Datatilsynet fører tilsyn med, at reglerne i GDPR og databeskyttelsesloven bliver overholdt i Danmark. Grundlaget er databeskyttelseslovens § 27. Tilsynet består af Datarådet og et sekretariat og udøver sine funktioner i fuld uafhængighed.
Beføjelserne
Efter § 29 kan Datatilsynet kræve enhver oplysning, der har betydning for tilsynets virksomhed. Tilsynet har adgang til alle lokaler, hvorfra der behandles personoplysninger, og det kræver ikke en retskendelse.
Afgørelser kan ikke påklages til en anden administrativ myndighed, § 30. Der er altså ikke en klageinstans over tilsynet, og en sag går derfor videre til domstolene, hvis den skal videre.
Bøder virker anderledes i Danmark
Det er her de fleste tager fejl. Danmark har ikke administrative bøder på databeskyttelsesområdet, sådan som en række andre EU-lande har. Datatilsynet politianmelder i stedet og indstiller en bødestørrelse, og det er domstolene, der fastsætter bøden. Tilsynet kan udstede et bødeforelæg efter § 42, men kun hvis den pågældende erklærer sig skyldig og betaler.
Det betyder også, at overskrifter om at tilsynet har givet en bøde på X millioner sjældent er præcise. Der er tale om en indstilling. Nogle af de kendte eksempler er Netcompany med mindst 15 mio. kr. i 2024, Capio med mindst 1,5 mio. kr. i 2024, SIRIUS advokater med 500.000 kr. i 2022 og Det Kongelige Teater med 250.000 kr. i 2024.
Strafferammen står i databeskyttelseslovens § 41: bøde eller fængsel indtil 6 måneder.
Tilsynet udtaler også kritik
En stor del af praksis er ikke bøder, men kritik og påbud. Datatilsynet udtalte i juni 2023 alvorlig kritik af Signaturgruppen for utilstrækkelig sikkerhed ved MitID. I november 2023 fik Digitaliseringsstyrelsen påbud om at slette oplysninger i det digitale kørekort, fordi der blev behandlet oplysninger om cirka 2,2 mio. kørekortindehavere, mens kun cirka 1,7 mio. brugte løsningen.
Hvad det betyder for et alderstjek
En webshop, der kører aldersverifikation, skal kunne forklare hvilke oplysninger den henter, hvorfor de er nødvendige, og hvor længe de bliver gemt. Vælger man et flow, hvor der hverken udleveres CPR-nummer eller fødselsdato, bliver den forklaring kort. Vælger man i stedet at hente den fulde identitet, fordi der også skal laves KYC, skal grundlaget for lige netop den behandling kunne fremvises.