Dine informasjonskapsel-innstillinger
Retningslinjer fra Personvernrådet · art. 7 GDPR
Vi bruker tekniske informasjonskapsler som er nødvendige for at plattformen skal fungere (innlogging, sikkerhet, økter). Vi ønsker også å bruke analytiske informasjonskapsler for å forstå hvordan vi kan forbedre den.
Du kan godta alt, avvise alt, eller velge hvilke kategorier som skal være på.Samtykket ditt er gyldig i 6 måneder, og du kan når som helst trekke det tilbake fra bunnteksten.
Du finner alt i vår personvernerklæring.
Privacy and GDPR news
Curated updates: Italian DPA decisions, EDPB rulings, fines and regulatory news. Analyzed from a working DPO's perspective.
Den usynlige pikselen i nyhetsbrevet: 29. oktober går tiden ut
Ved vedtak nr. 284 av 17. april 2026, kunngjort i lovtidend nr. 98 av 29. april, fastsatte det italienske tilsynet reglene for sporingspiksler i e-post og ga seks måneder til tilpasning: fristen er 29. oktober 2026. Individuell sporing av åpninger for markedsføringsformål krever, med forbehold om unntak, mottakerens samtykke. Kontrollen inngår i tilsynsplanen for andre halvår. For et personvernombud er poenget ikke et forbud — det finnes ikke — men at en behandling som har vært selvsagt i tjue år nå trenger et grunnlag, en erklæring og en egen av-knapp.
Oppsigelsen algoritmen bestemmer er ugyldig: fra 23. oktober i Italia
Kunngjort i lovtidend nr. 234 av 8. oktober 2026 og i kraft fra 23. oktober fastsetter dekret nr. 179/2026 at endelige avgjørelser om arbeidsforholdet ikke kan bygge utelukkende på automatisert behandling, at arbeidstakeren kan be om en forståelig begrunnelse, og at avgjørelser tatt i strid med dette er ugyldige. Parallelt går KI-systemer som påvirker arbeidsorganiseringen inn i risikovurderingen etter artikkel 28 i dekret 81/2008. For et personvernombud er dette det sjeldne tilfellet der følgen ikke er økonomisk, men sivilrettslig.
Italiensk tilsyn ilegger Wind Tre 16,7 millioner: telemarketing tross innsigelser og avtaler aktivert uten kundenes viten
Personer som hadde protestert, ble fortsatt oppringt, og noen avtaler ble aktivert uten at den registrerte visste om det. Garante ilegger Wind Tre 16,7 millioner og minner om et prinsipp for alle selskaper med byrånettverk: ansvaret settes ikke ut sammen med salget.
Hellas: 350 000 euro for et avvik — både departementet og databehandleren med utdaterte systemer bøtelagt, og det fantes ingen avtale etter art. 28
Et angrep på systemene til etaten som gjennomførte et departements programmer, eksponerte identifikasjons-, finans- og helseopplysninger om svært mange mennesker. Det greske tilsynet ilegger den behandlingsansvarlige 200 000 euro og databehandleren 150 000: god varsling er ikke nok hvis leverandøren bruker utdaterte systemer og forholdet ikke er regulert i avtale.
Smarte briller: EDPB tar stilling — brukeren kan være behandlingsansvarlig, og den som filmes må kunne merke det
De ser ut som vanlige briller, men har kamera, mikrofon og internettilkobling. EDPB publiserer sin første uttalelse om smarte briller: når brukeren blir behandlingsansvarlig, hvorfor produsenter og app-leverandører ikke kan skyve pliktene sine over på ham, og hva det i praksis betyr å gjøre et opptak synlig.
Italiensk tilsyn ilegger kommunen Arvier 4000 euro: et kamera filmet vinduer og balkonger hos en innbygger, og maskeringen kom for sent
En liten kommune i Aostadalen bruker kameraer til trafikk, parkering, skilt, miljø og beredskap. En innbygger oppdager at ett av dem fanger huset hennes. Garante ilegger gebyr og slår fast et prinsipp for alle anlegg: maskering av private områder planlegges før kameraet slås på, ikke etter klagen.
Postkassen til den som har sluttet: behandlingen ingen dokumenterer
Med vedtak 101/2026 av 12. mai 2026 sanksjonerte tvistekammeret i det belgiske datatilsynet et selskap som hadde latt den profesjonelle postkassen til en person som ikke lenger arbeidet der stå aktiv i over ett år etter avgangen. Anklagene gjelder ikke bare lagringen: behandling uten rettslig grunnlag, brudd på åpenhetsplikten, manglende tekniske og organisatoriske tiltak for sletting, manglende oppfyllelse av innsynsretten. Tilsynets linje har vært uendret i årevis og koker ned til to datoer: deaktivering på avgangsdagen, sletting etter én måned.
Året tilsynene leser personvernerklæringen: CEF 2026 om åpenhet
Den 19. mars 2026 startet EDPB årets samordnede tilsynsaksjon om åpenhets- og informasjonspliktene i art. 12, 13 og 14 i personvernforordningen. Tjuefem tilsyn deltar, hvert fritt i metoden: tilsyn på stedet, spørreskjemaer til behandlingsansvarlige, lesing av erklæringene som er publisert på nettsidene, kontroller i enkelte bransjer. De nasjonale resultatene samles i andre halvdel av 2026, og EDPB vil publisere en oppsummerende rapport med anbefalinger. For den som arbeider med etterlevelse er poenget at kontrollen i år starter fra en tekst som allerede er offentlig.
Å betale med ansiktet: hva som endrer seg når nøkkelen er deg
Fra 24. til 26. september 2026 testet Revolut i tre kaffebarer i London et betalingssystem som kjenner igjen ansiktet i kassen og sammenligner det med selfien som ble lastet opp da kontoen ble åpnet. Deltakelse er frivillig, over 200 pund kreves en ekstra kontroll, og selskapet erklærer at det følger britisk GDPR. For et personvernombud ligger det interessante et annet sted: et ansikt brukt til å identifisere er en biometrisk opplysning etter artikkel 9, og erklæringen rommer to atskilte opplysninger — den biometriske malen og bildet tatt i kassen — med ulike sletteregler.
Når det blir gebyr og når ikke: EDPB skriver ned delen som manglet
21. september 2026 vedtok Det europeiske personvernrådet retningslinjene 04/2026 om bruken av myndigheten til å ilegge overtredelsesgebyr sett i forhold til de øvrige korrigerende myndighetene, på offentlig høring til 13. november 2026. De erstatter de gamle retningslinjene fra Artikkel 29-gruppen og utfyller dem fra 2022 om beregning av beløpet. Forskjellen er vesentlig: de sa hvor mye, disse sier om. Og i fjerde trinn ligger en presumsjon som flytter byrden i forsvaret.
Polen, UODO: ikke alle avvik skal meldes. Opplysninger fra offentlig register på den ene siden, PESEL, helse og økonomi på den andre
Lekker faktureringssystemet bare navn, foretaksnavn, skattenummer og forretningsadresse til et enkeltpersonforetak, som allerede er offentlige i registeret, er risiko normalt lite sannsynlig. Lekker også det nasjonale identifikasjonsnummeret, kjøpsdetaljer som avslører helse, eller økonomiske opplysninger, skal det meldes. Uansett skal beslutningen inn i den interne avviksprotokollen.
Italiensk tilsyn gir vaktselskap 39 000 euro i gebyr: GPS-data fra firmabilen nektet tidligere ansatt
En oppsagt vekter ber om dataene fra GPS-en i firmabilen for å forsvare seg i en disiplinærsak. Selskapet utleverer dem ikke og forklarer ikke hvorfor. Garante ilegger La Patria S.p.A. i Bologna gebyr og minner om en regel mange glemmer: også et nei må begrunnes.
Sverige gir Miljödata 1,8 millioner kroner i gebyr: én leverandør, 2,2 millioner personer og to manglende kontroller
Personnummer, kontaktopplysninger og sensitive opplysninger om sykefravær, rehabilitering og hendelser i skoler, publisert på darknet etter et angrep. Den svenske tilsynsmyndigheten peker på to konkrete mangler og ilegger leverandøren gebyr direkte. Og gransker kundene som valgte den.
EDPBs retningslinjer 04/2026: fem trinn for å avgjøre om tilsynet skal ilegge gebyr
Personvernrådet har vedtatt retningslinjer for når en tilsynsmyndighet skal ilegge overtredelsesgebyr og når den kan nøye seg med irettesettelse, pålegg eller forbud. Fem trinn, fjorten eksempler og en klar regel: er bruddet ikke mindre, er gebyr normalen.
Garante gir IQVIA 7 millioner i bot: én million «anonyme» pasienter som ikke var anonyme
Åtte hundre fastleger, en tilleggsmodul i journalsystemet, en database med diagnoser og resepter for rundt én million pasienter, brukt til studier bestilt av legemiddelindustrien. For selskapet var opplysningene anonyme. For den italienske tilsynsmyndigheten var de ikke det: koden som fulgte hver pasient over tid, gjorde det mulig å skille dem ut. 7 millioner euro i bot og 120 dager på å rette opp.
CNIL gir Extia 300 000 euro i bot: automatisk sletting er ikke nok, du må si fra til den som spurte
Et IT-konsulentselskap mottar hundrevis av slettekrav, nesten alle fra søkere. Mange opplysninger forsvinner av seg selv gjennom automatisk sletting. Men de som spurte, får ikke svar. For CNIL er det brudd på art. 12 selv når opplysningene er borte: å informere om utfallet er en egen plikt ved siden av slettingen.
Betalingsnummeret på skiltet: hundre tusen euro for å sette en pris på å bruke en rettighet
Artikkel 12 nr. 2 sier ikke at rettighetene skal være mulige: den sier at den behandlingsansvarlige skal LETTE utøvelsen av dem. Et skilt som viser til et betalingsnummer pålegger en kostnad på den som vil bruke dem, og avskrekker den som nøler. At det fantes andre gratis veier på nettstedet reparerte ikke bruddet, for det var skiltet som pekte på betalingsnummeret.
EDPB skriver ned når det bøtelegges, ikke hvor mye: fem trinn og en presumsjon
Siden 2022 har vi visst hvordan beløpet beregnes. Det som manglet var spørsmålet foran: skal bot i det hele tatt ilegges? Retningslinjene som ble vedtatt i plenum 21. september gir myndighetene en vei i fem trinn, fjorten praktiske eksempler og en regel som flytter forventningene — er bruddet ikke mindre alvorlig, presumeres det at bot følger. Høring til 13. november 2026.
Syttitre journaler i minuttet i fem dager, og ingen merket det
Den 3. september 2026 ila CNIL Hôpital privé de la Loire et gebyr på 500 000 euro. En angriper kom inn i den elektroniske pasientjournalen med en leges innloggingsopplysninger og hentet ut 524 867 journaler på fem dager, rundt syttitre i minuttet. Ingen varsler. Det manglet tofaktorautentisering og ethvert verktøy som kunne ha oppdaget at noe var galt.
Politiattesten som ikke sier noe: Spania opphever to millioner
Ved dom nr. 359/2026 av 8. juli 2026 opphevet Audiencia Nacional gebyret på to millioner euro som det spanske tilsynet hadde ilagt Amazon Road Transport Spain for å ha bedt søkere om politiattest. Begrunnelsen: art. 10 gjelder opplysninger om straffedommer og lovovertredelser, og en attest som bekrefter FRAVÆR av dommer faller ikke automatisk inn under den. Avgjørelsen kan fortsatt ankes.
180 KI-produkter på fem år: hva myndigheten spurte om
25. september 2026 publiserte det irske tilsynet rapporten om tilsynet med KI-produkter og -tjenester mellom 2021 og 2025. Rundt 180 produkter fulgt opp, tusenvis av sider med vurderinger lest, og to punkter som går igjen i nesten hver sak: berettiget interesse som grunnlag for trening, og åpenhet om behandlinger ingen klarer å forklare enkelt.
Leverandørfeilen ble en straffedom
Den 7. september 2026 erkjente Brown Thomas Arnotts Limited straffskyld for Dublin Metropolitan District Court på fem av tjueen poster for brudd på de irske ePrivacy-reglene. Tre gjaldt manglende gyldig adresse for avmelding, to utsending uten gyldig samtykke. Beløpet som betales er to tusen euro. Beløpet er ikke nyheten: dette er en straffesak.
Forespørselen kom fra et ekte myndighetsdomene
12. september 2026 bekreftet Revolut at selskapet hadde utlevert kundedata etter uriktige forespørsler sendt fra e-postdomenet til et legitimt myndighetsorgan. Blant dataene: fødselsdato, adresser, telefonnumre, kopier av pass og førerkort, verifiseringsselfier, kontoutskrifter og transaksjonshistorikk. Om lag 680 kunder ble kontaktet. Ikke et innbrudd i systemene, men et brudd på personopplysningssikkerheten gjennom uautorisert utlevering — og alt henger på en rutine nesten ingen har skrevet ned.
Google, 403 millioner: halvparten står i protokollen
21. september 2026 avsluttet den irske tilsynsmyndigheten undersøkelsen den åpnet mot Google Ireland i februar 2020. Tema: lokasjonsdata i tre funksjoner — Web & App Activity, Location History, Location Accuracy — mellom 25. mai 2018 og 4. februar 2020. Overtredelsesgebyr på 403 millioner euro og seks måneder på å rette opp. Tallet lager overskriften; for den som jobber med dette, ligger det interessante et annet sted.
Portugal åpner hastekanal for meldinger om mindreårige
Kanalen heter Canal Prioritário og ligger på nettstedet til CNPD. Den dekker tre situasjoner: urettmessig tilgang til mindreåriges data, innsamling og spredning av bilde eller lyd med sensitivt eller voldelig innhold uten samtykke, og reklame rettet mot mindreårige. Barna selv kan bruke den, og enhver som oppdager slikt. For personvernombudet er dette ingen ny plikt, men en endret eksponering — og det lønner seg å vite hvilke behandlinger den faktisk treffer.
Solo-planen går ned til 9,99 euro i måneden, og det er ikke en kampanje
Solo-planen er for den som begynner: tre klienter, én bruker, alle dokumentområder, art. 30-protokollen, håndtering av avvik med 72-timersfristen. Til nitten euro var det en utgift å veie; til 9,99 er det en beslutning på et minutt. Endringen gjelder listeprisen, ikke en rabattkode: den som melder seg inn i dag betaler dette, og betaler det også om et halvt år.
«Ikke misbruk, det var etter oppdrag fra medisinsk ledelse»: tilsynet sier nei, 24 000 euro
Saken er liten, lærdommen er det ikke. Et sykehus er samtidig behandlingssted og arbeidsgiver for den samme personen, og der de to rollene berører hverandre, blir pasientjournalen det mest bekvemme og mest gale verktøyet. Foretaket hadde skrevet det til påtalemyndigheten: den tilgangen var ikke misbruk, den skjedde «etter oppdrag fra den medisinske ledelsen» «for utførelsen av arbeidet». Det er nøyaktig den setningen tilsynet tar fra hverandre.
Kameraer i garderobene siden 2007: forsvaret ramser opp hva de ikke filmet, og taper
Tilsvaret er en liste over det som ikke var synlig: ikke båsene, ikke dusjene, ikke toalettene; og ved skapene står det ingen benker «som kan få den som kler av seg til å sette seg der og dermed bli foreviget av videoanlegget». Det er resonnement ved fratrekk, og i en garderobe holder det ikke. For personvernombudet er likevel et annet punkt det viktigste: blant de brutte bestemmelsene står art. 5 nr. 1 bokstav e, fordi de oppgitte syttito timene med lagring ikke var underbygget av noen vurdering som viste at de var nødvendige.
Én klager, ti varsler, 5,5 millioner: innsigelsen som ble registrert og aldri gjennomført
Én klage, én enkelt registrert, kontaktopplysninger, en alvorlighetsgrad tilsynet selv kaller «lav» — og fem og en halv million euro. Regnestykket er ikke straffende: det følger av en omsetning over 500 millioner, en presedens fra juli 2025 og sju måneder der kundens vilje sto i ett system og ble oversett av et annet. For personvernombudet er poenget ett: kanalen du oppgir i personvernerklæringen er ikke den eneste gyldige kanalen.
De 120 dagene er ikke fristen for å ilegge gebyr, men fristen for å rette anklagen mot deg
Den som har bygget en innsigelse på tilsynets treghet, bør lese kalenderen på nytt. Høyesterett klargjør tre ting: klagesaken og sanksjonssaken er selvstendige, så overskridelse av de ni til tolv månedene opphever ikke sanksjonsmyndigheten; de 120 dagene gjelder varsling av anklagen, ikke ileggelse av gebyret; og de løper fra den «endelige konstateringen», som ikke er den første meldingen, men det tidspunktet tilsynet kan vurdere alle elementer — inkludert kontradiksjon med deg. Etter anklagen gjenstår bare den femårige foreldelsen.
Fire uker, og ikke en dag lenger: hvor lenge søkeropplysninger kan oppbevares i Nederland
Fire uker etter at prosessen er avsluttet er den korteste oppbevaringsfristen i Europa for disse opplysningene, og det er ingen uforpliktende anbefaling: ved en klage er det det første den nederlandske tilsynsmyndigheten kontrollerer. Kopien av legitimasjonen er unntaket som deler personalmappen i tre.
KI-forordningen er et oppbevaringsproblem, og nesten ingen behandler den slik
Alle leser forordningen som en øvelse i risikoklassifisering. Under ligger oppbevaringsfrister like konkrete som i skatteretten: dokumentasjon ti år fra markedsføring, logger minst seks måneder, melding om hendelser innen femten, ti eller to dager. Ingenting av dette får plass i en protokoll med én linje for «KI-system».
Den tyske sletteplanen har vært feil siden 1. januar 2025 — i begge retninger
Den fjerde tyske forenklingsloven kortet ned to frister og lot fire stå urørt. Den som satte sletteplanen til åtte år på alt, ødelegger dokumenter som bokettersynet fortsatt kan kreve. Den som lot den stå på ti, bryter lagringsbegrensningen — på det mest fullstendige datasettet virksomheten har.
Hvor lenge personalmapper skal oppbevares i Polen: ti eller femti år — og hvorfor én dato avgjør
På spørsmålet om hvor lenge personalmappen skal oppbevares finnes det ikke noe kort svar i Polen. Det er tre regimer, og hvilket som gjelder avgjøres av datoen arbeidsforholdet begynte. For én gruppe faller fristen fra femti år til ti — men først etter en innsending, og regnet fra en helt annen dag.
Når personvernombud er påbudt i Spania: de seksten tilfellene i artikkel 34
Spania er blant de få statene som har listet opp i lov når personvernombud er påbudt. Seksten bokstaver, fra a) til o), som kommer i tillegg til — ikke i stedet for — de tre tilfellene i art. 37 nr. 1. Den dyreste feilen står ikke i listen, men i nr. 2: den som utpeker frivillig, omfattes av samme regime og må melde det til AEPD innen ti dager.
Lagringstid: hvorfor CNIL ikke tenker i frister, men i livsløp
En protokoll som skriver «10 år» i kolonnen for lagringstid, svarer ikke på spørsmålet — den unngår det. CNIL tenker i tre etterfølgende faser, og den andre — mellomarkiveringen — finnes bare hvis opplysningene faktisk er skilt fra den aktive basen. Det er der samsvaret avgjøres, og det er nettopp det ingen dokumenterer.
DPIA i Polen: når den er påbudt og hva den må inneholde
En DPIA er ikke en avkrysning etter lansering. Det er et vilkår som må være oppfylt FØR behandlingen starter, og hvis risikoen ikke lar seg senke, blir det en plikt til forhåndsdrøfting med tilsynsmyndigheten. Den polske listen nevner tolv kategorier av behandlinger; WP248 gir ni kriterier, og to av dem er som regel nok.
Unntaket for under 250 ansatte i protokollen gjelder nesten aldri
«Vi er færre enn 250 ansatte, vi trenger ingen protokoll» er den mest utbredte misforståelsen på feltet. Fritaket i art. 30 nr. 5 er betinget av tre vilkår som gjelder alternativt: ett er nok. Og «ikke leilighetsvis» omfatter lønnskjøring og kundebehandling — altså praktisk talt enhver virksomhet.
Seksten timer innen 24. mai 2027: opplæringen enhver arbeidsgiver må ta
Den som fører en oversikt over opplæring har en linje for arbeidstakere, en for nærmeste overordnede, en for brannvernansvarlige. Nesten ingen har en for arbeidsgiveren, for fram til 2025 fantes det ingen generell opplæringsplikt: bare kurset etter art. 34 for dem som selv påtar seg verne- og helsetjenesten, et mindretall. Nå finnes det ett for alle, med én dato.
HMS: én skjerm i stedet for seks, og matrisen nesten ingen viser
Delen kunne allerede svare på fire atskilte spørsmål — hvilke roller som kreves, hvilke dokumenter, hvem som aldri har tatt et kurs, hvilke attester som utløper — men ingenting knyttet dem sammen, og for å se virkningen av egne valg måtte man helt til trinn seks. Nå ser man virkningen mens man fyller ut.
Den italienske matrisen når 205 regler: helse, hvitvasking og fem bransjer
Italia hadde 155 oppbevaringsregler mot Portugals 232, og forskjellen var ikke jevnt fordelt: den lå i sju områder. Helse hadde 6 mot 23, hvitvasking 4 mot 13. Italia er nå på 205, og det strukturelle gapet er lukket. Men tallet betyr mindre enn metoden: hver ny regel starter uverifisert, og det synes.
Tre regler nesten ingen italiensk protokoll inneholder
Dette er ikke obskure regler. Én kommer fra et veiledningsdokument fra det italienske tilsynet i 2024, én fra en lov fra 2023, én fra hvitvaskingsdekretet alle siterer. Fellesnevneren er at ingen av dem gjelder et register noen bestemte seg for å opprette: de gjelder registre som oppstår av seg selv, og nettopp derfor har ingen ført dem inn.
Pasientjournaler i en container i et torvskur: 645 000 euro til den irske helsetjenesten
Dette er ikke et datainnbrudd. Det er prinsippet om lagringsbegrensning anvendt på papir: dokumenter oppbevart ut over fristen, på steder som ikke var arkiver, uten at noen lenger visste hva som lå der.
Seksti sekunder er for ofte: det italienske tilsynet mener så tett posisjonsregistrering er sammenhengende overvåking
Spørsmålet er ikke om man kan spore et tjenestekjøretøy: det kan man. Spørsmålet er hvor ofte. Og tilsynet hadde allerede i 2018 sagt at to minutter var uforholdsmessig.
Det europeiske helsedataområdet gjelder om drøyt seks måneder, og de to reservasjonene det inneholder er ikke det samme
Den erstatter ikke personvernforordningen, den kommer i tillegg. For den som fører protokollen til en helsekunde er det fire datoer å merke seg, ikke én, og den første faller om mindre enn sju måneder.
2. august gikk fristen ut for å ha en nasjonal KI-sandkasse, og inne i dem kan man behandle data som er samlet inn til noe annet
Det er det eneste stedet i EU-retten der gjenbruk av personopplysninger til å trene en modell er uttrykkelig regulert. Vilkårene er sju, og alle må være oppfylt samtidig.
Den europeiske kampanjen om psykisk helse på jobben starter 13. oktober. Den skaper ingen plikter, og nettopp derfor må den leses nøye
En holdningskampanje er ingen rettsakt og innfører ingen ny plikt. Men øyeblikket da en virksomhet måler psykososial risiko, angår også den som arbeider med personvern — og dette er en lesning, ikke innhold i kilden.
To millioner til en amerikansk datamegler: berettiget interesse dekker ikke salg av kontakter
Selskapet er amerikansk og har ingen etablering i Italia; forordningen gjaldt likevel. I tillegg til gebyret: forbud mot å behandle opplysninger om personer som befinner seg i Italia, og pålegg om å slette det som er ulovlig innsamlet.
KI-forordningen: hvem fører tilsyn med hva, og hvorfor de «første bøtene» som sirkulerer ikke finnes
KI-kontoret tar modellene til allmenne formål, nasjonale myndigheter alt annet, EDPS EU-institusjonene. Å vite hvem en kunde svarer til kommer før å vite hva han risikerer. Og enda før det kommer å skille fullmakter som ble utøvbare fra fullmakter som er utøvd.
Ett kontaktpunkt for å melde brudd: hva EDPB og EDPS ba om i cybersikkerhetspakken
Å melde et brudd i dag betyr å skrive til flere myndigheter i ulike formater innenfor de samme tre dagene. Rådet og Datatilsynet støtter ett felles kontaktpunkt, og setter grenser for ENISA, for sertifisering og for forholdet mellom sikkerhet og grunnleggende rettigheter.
Sju nettsteder slo av Storbritannia i stedet for å beskytte barn
Det britiske tilsynet fortalte hva som skjer før de formelle undersøkelsene. Stilt overfor valget mellom å sikre tjenesten eller ikke lenger være tilgjengelig fra Storbritannia, valgte sju plattformer det andre. Det er en seier, men det sier også hvor billig det er å gå.
Halvannen million adopsjonshistorier på lagringsmedier ingen lenger fant
Det alvorligste tilfellet stammer fra digitaliseringen av papirarkivene mellom 2013 og 2022: over 1,17 millioner mapper, hvorav 1,14 millioner om adopterte og rundt 30 000 om savnede barn, på dårlig sikrede enheter og uten noen form for sporing. Etaten oppdaget at mediene manglet først under kontroller i 2024 og 2026.
I Brasil kostet det 153,7 millioner real å spørre om alder og tro på svaret
Vedtak av 25. august 2026. Den brasilianske myndigheten fant mangler ved aldersverifiseringen både i strømmen som er åpen uten registrering og i den med konto. I tillegg til gebyret: pålegg om å slette ulovlig innsamlede opplysninger og å sette profiler under 16 til den mest restriktive innstillingen som standard.
Brukeren bekreftet aldri kontoen: for det italienske tilsynet finnes ingen avtale, og e-postene er ulovlige
Vedtak av 18. juni 2026, offentliggjort 29. juli. En borger mottar reklame-e-poster uten noen gang å ha fylt ut medlemsskjemaet. Undersøkelsen viser at de som ikke bekreftet kontoopprettelsen likevel havnet i listene: dobbel bekreftelse fantes, men var ikke koblet til noe.
«Vi oppbevarer det til forskningsformål»: EDPB forklarer hvorfor det ikke er et svar
15. april 2026 vedtok EDPB utkastet til retningslinjer 1/2026 om vitenskapelig forskning. Den offentlige høringen ble avsluttet 25. juni, og den endelige teksten foreligger ennå ikke. Den som fører protokoller bør lese kapittelet om lagring: forskningsformålet alene begrunner ingen åpen frist.
Du oppgir avtalen og avviser så innsigelsene: Norge viser hvordan de to feilene følger hverandre
SATS krevde at medlemmene hadde et bilde som lagres i medlemssystemet og brukes i resepsjonen for å kontrollere identiteten til dem som kommer inn. Datatilsynet fant at informasjonen oppga feil behandlingsgrunnlag, ikke forklarte retten til å protestere, og at innsigelser ble avvist uten å påvise tvingende berettigede grunner. Fristen for å rette opp er 11. september 2026.
Hvem svarer for direktesendingen av kampen for de under 14? Sverige svarer på spørsmålet ingen stiller
25. august publiserte det svenske tilsynet veiledning om strømming av ungdomsidrett. Mange klubber sender barnekamper på nett, og veiledningen peker på faktorene som avgjør hva som er tillatt. Men den delen det er verdt å lese, er den andre: ansvaret når kommunen eier anlegget og klubben vil sette opp kameraene.
Poengsummen de avslår kreditten med, kan du be om — og den må forklares
19. august oversatte det franske tilsynet sin anbefaling fra mai 2026 om vurdering av betalingsevne til allmennheten. Der står tre tall og ett prinsipp som angår alle som driver med scoring: tjuefire måneder for tidligere hendelser, seks måneder for opplysningene i en avslått søknad, og en innsynsrett i poengsummen som ikke lar seg avfeie med henvisning til forretningshemmeligheter.
Franske skattedata stjålet, og ikke ett passord: nettopp det gjør saken farlig
14. august opplyste det franske finansdepartementet at skatteetatens informasjonssystem var rammet av et brudd på personopplysningssikkerheten: en tredjepart kunne se og hente ut opplysninger om privatpersoner og virksomheter. Brukernavn og passord ser ikke ut til å være berørt — og nettopp derfor ligger risikoen ikke i kontoovertakelse, men i phishing bygget på ekte skatteopplysninger.
På skolen er reklamesporere forbudt, og det handler ikke om samtykke
24. august publiserte CNIL reglene for de digitale arbeidsrommene som brukes i skolen. Det avgjørende er ikke vernet av mindreårige, men et forvaltningsrettslig prinsipp: nøytraliteten i den offentlige utdanningstjenesten omfatter kommersiell nøytralitet, slik at sporere til reklame- eller profileringsformål i utgangspunktet er forbudt. Har verktøyet dem, må den behandlingsansvarlige slå dem av.
Samme verktøy, samme dag, ulik regel: derfor er sporere ikke forbudt ved universitetet
24. august publiserte CNIL to tekster om samme emne, én for skolen og én for universitetet. Den som bare leser den første og bruker den på den andre, tar feil på ett bestemt punkt: i skolen er reklamesporere «i utgangspunktet forbudt», i høyere utdanning «anbefaler» CNIL å foretrekke verktøy uten dem. Resten — behandlingsgrunnlag, vurdering av personvernkonsekvenser, databehandlerens garantier, overføringer — er sammenfallende.
Åtte hundre og tjuefem millioner for en algoritme som stengte kontoer uten at noen så etter
Det er det nest høyeste gebyret som noen gang er ilagt etter personvernforordningen, bare bak Metas 1,2 milliarder. Saken gjelder verken overføring av opplysninger eller et sikkerhetsbrudd: den gjelder artikkel 22, regelen om automatiserte avgjørelser som nesten ingen dokumenterer fordi den ser ut som et problem for store plattformer. I virkeligheten gjelder den alle som lar programvare avgjøre noe som veier tungt i et menneskes liv.
Polen firedoblet gebyrene på ett år, og de tre høyeste noensinne er alle fra 2025
I mange år ble Polen regnet som et marked med lav risiko for sanksjoner. Den forutsetningen holder ikke lenger: på tolv måneder gikk summen fra fjorten til over sekstifire millioner zloty, og de tre høyeste gebyrene i landets historie bærer alle samme årstall. Følger du en kunde med filial, leverandør eller servicesenter i Polen, er risikoregnestykket endret.
Syttisju skuffer: hva et personvernombud faktisk arkiverer, og hvorfor trettién ikke holdt
Vi stilte brukerne et enkelt spørsmål: når et krav fra tilsynet kommer, hvilke papirer henter du fram? Svaret inneholdt førtiseks kategorier uten egen skuff, som alle havnet i «Andre dokumenter». Vi har lagt dem til. Deretter måtte siden bygges på nytt, for syttisju grå fliser i et rutenett er verre enn trettién.
Risikoen vurderes inne i protokollen, og hver funksjon er ett ord unna
Et personvernombud prøvde plattformen i noen dager og skrev at avviksprotokollen, risikovurderingen, dokumentopplastingen og prisene manglet. Tre av de fire fantes allerede. Hun fant dem ikke fordi de ligger inne i klientmappen, og menyen viser dem ikke. Derav to tillegg: risikovurderingen, som faktisk manglet i protokollen, og et søkefelt som svarer på «avvik», «72 timer» eller «art. 33» og også sier hvor det du leter etter ligger.
Sikkerhetstiltak må ikke lenger skrives inn på nytt
Tilbakemeldingen kom fra et personvernombud i den gratis prøveperioden: «under sikkerhetstiltak kan jeg bare skrive». Hun hadde rett. Tiltak velges nå fra en katalog i ni grupper, kan fortsatt utfylles for hånd, og programmet løfter fram de relevante ved å se på opplysningskategoriene og overføringene. Opplysningskategoriene får også et beskrivende andre nivå, og mottakerlandet er ikke lenger et fritt felt.
Hvor lenge opplysninger oppbevares: 960 regler, ni rettsordener og en metode
Lagringsbegrensning er prinsippet som er vanskeligst å dokumentere under en gjennomgang, fordi svaret endrer seg for hver kategori opplysninger og hvert land. Plattformen inneholder 960 ferdigskrevne regler. Men poenget er ikke tallet: av 232 portugisiske regler har bare 99 en varighet som kan uttrykkes med et tall, og 95 er oppgitt som «løpende referanse» i stedet for «verifisert». Å si det er mer nyttig enn å skjule det.
Kunden går konkurs, leverandøren sitter alene igjen med dataene – og blir behandlingsansvarlig
En butikkjede går konkurs. De tidligere ansatte trenger sine egne timelister for å dokumentere ubetalt lønn, men den eneste som har dem er leverandøren av timeføringssystemet. Svaret er at selskapet ikke kan utlevere noe til noen – «ikke engang til de registrerte selv» – fordi avtalen med den behandlingsansvarlige er avsluttet. Datatilsynet konkluderte motsatt: er du den eneste som bestemmer over dataene, er du behandlingsansvarlig.
Ekte ansattdata i testsystemet: hva kontrolltapet er verdt
Å teste et nytt personalsystem med ekte data er ikke forbudt – å overføre flere felt enn testen trenger, er det. Den tyske arbeidsretten dømte en arbeidsgiver til å betale to hundre euro fordi lønn, privatadresse, skattenummer og sivilstand ble lastet opp, selv om partene hadde avtalt en liste på ni felt med de ansattes representanter. Og retten bekreftet at en forsinket innsynsbesvarelse ikke i seg selv er en skade.
2. august forsvant ikke — det ble smalere
Den som bare leste overskriften — «KI-forordningen utsettes» — arbeider på feil grunnlag. Datoen 2. august 2026 forsvant ikke: den endret innhold. Det som ble stående gjelder langt flere klienter enn det som ble utsatt.
Det nederlandske tilsynet publiserer en egenvurdering for generativ KI
Det manglet noe å gi til klienten som sier «vi har slått på KI-en i fagsystemet». Det nederlandske tilsynet har publisert en egenvurdering av generative KI-systemer: fire øyeblikk, og i hvert av dem en beslutning som må dokumenteres.
NIS2 is law in the Netherlands, with no grace period
The Cyberbeveiligingswet entered into force on 15 August 2026. The number that matters is not eight thousand: it is one hundred and thirty-three thousand — the Dutch SMEs the law reaches not because they are in scope, but because they supply someone who is.
Breach notices have already passed the whole of 2025
The first-half 2026 figures say two different things. The first is that the number of people notified is dominated by very few enormous incidents. The second, less comfortable for anyone assessing risk, is that AI appears in one breach in four.
A DPO who decides cannot supervise themselves
On 10 August 2026 the CNIL set out in writing how to identify and resolve a conflict of interest affecting the DPO. The test is single: if in their other duties the DPO determines the purposes and means of a processing operation, they cannot then supervise it. No one can be judge and party.
You don't delete the article, you delete the name
On 5 August 2026 the CNIL clarified the boundaries of a right that is often exercised and widely misunderstood. Against a press organisation, objection and erasure remain available; access and rectification do not. And a refusal must be reasoned concretely: six generic formulas are named as inadmissible.
In 2026 every European authority is looking at the same thing: privacy notices
Each year the EDPB picks a topic and every national authority checks it together, in the same period, through questionnaires and inspections. For 2026 the topic is transparency: how controllers tell people what happens to their data. In scope are Article 13, where data comes from the data subject, and Article 14, where it comes from elsewhere. The Czech authority has already written the theme into its inspection plan.
Portugal's CNPD sets out where it will be looking until 2029
On 24 July 2026 the Portuguese authority approved its multiannual plan for 2027-2029 and its 2027 activity plan. It is the kind of document almost nobody reads and which says, years in advance, where supervision will concentrate: digital training, digital vulnerability, regulatory capacity for the DSA, AI competences and neurodata.
Portugal: the largest fine ever teaches one thing. Vetting a processor is a substantive duty, not a form to sign
By Decision 2022/1072 the Portuguese CNPD imposed a single fine of EUR 4.3 million on INE for five infringements committed during the 2021 census. The most instructive is not the one about health and religious data: it is that INE, although the supplier had an office in Lisbon, contracted with the US-based company, accepting California jurisdiction and the routing of data across two hundred servers, with standard contractual clauses and no supplementary measures.
Legitimate interest is not the fallback legal basis
In Case C-621/22 the Court of Justice held that a commercial interest can constitute a legitimate interest under Article 6(1)(f). Many people read only that line. The rest of the judgment recalls that the conditions remain three and cumulative, and that the third - the balancing against the data subject's reasonable expectations - is where the case at hand was lost. For the DPO the consequence is practical: legitimate interest exists only if it is written down somewhere.
Damages under the GDPR: what a claimant actually has to prove
Regulatory fines make the headlines; civil claims pay the lawyers. Since 2023 the Court of Justice has held that compensation under Article 82 requires three cumulative elements - infringement, damage, causal link - with no threshold of seriousness. It has also held that a well-founded fear that your data has fallen into the wrong hands is already non-material damage. For the controller this moves the battleground: not the gravity of the harm, but proof of the measures in place.
Competition and data protection: the EDPB opens the table, and there is a deadline
After the DSA and before the DMA and the AI Act, the fourth piece of the European regulatory mosaic concerns the relationship between competition and data protection. This is not theoretical: it touches data as a market asset, mergers, and the position of those who process data because they dominate a market. The EDPB and the Commission are asking for input before they write, and this time the deadline is close.
Anti-money laundering and privacy: the EDPB and AMLA write the sharing rules together
On 1 July 2026 the EDPB and the European Anti-Money Laundering Authority announced joint guidelines on a question neither could solve alone: how banks, professionals and authorities can share information about suspicions without building unchecked lists of suspects. The possibility applies from 10 July 2027 and the public consultation is expected in the first half of that year. Anyone advising obliged entities has a year to prepare.
EDPB from Dublin: a legal basis is needed so authorities can share information across regulatory fields
The number and complexity of complaints are rising, partly because of increased use of AI, and authorities say openly that resources are not enough. The solutions on the table: joint operations, pooling resources between authorities, and the upcoming Procedural Regulation.
EDPB binding decision 1/2026: a cookie complaint cannot be dismissed by claiming the complainant is abusing their rights
The lead authority wanted to close the case claiming abuse of Art. 77 and Art. 80(1). The Austrian DPA objected and the EDPB agreed: neither the objective nor the subjective component of abuse was demonstrated. The complaint goes back and must be assessed on the merits.
Monitoring staff: the CNIL recalls there are three conditions and all must be met. Proportionality is only the first
On 9 July 2026 the CNIL updated its page on monitoring staff activity. The content looks like revision, but there is one point that practice keeps underrating: the conditions are three, they are cumulative, and two of the three have nothing to do with how intrusive the tool is.
71% of DPOs want the AI Act in their remit. 27% say they know it. 85% have never had AI training
On 3 July 2026 the French labour ministry, the AFCDP and the CNIL published the fifth edition of the DPO Profession Observatory, carried out by the Afpa. The easy reading is that DPOs are becoming the AI point of contact. The useful reading is different: between those who want the AI Act in their remit and those who say they know it there is a 44-point gap, and the AI Act never mentions the DPO at all.
Austria: the Supreme Administrative Court cuts the fine from 18 to 13 million. But the part to read is where it says a compliance programme excuses nothing
On 24 June 2026 the Austrian Verwaltungsgerichtshof closed proceedings pending since 2019, reducing to EUR 13 million the fine for processing 'party affinities' calculated for around 2.2 million people. The headlines will be about the discount. For a DPO what matters is the rest: the Court says that punishing a legal person requires no act by its management bodies, that having resources to take advice raises the bar rather than lowering it, and that the charges on the DPIA and the record of processing fall away by absorption - not because those documents were correct.
Sweden: SEK 6 million for an SQL injection. The hardest part is not the fine, it is that the risk had been sitting in their own risk register since 2021
On 26 January 2026 the Swedish authority fined Sportadmin i Skandinavien AB SEK 6,000,000 for breaching Article 32(1). The platform handles memberships, invoicing and websites for sports clubs: the 16 January 2025 attack exposed the data of 2,126,075 people, mostly children, including allergies and disabilities. But the passage worth reading twice is another one: since 2021 the company had identified the risk of SQL injection in its own annual reviews, and IMY cites exactly that to establish gross negligence.
Netherlands: who supervises the AI Act, and where they will start. Prohibited practices and AI literacy, not high-risk systems
The Dutch government has designated the Autoriteit Persoonsgegevens and the Rijksinspectie Digitale Infrastructuur as coordinating national supervisors for the AI Act. The 2026 work agenda lists five priorities: overarching system supervision, transparency and explainability, frameworks and standards, testing for bias and fairness against discrimination, and AI literacy. The first formal enforcement actions are expected during 2026, starting with organisations using prohibited practices or demonstrably neglecting the AI literacy obligation.
France: 23 fines in six months under the simplified procedure. Small amounts, new target
In the review published on 6 July 2026 the CNIL counts 23 new fines adopted since January under its simplified procedure, totalling EUR 133,750. Three infringements recur: excessive video surveillance, non-compliant cookie banners, and failure to respond to access and erasure requests. One example of the kind of target: EUR 7,500 against a company operating public toilet facilities, on 2 April.
France: EUR 5 million for IQVIA. The pharmacy software kept sending the data even when the patient had said no
On 26 May 2026 the CNIL's restricted committee fined IQVIA Operations France EUR 5 million. The company runs two health data warehouses for third-party studies: LRX, authorised in 2018 and fed by around 14,000 pharmacies, and EMR, authorised in 2021 and fed by several thousand doctors. Among the findings, the most instructive: the practice management software used in pharmacies transmitted customer data to IQVIA even where the customer had objected.
Finland: the Supreme Administrative Court upholds the fine on Verkkokauppa.com. The failing: never having defined how long to keep the data
On 12 June 2026 the Korkein hallinto-oikeus, Finland's Supreme Administrative Court, dismissed Verkkokauppa.com's appeal against the penalty imposed by the Finnish Data Protection Ombudsman's sanctions board (decision KHO 12.6.2026/1604). The original amount was EUR 856,000, reduced by the Administrative Court to EUR 792,639 on the basis of the company's most recent turnover. The finding does not concern a data breach: it concerns the fact that the company had never defined retention periods for customer account data.
Poland: a municipality fined not for publishing the data of 749 petition signatories, but for never reporting it
On 25 May 2026 the President of the UODO fined the mayor of Myslenice PLN 7,700. An un-anonymised petition had been published in the municipality's Public Information Bulletin: names, surnames, home addresses and signature specimens of 749 people. The core of the decision is not the publication, which the municipality corrected by replacing the file: it is that the breach was never notified to the authority, not even after the authority asked.
Netherlands: the Council of State confirms the annulment of the EUR 600,000 fine for Enschede's wifi tracking
On 29 July 2026 the Administrative Jurisdiction Division of the Raad van State dismissed the appeal of the Autoriteit Persoonsgegevens against the municipality of Enschede, upholding the February 2024 judgment of the Overijssel District Court. The EUR 600,000 fine, imposed in March 2021 for counting city-centre visitors through sensors capturing the MAC addresses of wifi-enabled devices, remains annulled. The reason is not that the tracking was lawful: it is that the authority did not sufficiently demonstrate that the MAC addresses collected qualified as personal data and that processing of personal data had therefore taken place.
Poland: WhatsApp in the sales network brings a fine for the processor, and a reprimand for the controller that never vetted it
On 22 June 2026 the President of the UODO, Miroslaw Wroblewski, closed the proceedings opened after a breach notification by Energa-Obrot: reprimands for the controller and the processors, and an administrative fine of PLN 10,145 for one of the processors. At the root of it, the use of WhatsApp by sales representatives of a door-to-door network during the pandemic: on a former agent's private phone there were scans and photographs of customer contracts, in group conversations, for many months.
Ireland: EUR 277,500 for Permanent TSB over a contact centre that could be fooled, and for reporting late
On 8 May 2026 the Irish Data Protection Commission closed its inquiry into a series of personal data breaches at Permanent TSB, first notified in May 2022. Malicious actors, holding certain customer information, called the Open24 contact centre posing as customers, gained access to accounts and amended account details. Some customers lost money. The authority issued a reprimand and fines totalling EUR 277,500.
The Dutch authority names its 2026-2028 priorities: mass surveillance, artificial intelligence, digital resilience
The Autoriteit Persoonsgegevens has set three strategic priorities for 2026-2028: mass surveillance, artificial intelligence and digital resilience. In its 2026 annual plan the authority states that it is allocating more capacity to AI and algorithms and will concentrate on large-scale systems with significant societal impact, without distinguishing between the public and private sectors. For anyone with clients in the Netherlands, or considering that market, it is the most useful piece of information of the year - and it costs nothing.
Netherlands and Poland: two authorities that raised the bar in 2026
The Dutch Autoriteit Persoonsgegevens has increased its budget and headcount and has named transparency, tracking and cookies among its 2026 supervisory priorities, with an approach that is openly less advisory and more enforcement-driven. In Poland the President of the UODO has shifted attention towards small and medium enterprises, a segment until recently little touched by inspections. For anyone with clients in those countries, or considering it, these are two signals that change the cost-benefit balance of compliance.
Piaggio fined 460,000 euro: 112 company emails read, backups kept for five years after termination
The Italian data protection authority has fined Piaggio & C. Spa 460,000 euro over the way the company managed employee email accounts. The investigation, opened after complaints by two former employees, established that 112 emails had been acquired during the employment relationship, some dating from roughly two years before any suspicion arose, made possible by backups retained for the whole duration of employment and up to five years after termination. Alongside the fine, the authority banned the company from accessing the data it had collected.
AI Act in Italy: the data protection authority becomes market surveillance authority for high-risk systems in justice, borders and democratic processes
The Italian data protection authority has issued a favourable opinion on the draft legislative decree implementing the AI Act in Italy. The decree sets out national governance and designates the authority as market surveillance authority for high-risk AI systems used in the areas most sensitive for fundamental rights: justice, law enforcement, immigration, border management and democratic processes. Among the conditions attached, one concerns any organisation: extending the ban on decisions based solely on automated systems to assessments affecting the employment relationship.
Misconfigured document register: 12,000 euro fine for the Metropolitan City of Sassari
Following a data breach notification and a complaint, the Italian data protection authority fined the Metropolitan City of Sassari for misconfiguring its electronic document register, making documents containing personal data accessible to staff who, given their role and duties, were not authorised to process them. The fine is 12,000 euro, but the principle applies to every public body and every company running a document management system: filing is not a neutral activity, and a default of total visibility breaches the principles of integrity and confidentiality.
AI Act, 2 August: what actually applies and what has been postponed to 2027
For two years 2 August 2026 was presented as the day obligations for high-risk AI systems would start. The Digital Omnibus package changed that calendar: requirements for Annex III high-risk systems move to 2 December 2027 for stand-alone systems and 2 August 2028 for those embedded in products already covered by sectoral legislation. 2 August nonetheless remains an operative date: the transparency obligations of Article 50 become applicable, together with the full operation of governance and penalties, with national authorities acquiring full powers.
Denmark: cookies are the 2026 priority, and fines are decided by a court
The Danish authority has flagged cookie consent as a supervisory priority for 2026, coordinating with the Digitaliseringsstyrelsen, which oversees the ePrivacy implementation while Datatilsynet applies the GDPR. But Denmark has a peculiarity that changes how every one of its decisions should be read: its constitutional order does not allow an administrative authority to impose punitive financial penalties. Recital 151 GDPR expressly anticipates this for Denmark and Estonia: the fine is decided by a court as a criminal penalty, following a report by the authority to the police.
Email tracking pixels: France has already closed its grace period, Italy's runs to October
With deliberation no. 2026-042 of 12 March 2026, made public on 14 April, the French CNIL adopted its final recommendation on email tracking pixels: for most marketing uses, prior consent is required, just as for cookies. Existing contact bases were given three months to inform recipients and allow them to object, a period that ended on 14 July 2026, with checks announced from that date. In Italy the authority reached the same conclusion with decision no. 284 of 17 April 2026, but with a longer compliance window.
Wind Tre, EUR 1.7 million: the breach started with a phone call
The Italian DPA fined Wind Tre EUR 1,715,600 (decision no. 348 of 14 May 2026, made public with the 16 July newsletter). The starting point was not a sophisticated cyberattack: people posing as support technicians convinced staff at two retail outlets to allow access to company systems. From there, identification and contact data of 365,048 customers were exfiltrated; for 41,359 of them, payment method information as well, including IBANs, postal payment slips and credit cards with partially masked numbers and expiry dates. The charges: breach of the integrity and confidentiality principle (Art. 5(1)(f)) and of security obligations (Art. 32(1)(b)).
Cookies, France holds the line: EUR 1.5 million to American Express and the topic stays a 2026 priority
In January 2026 the CNIL fined American Express EUR 1.5 million for cookie violations, confirming that the topic remains a standalone enforcement priority alongside artificial intelligence and cybersecurity. In 2025 there had been 21 cookie decisions, totalling over EUR 475 million. The recurring charges are always the same: trackers set before consent, a reject button less visible or further away than the accept button, inadequate information.
Call centre recordings: the customer has a right to access them, and a transcript is enough
A customer had asked to access their own data contained in a recorded call with customer service. The company refused, considering the protection of the agent's confidentiality to prevail. The authority held that the request could be satisfied by providing the transcript, provided the elements identifying other people involved are redacted: given the professional context of the call and its subject, a supply contract, redaction would not have prejudiced the agent's confidentiality.
EDPB adopts guidelines on anonymisation, web scraping for generative AI, and blockchain
At its July 2026 plenary, the European Data Protection Board adopted guidelines on anonymisation and on web scraping in the context of generative artificial intelligence, together with the final version of the guidelines on processing personal data through blockchain technologies. Three documents addressing three recurring questions: when data is truly anonymous, on what conditions data may be collected from the web to train models, and how the immutability of a chain can be reconciled with data subjects' rights.
Spain: EUR 18 million to Amadeus for reusing booking data for product development
The Spanish authority fined Amadeus IT Group EUR 18 million (reduced to 14.4 with voluntary payment) for aggregating travellers' booking data into profiles for product development. The cross-border investigation found the reuse of data collected years earlier from airlines and agencies, for purposes data subjects could not reasonably expect, without an Article 14 notice and without a valid legitimate-interest balancing test.
Norway: loyalty programme under scrutiny, more than six million members involved
The Norwegian authority concluded proceedings opened after an audit of the Nordic entities of a retail group, finding several breaches relating to its loyalty programme: invalid consent, new processing purposes introduced without assessment, insufficient legitimate-interest balancing, and failure to answer data subject requests within the deadline. More than six million members across the Nordic region were affected.
Credit scoring in utilities: the Italian DPA hits the whole chain with three decisions in one day
With three decisions adopted in the same session on 3 July 2026, the Italian DPA targeted the credit-scoring chain applied to energy supply contracts: Experian Italia, Hera Comm and Cerved. The charges are similar and paint a clear picture: deficient notices, breaches of minimisation and storage limitation, privacy by design and by default disregarded, inadequate responses to access requests and poorly governed Article 28 relationships along the chain.
Whistleblowing: without consulting the unions, the procedure is not compliant
A preliminary requirement that almost everyone overlooks is back in the spotlight: Article 4 of Legislative Decree 24/2023 requires internal reporting channels to be activated after hearing worker representatives or trade unions. The ANAC guidelines clarify that failing to do so makes the procedure non-compliant and may trigger a sanction under Article 21. It also applies to substantial updates, not just first activation.
Data breach: Italian DPA fines Wind Tre EUR 1.7 million after exfiltration of 365,000 customers' data
In its 16 July 2026 newsletter the Italian DPA announced a EUR 1.7 million fine to telecom operator Wind Tre following a data breach with exfiltration of roughly 365,000 customers' data. The case confirms the authority's line on large operators: the incident itself is not the fault - the fault lies in security measures inadequate to the risk (Art. 32) and in how the breach was handled. In the same newsletter: two debt-collection companies fined (EUR 50k and 30k) and the customer's right to access the audio of their own support calls (Enel case).
Character.AI fined EUR 158,000: minors, late DPIA and missing EU representative
With a decision of 3 July 2026 (announced 9 July) the Italian DPA fined Character Technologies Inc., the US company behind Character.AI, EUR 158,000: deficient privacy notice (Arts. 12-14), a DPIA prepared late relative to the service launch, late designation of the EU representative (Art. 27) and shortcomings in minor protection and age verification. Beyond the fine, corrective measures within 120 days: working age verification, an effective cooling-off period against re-registration by blocked minors, minors' profiles private by default.
Children's photos on social media: both parents must consent
In its 17 June 2026 newsletter the Italian DPA restated a principle that matters well beyond family disputes: publishing photos of minor children on social media requires the consent of BOTH parents. In case of disagreement, the child's protection prevails. For the DPO it is an operational criterion affecting schools, nurseries, sports clubs, parishes and companies publishing images of minors for promotional purposes.
Italian DPA to hoteliers: do not keep copies of guests' ID documents
In a notice addressed to the hospitality sector, the Italian DPA reiterated that hoteliers may not keep copies of guests' identity documents: the legal duty (Art. 109 of the Italian public-security code) is to identify the guest and transmit the data to the police via the Alloggiati Web portal - after that, document copies must be destroyed or deleted. A widespread habit becomes a concrete sanction risk.
Data breach: EDPB puts a new EU-wide notification template up for consultation
The EDPB has opened a public consultation on a new harmonised data-breach notification template, designed to align the information requested by authorities across Member States. For DPOs it is operational news: the content of the Art. 33 notification is becoming standardised, and anyone with a structured internal procedure (facts, categories, risk assessment, measures) will find the work already done.
Enel Energia fined EUR 563,052: the 'administrative' call that turns into a sales pitch
With decision no. 170/2026 the Italian DPA fined Enel Energia EUR 563,052: during purely administrative contacts (supply paperwork, takeover confirmations), including via third parties, commercial offers were made without a valid legal basis - even to customers on the opt-out register or who had expressly refused marketing consent. Also challenged: a re-contact mechanism based on opt-out (an SMS with 90 seconds to refuse) and partner vetting - one agency was contracted two months after being sanctioned by the DPA for marketing.
Italy's DPA fines AgID: EUR 55,000 to the Agency for Digital Italy over transparency and privacy by design
With injunction order no. 419 of 28 May 2026 the Italian DPA declared unlawful certain personal data processing carried out by AgID - the Agency for Digital Italy, with a EUR 55,000 fine and publication of the decision on the authority's website. The breaches concern lawfulness, fairness and purpose limitation (Art. 5), information duties towards data subjects (Arts. 12 and 14) and data protection by design (Art. 25).
Italy's DPA halts stress and emotion monitoring at work: not even in aggregate form
With decision no. 342 of 2026, the Italian DPA reaffirmed that data on employees' health or psychological journey cannot be made accessible to the employer, not even in aggregate form. The case closes the loop with the AI Act, which expressly prohibits AI systems that infer people's emotions in the workplace (Art. 5): organisational wellbeing cannot turn into emotional surveillance.
Trenitalia tells customers about a data breach eight months after the attack: an Art. 34 lesson
In July 2026 Trenitalia informed its customers of a data breach suffered roughly eight months earlier. Beyond the outcome, the case is a textbook lesson on the difference between notifying the authority within 72 hours (Art. 33) and communicating to data subjects 'without undue delay' when the risk to their rights is high (Art. 34): eight months are hard to justify, and in the meantime the persons affected could not protect themselves.
Italian DPA annual report: collected fines +54.5%, almost 7 data breaches notified per day, AI at the centre
On 2 July 2026 the Italian DPA presented its 2025 activity report to Parliament: 807 collegial decisions, 506 corrective and sanctioning measures, over EUR 37.7 million in fines collected (+54.5% on 2024), 2,415 data breaches notified (+10%), 130 inspections. AI takes centre stage: from DeepSeek to deepfakes, from facial recognition at the airport to worker surveillance.
SPID under scrutiny: Lepida fined, data of 1.5 million citizens viewable 'out of mere curiosity'
With a decision of 29 April 2026, the Italian DPA fined Lepida (EUR 100,000), one of Italy's main SPID identity providers: over 7,000 counter operators could view data and download copies of ID documents and health cards of more than 1.5 million citizens, even with no operational need. The DPA found accesses 'out of mere curiosity' and documents left stored on operators' workstations after identification.
Digital Omnibus: EU Council approves changes to the AI Act. What it means if you are preparing
On 29 June 2026 the EU Council approved the proposed regulation that streamlines and simplifies certain AI rules, amending the AI Act (the 'Digital Omnibus' package). Negotiations with Parliament continue: until final adoption, the current AI Act text remains the reference, including the August 2026 transparency deadlines.
Italy's DPA fines Emirates EUR 180,000: passenger health data kept for 7 years and an unclear notice
The Italian DPA fined Emirates EUR 180,000 over the handling of reduced-mobility passengers' health data. The case started from a complaint by a passenger asked to fill in a medical form despite not being in the categories required to do so. The key point for DPOs: the collection itself was lawful, but the authority faulted an inadequate notice and excessive retention (7 years).
Loyalty-card data used to fire an employee: Italy's DPA says no. A lesson on purpose limitation
With decision no. 311 of 29 April 2026, the Italian DPA found unlawful the employer's use of data collected through the loyalty card to support an employee's dismissal. That data had been collected to run the loyalty programme, not to monitor or discipline staff. The point for DPOs: having a piece of data does not mean you can use it for any purpose.
EDPB 2026: the EU coordinated action targets transparency (Art. 12-14). What to check in privacy notices
For 2026 the EDPB chose TRANSPARENCY as the topic of its coordinated enforcement action: authorities will examine how organisations inform data subjects under Art. 12-14. In short: clear, complete, verifiable notices. A good moment to review your clients' documents.
GDPR fines top EUR 7.1 billion: enforcement accelerates and SMEs are not exempt
Cumulative GDPR fines have passed EUR 7.1 billion across 1,400+ decisions. Enforcement is accelerating, not plateauing. And contrary to a common myth, SMEs do get fined: smaller amounts, same proportional severity.
France fines IQVIA EUR 5M: pseudonymisation does not take you out of the GDPR
In France the authority (CNIL) fined IQVIA EUR 5 million, clarifying a point many confuse: pseudonymising data - even health data - is not the same as anonymising it. Pseudonymised data remains personal data and must be handled with all the safeguards of the Regulation, including the enhanced ones in Art. 9.
Rome Court annuls the Garante's EUR 15M fine against OpenAI: the one-stop-shop decides
The Rome Court annulled the EUR 15M fine the Italian Garante imposed on OpenAI in 2024. The judge does not rule on the merits (legal basis, notice, age verification): it upholds the jurisdiction argument. For cross-border processing the one-stop-shop and lead authority govern.
The Garante's 2026 inspection plan: six areas and how to be ready
The Italian Garante set its 2026 inspection areas, backed by the Finance Police tech-fraud unit. Topics include data breaches in public databases and abusive access. Those who document self-assessment and lesson learning get treated differently.
France: CNIL fines France Travail EUR 5 million - 36.8 million data subjects and a social-engineering attack
The CNIL fined France Travail (formerly Pole Emploi) EUR 5 million after a breach exposing the data of around 36.8 million people. Attackers used social engineering against partner advisers' accounts. The lesson: having security plans is not enough, they must actually be implemented.
France: EUR 1.7 million to Nexpublica - health and disability data accessible to other users through long-known flaws
The CNIL fined software vendor Nexpublica EUR 1.7 million: its PCRM tool, used by social services, exposed sensitive documents (including disability data) to other users. The flaws were known from prior audits but left open. A textbook case for anyone processing health data.
Spain: AEPD fines Aena EUR 10 million for biometric boarding without adequate DPIA
The Spanish Data Protection Agency fined Aena over EUR 10 million for launching its biometric boarding programme without completing an adequate DPIA. Not a data breach: a failure of preventive accountability.
Netherlands: the EUR 290 million Uber fine and the Dutch Authority's new priorities for 2026
The Autoriteit Persoonsgegevens confirmed the EUR 290 million fine against Uber for unlawful transfers to the US. Meanwhile the Authority sets three strategic priorities for the next two years every DPO should know.
Data breach: Italy's DPA fines The European House - Ambrosetti EUR 85,000 over plaintext passwords and late notification
The Italian DPA fined The European House - Ambrosetti spa EUR 85,000 following a 2024 data breach affecting 61,670 people. The attack, via a technical vulnerability, led to the exfiltration of names, emails, usernames and passwords. The point for DPOs: the breach was notified to the regulator within 72 hours, but data subjects were informed only after two months and after the authority stepped in.
EDPB CEF 2026: 25 European DPAs verify transparency of privacy notices
The European Data Protection Board has launched the 2026 coordinated action on transparency and information obligations. 25 national DPAs (including the Italian Garante) are already contacting controllers in various sectors. What to expect and how to prepare.
Italian DPA cracks down on WhatsApp and Telegram in public administration: ban on operational communications with citizens from July 1, 2026
The Italian DPA (Garante) issued a general provision banning Italian public administrations from using WhatsApp, Telegram, Messenger and other commercial messaging apps for operational communications with citizens. Banned also for requesting documents, certificates or personal data. PAs must use institutional channels (PEC, portals, SPID-auth) by July 1, 2026. Fines up to 100,000 EUR.
Spain: AEPD publishes Europe's first guidance on agentic AI and data protection
The Spanish Data Protection Agency is the first European Authority to publish elaborate guidance on agentic AI. It explains the concept, the vulnerabilities in processing personal data and mitigation measures for controllers and processors.
Vodafone Germany fined EUR 45 million: the Art. 28 GDPR lesson on processor controls
The German Federal Commissioner for Data Protection (BfDI) imposed a total fine of EUR 45 million on Vodafone GmbH: 15M for Art. 28 violation (processor oversight) and 30M for Art. 32 (security). A decision that redefines accountability expectations on processors.
NIS2 and GDPR: how to orchestrate them operationally after Italian Decree 138/2024. The DPO checklist for the NIS Operator
After the NIS2 transposition with Legislative Decree 138/2024, Italian companies qualified as 'essential entities' or 'important entities' must coordinate NIS2 obligations (cyber security, 24h incident reporting) with GDPR obligations (72h data breach). The DPO is not the NIS Coordinator but must interface: risk of double sanctions if not properly orchestrated.
EDPB publishes guidelines on public DPO profiles: transparency, accountability and data subject rights
The EDPB clarifies how to process the professional data of DPOs exposed publicly on online directories: legal basis, purposes, data subject rights and platform responsibilities.
AI Act August 2026: high-risk systems deadline. Mandatory DPIA for enterprise LLMs
The EU AI Act enters its critical phase: August 2026 triggers obligations for high-risk systems. The Italian Garante has already anticipated enforcement with the EUR 5M fine to Luka (Replika). What DPOs must do now.
AI Act and DPO: how the DPO role changes with deployer obligations entering into force in August 2026
In less than 3 months, the AI Act sections dedicated to deployers (users) of high-risk AI systems enter into force. The DPO becomes a key interlocutor for impact assessment, data subject information and monitoring.
Corporate email post-termination: Italian DPA fines ITAS Mutua
The Italian Data Protection Authority addresses the management of corporate emails after employment termination. ITAS Mutua sanctioned for undocumented access and retention beyond necessary.
TikTok vs Irish DPC: Supreme Court suspends 530 million euro fine
The Irish Supreme Court confirms the suspension of the record 530M EUR fine imposed by the DPC on TikTok for EEA data transfer to China. The case exposes the structural problem of enforcement timing against big tech.
Email tracking pixels: new Italian DPA Guidelines
On April 17, 2026, the Italian DPA adopted Guidelines on tracking pixels in emails. For DPOs: 6 months to align privacy notices, consent flows, and privacy-by-design techniques.
Intesa Sanpaolo: 31.8M euro fine from the Italian DPA
The Italian Data Protection Authority fines Intesa Sanpaolo for a data breach affecting 2.4 million customers. Late notification and incomplete information among the key issues.
Rome Court annuls 15M euro fine against OpenAI
The Rome Court annuls the fine that the Italian DPA had imposed on OpenAI for the ChatGPT case. A decision that redefines the scope of GDPR enforcement on generative AI models.
Enel Energia fined over 500,000 euros: telemarketing without consent
The Italian DPA fines Enel Energia for promotional calls to subjects who had not provided consent or had registered their number in the public opposition register.
Italian Supreme Court 984/2026: the DPA 120-day deadline is final
With its January 17, 2026 ruling, the Italian Supreme Court confirms that the 120-day deadline for concluding the DPA's enforcement proceedings is final. A relevant decision for those handling privacy litigation.
EDPB: DPOs are under-resourced and disconnected from top management
EDPB publishes the results of the coordinated enforcement action: insufficient resources, lack of access to top management, conflict of interest risk. A snapshot that also concerns Italian external DPOs.
France's Conseil d'Etat: the line between anonymization and pseudonymization narrows
France's State Council confirms CNIL's approach on pseudonymized health data. A ruling that redefines the practical scope of GDPR anonymization and impacts all data analytics projects.
EDPS strengthens DPO independence: new binding rules
The European Data Protection Supervisor (EDPS) adopts new binding rules to protect DPO independence within Union institutions. A signal strengthening the role.
Digital Omnibus: EDPB and EDPS call for simplification without setbacks
EDPB and EDPS publish the joint opinion on the EU Commission's Digital Omnibus package. Positive measures on data breach and DPIA, but strong opposition to the revision of the personal data definition.
Italian DPA 2026 inspection plan: data breach, whistleblowing, AI in schools
The Italian DPA published its inspection activities plan for January-June 2026. Sectors at risk: banking data breaches, health dossiers, energy telemarketing, and AI in schools.
CNIL fines Free Mobile and Free 42 million euros: 24 million customer data breach
The French Authority separately fines Free Mobile (27M) and Free (15M) for a breach that exposed 24 million subscribers in October 2024. A decision that clarifies the scope of Art. 34 GDPR.