Datatilsynets rolle i Danmarks digitale sikkerhed
Uberettigede opslag i CPR-registeret og andre hændelser viser, at databeskyttelse er afgørende for den samlede digitale sikkerhed. Ud over klassiske rettigheder som indsigt og sletning omfatter GDPR også krav til, hvordan store samfundsbærende it-løsninger sikrer personoplysninger i praksis.
Datatilsynet fungerer som central aktør ved at vejlede og føre tilsyn med både myndigheder og virksomheder. Gennem afgørelser og praktiske retningslinjer præciserer tilsynet, hvordan reglerne omsættes til kontrollerbare foranstaltninger i driften af digitale systemer.
Krav efter GDPR: sikkerhed, dataminimering og sletning
GDPR kræver passende tekniske og organisatoriske sikkerhedsforanstaltninger, herunder adgangsstyring, logning og løbende risikovurderinger. For højrisko-behandlinger skal der foretages konsekvensanalyser, og brugen af leverandører forudsætter klare databehandleraftaler og effektiv leverandørstyring.
Dataminimering og rettidig sletning reducerer konsekvenserne ved sikkerhedsbrud. Unødig dataophobning – særligt af følsomme oplysninger – øger eksponeringen ved angreb. Kravene gælder på tværs af størrelser: fra lokale virksomheder til store offentlige it-systemer.
Læring fra brud på persondatasikkerheden
Datatilsynet modtager årligt et stort antal brudsanmeldelser, hvilket giver unik indsigt i, hvor sikkerheden svigter. Mønstre på tværs af sektorer – fx for brede adgangsrettigheder, manglende sletning og utilstrækkelig kontrol – kan identificeres og adresseres systematisk.
Denne viden omsættes til målrettet vejledning og tilsynsaktiviteter, der mindsker gentagelser af de samme fejl. Indsatsen supplerer øvrige nationale aktiviteter inden for cyber- og informationssikkerhed ved at fokusere på beskyttelsen af de registrerede.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Praksis: digitalt kørekort, Chromebook og kommunal sletning
I sagen om det digitale kørekort greb Datatilsynet ind over for behandling af oplysninger om ikke-brugere, hvilket førte til justeringer hos Digitaliseringsstyrelsen. I Chromebook-sagen modtog en lang række kommuner alvorlig kritik for utilstrækkelig styring af elevers personoplysninger ved brug af internationale leverandører.
Datatilsynet har desuden påbudt Aalborg Kommune at sikre og dokumentere sletning af oplysninger, der ikke længere er nødvendige, og har iværksat undersøgelse af uberettigede opslag i CPR-registeret. Fællesnævneren er krav om dataminimering, effektiv adgangskontrol og sletning – samt at databeskyttelse tænkes ind fra begyndelsen af nye digitale løsninger.
