Kunstig intelligens, sporing på hjemmesider og digital kontrol af medarbejdere fylder stadig mere i virksomheders hverdag.

Udgivelsesdato: 26. januar 2026. Senest opdateret 3. august 2026.

Det samme gør kravene til at kunne forklare, dokumentere og sikre den behandling af personoplysninger, som teknologien medfører. Datatilsynets fokusområder for 2026 omfatter blandt andet AI i sundheds- og plejesektoren, sporing på danske hjemmesider, overvågning af ansatte, sikker brug af auto-complete, store databehandlere samt gennemsigtighed og oplysningspligt.

Samtidig er flere af reglerne i EU’s AI-forordning blevet gældende. For virksomheder er det derfor ikke længere tilstrækkeligt alene at have styr på GDPR. Bruger virksomheden AI, skal den også undersøge, hvilken rolle den har efter AI-forordningen, hvilke krav der allerede gælder, og hvilke krav der træder i kraft senere.

AI-forordningen og GDPR gælder side om side

AI-forordningen og GDPR regulerer ikke det samme. AI-forordningen fastsætter krav til udvikling, markedsføring og anvendelse af AI-systemer. GDPR gælder, når et AI-system behandler personoplysninger. En virksomhed kan derfor være omfattet af begge regelsæt på samme tid.

Det kan eksempelvis være tilfældet, hvis virksomheden bruger AI til at:

• behandle kundehenvendelser, mails eller dokumenter
• analysere samtaler eller optagelser
• sortere jobansøgninger eller vurdere kandidater
• overvåge eller evaluere medarbejdere
• profilere kunder eller andre personer
• understøtte beslutninger med betydning for den enkelte
• behandle helbredsoplysninger eller andre følsomme personoplysninger

At AI-løsningen leveres af en ekstern udbyder, fritager ikke virksomheden for ansvar. Virksomheden skal fortsat afklare, hvilke oplysninger der behandles, hvorfor de behandles, hvem der modtager dem, og hvordan anvendelsen kontrolleres.

Har I brug for hjælp til den persondataretlige del, kan I læse mere om ØENS Advokatfirmas rådgivning inden for persondataret og GDPR.

Hvornår gælder reglerne i AI-forordningen?

AI-forordningen trådte i kraft den 1. august 2024, men reglerne finder anvendelse trinvist. Reglerne om forbudte former for AI-praksis og krav om AI-færdigheder har været gældende siden den 2. februar 2025. Reglerne om forvaltning og forpligtelser for AI-modeller til almen brug har som udgangspunkt været gældende siden den 2. august 2025.

Fra den 2. august 2026 gælder yderligere dele af AI-forordningen, herunder gennemsigtighedsforpligtelserne i kapitel IV. Tidsplanen for kravene til højrisiko-AI er imidlertid blevet ændret med den vedtagne AI Omnibus. Kravene til højrisiko-AI-systemer omfattet af forordningens bilag III gælder derfor først fra den 2. december 2027. Det kan blandt andet omfatte visse AI-systemer til rekruttering, medarbejderledelse, kreditvurdering og adgang til væsentlige ydelser. For højrisiko-AI-systemer, der indgår i regulerede produkter omfattet af bilag I, gælder kravene fra den 2. august 2028.

Det betyder dog ikke, at virksomheder frit kan vente. Allerede gældende regler, GDPR og anden relevant lovgivning skal fortsat overholdes, og der kan være behov for tid til at kortlægge systemer, afklare roller, tilpasse aftaler og etablere den nødvendige dokumentation. Digitaliseringsstyrelsen har samlet den aktuelle tidsplan i sin oversigt over reglerne i AI-forordningen.

Datatilsynets fokus på kunstig intelligens i 2026

Datatilsynet har gennem flere år haft fokus på brugen af AI, når teknologien anvendes til behandling af personoplysninger. I 2026 retter tilsynet navnlig opmærksomheden mod sundhedssektorens brug af beslutningsstøttende AI under patientbehandling og mod AI, der bruges til overvågning og kontrol af borgere i pleje. Her kan der blive behandlet omfattende og følsomme oplysninger om mennesker, som samtidig kan have begrænsede muligheder for at fravælge teknologien.

Selvom disse planlagte tilsyn især vedrører sundheds- og plejeområdet, er de grundlæggende databeskyttelseskrav relevante for alle virksomheder, der bruger AI til at behandle personoplysninger. Virksomheden bør blandt andet kunne redegøre for:

• hvilke AI-systemer der anvendes
• hvilke personoplysninger systemerne behandler
• formålet med behandlingen
• hvilket behandlingsgrundlag der anvendes
• om oplysningerne bruges til at træne eller forbedre systemet
• hvem oplysningerne deles med
• om oplysninger overføres til lande uden for EU og EØS
• hvor længe oplysningerne opbevares
• hvordan de registreredes rettigheder håndteres
• hvordan AI-systemets resultater kontrolleres
• om der skal gennemføres en konsekvensanalyse, også kaldet en DPIA

Jo større betydning et AI-system kan få for den enkelte, desto større vil behovet typisk være for dokumentation, gennemsigtighed, sikkerhed og menneskelig kontrol.

Kravet om AI-færdigheder gælder allerede

Virksomheder og myndigheder, der udbyder eller anvender AI-systemer, skal træffe foranstaltninger, som understøtter relevante AI-færdigheder hos de medarbejdere og andre personer, der arbejder med systemerne på deres vegne. Kravet har været gældende siden den 2. februar 2025 og gælder ikke kun ved brug af højrisiko-AI. Det betyder ikke, at alle medarbejdere nødvendigvis skal gennemføre den samme uddannelse. Indsatsen skal tilpasses medarbejdernes opgaver, erfaring, den konkrete AI-løsning og de risici, der er forbundet med anvendelsen.

En medarbejder, der bruger generativ AI til sproglig bearbejdning, har eksempelvis ikke nødvendigvis brug for samme oplæring som en medarbejder, der anvender AI til at vurdere kandidater eller analysere følsomme personoplysninger. Virksomheden bør som minimum have klare retningslinjer for:

• hvilke AI-værktøjer medarbejderne må anvende
• hvilke oplysninger der må indtastes
• hvilke oplysninger der aldrig må indtastes
• hvordan AI-genereret indhold og andre resultater skal kontrolleres
• hvornår en fagperson eller leder skal inddrages
• hvordan fejl og sikkerhedshændelser rapporteres
• hvem der har ansvaret for de enkelte AI-løsninger

Det er også hensigtsmæssigt at dokumentere den vejledning og oplæring, medarbejderne har modtaget. Digitaliseringsstyrelsen har offentliggjort en nærmere vejledning om AI-færdigheder.

Vær særligt opmærksom på AI i rekruttering og medarbejderledelse

Visse AI-systemer til rekruttering og medarbejderledelse kan blive klassificeret som højrisiko-AI. Det kan blandt andet gælde systemer, der bruges til at:

• sortere og filtrere jobansøgninger
• rangere kandidater
• analysere jobsamtaler
• træffe eller understøtte beslutninger om ansættelse
• fordele opgaver ud fra medarbejderes adfærd eller egenskaber
• overvåge og evaluere medarbejderes præstationer
• træffe beslutninger om forfremmelse, opsigelse eller andre arbejdsvilkår

Kravene til denne type højrisiko-AI er efter den ændrede tidsplan udskudt til den 2. december 2027. Det ændrer imidlertid ikke på, at behandlingen allerede nu kan være omfattet af GDPR, ansættelsesretten og reglerne om forskelsbehandling.

Hvis virksomheden behandler personoplysninger om kandidater eller medarbejdere ved hjælp af AI, skal der derfor blandt andet være et lovligt behandlingsgrundlag, passende information, tilstrækkelig sikkerhed og en vurdering af, om behandlingen kræver en DPIA.

Nye krav om gennemsigtighed ved brug af AI

Fra den 2. august 2026 gælder der særlige gennemsigtighedskrav for visse former for AI. Når en person kommunikerer direkte med et AI-system, eksempelvis en kundeservicechatbot, skal personen som udgangspunkt oplyses om, at vedkommende interagerer med AI, medmindre det allerede er åbenbart ud fra sammenhængen. Der gælder også oplysningskrav ved offentliggørelse af visse AI-genererede eller manipulerede billeder, lydoptagelser og videoer, som kan opfattes som autentiske. Det gælder blandt andet deepfakes.

AI-genereret eller AI-manipuleret tekst, der offentliggøres for at informere om spørgsmål af offentlig interesse, kan ligeledes være omfattet af en oplysningspligt. Pligten gælder dog ikke, hvis teksten har gennemgået menneskelig eller redaktionel kontrol, og en fysisk eller juridisk person har det redaktionelle ansvar for offentliggørelsen. En virksomhed behøver derfor ikke automatisk mærke alle artikler og hjemmeside­tekster, som AI har bidraget til. Men virksomheden bør have en reel og dokumenteret proces for menneskelig kontrol og godkendelse – særligt ved juridisk, økonomisk, sundhedsmæssigt eller andet fagligt indhold. Læs Digitaliseringsstyrelsens gennemgang af gennemsigtighedsforpligtelserne for visse AI-systemer.

Sporing på danske hjemmesider

Datatilsynet har i 2026 også fokus på danske hjemmesiders sporing af brugere. Der indsamles fortsat personoplysninger på mange hjemmesider, uden at brugerne nødvendigvis får en reel mulighed for at sige nej til ikke-nødvendig sporing. Datatilsynet koordinerer indsatsen på området med Digitaliseringsstyrelsen, som også fører tilsyn med reglerne om cookies og lignende teknologier. Virksomheder bør derfor kontrollere, om hjemmesiden:

• aktiverer ikke-nødvendige cookies og sporingsværktøjer, før brugeren har givet samtykke
• giver en tydelig og reel mulighed for at afvise sporing
• gør det lige så enkelt at afvise som at acceptere
• respekterer brugerens valg efterfølgende
• beskriver de anvendte teknologier og formål korrekt
• sender personoplysninger til tredjeparter uden et gyldigt grundlag
• anvender analyse- og markedsføringsværktøjer i overensstemmelse med det viste samtykke

Et cookie-banner er ikke i sig selv tilstrækkeligt. Hjemmesidens faktiske tekniske adfærd skal stemme overens med de oplysninger og valgmuligheder, brugeren præsenteres for.

Overvågning og kontrol af medarbejdere

Digitale værktøjer giver arbejdsgivere mulighed for at registrere blandt andet medarbejdernes systembrug, kommunikation, lokation og produktivitet. Datatilsynet vil i 2026 gennemføre målrettede tilsyn med arbejdsgiveres behandling af personoplysninger i forbindelse med kontrol af ansatte. Tilsynene tager udgangspunkt i en tidligere kortlægning af omfanget og karakteren af overvågning på arbejdspladser.

Kontrol af medarbejdere skal have et sagligt og lovligt formål. Behandlingen skal samtidig være nødvendig og proportional, og medarbejderne skal modtage tydelig information om den. Virksomheden bør derfor kunne forklare:

• hvad der registreres
• hvorfor oplysningerne indsamles
• hvordan oplysningerne anvendes
• hvem der har adgang til dem
• hvor længe de opbevares
• om formålet kan opnås med mindre indgribende midler

Hvis AI bruges til at analysere medarbejdernes adfærd eller evaluere deres indsats, skal virksomheden også undersøge, om anvendelsen kan blive omfattet af AI-forordningens regler om højrisiko-AI.

Fejlsendte mails og sikker brug af auto-complete

Datatilsynet modtager hvert år flere tusinde anmeldelser om brud på persondatasikkerheden, der skyldes mails sendt til forkerte modtagere. Datatilsynet skærpede i 2023 sin praksis om auto-complete. Dataansvarlige skal foretage en konkret risikovurdering og indføre relevante tekniske og organisatoriske foranstaltninger for at begrænse risikoen for fejlforsendelser.

I 2026 gennemfører Datatilsynet målrettede tilsyn hos offentlige og private dataansvarlige, som behandler følsomme eller fortrolige oplysninger i stort omfang. Afhængigt af risikoen kan relevante foranstaltninger blandt andet være:

• advarsler ved eksterne modtagere
• forsinket afsendelse af mails
• begrænsning eller deaktivering af auto-complete
• ekstra kontrol ved masseudsendelser
• krypteret eller portalbaseret kommunikation
• løbende instruktion af medarbejdere

Det er ikke nødvendigvis den samme løsning, der er rigtig for alle. Foranstaltningerne skal fastlægges ud fra virksomhedens behandlinger og konkrete risici.

Tilsyn med store databehandlere

Datatilsynet vil også føre tilsyn med store databehandlere, som leverer enterprise-drift eller fælles løsninger til mange dataansvarlige kunder. En virksomhed kan ikke fralægge sig sit ansvar ved at henvise til, at leverandøren tilbyder en standardiseret løsning. Den dataansvarlige skal fortsat kunne sikre, at behandlingen følger virksomhedens instrukser, og at leverandørens sikkerhed, aftalegrundlag og bistand gør det muligt at overholde GDPR. Virksomheden bør blandt andet kontrollere:

• databehandleraftaler og brugen af underdatabehandlere
• tekniske og organisatoriske sikkerhedsforanstaltninger
• hvor oplysningerne opbevares og behandles
• eventuelle overførsler til lande uden for EU og EØS
• om leverandøren bruger oplysningerne til egne formål
• procedurer ved ændringer i løsningen
• mulighederne for indsigt, sletning og udlevering
• dokumentationen for virksomhedens tilsyn med leverandøren

Dette er særligt relevant ved cloud- og AI-løsninger, hvor leverandørkæden kan være kompleks og ændre sig løbende.

Gennemsigtighed og oplysningspligt

Datatilsynet deltager i 2026 i en fælleseuropæisk indsats om overholdelse af GDPR’s regler om gennemsigtighed og oplysningspligt. I alt deltager 25 datatilsynsmyndigheder fra EU og EØS i indsatsen. Oplysningspligten er et centralt element i GDPR. Den skal gøre det muligt for den enkelte at forstå, hvordan og hvorfor vedkommendes oplysninger bliver behandlet.

En privatlivspolitik skal derfor være klar, forståelig og dækkende for den behandling, der faktisk finder sted. Generelle standardformuleringer er ikke tilstrækkelige, hvis de ikke afspejler virksomhedens konkrete behandlinger.

Hvis virksomheden tager nye AI-værktøjer, analyseværktøjer eller digitale platforme i brug, bør det altid vurderes, om privatlivspolitikken, fortegnelsen over behandlingsaktiviteter og informationen til kunder, medarbejdere eller andre registrerede skal opdateres. Læs mere om Datatilsynets og EDPB’s indsats om oplysningspligten.

Hvad bør virksomheder gøre nu?

Datatilsynets fokusområder og de gældende dele af AI-forordningen gør det relevant at gennemgå virksomhedens brug af data, AI og digitale leverandører samlet. Virksomheden bør som minimum:

• Kortlægge de AI-systemer og digitale overvågningsværktøjer, der anvendes.
• Beskrive formålet med hvert system og de oplysninger, det behandler.
• Afklare virksomhedens rolle efter både AI-forordningen og GDPR.
• Undersøge, om et system kan være klassificeret som højrisiko-AI.
• Gennemgå leverandør- og databehandleraftaler.
• Vurdere behovet for en konsekvensanalyse.
• Kontrollere hjemmesidens cookies og øvrige sporingsteknologier.
• Opdatere privatlivspolitikker og information til de registrerede.
• Indføre klare retningslinjer for medarbejdernes brug af AI.
• Dokumentere relevante AI-færdigheder, kontroller og ansvarsområder.
• Udarbejde en plan for kommende krav, før overgangsperioderne udløber.

Arbejdet skal tage udgangspunkt i virksomhedens faktiske brug af AI og personoplysninger. En generel AI-politik kan være et vigtigt udgangspunkt, men kan ikke stå alene.

Har jeres virksomhed styr på AI og GDPR?

AI kan effektivisere arbejdsgange, understøtte analyser og frigøre tid. Men de nye muligheder følges af krav til blandt andet gennemsigtighed, dokumentation, sikkerhed og ansvarlig anvendelse. Hos ØENS Advokatfirma hjælper vi virksomheder med at få overblik over deres brug af AI og personoplysninger og med at omsætte reglerne til løsninger, der fungerer i praksis. Vi kan blandt andet bistå med juridiske risikovurderinger, konsekvensanalyser, privatlivspolitikker, databehandleraftaler og interne retningslinjer.

Har du spørgsmål til de krav, din virksomhed kan være omfattet af, er du velkommen til at kontakte advokat og associeret partner Lisa Lykke på telefon 32 46 46 38 eller mail lly@oadv.dk for en uforpligtende drøftelse.

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling:

FAQ – Datatilsynets fokusområder og GDPR-tilsyn i 2026

Nedenfor har vi samlet svar på de mest stillede spørgsmål om Datatilsynets fokusområder i 2026. FAQ’en giver et hurtigt overblik over, hvordan tilsynsindsatsen, AI-regulering og GDPR-krav kan få betydning for både offentlige myndigheder og private virksomheder.

Virksomheder står løbende over for behovet for at tilpasse medarbejdernes ansættelsesvilkår.

Det kan være som led i en omstrukturering, ændrede forretningsmæssige behov eller en generel modernisering af organisationens arbejdsgange. Mindre justeringer kan som udgangspunkt gennemføres inden for arbejdsgiverens almindelige ledelsesret, men når ændringerne går ud over, hvad medarbejderen med rimelighed kan forvente efter sin kontrakt, bevæger vi os ind i området for væsentlige vilkårsændringer. Her gælder en række regler, som virksomheder bør have et skarpt fokus på – ikke mindst fordi fejl kan være både dyre og helt unødvendige.

Hvornår er en vilkårsændring væsentlig?

Selvom begrebet ikke er direkte defineret i lovgivningen, viser retspraksis en klar linje: En ændring er væsentlig, når den markant ændrer medarbejderens ansættelsesgrundlag, og når den ikke længere kan rummes inden for ledelsesretten. Vurderingen er konkret og afhænger altid af den enkelte medarbejders situation. For nogle kan ændringen være perifer, mens den for andre kan være så indgribende, at stillingen reelt ændrer karakter.

Typiske eksempler på væsentlige ændringer inkluderer:

• nedgang i løn
• flytning af arbejdssted med væsentligt længere transporttid
• betydelige ændringer i arbejdsopgaver
• fratagelse af ledelsesansvar
• væsentlige ændringer i arbejdstiden eller dens placering
• omlægning fra fuldtid til deltid
• tab af funktionærstatus
• afskaffelse af væsentlige personalegoder som betalt frokost eller firmabil

Varsling: Sådan skal ændringer gennemføres

Når en ændring vurderes som væsentlig, kan virksomheden ikke blot implementere den. Ændringen skal varsles over for medarbejderen med dennes individuelle opsigelsesvarsel.

I praksis betyder det:

• Opsigelse af det eksisterende ansættelsesforhold
• Samtidigt tilbud om genansættelse på de ændrede vilkår
• Ikrafttræden af de nye vilkår ved opsigelsesvarslets udløb

Det er afgørende, at varslingen er korrekt, saglig og skriftlig, da fejl kan føre til, at ændringen anses som en usaglig opsigelse. Medarbejderen kan herefter:

• acceptere ændringerne, hvorved ansættelsen fortsætter på de nye vilkår, eller
• afvise ændringerne, og dermed betragte sig som opsagt ved varslets udløb

Afviser medarbejderen ændringen, skal virksomheden behandle situationen som en almindelig opsigelse.

Krav om saglighed – og risiko ved utilstrækkelig begrundelse

Er ændringen ikke sagligt begrundet, risikerer virksomheden, at medarbejderen tilkendes godtgørelse for usaglig opsigelse. Dette gælder også, selv om varslingen formelt er korrekt, hvis begrundelsen ikke kan bære ændringen.

Særligt beskyttede medarbejdere: Skærpede krav

Visse medarbejdergrupper har en særlig lovgivningsmæssig beskyttelse, eksempelvis:

• gravide
• medarbejdere på barsel eller forældreorlov
• medarbejdere med handicap
• tillidsrepræsentanter
• arbejdsmiljørepræsentanter

Her påhviler der virksomheden en skærpet bevisbyrde. Det betyder, at arbejdsgiver må kunne dokumentere, at ændringen er fuldt ud sagligt begrundet, og at beslutningen ikke har nogen forbindelse til medarbejderens beskyttelsesstatus. I praksis ser vi ofte problemer i sager, hvor:

• varslingen ikke er tilstrækkeligt dokumenteret
• processen håndteres for hastigt
• begrundelsen ikke er specifik eller objektiv nok

Overenskomster: Særlige regler og procedurer

Virksomheder bør desuden være opmærksomme på, om medarbejderen er omfattet af en overenskomst, da disse ofte indeholder særlige procedurer for gennemførelse af væsentlige vilkårsændringer og i visse tilfælde begrænsninger i arbejdsgivers handlemuligheder.

ØENS’ anbefaling: Grundighed før varsling

Hos ØENS anbefaler vi, at virksomheder foretager en grundig forberedelse, inden væsentlige vilkårsændringer varsles. Det indebærer blandt andet:

• en klar vurdering af ændringens karakter
• en præcis og skriftlig begrundelse
• korrekt varsling efter lov og eventuel overenskomst
• dokumentation for saglighed
• særlig opmærksomhed på medarbejdere i beskyttede kategorier
• efterfølgende opdatering af personalepolitikker og stillingsbeskrivelser

En korrekt tilrettelagt og veldokumenteret proces skaber ro i organisationen og reducerer risikoen for konflikter og efterfølgende krav.

Hvem hjælper dig?

Hos ØENS Advokatfirma rådgives du af advokater med dyb specialisering i ansættelsesretten og omfattende erfaring med håndtering af væsentlige vilkårsændringer – både i mindre virksomheder og i komplekse organisationer.

Vi arbejder dagligt med:

• vurdering af ledelsesrettens grænser
• håndtering af væsentlige vilkårsændringer
• saglighedsvurderinger og dokumentation
• rådgivning vedrørende medarbejdere med særlig beskyttelse

Vi sikrer ikke blot, at processen er juridisk korrekt, men også at den gennemføres på en måde, der skaber ro i organisationen og minimerer risikoen for konflikter. Du får en rådgiver, der kender juraen, forstår medarbejdernes reaktioner og har blik for virksomhedens forretningsmæssige rammer.

Hvis din virksomhed står over for at skulle gennemføre ændringer i ansættelsesvilkår – eller hvis du er i tvivl om, hvorvidt en ændring er væsentlig – er du altid velkommen til at række ud for sparring.

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling:

FAQ: Væsentlige ændringer i ansættelsesvilkår

Hos ØENS Advokatfirma har vi stor erfaring med at vurdere, planlægge og gennemføre ændringer i ansættelsesvilkår – både i små virksomheder og komplekse organisationer. Vi sikrer en juridisk korrekt og praktisk bæredygtig proces, der minimerer risici og skaber ro i organisationen. Herunder kan du læse nogle af de ofte spørgsmål, vi oftest får.

Advokatrådet er efter retsplejelovens § 143, stk. 2, ansvarlig for, at der føres tilsyn

Advokatrådet er efter retsplejelovens § 143, stk. 2, ansvarlig for, at der føres tilsyn med alle danske advokater og advokatvirksomheder. Advokatsamfundet udfører tilsynet, som kan bestå af skriftlige tilsyn, online tilsyn via videokonference eller on-site tilsyn, hvor de aflægger besøg hos advokatvirksomhederne.

Advokater har pligt til at medvirke til berammelse af tilsyn, indsende relevant materiale og deltage i de møder, som er nødvendige for, at tilsynet kan gennemføres. Tilsynet skal sikre, at advokater og advokatvirksomheder overholder reglerne om god advokatskik, håndtering af klientkonti samt de omfattende pligter efter hvidvaskloven. Det er en central del af arbejdet med at sikre transparens, kvalitet og tillid i advokatbranchen.

Når du eller dit advokatfirma udtages til tilsyn, modtager du et brev fra Advokatsamfundet. Her fremgår de væsentligste oplysninger om, hvordan du skal forholde dig. Tilsynets omfang og den dokumentation, som advokaten eller advokatfirmaet skal indsende, afhænger af, hvilken type tilsyn der er tale om.

For mange advokater kan et tilsyn – uanset om det er et standardtilsyn, risikobaseret tilsyn, hvidvaskspecifikt tilsyn eller en kollegial samtale – medføre et betragteligt arbejde. Der kan være behov for at indhente dokumentation, opdatere politikker, gennemgå klientkonti, kvalitetssikre opdrags- og prisoplysninger og redegøre for interne processer.

Hos ØENS Advokatfirma oplever vi, at behovet for rådgivning i den forbindelse er stigende. Det skyldes blandt andet:

• øget fokus på hvidvaskforpligtelser
• skærpet kontrol med klientkonti
• ændringer i tilsynsmodellen
• flere spontane eller temabaserede tilsyn
• den stadig mere detaljerede risikobaserede tilgang

Hvordan foregår et tilsyn fra Advokatsamfundet?

Et tilsyn fra Advokatsamfundet kan omfatte alle eller enkelte områder:

• klientkonto og interne kontroller
• opdrags- og prisoplysninger
• hvidvasklovens §§ 7-8 (risikovurdering, politikker og forretningsgange)
• screeningsprocedurer
• kundekendskabsprocedurer
• dokumentation for uddannelse og efteruddannelse
• erklærings- og oplysningsforpligtelser

Den konkrete gennemgang tilpasses advokatens eller firmaets risikoprofil – og omfanget kan derfor variere betydeligt.

Hvordan kan vi hjælpe, hvis I udtages til tilsyn?

ØENS Advokatfirma tilbyder rådgivning og fuld støtte i forbindelse med alle typer tilsyn. Det kan blandt andet omfatte:

Forberedelse før tilsynet

• opdatering af hvidvaskdokumentation, politik, risikovurdering og forretningsgange
• kontrol af opdrags- og prisoplysninger
• screening og interne kontrolprocedurer
• sikring af dokumentation til den årlige tilsynserklæring

Bistand under selve tilsynet

• vejledning i kommunikationen med Advokatsamfundet
• gennemgang af de spørgsmål og dokumentationskrav, du modtager
• udarbejdelse af redegørelser og materialesamlinger

Opfølgning efter tilsynet

• implementering af eventuelle anbefalinger
• tilretning af politikker og procedurer
• risikoanalyse og etablering af “best practice” fremadrettet

Har du brug for hjælp?

Hos ØENS har vi specialiseret viden inden for blandt andet compliance for advokater, hvidvask og GDPR, og vi har erfaring med at rådgive både små og store advokatvirksomheder samt andre virksomheder, der er underlagt hvidvaskloven, med alt fra forberedelse og dokumentation til sparring under og efter tilsynet.

Har du fået besked om et tilsyn fra Advokatsamfundet – eller vil du sikre, at din praksis og dokumentation er opdateret og robust – er du meget velkommen til at kontakte os for en uforpligtende drøftelse. Flere advokater oplever, at tilsynet mest af alt føles som en administrativ byrde, der tager tempoet ud af forretningen. Det er helt forståeligt. Vores rådgivning kan derfor være en enkeltstående gennemgang, løbende sparring eller et samlet compliance-setup, afhængigt af dit behov og tilsynets karakter.

Hvis du står over for et tilsyn og gerne vil have ro, overblik og en smidig proces, er du altid velkommen til at kontakte os.

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling:

FAQ – Bliver du udtaget til tilsyn fra Advokatsamfundet

Nedenfor finder du svar på de mest stillede spørgsmål om tilsyn fra Advokatsamfundet. FAQ’en giver dig et overblik over formålet med tilsynet, hvad det kan omfatte, og hvordan du bedst forbereder dig. Den er relevant for både advokater og advokatvirksomheder.

Har du været ude for, at personoplysninger om dig deles uden dit samtykke?

Den teknologiske udvikling har gjort det let for virksomheder og privatpersoner, at få online adgang til alle typer personoplysninger – blot ved få klik. Heldigvis er det som EU-borger blevet lettere at slette personoplysninger med Persondataforordningen. Med Persondataforordningen, kaldet GDPR, indførtes sletningsretten, ”retten til at blive glemt”

Hvilke personoplysninger kan du få slettet?

Det er formodentligt ikke alt, du ønsker at blive husket for.

Sletning af private oplysninger, sker som udgangspunkt kun efter din anmodning. Sletningsretten gør sig gældende når:

• Personoplysningerne ikke længere er nødvendige for at opfylde de formål, hvortil de blev indsamlet.
• Den registrerede trækker sit samtykke tilbage, og der ikke er et andet retsgrundlag for at beholde data.
• Personoplysningerne er blevet behandlet ulovligt.
• Sletningen kræves for at overholde en retlig forpligtelse i EU-retten eller anden national ret.
• Indsamlingen er sket i forbindelse med udbud af informationssamfundstjenester.

Hvilke begrænsninger er der for dig?

Der er dog få undtagelser. Sletningsretten kan ikke kræves, hvis dine data bruges enten:

• For at udøve retten til ytrings- og informationsfriheden.
• For at overholde en retlig forpligtelse, udføre en opgave i samfundets interesse eller udøve offentlig myndighedsudøvelse.
• Af hensyn til samfundsinteresser på folkesundhedsområdet.
• Til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål.
• For at et retskrav kan fastlægges, gøres gældende eller forsvares.

Hvis ingen af de fem undtagelser eksisterer i din sag, kan du således kræve sletning af dine personoplysninger.

Den dataansvarliges underretningspligt

Hvis den dataansvarlige har offentliggjort dine personlige oplysninger, skal den dataansvarlige, som noget nyt, foruden at slette dine personoplysninger, links, billeder og kopier, underrette andre dataansvarlige, som kunne have dine personoplysninger, om sletning, medmindre underretningen er umulig eller uforholdsmæssig vanskelig.

Hvis uheldet er ude:

Har du oplevet, at dine personoplysninger er blevet benyttet i problematiske sammenhænge, delt uden dit samtykke eller vil du vide mere, så kontakt advokat Henrik Karl Nielsen, som kan hjælpe dig med din sag.

Kontakt en af ØENS specialister

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Advokatfirma

Henrik Karl Nielsen

Advokat (H), ph.d.

Afdeling:

FAQ – Retten til at blive glemt

Nedenfor har vi samlet svar på de mest stillede spørgsmål om retten til at blive glemt. FAQ’en giver dig et klart overblik over hvad retten til at blive glemt er, hvilke regler der gælder i Danmark og EU, og hvilke rettigheder og begrænsninger personer og virksomheder skal kende til.

Er din virksomhed klar til at etablere den lovpligtige whistleblowerordning?

Den 24. juni 2021 vedtog Folketinget Forslag til lov om beskyttelse af whistleblowere. Loven implementerer EU-direktivet 2019/1937 af 23. oktober 2019 om beskyttelse af personer, der indberetter overtrædelser af EU-retten (whistleblowerdirektivet).
For mange private arbejdsgivere er der ikke lang tid til, at det bliver lovpligtigt at etablere en intern whistleblowerordning. Det følger nemlig af loven, at:

• Private virksomheder med 50-249 ansatte, skal have etableret en whistleblowerordning i overensstemmelse med whistleblowerloven senest den 17. december 2023.
• Private virksomheder med mere end 250 ansatte skulle have etableret en whistleblowerordningen allerede den 17. december 2021. Det samme gælder for offentlige institutioner.

Risikoen for at medarbejdere foretager indberetninger til den eksterne whistleblowerordning hos Datatilsynet er større, når ikke virksomhederne har etableret den interne whistleblowerordning. Det er således vores klare anbefaling, at alle arbejdsgivere får etableret en intern whistleblowerordning – også inden fristen den 17. december 2023.

Udvidelse af kredsen af forpligtede arbejdsgivere

Loven udvider kredsen af arbejdsgivere, der før december 2021 var forpligtet til at etablere en whistleblowerordning. Videre bestemmer loven også, at arbejdsgivere, der er omfattet af loven, og der i dag har etableret en lovpligtig whistleblowerordning, skal opdatere denne, således at ordningen opfylder betingelserne i lovgivningen.

Ud over at være en ordning som virksomhederne skal have for at overholde lovgivningen, så er en whistleblowerordning et vigtigt redskab, som giver ansatte, bestyrelsesmedlemmer og andre med direkte tilknytning til virksomheden mulighed for fortroligt og/eller anonymt at indberette uregelmæssigheder eller overtrædelse af lovgivningen til ledelsen eller en uafhængig rådgiver. Det giver mulighed for at forebygge og opdage alvorlige økonomiske og kriminelle forhold på arbejdspladsen, herunder chikane. Det giver således uanset god mening at have et proaktivt værktøj som en whistleblowerordning.

Beskyttelse af whistlebloweren

Loven beskytter whistleblowere mod bl.a. repressalier, når vedkommende indberetter forhold, som vedkommende er blevet bekendt med i forbindelse med arbejdsrelaterede aktiviteter, så længe oplysningen er omfattet af lovens anvendelsesområde.

Beskyttelsen forudsætter, at whistlebloweren har lavet en indberetning eller offentliggørelse i overensstemmelse med lovens regler. Beskyttelsen forudsætter desuden at oplysningerne var omfattet af lovens anvendelsesområde at whistlebloweren var i god tro om, at de indberettede oplysninger om overtrædelser var korrekte på tidspunktet for indberetningen.

Loven sikrer, at der ikke må udøves repressalier mod whistleblowere, herunder afskedigelse, forflytning, lønnedgang, chikane mv., som følge af, at de har foretaget en indberetning. Whistleblowere, der er blevet udsat for repressalier som følge af en indberetning, har krav på en godtgørelse, hvis størrelsesniveau lægger sig op ad ligebehandlingslovens regler. Der gælder en særlig bevisbyrderegel om omvendt bevisbyrde, hvorefter det er arbejdsgiveren, der skal bevise, at der konkret ikke er tale om repressalier, hvis whistlebloweren beviser at have foretaget en indberetning og have lidt en ulempe.

Beskyttelsen indeholder derudover en særlig tavshedspligt om indberetningens indhold og whistleblowerens identitet. Der vil dog være mulighed for at videregive oplysningerne under visse betingelser, herunder når det er nødvendigt til brug for at hindre lovovertrædelser mv.

ØENS tilbyder

Det er ikke kun selve indberetningskanalen, som er et krav i forbindelse med etableringen af whistleblowerordningen. Arbejdsgivere har ligeledes pligt til at etablere interne retningslinjer samt politikker, der beskriver hvordan ordningen anvendes. Derudover skal der etableres en whistleblowerenhed der – uafhængigt af virksomhedens ledelse – har ansvaret for at behandle alle indberetninger korrekt.

ØENS har allerede hjulpet mange arbejdsgivere ved at tilbyde en whistleblowerordning med tilhørende dokumentpakke således, at din virksomhed lever op til lovkravene inden for området.

ØENS tilbyder i samarbejde med LegalTech Denmark ApS et whistleblowersystem, som håndterer jeres whistleblowerordning fra start til slut, herunder:

• Adgang til whistleblowerportalen for jeres medarbejdere og samarbejdspartnere,
• En krypteret og sikker løsning for indberetning både skriftligt og mundtligt,
• Mulighed for at tilgå portalen både fra PC, mobil og tablet,
• Mulighed for kommunikation i en lukket portal,
• Mulighed for anonym indberetning,
• Mulighed for at uploade dokumentation krypteret direkte på portalen,
• Skriftlige retningslinjer for indberetningen, beskyttelsen af whistlebloweren, de forhold der kan indberettes m.v.,
• Skriftlig vejledning om indberetning,
• Skriftlig forretningsgang vedr. jeres interne proces og procedure for håndteringen af indberetningerne under whistleblowerordningen, og en
• Skriftlig privatlivspolitik, der redegør for, hvordan indberetterens og den indberettedes personoplysninger behandles under jeres ordningen.

Vi tager udgangspunkt i jeres virksomhed

Dokumentpakken og vores abonnementsløsning udarbejdes specifikt til jeres virksomhed og i tæt dialog med jer. De indberetninger, som I modtager vil ØENS, som whistleblowerenhed, gennemgå ift. om de falder inden for eller uden for jeres ordning – alternativt som en personalesag – samt om det er indberetninger, der skal forfølges.

ØENS Advokatfirma tilbyder alt dette for kr. 6.000 pr. år.

Det kan være vanskeligt både som medarbejder og som arbejdsgiver at navigere i det nye regelsæt, herunder særligt om et konkret forhold falder ind under whistleblowerlovens anvendelsesområdet. Hvis ikke forholdet falder indunder, er medarbejderen altså ikke beskyttet af loven.

I den forbindelse tilbyder ØENS også muligheden for at tilkøbe specifik juridisk rådgivning, undervisning af ledelsen og/eller medarbejderne og yderligere rapportering

Hvis I ønsker at høre mere om ØENS whistleblowerordning, er I velkomne til at kontakte advokat Lisa Lykke eller advokatfuldmægtig Maria-Melissa Schneider.

Kontakt en af ØENS specialister

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Advokatfirma

Melissa Schneider

Advokatfuldmægtig

Afdeling:

Ofte, og for mange, flyder arbejdstid og fritid sammen, så vi skelner mindre og mindre mellem fritid og arbejde. Smartphones med mailindbakke og vores elektroniske adgang til arbejdet gør, at mange i stigende omfang blander fritid og arbejdstid sammen.

Men hvor tæt er forbindelsen mellem arbejdspladsen og medarbejderen egentlig, når det kommer til medarbejdernes gøren og laden i fritiden?

Dette blev prøvet i en konkret sag, U.2016.3097, som Vestre Landsret fik lejlighed til at vurdere.

I den konkrete sag bortviste en arbejdsgiver den 1. juli 2013 en medarbejder fra arbejdspladsen, fordi den pågældende medarbejder den 22. juni 2013 havde udvist grov adfærd til en privat 50 års fødselsdag, hvor en del af den pågældendes kollegaer ligeledes deltog.

Medarbejderen havde til festen været voldelig. Han havde tildelt et slag i ansigtet på en mandlig kollegas ægtefælle, verbalt fornærmet en kvindelig kollega samt bevidst hældt øl i håret på en mandlig kollega. Dette gjorde, at landsretten fandt, at adfærden var så grov, at kollegaerne berettiget var utryg ved den pågældende og ved at samarbejde med ham.

Sagen kom for landsretten

Landsretten fandt, modsat byretten, at bortvisningen var berettiget. Dette blev begrundet i alvoren af den tidligere medarbejders udtalelser og handlinger. Og naturligvis det faktum, at flere af medarbejderens kollegaer efter festen udtrykte bekymring ved at samarbejde med den pågældende efterfølgende.

Retten lagde i den konkrete sag til grund, at bortvisningen den 1. juli 2013 ikke var bortfaldet ved passivitet. Omsorgschefen i virksomheden var først den 25. juni 2013 blevet orienteret om den pågældendes adfærd ved festen og først derefter kunne det fulde hændelsesforløb klarlægges efter flere undersøgelser.

Dommen viser, at arbejdsgiverens ret til at bortvise en medarbejder kan strækkes uden for arbejdspladsen og ud over arbejdstiden. Hvert fald når adfærden har indflydelse på arbejdspladsen.

Har du spørgsmål til en lignende sag? Kontakt en af ØENS specialister til en drøftelse af sagen.

En personoplysning er information, der kan henføres til en bestemt person. Dette gælder også, hvis personen kun kan identificeres, såfremt oplysningen kombineres med andre oplysninger. Behandler du mon persondata?

Uanset om du er håndværker, revisor eller andet, så modtager og opbevarer du oplysninger om dine kunder. De oplysninger kan f.eks. være navn, adresse, telefonnummer eller e-mail. Det er alle oplysninger, som er omfattet af persondataforordningen, og som for dig indebærer, at du skal overholde lovgivningen.

Hvad er persondata og personoplysninger og hvordan behandler du disse?

Personoplysninger kan for eksempel være et navn, en e-mail, personnumre, registreringsnumre, et billede, et fingeraftryk, en stemme, lægejournaler eller andet. Der er tale om personoplysninger, når det i praksis er muligt at identificere en person ud fra oplysningerne eller i kombination med andre. Man siger, at oplysningen er “personhenførbar”.

Du er dataansvarlig

Når du registrerer disse oplysninger om dine kunder, så bliver du dataansvarlig i forordningens forstand. Persondataforordningen medfører en række krav og pligter til dig som dataansvarlig.

Som dataansvarlig skal du derfor bl.a. sikre dig, at du:

• overholder persondataforordningen, og at du kan dokumentere dette, herunder ved hjælp af inkorporering af nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger i virksomheden,
• har et behandlingsgrundlag (en behandlingshjemmel), som giver dig lov til at behandle de oplysninger, som du og dine eventuelle databehandlere er i besiddelse af,
• er i stand til at imødekomme og efterleve dine kunders rettigheder som registrerede personer, som f.eks. at du kan opfylde din oplysningspligt, berigtigelsespligt eller give den registrerede indsigt i de oplysninger du opbevarer om personen,
• har gyldige aftaler med klare instruksbeføjelser til eventuelle databehandlere, som du ønsker at gøre brug af,
• får indberettet eventuelle brud på persondatasikkerheden til Datatilsynet inden for 72 timer.

Ovenstående er alene eksempler på nogle af de pligter, du kan være underlagt i Persondataforordningen.

De grundlæggende principper for behandling

Udover at du som dataansvarlig er pålagt nogle krav for behandling af dine kunders personoplysninger, så indeholder databeskyttelsesreglerne videre følgende grundlæggende principper, du som dataansvarlig altid skal overholde:

• Behandlingen skal overholde databeskyttelsesreglerne om lovlighed, rimelighed og gennemsigtighed.
• Det skal ved indsamling være klart, hvilke saglige formål oplysningerne skal anvendes til og en eventuel senere behandling må ikke være uforenelig med det oprindelige formål, som personoplysningerne blev indsamlet til.
• Behandling af oplysningerne, herunder opbevaring, skal begrænses til det, der er nødvendigt for at opfylde formålet.
• Oplysninger skal ajourføres, og konstateres det, at oplysningerne er urigtige skal disse slettes eller berigtiges.
• Oplysningerne må ikke opbevares længere tid end nødvendigt for behandlingen. Når de ikke længere er nødvendige, skal de anonymiseres eller slettes.
• Oplysningerne skal passes godt på. De må ikke komme uvedkommende til kendskab, gå tabt eller blive beskadiget.

De grundlæggende principper for behandling kan findes i forordningens art. 5.

Hvad skal du gøre nu?

Det er vigtigt, at du er compliant med persondataforordningen, og dermed overholder reglerne og kravene som dataansvarlig. De mulige retsmidler, det ansvar og de sanktioner, der kan opstå som følge af manglende overholdelse af forordningen, understreger vigtigheden heraf.

Konsekvensen kan være vidtgående. I Danmark blev det første selskab i marts 2019 således indstillet til en bøde på 1,2 millioner kroner for manglende sletning af personhenførbare kundeoplysninger efter et tilsynsbesøg fra Datatilsynet. Indstillingen understreger, at Datatilsynet ikke tager let på brud med Databeskyttelsesforordningen. Alle afgørelserne kan findes på Datatilsynets hjemmeside.

Har du spørgsmål til persondatareglerne eller vil du vide, om du er compliant, er du meget velkommen til at kontakte ØENS persondataspecialist Lisa Lykke.

Kontakt en af ØENS specialister

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling:

Overholder din virksomhed persondatareglerne?
GDPR har til formål at fremme beskyttelsen af persondata. Hvis virksomheder ikke efterlever persondatareglerne, er der i GDPR, persondataforordningen, hjemmel til at pålægge private virksomheder store bøder på op til 20 millioner euro eller op til 4 % af virksomhedens/koncernens globale årsomsætning – afhængig af, hvad der er højest.

Hvad er persondata?
Håndtering af persondata gælder både følsomme og ikke-følsomme personoplysninger. Eksempler på følsomme oplysninger er personnummer, helbredsoplysninger, politisk tilhørsforhold og strafbare forhold, mens data som navn, adresse og telefonnummer betragtes som ikke-følsomme oplysninger.

Overordnet om persondataforordningen:

• Persondataforordningen giver en række rettigheder til de personer, hvis personoplysninger behandles (de registrerede), herunder en oplysningspligt om indsamling samt behandling af data.
• Persondataforordningen stiller krav til skriftlige databehandleraftaler mellem virksomheder og leverandører, som opbevarer eller behandler data på vegne af virksomheden.
• Virksomheder, hvis forretningsområde er at være databehandler, har udvidede forpligtelser og ansvar for overtrædelser. Den dataansvarlige, der har bestilt databehandlingen, skal dog stadig opfylde forpligtelserne over for de registrerede, herunder en oplysningspligt om enhver indsamling og behandling af data om den pågældende.
• Virksomheden skal have IT-systemer og applikationer, der kan anvendes til behandling af persondata, og de skal opfylde et krav om “Privacy by Design”. Det betyder, at de som standardindstilling skal sikre størst mulig beskyttelse af persondata.
• Kravene til den registreredes gyldige samtykke er skærpet og er eksplicit fastsat i lovgivningen.
• I har en selvanmeldelsespligt ved databrud, f.eks. ved hackerangreb, hvor persondata kompromitteres. Anmeldelse skal ske inden 72 timer til Datatilsynet.

Det er ikke nok, at I overholder reglerne i persondataforordningen. I skal ligeledes kunne dokumentere denne overholdelse. Kravene til dokumentation for at I overholder persondataforordningen (compliance) er blevet skærpet væsentligt og skal kunne vises til Datatilsynet, hvis de kommer på uanmeldt besøg.

Hvordan kommer I i gang?

Vi anbefaler at I udpeger relevante nøglepersoner i virksomheden, og afsætter tid og økonomi til arbejdet.
Dernæst skal I få kortlagt persondata i virksomheden, herunder:

• Hvilke persondata behandles?
• Hvem behandler vi persondata om?
• Hvad er formålet med databehandlingen?
• Er der samtykke eller andet lovligt grundlag for databehandlingen?
• Hvor gemmes data og hvem har adgang hertil?
• Deles data med tredjemand?
• Hvor længe gemmes data?

Når I har kortlagt persondata i virksomheden, bør I:

• Få skriftlige databehandleraftaler på plads i det omfang, det er nødvendigt.
• Få udarbejdet persondatapolitikker for de relevante funktioner, f.eks. HR, salg/marketing samt jeres egen personalehåndbog mv. – eller få opdateret de eksisterende politikker, så de opfylder de nye krav.
• Implementere de nødvendige tekniske og organisatoriske foranstaltninger, herunder interne instrukser til de medarbejdere, der behandler persondata.
• Få udviklet processer, der sikrer, at medarbejdere, kunders mv. (de registrerede) rettigheder bliver overholdt. F.eks. oplysningspligt og samtykke ved indsamling af data samt ved tilbagetrækning af samtykke.
• Vær klar til et eventuelt databrud. I skal have udarbejdet en procedure og et beredskab til håndtering heraf.
• Sørg for uddannelse af medarbejdere.
• Udpeg en persondataansvarlig, som følger op og sikrer fortsat compliance i virksomheden.

Få vores hjælp til GDPR

ØENS Advokatkontor kan hjælpe jer videre i forbindelse med persondatatjek og overholdelse af persondataforordningen. Vi vil sikre:

• Persondatatjek af jeres virksomhed.
• Persondatainstruks til HR-medarbejdere eller andre nøglepersoner.
• Persondatapolitik til rekruttering.
• Opdatering/udarbejdelse af intern personalehåndbog vedr. persondata.
• Persondatapolitik til virksomhedens hjemmeside og dermed jeres kunder.
• Persondatainstruks ift. it-sikkerhedspolitik.
• Procedure for håndtering af databrud.
• Udarbejdelse/gennemgang af databehandleraftaler.
• Tekstforslag og procedure for samtykkeerklæringer.
• Løbende uddannelse af medarbejdere, der håndterer.

Der er meget at tage fat på. Brug ØENS persondataspecialist Lisa Lykke til at afdække jeres behov og til prioritering af jeres opgaver.

Kontakt en af ØENS specialister

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling: