Hvert år offentliggør Datatilsynet, hvad de planlagte tilsyn skal se på. Listen for 2026, læst 5. november 2026, har fem emner, der rammer private virksomheder: kontrol af ansatte, auto-complete i mail, sporing på hjemmesider, store databehandlere samt gennemsigtighed og oplysningspligt. Listen gælder de tilsyn, Datatilsynet selv beslutter at sætte i gang. Klager og anmeldelser kommer oven i, så et emne uden for listen kan stadig ende som en sag. Artiklen er årsbundet og opdateres, når listen for næste år foreligger.
Sådan bruger I listen
Listen fortæller, hvor myndigheden selv mener, at risikoen for de registrerede er størst. De registrerede er de personer, oplysningerne handler om. For en virksomhed med begrænset tid er det en brugbar prioritering. Et tilsyn rammer kun et udsnit af virksomhederne, men spørgsmålene er de samme for alle, der gør det samme. Læs de fem emner nedenfor, og afgør for hvert, om det findes hos jer, hvem der ejer det, og om I kan vise, hvordan det er håndteret.
Kontrol af ansatte
Datatilsynet påpeger, at overvågning af ansatte ofte omfatter mange oplysninger, og at den ansatte kan opleve den som indgribende og have svært ved at sige fra. I 2024 kortlagde tilsynet omfanget og karakteren af den overvågning, der sker for at kontrollere ansatte. I 2026 følger målrettede tilsyn med arbejdsgiveres behandling af oplysninger i den forbindelse.
Det kan I tjekke nu. Lav en liste over de systemer, der kan vise, hvad en ansat laver: adgangskort, GPS, logs, kameraer, værktøjer til fjernadministration. Tag stilling til, om formålet er beskrevet, og om medarbejderne har fået det at vide, før kontrollen gik i gang. Emnet er gennemgået i kontrol af medarbejdere.
Auto-complete i mail
Auto-complete, eller autofuldførelse, er den funktion, der foreslår en modtager, mens I skriver. Fejlsendte mails står for flere tusinde anmeldelser om året hos Datatilsynet, og i august 2023 blev praksis strammet. Bruger en dataansvarlig funktionen, skal der ligge en risikovurdering bag, og mindst én teknisk foranstaltning skal gøre fejl mindre sandsynlige.
Tilsynene i 2026 retter sig mod dataansvarlige, der efter tilsynets vurdering håndterer store mængder følsomme og fortrolige data. Mindre virksomheder er ikke undtaget fra kravet af den grund. Det kan I tjekke nu: findes der en skriftlig risikovurdering af funktionen, og hvilken teknisk foranstaltning er faktisk slået til i mailsystemet? Se mail til forkert modtager.
Sporing på hjemmesider
Datatilsynet fortsætter sit arbejde med sporing i hverdagen og ser i 2026 på danske hjemmesider. Tilsynet henviser til undersøgelser, hvor mange besøgende i praksis ingen reel mulighed har for at fravælge sporing. Digitaliseringsstyrelsen fører også tilsyn på området, så indsatsen koordineres med styrelsen.
Det kan I tjekke nu: åbn jeres egen hjemmeside som ny besøgende, og se om afvisning er lige så let som accept, og om noget sporer, før et valg er truffet. Fremgangsmåden står i sporing på hjemmesiden.
Store databehandlere
En databehandler behandler oplysninger på vegne af en kunde. Datatilsynet vil i 2026 føre tilsyn hos nogle af de store danske databehandlere, der tilbyder enterprisedrift og tværgående shared service. Spørgsmålet er, om kunderne reelt kan leve op til det, reglerne kræver af en dataansvarlig. Tilsynet møder ofte argumentet, at leverandøren kører ensartede leverancer, som ikke kan tilpasses den enkelte kundes instruks, og at leverandørens ændringsstyring kan gøre det svært for kunden at overholde sine pligter.
Emnet har to sider for jer. Er I selv en stor databehandler, er I i målgruppen. Er I kunde hos en, bør I kunne svare på, hvordan I instruerer leverandøren, og hvad I gør, når en ændring ikke passer jer. Det sidste gælder også kunder, der aldrig får besøg af tilsynet. Se tilsyn med databehandlere og leverandørens standardaftale.
Gennemsigtighed og oplysningspligt
Datatilsynet deltager i 2026 i den fælles europæiske indsats om, hvordan dataansvarlige overholder reglerne om gennemsigtighed og oplysningspligt. Indsatsen koordineres gennem Det Europæiske Databeskyttelsesråd (EDPB), som samler EU’s tilsynsmyndigheder.
Det kan I tjekke nu. Tag jeres privatlivstekst og sammenlign den med fortegnelsen. Står alle formål og modtagere i teksten, og passer den med det, systemerne gør? Se oplysningspligten.
Resten af listen
Listen for 2026 har også punkter, der mest vedrører sundhed og pleje: AI som beslutningsstøtte under patientbehandling, AI til overvågning og kontrol af borgere i pleje og internetforbundet måle- og overvågningsudstyr i hjemmet. Arbejder I med en privat sundhedsvirksomhed eller leverer udstyr til området, bør I læse de afsnit selv. Tilsynet skriver også, at der kommer stadig flere anmeldelser, hvor nogen uden lov er kommet ind på kameraer, sensorer og lignende, og at enhederne kan åbne vejen til andre systemer. Det er relevant for de fleste, se TV-overvågning i virksomheden. Offentlige emner er udeladt her.
DPO’ens brug af listen
Art. 39, stk. 2, beder DPO’en prioritere efter risiko. Årets emner er en naturlig del af det, DPO’en kontrollerer, og af rapporten til ledelsen. DPO’en vurderer og rådgiver, og opgaven med at rette ligger hos virksomheden. Har I ingen DPO, kan den samme gennemgang laves af den, der ejer GDPR-arbejdet, se uden DPO: hvem ejer GDPR?.
Det gør I nu
Sæt 30 minutter af med IT og HR. Gennemgå de fem emner, skriv ejer og status ud for hvert, og vælg det ene, hvor I står svagest. Læg det i næste kvartals plan med en ansvarlig og en dato. Kommer brevet før det, er Datatilsynet varsler tilsyn stedet at begynde.
Det skal I lade være med
- At læse listen som en udtømmende opgave · klager og brud følger ikke listen.
- At afskrive et emne, fordi I er små · reglerne er de samme, også når tilsynet vælger andre først.
- At lave en engangsoprydning · næste år kommer en ny liste, og det gamle emne er stadig en pligt.
Det skal I kræve af den eksterne
- ☐ En vurdering af, hvilke af årets emner der passer på jer.
- ☐ Kontrol i systemerne af det, der påstås i dokumenterne.
- ☐ Status på emnerne i den faste rapport til ledelsen.
- ☐ Datering af gennemgangen, så I kan se, hvilket års liste den bygger på.
Kilder
- Datatilsynet: Særlige fokusområder for tilsynsaktiviteterne i 2026: læst 5. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 39, stk. 2.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kontrol af medarbejdere · Sporing på hjemmesiden
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
