Autorisationsstyring

NAV-sagen i Norge skærper kravene til adgangsstyring, logning og løbende intern kontrol under GDPR. Tilsynet afviser brede rettigheder baseret på forretningsbehov alene og kræver dokumenterede kriterier, effektiv logmonitorering og snæver adgang til historiske sager. Signalværdien rækker ud over det offentlige.

Datatilsynet kritiserer et universitet for utilstrækkelig adgangskontrol i et IT-system, der i en ukendt periode eksponerede medarbejderoplysninger. Afgørelsen fremhæver krav om ændringsstyring, efterfølgende test og løbende kontrol af brugeradgange efter GDPR art. 32.

Ulovlige opslag i patientjournaler og andre registre kan udløse politianmeldelse, bøder og disciplinære skridt. GDPR kræver sagligt formål, retsgrundlag og passende sikkerhed, mens arbejdsgivere skal sikre instrukser, rollebaseret adgang, logning og effektiv kontrol.