Regelmæssig og systematisk overvågning er den ene af de to veje til DPO-kravet for private. Datatilsynet forstår det som sporing eller profilering af personer, bl.a. via internettet. Vejledningen nævner kreditvurdering, vurdering af forsikringspræmie, lokationstracking via apps, adfærdsbaseret annoncering og drift af telenet. Overvågningen udløser kun kravet, når den er kerneaktivitet og sker i stort omfang. En butik med et kamera over kassen eller et almindeligt bonuskort er derfor et andet tilfælde end en virksomhed, der lever af at følge personers adfærd. Eksemplerne herunder er tænkte, og Datatilsynets egne er markeret.
Hvad ordene dækker
Art. 37, stk. 1, litra b, gælder, når kerneaktiviteten kræver, at personer overvåges regelmæssigt og systematisk i stort omfang. Forordningen definerer ikke udtrykket. I daglig tale forstår vi regelmæssig som noget, der sker løbende eller gentaget, og systematisk som noget, der følger en plan eller metode. Det er vores læsning. Datatilsynets vejledning angiver retningen gennem sine eksempler.
Tæt på ligger profilering, som art. 4, nr. 4, definerer som automatisk behandling, der bruges til at evaluere personlige forhold, fx arbejdsindsats, økonomi, præferencer, adfærd eller bevægelser. Datatilsynets ofte stillede spørgsmål bruger udtrykket adfærdsanalyse på nettet.
Datatilsynets marketingeksempel
Vejledningens tydeligste eksempel er et marketingsfirma, der laver marketingsundersøgelser med personoplysninger i stort omfang, og hvor undersøgelsen bygger på adfærdsbaseret annoncering. Firmaet er omfattet, fordi det overvåger personer regelmæssigt og systematisk.
Eksemplet virker, fordi alle led er til stede. Behandlingen er selve produktet. Den rammer mange. Den følger personers adfærd over tid. Tag ét led væk, og vurderingen skal laves forfra. En virksomhed, der køber annoncer på sociale medier til egne produkter, står i en anden situation end det firma, der lever af at målrette dem for andre. Annonceringen er her et led i salget, og salg nævner vejledningen som en biaktivitet.
Apps og lokation
Lokationstracking via apps står direkte i vejledningen. En tænkt træningsapp, der løbende opsamler position og helbredsdata om mange brugere, ligger tæt på kravet ad to veje, både overvågning og følsomme oplysninger. Er appen selve forretningen, er kerneaktiviteten opfyldt, og omfanget afgøres af de fire kriterier: antal brugere, mængde, varighed og geografi.
Har en butikskæde en app, hvor kunder finder nærmeste butik, ser billedet anderledes ud. Positionen bruges i et øjeblik til en enkelt funktion, og appen støtter salget. Lokationen bør alligevel vurderes, for GDPR gælder uanset svaret om DPO.
Bonuskort og loyalitetsprogrammer
Datatilsynets vejledning nævner bonuskort som eksempel på en biaktivitet. For de fleste butikker og kæder er programmet altså en støtte til salget. Ordningen kan dog udvikle sig. Bruges købsdata til løbende profiler, og sælges indsigten videre som en forretning i sig selv, nærmer virksomheden sig marketingeksemplet. Der findes ingen fast grænse, så vurderingen følger, hvad data reelt bruges til.
Telematik og flådestyring
Vejledningen nævner lokationstracking og siger intet om telematik. To tænkte tilfælde viser forskellen. Et vognmandsfirma med GPS i egne biler følger egne chauffører af hensyn til driften. Det er en støttefunktion, selv om oplysningerne skal behandles efter reglerne for ansatte. Se kontrol af medarbejdere.
En leverandør af bilforsikring, der prissætter efter kørselsdata, er noget andet. Vurdering af forsikringspræmie står i vejledningen, og forsikring er et eksempel på kerneaktivitet. Her er der god grund til at gå vurderingen grundigt igennem. Leverandøren af selve telematiksystemet skal også vurdere sig selv, for kravet gælder databehandlere selvstændigt.
Kreditvurdering og annoncering
Kreditvurdering står i vejledningen. Den virksomhed, der lever af at vurdere andres kreditværdighed, skal tage stilling til kravet. Bruger I selv en kreditoplysning, før I giver en kunde kredit, er det en biaktivitet i forhold til jeres forretning, og opmærksomheden bør i stedet gå på automatiske afgørelser, hvis systemet træffer beslutningen.
Sporing på egen hjemmeside støtter som regel salget, og salg er en biaktivitet i vejledningen. Sporing er dog et af Datatilsynets fokusområder for 2026. Reglerne står i sporing på hjemmesiden.
Kameraer og medarbejdere
I daglig tale er TV-overvågning overvågning, men kravet i art. 37 kræver også kerneaktivitet. Et kamera i butikken eller på lageret er en støtte til driften. Hvordan et vagtfirma eller en udbyder af overvågning skal vurderes, kræver en konkret gennemgang.
Sådan vurderer I jer selv
Stil fire spørgsmål til hver aktivitet, der følger personer:
- Følger vi personers adfærd eller placering over tid?
- Sker det efter en fast metode og løbende?
- Er det en del af det, kunderne betaler for?
- Hvor mange personer, og hvor længe?
Tre ja’er og et stort tal er et signal om at tage hele vurderingen af kravet. Spørgsmålene er vores eget hjælpemiddel. Skriv svarene ned, også når konklusionen er nej, og se sådan dokumenterer I vurderingen.
Det skal I lade være med
- At kalde alt med data for overvågning · kravet gælder kun, når betingelserne samlet er opfyldt.
- At overse nye funktioner · en ny analyse i appen kan ændre vurderingen.
- At se bort fra leverandørrollen · sælger I sporing eller profiler til andre, tæller det med.
Det skal I kræve af den eksterne
- ☐ En gennemgang af, hvad systemerne faktisk opsamler, også i tredjepartskode.
- ☐ Sammenligning med Datatilsynets eksempler.
- ☐ Klar adskillelse af kilde og egen vurdering.
- ☐ En anbefaling om, hvornår vurderingen skal tages op igen.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 4, nr. 4, og art. 37, stk. 1, litra b.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.1.1 og 3.1.3.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmål og svar.
- Datatilsynet: Fokusområder for tilsyn i 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Vi skal ikke have en DPO · Sporing på hjemmesiden
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
