GDPR-compliance i Norden (DK/SE/NO/FI) – særregler i de enkelte lande

GDPR gælder ens på tværs af EU/EØS – men hvert land har nationale særregler og praksis, der især rammer emner som kameraovervågning, medarbejderovervågning og brug af nationale id-numre. Her er de vigtigste forskelle, I skal kende, når I arbejder nordisk. (GDPR artikel 87 giver fx lande ret til at fastsætte særlige betingelser for nationale id-numre). 

GDPR i Danmark (DK)

Den danske Databeskyttelseslov supplerer GDPR. To ting skiller sig ud i praksis: 

• CPR-numre har særlige regler (§11), som begrænser brugen og kræver ekstra hjemmel/sikkerhed. 

• Tv-overvågning er et særskilt område, som Datatilsynet også fører tilsyn med.
  Se mere hos Datatilsynet (den nationale tilsynsmyndighed). datatilsynet.dk

GDPR i Sverige (SE)

IMY (Integritetsskyddsmyndigheten) er tilsynsmyndighed. Sverige har både GDPR og en Kameraovervågningslov. Fra 1. april 2025 blev kravet om forhåndstilladelse til mange former for kameraovervågning fjernet (til gengæld skærpes kravene til ansvar og information). 

Sverige har også særlige regler for personnummer: udgangspunktet er, at behandling kræver samtykke – med undtagelser, hvor entydig identifikation er nødvendig eller andet taler tungt herfor. 

GDPR i Norge (NO)

Datatilsynet er tilsynsmyndighed. Norge er kendt for en restriktiv praksis omkring medarbejderovervågning: brug af digitale værktøjer til at overvåge medarbejderes udstyr er “grundlæggende ulovligt”, med snævre undtagelser og krav om nøje vurdering og proportionalitet. Der findes særregler for adgang til e-mail mv.

Norges regler om fødselsnummer (nationalt id-nummer) kræver, at behandling kun sker, når der er et legitimt behov for sikker identifikation. 

GDPR i Finland (FI)

Tilsynet varetages af Data Protection Ombudsman (Tietosuojavaltuutetun toimisto). Finland har en udbredt brug af personligt identitetskode (henkilötunnus) med særregler for, hvornår og hvordan den må behandles. Myndighedernes sider har praktiske Q&A’er om brugen – også i branchespecifikke situationer. 

Hvad betyder det for jer?

• Planlæg på tværs af lande, men tjek lokale særregler for kameraovervågning, medarbejderkontrol og nationale id-numre, før I ruller processer/systemer ud. 

• Har I grænseoverskridende behandling, kan én “lead” tilsynsmyndighed blive jeres primære kontakt (one-stop-shop), men lokale krav (sprog, praksis) gælder stadig.

Træn hele organisationen – hurtigt 

Grapes GDPR Kursus onlinekursus giver et fælles niveau i hele organisationen og kan tilpasses jeres politikker – så I både gør det rigtige og kan bevise det.