saken har sitt opphav i en bot på 225 millioner euro ilagt WhatsApp Ireland av den irske datatilsynsmyndigheten i august 2021, etter en bindende avgjørelse fra EDPB under GDPRs tvisteløsningsmekanisme. WhatsApp anket den bindende avgjørelsen inn for EUs Underrett, som avviste søksmålet som ikke tillatt i desember 2022. Begrunnelsen var at EDPBs avgjørelse ikke var en "rettsakt", og at WhatsApp ikke var direkte berørt av den. WhatsApp anket til EU-domstolen (CJEU).
CJEU opphevet Underrettens kjennelse. En bindende EDPB-avgjørelse som fastslår om en behandlingsansvarlig har brutt GDPR og endrer de korrigerende tiltakene som skal ilegges, anses som en rettsakt som kan prøves for EU-domstolene. Den skaper bindende rettsvirkninger og fastlegger EDPBs standpunkt endelig. Den er ikke et forberedende skritt. Der den endrer behandlingsansvarliges rettslige stilling uten å overlate skjønn til den nasjonale tilsynsmyndigheten, har behandlingsansvarlig partsevne til å reise ugyldighetssøksmål. Saken er henvist tilbake til Underretten for behandling av sakens realitet.
Hva betyr dette i praksis?
Til nå har selskaper som var gjenstand for bindende EDPB-avgjørelser, stått overfor en vanskelig prosessuell situasjon. De kunne utfordre en nasjonal datatilsynsmyndighets gjennomføringsbeslutning for en nasjonal domstol, men hadde begrenset mulighet til direkte å angripe den underliggende EDPB-avgjørelsen. Den veien er nå åpnet. EDPB-avgjørelser er ikke skjermet fra domstolskontroll bare fordi de inngår i en samarbeidsorientert regulatorisk prosess.
EDPBs mekanisme for bindende avgjørelser ble nettopp utformet for å forhindre uenighet mellom tilsynsmyndigheter – og har vært brukt for å hindre at ledende tilsynsmyndigheter treffer avgjørelser som er for milde – en bekymring som historisk sett har vært knyttet til Irlands rolle som de facto-regulator for mye av storteknologien i Europa. Styrket domstolskontroll av EDPB selv kunne, i teorien, skjerpe mekanismen snarere enn å svekke den.
Det sagt, undrer jeg meg over om optimismen er fullt berettiget. WhatsApp-saken har vært under rettslig behandling siden 2021. Spørsmålet om tillatelse alene har tatt år å løse. Sakens realitet er ennå ikke behandlet. Store aktører har ressurser til å prosedere hvert eneste prosessuelt steg – og det gjør de. Domstolsansvarliggjøring av EDPB er et gode. Om det vil gi raskere resultater, er et helt annet spørsmål.
Du kan lese mer om saken her og her.
Lojalitetsprogram, illojal datapraksis: Det franske datatilsynet CNIL bøtelegger med 3,5 millioner euro
Lojalitetsprogrammer samler inn store mengder personopplysninger. Disse opplysningene er verdifulle – ikke bare for selskapet som driver programmet, men også for tredjeparter som er villige til å betale for tilgang. Denne saken er en påminnelse om at innsamling av opplysninger til ett formål, men deretter å bruke dem til et annet formål, ikke er en gråsone. Det er et GDPR-brudd. CNIL har anonymisert hvilket selskap som fikk boten – noe som faktisk er ganske uvanlig.
Hva skjedde?
Det franske datatilsynet CNIL undersøkte et selskap som drev et lojalitetsprogram der medlemmer ble invitert til å samtykke til å motta tilbud på SMS og e-post. Det som ikke ble opplyst til medlemmene, var at opplysningene deres også ville bli oversendt til en plattform for sosiale medier, som matchet dem mot brukerprofiler for å vise målrettet reklame. Omtrent 10,8 millioner kunder ble berørt, hvorav 1,6 millioner mottok målrettet reklame som et resultat.
Bruddene var flere, og gir til sammen et bilde av et etterlevelsesrammeverk som var mer kosmetisk enn reelt.
Når det gjelder samtykke og lovlighet: innsendingsskjemaet inneholdt ingen referanse til videreformidling av opplysninger til sosiale medier eller til målrettet reklame. Samtykket var derfor verken informert eller spesifikt.
Når det gjelder åpenhet: den relevante informasjonen var teknisk sett tilgjengelig, men vanskelig tilgjengelig. Den registrerte måtte scrolle til bunnen av siden, følge lenker plassert langt fra samtykkeknappen og konsultere to separate dokumenter for å få et fullstendig bilde. Oppbevaringsfrister var ikke angitt. Formålet om målrettet reklame var ikke synlig på samtykkepunktet. Det er ikke åpenhet – det er tilsynelatende åpenhet.
Når det gjelder sikkerhet: selskapets passordpolicy og datalagringsbetingelser tilfredsstilte ikke GDPR artikkel 32.
Når det gjelder personvernkonsekvensvurderinger: omfanget av behandlingen – millioner av opplysninger kryssreferert mot sosiale medier – utløste klart plikten til å gjennomføre en DPIA. Ingen slik vurdering var gjennomført.
Til sist plasserte selskapets nettside valgfrie informasjonskapsler på brukernes enheter uten samtykke.
Resultatet
Det franske datatilsynet CNIL ilagte to bøter: 2 500 000 euro for GDPR-bruddene og 1 000 000 euro for informasjonskapselsbruddet. Totalt 3 500 000 euro.
Praktiske konsekvenser
Avgjørelsen er relevant for enhver organisasjon som driver et lojalitetsprogram eller en annen datainnsamlingsmekanisme som mater data inn i tredjeparts markedsføringsarrangementer. Nøkkelspørsmålet er ikke om samtykke ble innhentet, men om man informerte om ethvert formål opplysningene ville bli brukt til – inkludert videreformidling til tredjeparter.
Tilsynets analyse om åpenhet er også nyttig. Å spre påkrevd informasjon over flere dokumenter plassert langt fra samtykkepunktet, vil antakelig ikke bli godkjent av tilsynsmyndigheter. Tilgjengelighet og klarhet er ikke valgfrie forbedringer – de er substansielle rettslige krav.
Du kan lese mer om saken her. Se også: CNILs avgjørelse her.
Innsynsretten betyr ikke rett til alle dokumenter i sin helhet
En tysk forvaltningsdomstol har klargjort hva GDPR artikkel 15 faktisk krever – og hva den ikke krever.
En offentlig helsemyndighet gjennomførte et hjemmebesøk etter en bekymringsmelding for en kvinnes velferd. Den opprettet deretter interne medisinske notater og administrative registre. Den registrerte krevde innsyn i alle registre myndigheten hadde om henne. Myndigheten etterkom kravet, men sladdet informasjon om ansatte og den tredjeparten som hadde sendt bekymringsmeldingen. Den registrerte krevde full, usladdet utlevering.
Domstolen avviste kravet. Med utgangspunkt i CJEUs dom i CRIF-saken (C-487/21) bekreftet domstolen at retten til kopi etter GDPR artikkel 15 nr. 3 er en rett til den registrertes egne personopplysninger – ikke en rett til å motta hele dokumenter i usladdet form. Forutsatt at den utleverte informasjonen gjør det mulig for den registrerte å forstå sine opplysninger og utøve sine rettigheter effektivt, er sladding av tredjepartsinformasjon i de samme dokumentene fullt ut lovlig.
Å sladde tredjepartsdata før utlevering av registre er ikke bare tillatt – i noen tilfeller kan det være påkrevet. Den sentrale plikten er å sørge for at den registrertes egne opplysninger forblir fullstendige og forståelige etter sladdingen.
Polens nasjonale postvesen bøtelagt for personvernombud med interessekonflikt
Et personvernombud kan ikke effektivt føre tilsyn med etterlevelse av beslutninger de selv er ansvarlige for. Det polske datatilsynet har bøtelagt Poczta Polska med 232 000 euro for nettopp dette.
Under etterforskning av et brudd på personopplysningssikkerhet hos den polske nasjonale postoperatøren, oppdaget man at personvernombudet hadde flere seniorstillinger samtidig. Vedkommende var leder for en enhet i organisasjonen (litt uklart for meg hvilken avdeling), stedfortreder for "Classified Information Protection og stedfortreder for ansvarlig for "Information Security Management System".
I praksis innebar dette at personvernombudet var satt til å føre tilsyn med etterlevelse av personverntiltak han selv kunne ha utformet og implementert. Selskapet hadde verken dokumentert noen vurdering av interessekonflikten eller innført sikringstiltak for å håndtere den.
Datatilsynet fant at dette var et brudd på GDPR artikkel 38, som forbyr oppnevning av et personvernombud hvis øvrige oppgaver og plikter ville medføre en interessekonflikt. Behandlingsansvarliges argument – at direkte rapportering til styret og støtte fra ansatte var tilstrekkelig – ble avvist. Strukturell uavhengighet er avgjørende, og kan ikke erstattes av organisasjonsmessig nærhet til toppledelsen alene.
Behandlingsansvarlig reorganiserte personvernombudsfunksjonen under etterforskningen og fjernet konflikten. Dette fratok dem likevel ikke ansvaret for overtredelsesperioden.
Personvernombudsrollen krever reell uavhengighet. Enhver organisasjon der personvernombudet også har ansvar for å fastsette midler eller formål for behandling av personopplysninger, bør se dette som et varselsignal, dokumentere en vurdering av interessekonflikten og vurdere om rollene kan sameksistere på lovlig vis.
Spansk arbeidsgiver bøtelagt for å ha delt ansattes private telefonnumre uten rettslig grunnlag
En arbeidsgiver kan ikke kreve at ansatte oppgir private mobilnumre bare fordi en klients it-plattform krever det. Det spanske datatilsynet har gjort dette klart med en bot på 80 000 euro.
Et kundeserviceselskap som leverte tjenester for en kinesisk klient, ba ansatte under opplæringsøkter om å skrive ned sine private mobilnumre på et blankt ark. Numrene var nødvendige for å sette opp totrinnsverifisering på klientens plattform. Ingen spesifikk personverninformasjon ble gitt. Ansatte mottok deretter SMS-meldinger direkte fra klienten på sine private telefoner, uten at de hadde samtykket til dette. Selskapets eget personvernombud hadde frarådet praksisen, men ble overkjørt.
Datatilsynet fant brudd på GDPR artikkel 6 nr. 1. Kontraktsmessig nødvendighet – ett av de rettslige grunnlagene det ble vist til – må tolkes strengt. Behandling må være objektivt nødvendig, ikke bare praktisk. Det å kreve at ansatte bruker personlige enheter som autentiseringsverktøy i en arbeidssammenheng, oppfyller ikke denne terskelen – særlig der det fantes mindre inngripende alternativer. At behandlingsansvarlig ignorerte sitt eget personvernombuds råd, ble behandlet som en skjerpende omstendighet.
Hva betyr dette for virksomheter?
Arbeidsgivere må stille de verktøyene som er nødvendige for å utføre arbeidet. Der en klients system krever autentisering av ansatte, bærer arbeidsgiver ansvaret for å sikre at dette skjer på lovlig vis – inkludert ved å si fra til klienter hvis tekniske krav ellers vil kompromittere ansattes personvern.
I den aktuelle saken erkjente behandlingsansvarlig ansvaret og betalte en redusert bot på 48 000 euro etter frivillig betaling. Det er en ganske stor bot for noe mange antakelig ikke tenker på overhodet.
Du kan lese mer om saken her.
Free Mobile bøtelagt med 27 millioner Euro etter databrudd som berørte 24 millioner abonnenter
Et nettangrep er én ting. Hvordan et selskap håndterer etterspillet er noe helt annet. Det franske datatilsynet CNILs avgjørelse mot Free Mobile er en påminnelse om at tilsynsmyndighetene ikke bare spør om et brudd inntraff eller ikke.
De spør om det kunne ha vært gjort vanskeligere å bryte seg inn, om opplysningene som ble eksponert overhodet burde ha vært der, og om berørte personer ble fortalt det de trengte å vite for å beskytte seg.
I september 2024 fikk en angriper tilgang til informasjonssystemene til Free Mobile. Free Mobile er et datterselskap av ILIAD-konsernet og en av Frankrikes største mobiloperatører, med rundt 15,5 millioner abonnenter. Bruddet eksponerte personopplysninger fra 24 millioner abonnentkontrakter, herunder IBAN-opplysninger. Selskapet ble klar over bruddet i oktober 2024, varslet CNIL og sendte e-post til berørte kunder. Over 2 500 klager fulgte, noe som utløste en full CNIL-undersøkelse.
Tre separate brudd ble identifisert – hvert brudd med sin egen historie.
Når det gjelder datalagring: CNIL fant at Free Mobile hadde oppbevart opplysninger om tidligere abonnenter langt utover noe legitimt formål. Millioner av registre ble beholdt uten begrunnelse, i strid med prinsippet om lagringsbegrensning etter GDPR artikkel 5 nr. 1 bokstav e. En betydelig andel av de 24 millioner berørte, inkluderte personer som ikke lenger engang var kunder. Opplysninger som burde ha vært slettet for år siden, lå i systemet.
Når det gjelder sikkerhet: CNIL fant at grunnleggende tiltak rett og slett ikke var implementert. Autentisering for selskapets VPN-tilkoblinger, brukt for fjernarbeid, var utilstrekkelig robust. Systemer for å oppdage unormal atferd på nettverket var ineffektive. CNIL understreket – under henvisning til CJEUs avgjørelse i VB mot Natsionalna agentsia za prihodite – at målet ikke er å eliminere all risiko, men å redusere sannsynligheten og begrense alvorlighetsgraden når den inntreffer. Free Mobile falt kort i henhold til denne standarden.
Når det gjelder varsling om brudd: selskapet sendte riktignok en e-post til berørte og satte opp et gratis telefonnummer. Men e-posten utelot sentral informasjon: hvilke avhjelpende tiltak selskapet hadde truffet, hva de sannsynlige konsekvensene av bruddet var for de berørte, og hvilke skritt enkeltpersoner selv kunne ta for å beskytte seg. Etter GDPR artikkel 34 er slik informasjon ikke valgfri. Poenget med varsling om sikkerhetsbrudd er å sette folk i stand til å handle.
Hva betyr dette?
Boten på 27 millioner euro gjenspeiler omfanget av bruddet og selskapets finansielle kapasitet. Men de underliggende feilene er ikke unike for en telekjempe. For mye data, svak VPN-autentisering og ufullstendige informasjon ved databrudd er etterlevelseshull som skjer relativt ofte.
Free Mobile-saken er også en skarp påminnelse om at et databrudd ikke bare er en IT-hendelse – det er et øyeblikk der hele datastyringssystemet settes under lupen på en gang. Oppbevaringspolicyer, sikkerhetsarkitektur og prosedyrer for bruddhåndtering undersøkes alle samtidig. Organisasjoner som har behandlet noen av disse som en lavere prioritet, bør tenke seg om igjen – før et brudd tvinger frem en raskere konklusjon.
Du kan lese mer om saken her.
