72 timers frist

Datatilsynet kritiserer Kriminalforsorgen for seks måneders passivitet over for mulig ulovlig tjenstlig kommunikation i en lukket Messenger-gruppe. Afgørelsen fastslår, at kendskab opstår, når en medarbejder ved det, og at brud skal afklares straks og evt. anmeldes inden 72 timer.

Norsk tilsyn udstedte et milliongebyr til en medicinalvirksomhed for at overskride GDPR’s 72-timers frist efter et phishing-angreb mod HR’s mail. Afgørelsen fremhæver utilstrækkelige interne processer, øget risiko for identitetstyveri og manglende DPO-uafhængighed.