Alvorlig kritik for manglende sletning og utilstrækkelig kontrol
Datatilsynet har udtalt alvorlig kritik af en autoforhandler efter et ondsindet angreb, hvor fortrolige personoplysninger om titusindvis af registrerede blev kompromitteret. Kritikken retter sig især mod manglende sletning og mangelfuld kontrol af indførte sikkerhedsforanstaltninger.
Under sagsbehandlingen blev det konstateret, at store mængder historiske oplysninger fortsat lå på et udfaset serverdrev i strid med virksomhedens slettepolitik. Den manglende sletning forøgede omfang og konsekvenser af sikkerhedsbruddet væsentligt.
Retlige krav efter GDPR: opbevaringsbegrænsning og behandlingssikkerhed
GDPR forpligter den dataansvarlige til kun at opbevare personoplysninger så længe, det er nødvendigt, jf. art. 5, og til at sikre passende tekniske og organisatoriske foranstaltninger, jf. art. 32. Fortegnelser over behandlingsaktiviteter efter art. 30 og løbende kontrol er centrale for at dokumentere efterlevelse.
Datatilsynet peger generelt på, at mange brud rammer data, som burde have været slettet, hvilket forværrer skadevirkningerne. Udviklingen kan afspejles i myndighedens egen statistik over brud på persondatasikkerheden, se Datatilsynets statistik.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Anbefalinger til efterlevelse og risikobegrænsning
Virksomheder bør sikre, at slettefrister er systemunderstøttede og kontrolleres regelmæssigt, at udfasede lagringsmedier tømmes rettidigt, og at automatiseret sletning valideres gennem stikprøver og loggennemgang. Kontrollen bør forankres i governance med klare roller og dokumentation.
Den fulde afgørelse kan læses hos Datatilsynet, herunder de konkrete vurderinger og påpegede mangler, se afgørelsen. For praktisk vejledning om sletning henvises til Datatilsynets materiale, se vejledningen om sletning.
