Tilsyn fra Datatilsynet
Der er flere veje til en sag hos Datatilsynet. Tilsynsarbejdet består blandt andet af klagesager, anmeldte brud, sager af egen drift og planlagte tilsyn. Tilsynet fik 20.536 nye sager i 2025. For de fleste virksomheder begynder det med et brev, og så er det godt at vide, hvad der forventes. Siden her samler artiklerne om forløbet, så I kan handle roligt, når brevet kommer, og forberede jer, inden det gør.
Er brevet kommet?
Tag kontakten alvorligt, og giv den en ejer samme dag. Læs fristen, og find ud af, hvem der skal svare. Saml det, der bliver spurgt om, og svar præcist på netop det. Databeskyttelseslovens § 29 giver tilsynet vid adgang til at få oplysninger og til at komme ind i lokaler uden retskendelse mod legitimation. Har I en DPO, er vedkommende tilsynets kontaktpunkt efter art. 39. Fremgangsmåden står i Datatilsynet varsler tilsyn.
Forløbet
- Sådan fører Datatilsynet tilsyn med private virksomheder Vejene ind til en sag og jeres rettigheder og pligter undervejs.
- Datatilsynet varsler tilsyn: de første dage Hvem der svarer, hvad der samles, og hvad oplysningsskemaet om DPO spørger om.
- En kunde eller ansat har klaget til Datatilsynet Anmodningen om en udtalelse, og hvordan I retter årsagen til klagen undervejs.
Hvad tilsynet kigger efter
- Datatilsynets fokus i 2026: det, der rammer private virksomheder De planlagte tilsyn i år og det, I selv kan tjekke på forhånd.
- Det, tilsynene har fundet hos DPO’er i Danmark og Europa Mønstret i danske og europæiske fund om udpegning, ressourcer og rapportering.
Hos private ser tilsynet i 2026 på hjemmesidernes sporing, på hvordan ansatte kontrolleres, på auto-complete i mail og på de store databehandlere. Oplysningspligten er også med. Prioriteringen gælder for året. Flere af emnerne er samlet under medarbejdere og kunder.
Hvordan en sag kan ende
- Kritik, påbud og politianmeldelse: hvad Datatilsynet kan gøre Forskellen på reaktionerne, og hvordan bøder bliver håndteret i Danmark.
Reaktionerne går fra kritik og alvorlig kritik over påbud og forbud til en politianmeldelse, hvor tilsynet indstiller til bøde. Det sidste skete 2 gange i 2025. Databeskyttelseslovens § 42 giver desuden adgang til at afgøre en sag med et bødeforelæg, når den pågældende vedtager bøden. Afgørelser kan ikke indbringes for en anden administrativ myndighed, og tilsynet kan offentliggøre sine udtalelser og afgørelser efter § 33.
Personer kan desuden have krav på erstatning, som art. 82 og lovens § 40 beskriver. EU-Domstolen har i C-300/21 slået fast, at en overtrædelse alene ikke giver ret til erstatning. Ansvaret ligger hos den dataansvarlige.
Det, der gør et tilsyn lettere
Et tilsyn bliver kortere og mere overskueligt, når I kan vise det, I gør. Det kræver sjældent noget nyt, kun at det, der findes, er opdateret og kan findes. Begynd med de dokumenter, I skal kunne lægge frem. Har I en DPO, så se efter, om vurderingen af rollen, rapporteringen til ledelsen og de ressourcer, personen har, står på skrift. Det var den type mangler, en norsk afgørelse fra marts 2025 pegede på.
Bliver I bedt om at redegøre for et råd, I ikke fulgte, er notatet fra den beslutning det, I skal bruge. Er I i tvivl om, hvad DPO’en må eller skal over for tilsynet, står det i Anmelder DPO’en os til Datatilsynet?.
Også relevant
Det skal I lade være med
- At svare hurtigere, end I kan svare korrekt · bed om fristen forlænget frem for at gætte.
- At sende mere, end der bliver spurgt om · materialet kan selv rumme oplysninger om personer.
- At pynte på dokumenterne bagefter · ret det, der er forkert, og sig, at det er rettet.
Det skal I kræve af den eksterne
- ☐ Rollen som kontaktpunkt beskrevet, så alle ved, hvem brevet skal videre til.
- ☐ Rådgivning om svaret, mens virksomheden står som afsender og ejer det.
- ☐ En ærlig vurdering af, hvad tilsynet vil finde i jeres dokumentation.
- ☐ Uafhængighed, også når svaret er ubelejligt for ledelsen.
Kilder
- Datatilsynet: Generelt om tilsyn.
- Datatilsynet: Særlige fokusområder i 2026.
- Datatilsynet: Årsberetning 2025.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: §§ 29, 30, 33, 40 og 42.
- Databeskyttelsesforordningen (EU) 2016/679: art. 39, 58 og 82.
- EU-Domstolen, C-300/21, 4/5 2023.
- Datatilsynet (Norge), afgørelse af 14/3 2025.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Datatilsynets fokus i 2026 · De dokumenter, I skal kunne lægge frem
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
Mangler I en DPO?
Fortæl kort, hvad der fylder: et kundekrav, en konsekvensanalyse, et brud eller en DPO, der stopper. Rådgivningen er uvildig og uden bindinger til leverandører, så svaret tager udgangspunkt i jeres situation.
