Californien har åbnet en ny fane i databeskyttelsesretten, og den rammer langt bredere end de fleste danske virksomheder aner. Med lanceringen af DROP-platformen (Delete Request and Opt-out Platform) den 1. august 2026 fik den californiske tilsynsmyndighed CalPrivacy for første gang et værktøj til at tvinge datamæglere til at slette forbrugerdata på tværs af hele branchen med ét samlet system. Halvanden uge senere kom de første bøder: 116.490 dollar til LocateSmarter og 52.400 dollar til Cybba, Inc. Beløbene er små sammenlignet med de GDPR-bøder på hundredvis af millioner euro, danske læsere er vant til at høre om. Men mekanismen bag er ny, og den rammer enhver virksomhed, der handler med amerikanske forbrugerdata, uanset om hovedkontoret ligger i København, Oslo eller Stockholm.
Sagen er interessant af tre grunde. For det første er det USA’s første forsøg på en centraliseret “slet mine data ét sted”-løsning, noget EU aldrig har haft brug for, fordi GDPR allerede giver borgere en generel ret til sletning. For det andet viser bødestørrelsen og den daglige straftakst, at Californien har bygget en håndhævelsesmodel, der minder mere om en møllesten end en advarselslampe. For det tredje rammer loven direkte danske og nordiske selskaber med amerikanske kunder, datterselskaber eller marketingpartnere, der sælger eller videregiver forbrugerdata om californiske borgere.
Hvad er Delete Act og DROP-platformen?
Delete Act (Senate Bill 362) blev vedtaget af Californiens delstatsforsamling i 2023, men det er først i 2026, at lovens vigtigste tand er kommet i drift. Loven pålægger alle registrerede datamæglere, virksomheder der indsamler og sælger personoplysninger om forbrugere, de ikke selv har direkte relation til, at tilslutte sig en central platform kaldet DROP. Her kan californiske borgere indsende én samlet anmodning om sletning, i stedet for at skulle kontakte hver enkelt datamægler manuelt.
Fra den 1. august 2026 er det ikke længere valgfrit. Over 500 registrerede datamæglere skal hente sletteanmodninger fra DROP mindst hver 45. dag og handle på dem. Ideen ligner på mange måder de “opt-out”-registre, danske forbrugere kender fra telemarketing, men skalaen er markant større, fordi den dækker hele den amerikanske datamæglerindustri i én bevægelse. California Privacy Protection Agency, som opererer under det forbrugervendte navn CalPrivacy, har ansvaret for at drive og håndhæve systemet.
Det, der adskiller DROP fra almindelig CCPA-håndhævelse, er straffen for passivitet. Ignorerer en datamægler en sletteanmodning, koster det 200 dollar per anmodning, per dag. Med en pukkel af tusindvis af ophobede anmodninger, som DROP havde samlet siden systemet gik i luften tidligere i 2026, kan regningen eskalere fra ubetydelig til virksomhedstruende på få uger, hvis compliance-afdelingen ikke reagerer hurtigt.
De første bøder: LocateSmarter og Cybba
Den 11. august 2026 annoncerede CalPrivacy sin første kombinerede håndhævelsessag under både CCPA og Delete Act. Datamægleren LocateSmarter blev idømt en bøde på 116.490 dollar. Sagen handlede om to ting: selskabet havde ikke registreret sig rettidigt som datamægler, og det krævede, at californiske borgere opgav en del af deres personnummer (Social Security Number), før de kunne udøve deres ret til fravalg. Tilsynet betragtede det sidste som en ulovlig barriere for borgernes rettigheder, en praksis der minder om, når danske virksomheder gør det unødigt besværligt at trække samtykke tilbage under GDPR.
To dage senere, den 13. august 2026, fulgte endnu en sag. Denne gang blev Cybba, Inc. idømt en bøde på 52.400 dollar for slet ikke at have registreret sig som datamægler inden fristen i 2025. To sager på under en uge sender et klart signal: CalPrivacy venter ikke på, at branchen selv retter ind. Manglende registrering udløser i sig selv 200 dollar om dagen i straf plus efterbetaling af registreringsgebyrer, hvilket hurtigt lægger sig oven i den oprindelige bøde, hvis en virksomhed har været ude af compliance i månedsvis.
Begge sager er små i kroner og øre sammenlignet med de GDPR-bøder, danske virksomheder kender fra Datatilsynet, men de fungerer som en varsling om, hvad der kommer. Med DROP nu fuldt operationelt og en dokumenteret vilje hos CalPrivacy til at handle hurtigt, forventer flere brancheanalytikere en bølge af nye sager i de kommende måneder, i takt med at flere datamæglere bliver gennemgået systematisk.
Bødestruktur: sådan regner Californien
CCPA og CPRA (California Privacy Rights Act, som udvidede CCPA i 2023) opererer med civilretlige bøder, der reguleres for inflation hvert andet år. For 2026 er satserne justeret til cirka 2.663 dollar per utilsigtet overtrædelse og cirka 7.988 dollar per forsætlig overtrædelse eller overtrædelse, der involverer en forbruger under 16 år. Det lyder beskedent for en enkeltstående hændelse, men multiplicerer man med antallet af berørte forbrugere, vokser regningen hurtigt.
Ved databrud kan berørte forbrugere desuden kræve mellem 100 og 750 dollar per person per hændelse i erstatning, eller et højere beløb, hvis de kan dokumentere et reelt tab. Med californiske selskaber, der ofte håndterer data om hundredtusindvis eller millioner af forbrugere, er det ikke svært at se, hvordan en enkelt sag kan ende i syvcifrede beløb. Ifølge en oversigt over CCPA-sager fra juli 2026 lå de ti største bøder i intervallet fra 375.000 dollar til 12,75 millioner dollar, hvilket illustrerer, hvor voldsomt beløbene kan stige, når en sag rammer et stort antal forbrugere på én gang.
Det, der gør 2026 til et vendepunkt, er samspillet mellem tre forskellige håndhævelsesspor, som nu virker parallelt: den klassiske CCPA/CPRA-regulering af almindelige virksomheder, Delete Act-forpligtelserne specifikt rettet mod datamæglere (inklusive DROP), og private søgsmålsretter ved databrud. En virksomhed kan i teorien blive ramt af alle tre samtidig, hvis den både sælger data uden korrekt registrering, ignorerer sletteanmodninger via DROP og efterfølgende bliver udsat for et brud.
| Overtrædelsestype | Bødesats 2026 | Bemærkning |
|---|---|---|
| Utilsigtet CCPA-overtrædelse | Ca. 2.663 USD per overtrædelse | Inflationsjusteret, gælder generelt for CCPA/CPRA |
| Forsætlig overtrædelse / overtrædelse mod mindreårig | Ca. 7.988 USD per overtrædelse | Højeste sats under CCPA/CPRA |
| Manglende registrering som datamægler | 200 USD per dag + efterbetalt gebyr | Gælder fra registreringsfristen i 2025 |
| Ignoreret DROP-sletteanmodning | 200 USD per anmodning, per dag | Ny sats indført med DROP fra 1. august 2026 |
| Databrud (privat søgsmål) | 100–750 USD per forbruger per hændelse | Eller dokumenteret faktisk tab, hvis højere |
| Størst registrerede CCPA-bøde (juli 2026) | 12,75 mio. USD | Del af top 10-listen over 2026-bøder |
GDPR og CCPA: to forskellige logikker
For danske læsere er sammenligningen med GDPR uundgåelig, og vi har tidligere gennemgået forskellene i detaljer i vores artikel om GDPR vs CCPA. Men Delete Act-sagen tilføjer en ny dimension til den sammenligning. Hvor GDPR bygger på en generel, borgerdrevet ret til sletning, som enhver dataansvarlig skal efterleve individuelt, har Californien i stedet bygget en centraliseret infrastruktur specifikt til datamæglerbranchen. Det er en mere amerikansk tilgang: stram regulering af en specifik, veldefineret branche frem for en bred, principbaseret lov, der gælder alle.
GDPR-bøder kan som bekendt løbe op i op til 4 procent af en virksomheds globale omsætning eller 20 millioner euro, alt efter hvad der er højest, hvilket vi så illustreret i sagen mod Uber, der blev pålagt en bøde på 825 millioner euro. CCPA’s bødeniveau er langt lavere per overtrædelse, men fordi bøden beregnes per forbruger og per dag i visse tilfælde, kan den samlede eksponering stadig blive alvorlig for selskaber med store amerikanske brugerbaser. Norden har også set egne eksempler på, hvor hurtigt GDPR-bøder kan eskalere, som da Elkjøp fik en bøde på 20 millioner norske kroner fra det norske datatilsyn.
Der er også en strukturel forskel i, hvem loven rammer først. GDPR gælder for stort set enhver virksomhed, der behandler persondata om EU-borgere, uanset branche. CCPA og Delete Act er derimod mere målrettede, hvor Delete Act specifikt går efter datamæglere, altså virksomheder, hvis forretningsmodel er at indsamle og videresælge data om personer, de ikke har en direkte kunderelation til. Det betyder, at almindelige e-handelsvirksomheder eller SaaS-selskaber med californiske kunder typisk falder ind under den bredere CCPA-regulering, mens adtech-selskaber, leadgenereringsfirmaer og data-broker-platforme rammes af den skarpere Delete Act-håndhævelse.
EU AI Act lægger endnu et lag oven på GDPR
Mens Californien strammer grebet om datamæglere, sker der samtidig noget i Europa, der gør billedet endnu mere komplekst for virksomheder med aktiviteter på begge sider af Atlanten. Håndhævelsesbestemmelserne i EU’s AI Act for højrisiko AI-systemer, der behandler personoplysninger, trådte i kraft den 2. august 2026, næsten samtidig med den californiske DROP-lancering. Overtrædelser her kan straffes med op til 35 millioner euro eller 7 procent af virksomhedens globale årsomsætning, afhængig af hvad der er højest og overtrædelsens karakter.
Ifølge en opgørelse offentliggjort den 20. august 2026 udstedte GDPR-myndigheder samlet 225.879.175 euro i bøder alene i andet kvartal 2026, svarende til omkring 260,59 millioner dollar. Det giver et gennemsnit på 2,48 millioner euro om dagen og 17,36 millioner euro om ugen i det kvartal. Sat i perspektiv af hele GDPR’s levetid anslår en velkendt håndhævelsestracker det samlede bødebeløb siden 2018 til omkring 6,11 milliarder euro frem til marts 2026, en stigning på 487,6 millioner euro sammenlignet med året før, fordelt på 2.685 registrerede bøder (eller 3.062, hvis man medregner sager med ufuldstændige oplysninger). Den gennemsnitlige GDPR-bøde i perioden 2018-2026 ligger på cirka 2.277.122 euro.
For danske virksomheder, der opererer internationalt, betyder det, at compliance-landskabet ikke længere kun handler om GDPR og Datatilsynet. Et selskab med amerikanske kunder, der samtidig bruger AI-baserede systemer til at behandle persondata, kan i princippet blive ramt af tre forskellige regelsæt på én gang: GDPR i Europa, AI Act for de AI-drevne dele af forretningen, og CCPA/Delete Act, hvis de har californiske brugere eller sælger data videre til amerikanske partnere.
Hvorfor det rammer danske og nordiske virksomheder
Det er fristende at afskrive Delete Act som et rent amerikansk anliggende, men loven har lang arm. Enhver virksomhed, der opfylder definitionen på en “datamægler” under californisk ret, og som har californiske forbrugere i sin database, er omfattet, uanset hvor virksomheden er registreret. Det gælder blandt andet nordiske adtech-selskaber, leadgenereringsplatforme, influencer-marketingbureauer, der handler med kontaktdata, og SaaS-virksomheder, der sælger anonymiserede eller pseudonymiserede brugerprofiler til amerikanske annoncenetværk.
Vi har tidligere skrevet om, hvordan mange danske og nordiske virksomheder allerede er presset af regulatorisk usikkerhed omkring amerikansk teknologi, blandt andet i vores dækning af, hvordan 52 procent af danske organisationer ønsker at reducere deres afhængighed af amerikansk teknologi. Delete Act-sagen føjer endnu et lag til den bekymring: det er ikke kun et spørgsmål om at være afhængig af amerikanske cloud-udbydere, men også om at overholde amerikansk lovgivning, hvis man selv sælger eller deler data om amerikanske forbrugere som en del af sin forretning.
Konkret betyder det, at en dansk virksomhed, der eksempelvis driver en marketingplatform med californiske kunder og videresælger leaddata til tredjeparter, bør undersøge, om den er forpligtet til at registrere sig som datamægler hos CPPA, og om den er tilsluttet DROP-systemet. Ignorerer man forpligtelsen, er strafferammen den samme, uanset om hovedkontoret ligger i Californien eller i Aarhus.
Historisk kontekst: fra CCPA 2020 til Delete Act 2026
CCPA trådte oprindeligt i kraft i januar 2020 og var USA’s første omfattende delstatslige privatlivslov, ofte omtalt som “Californiens GDPR”, selvom de to love aldrig har været identiske. I 2023 blev CCPA udvidet markant med CPRA, som blandt andet skærpede bødesatserne, indførte en dedikeret tilsynsmyndighed (California Privacy Protection Agency) og lagde grunden for senere lovgivning som Delete Act.
Delete Act, formelt Senate Bill 362, blev vedtaget i 2023, men implementeringen er sket gradvist. Registreringsfristen for datamæglere lå i 2025, mens selve DROP-platformen først blev fuldt funktionsdygtig i august 2026. Den lange indfasningsperiode har givet branchen tid til at forberede sig, hvilket gør det desto mere bemærkelsesværdigt, at CalPrivacy allerede i de første to uger fandt selskaber, der enten ikke havde registreret sig rettidigt eller aktivt gjorde det svært for forbrugere at bruge deres rettigheder.
Det mønster kan minde om, hvordan GDPR-håndhævelsen udviklede sig efter 2018: de første år bestod overvejende af advarsler og mindre bøder, mens de virkelig store sager, som Uber-bøden på 825 millioner euro, først kom flere år inde i lovens levetid, efterhånden som tilsynsmyndighederne opbyggede erfaring og efterforskningskapacitet. Hvis samme mønster gentager sig i Californien, er LocateSmarter- og Cybba-sagerne sandsynligvis kun de første af mange.
Markedseffekt: datamæglerbranchen under pres
For datamæglerbranchen i USA betyder DROP en fundamental ændring af forretningsmodellen. Tidligere kunne forbrugere teoretisk kontakte hver enkelt datamægler for at bede om sletning, men i praksis var det så besværligt, at meget få gjorde det. Med et centralt system, hvor én anmodning rammer over 500 registrerede datamæglere samtidig, stiger antallet af reelle sletteanmodninger markant, hvilket lægger et helt nyt operationelt pres på selskaber, der er bygget til at indsamle data, ikke til at slette det systematisk og hurtigt.
Analytikere, der følger sektoren, peger på, at en betydelig andel af registrerede datamæglere ikke var fuldt forberedt på forpligtelserne, da de trådte i kraft, hvilket forklarer den hurtige håndhævelse. For adtech- og leadgenereringsselskaber, der lever af at aggregere og videresælge forbrugerprofiler, betyder det enten investering i ny compliance-infrastruktur, konsolidering (mindre spillere, der bliver opkøbt af større aktører med bedre compliance-kapacitet), eller i værste fald exit fra det californiske marked.
For nordiske virksomheder, der leverer teknologi eller data til denne branche, kan konsekvensen blive kunder, der stiller strengere krav til dokumentation og dataflow, før de vil indgå eller forny kontrakter. Det er samme mønster, vi har set i Europa i kølvandet på skærpet GDPR-håndhævelse: compliance bliver et konkurrenceparameter, ikke kun en juridisk forpligtelse.
Sådan adskiller Delete Act sig fra almindelig CCPA-håndhævelse
| Parameter | Almindelig CCPA/CPRA | Delete Act / DROP |
|---|---|---|
| Målgruppe | Alle virksomheder over visse omsætnings- og datatærskler | Specifikt registrerede datamæglere |
| Mekanisme | Individuel opt-out per virksomhed | Central sletteanmodning via ét system |
| Hyppighed for handling | Løbende, ved modtagelse af anmodning | Mindst hver 45. dag |
| Straf for passivitet | 2.663–7.988 USD per overtrædelse | 200 USD per anmodning, per dag |
| Idriftsættelse | Januar 2020 (CCPA), 2023 (CPRA-skærpelser) | 1. august 2026 (fuld drift) |
| Første kendte sager | Flere sager siden 2020 | LocateSmarter og Cybba, august 2026 |
Hvad danske compliance-ansvarlige bør gøre nu
Første skridt er at afklare, om virksomheden overhovedet falder ind under definitionen af en datamægler efter californisk ret. Det afgørende kriterium er, om man sælger eller videregiver personoplysninger om forbrugere, man ikke selv har en direkte, gennemsigtig relation til. Rene B2B-SaaS-selskaber uden californiske slutbrugere vil typisk ikke være omfattet, mens adtech-, martech- og leadgenereringsselskaber ofte vil være det.
Er man i tvivl, er det billigere at få afklaret status juridisk nu end at opdage det via en bøde. California Attorney General’s officielle CCPA-side og CalPrivacy’s egne annonceringer er de mest pålidelige kilder til opdaterede krav, og begge opdateres løbende i takt med nye håndhævelsessager. Herhjemme er det naturligt at holde samme proces op mod de krav, Datatilsynet allerede stiller under GDPR, da mange af de underliggende principper, gennemsigtighed, minimering og ret til sletning, går igen på tværs af de to regelsæt, selvom håndhævelsesmodellerne er forskellige.
Praktisk betyder det, at compliance-teams bør kortlægge alle datastrømme, der involverer amerikanske forbrugere, tjekke om virksomheden allerede er registreret i Californiens datamæglerregister, og sikre, at der er en proces til at hente og handle på DROP-anmodninger inden for den lovpligtige 45-dages-frist. Mangler man ressourcer internt, er det værd at inddrage juridisk rådgivning med specifik erfaring i amerikansk delstatslovgivning, da CCPA og Delete Act adskiller sig markant fra GDPR i både struktur og håndhævelsespraksis.
Fem forudsigelser for de kommende måneder
- Flere sager i 2026: Med DROP fuldt operationelt og en dokumenteret vilje til hurtig håndhævelse forventes en bølge af nye sager mod datamæglere, der ikke har efterlevet registrerings- eller sletteforpligtelserne rettidigt.
- Stigende bødebeløb: De første sager lå under 120.000 dollar, men i takt med at CalPrivacy retter fokus mod større aktører med flere berørte forbrugere, vil enkeltsager sandsynligvis nå op i syv- og ottecifrede beløb, som allerede set i toppen af 2026’s CCPA-liste.
- Konsolidering i datamæglerbranchen: Mindre datamæglere uden ressourcer til compliance vil enten blive opkøbt af større spillere eller trække sig fra det californiske marked.
- Flere delstater følger efter: Andre amerikanske delstater med egne privatlivslove vil sandsynligvis overveje lignende centraliserede sletteplatforme, efterhånden som DROP-modellen viser sig effektiv.
- Øget krydspres fra AI Act og GDPR: Virksomheder med aktiviteter i både EU og USA vil i stigende grad skulle navigere overlappende krav fra GDPR, AI Act og amerikansk delstatslovgivning samtidig, hvilket øger presset på at samle compliance-ansvaret ét sted frem for at håndtere det regionalt.
Konkurrencelandskabet: hvem rammes hårdest
Ser man på tværs af de virksomhedstyper, der potentielt rammes, tegner der sig et klart mønster. Adtech-selskaber, der lever af at koble tredjepartsdata sammen til målrettet annoncering, er mest udsatte, fordi hele deres forretningsmodel bygger på at aggregere data om forbrugere, de ikke har en direkte relation til. Leadgenereringsselskaber inden for forsikring, lån og ejendomsmægling er en anden udsat gruppe, delvist fordi LocateSmarter selv opererer inden for adressesøgning og baggrundstjek, en sektor med tætte paralleller til leadgenerering.
Til sammenligning står SaaS-selskaber med et klart first-party-forhold til deres brugere, altså virksomheder, der sælger et produkt direkte til forbrugeren og ikke videresælger data til tredjepart, markant bedre stillet. Det samme gælder de fleste nordiske techvirksomheder, der primært opererer B2B, medmindre de har en dedikeret datahandelsforretning ved siden af kerneproduktet. Men selv disse selskaber bør holde øje med udviklingen, fordi definitionen af “datamægler” kan blive udvidet eller fortolket bredere, som håndhævelsespraksis modnes.
Kodeeksempel: automatiseret tjek af DROP-status
Virksomheder, der håndterer store mængder amerikanske forbrugerdata, kan med fordel bygge en simpel intern proces, der logger, hvornår DROP-anmodninger sidst er hentet og behandlet, så den lovpligtige 45-dages-frist aldrig overskrides ved en fejl. Et minimalt eksempel på, hvordan man kan strukturere en sådan logging i et Node.js-baseret compliance-værktøj, kunne se sådan ud:
function tjekDropFrist(sidsteHentning) {
const FRIST_DAGE = 45;
const nu = new Date(sidsteHentning);
const naeste = new Date(nu);
naeste.setDate(naeste.getDate() + FRIST_DAGE);
const dageTilbage = Math.ceil(
(naeste - new Date()) / (1000 * 60 * 60 * 24)
);
if (dageTilbage <= 5) {
console.warn(`Advarsel: DROP-hentning skal ske inden ${dageTilbage} dage`);
}
return { naesteFrist: naeste, dageTilbage };
}Pointen med et sådant tjek er ikke at erstatte juridisk rådgivning, men at sikre, at ansvaret for at overholde fristen ikke forsvinder mellem afdelinger, hvilket ifølge sagerne mod LocateSmarter og Cybba netop synes at have været en del af problemet i begge tilfælde.
Sammenligning med andre store privatlivsrammer
Ud over GDPR og CCPA findes der en voksende liste af delstatslige privatlivslove i USA, blandt andet i Virginia, Colorado og Connecticut, men ingen af dem har indtil videre en central sletteplatform som DROP. Det gør Californien til det foreløbige forbillede for, hvordan en centraliseret sletningsmekanisme kan se ud i praksis, og andre delstater følger sandsynligvis udviklingen tæt, før de eventuelt kopierer modellen. Sammenlignet med EU's tilgang, hvor brancheorganisationer som IAPP løbende dokumenterer praksis på tværs af landegrænser, er den amerikanske model stadig fragmenteret på tværs af delstater, hvilket i sig selv skaber en kompleksitet, europæiske virksomheder skal navigere, hvis de opererer i flere amerikanske delstater samtidig.
For danske virksomheder, der allerede har opbygget GDPR-compliance-processer, er der en fordel: mange af de underliggende krav, dokumentation af databehandling, klare samtykkeflows og evnen til at handle på sletteanmodninger inden for en fastsat frist, minder om det, californisk ret nu kræver. Udfordringen ligger snarere i at tilpasse eksisterende processer til en ny, amerikansk-specifik frist- og bødestruktur, end i at bygge compliance fra bunden.
Ofte stillede spørgsmål
Hvad er DROP-platformen konkret?
DROP (Delete Request and Opt-out Platform) er et centralt system drevet af California Privacy Protection Agency, hvor californiske forbrugere kan indsende én samlet anmodning om sletning, der automatisk sendes videre til over 500 registrerede datamæglere. Systemet blev fuldt operationelt den 1. august 2026.
Rammer Delete Act danske virksomheder?
Ja, hvis virksomheden opfylder definitionen på en datamægler efter californisk ret og har californiske forbrugere i sin database. Det gælder uanset, hvor virksomheden er registreret eller har hovedkontor, og rammer typisk adtech-, martech- og leadgenereringsselskaber, der videresælger forbrugerdata.
Hvor stor er straffen for at ignorere en DROP-anmodning?
200 dollar per anmodning, per dag anmodningen ikke bliver behandlet. Med en pukkel af ophobede anmodninger kan beløbet vokse hurtigt, hvis en virksomhed ikke reagerer inden for den lovpligtige frist på 45 dage.
Hvad er forskellen på CCPA og Delete Act?
CCPA (og den udvidede CPRA) er en generel privatlivslov, der gælder de fleste større virksomheder med californiske kunder. Delete Act er en mere specifik lov målrettet registrerede datamæglere og deres forpligtelse til at tilslutte sig og handle på anmodninger via DROP-systemet.
Er CCPA det samme som GDPR?
Nej. GDPR gælder bredt for alle virksomheder, der behandler EU-borgeres persondata, og kan straffe med op til 4 procent af global omsætning eller 20 millioner euro. CCPA og Delete Act er mere målrettede mod specifikke brancher, primært datamæglere, og opererer med lavere bødesatser per overtrædelse, men til gengæld med daglige straftakster for manglende handling.
Hvordan ved en virksomhed, om den er en "datamægler" efter californisk ret?
Afgørende er, om virksomheden sælger eller videregiver personoplysninger om forbrugere, den ikke selv har en direkte, gennemsigtig kunderelation til. Er man i tvivl, anbefales det at søge juridisk rådgivning med erfaring i amerikansk delstatslovgivning, da forkert klassificering kan udløse bøder for manglende registrering.
Hvad betyder EU's AI Act for virksomheder, der allerede overholder GDPR?
AI Act's håndhævelsesbestemmelser for højrisiko AI-systemer, der behandler persondata, trådte i kraft den 2. august 2026. Overtrædelser kan straffes med op til 35 millioner euro eller 7 procent af global årsomsætning. Det er et supplement til GDPR, ikke en erstatning, så virksomheder, der bruger AI til at behandle personoplysninger, skal overholde begge regelsæt samtidig.
Hvor kan virksomheder finde officielle opdateringer om CCPA og Delete Act?
De mest pålidelige kilder er California Privacy Protection Agency's egen hjemmeside og annonceringsside, samt California Attorney General's officielle CCPA-side, som begge opdateres løbende i takt med nye håndhævelsessager og fortolkninger.
