Databrud

EU-Kommissionen fremlægger en Digital Omnibus med forenklinger og tekniske justeringer af bl.a. GDPR. Forslaget behandles nu i Europa-Parlamentet og Rådet, mens EDPB og EDPS udtaler sig. Indtil ikrafttræden gælder GDPR og databeskyttelsesloven uændret.

Østre Landsret har tilkendt 2.500 kr. i erstatning for immateriel skade efter en kommunes uberettigede videregivelse af helbredsoplysninger under en aktindsigt. Afgørelsen er den første af sin art efter GDPR art. 82 og er anket til Højesteret med mulig bred betydning.

Datatilsynet skærper vejledningen om adfærdskodekser efter GDPR. Den opdaterede side samler krav, proces og eksempler til brancheorganisationer og myndigheder, herunder godkendelse, monitorering og akkreditering samt en kort introduktion til certificeringsordninger med relevante links.

Østre Landsret tilkender for første gang erstatning for immateriel skade efter GDPR. En kommunal fejludlevering af helbredsoplysninger udløste 2.500 kr., og retten afviste en bagatelgrænse. Afgørelsen skærper dataansvarliges ansvar og tydeliggør forskellen til tortgodtgørelse.

Østre Landsret har tilkendt erstatning for immateriel skade efter et kommunalt databrud. Sagen er anket til Højesteret og kan sænke tærsklen for kompensation efter GDPR art. 82. En stadfæstelse kan øge antallet af krav og risikoen for gruppesøgsmål mod myndigheder og virksomheder. Domstolene, ikke Datatilsynet, afgør erstatningsspørgsmålet.

Datatilsynet skærper rammen for databrud: Opdateret vejledning præciserer definition, typiske scenarier og den 72-timers frist for anmeldelse. Virksomheder bør etablere et beredskab med klare roller, dokumentation og risikovurdering samt plan for underretning af berørte ved høj risiko.

Datatilsynet skærper indblik i databrud: Statistikken opdeles nu på statslige, regionale og kommunale myndigheder, og kategorien utilsigtede hændelser detaljeres. Samtidig åbnes for download af rådata, så organisationer kan målrette tekniske og organisatoriske foranstaltninger. Udvidelsen balanceres mod hensynet til informationssikkerhed.

Advokater skal håndtere overlap mellem tavshedspligt og GDPR, særligt hvor transparenskrav kolliderer med fortrolighed. Sikkerhed hos både firma og leverandører er afgørende, og brud kan udløse anmeldelse til Datatilsynet. Vurder altid hjemmel og undtagelser efter begge regelsæt.

Datatilsynet udtaler alvorlig kritik af en virksomhed, der tilgik en tidligere medarbejders private e-mail via arbejdscomputer for at sikre beviser. Tilsynet afviser legitim interesse som grundlag og markerer en klar grænse mellem lovlig gennemgang af arbejdsmail og ulovlig adgang til privat mail.

Østre Landsret fastslår, at Gladsaxe Kommune brød GDPRs sikkerhedskrav, men at de berørte borgere ikke dokumenterede immateriel skade. Krav om godtgørelse for tort blev derfor afvist, og byrettens frifindelse blev stadfæstet efter tyveri af en ukrypteret bærbar fra rådhuset.

Datatilsynet fastslår, at utilsigtede modtagere er omfattet af indsigtsretten efter GDPR art. 15. UFS kunne ikke undtage revisorens navn efter skatteforvaltningslovens § 17, mens klientens identitet forbliver fortrolig. Afgørelsen skærper dokumentationskrav ved databrud.

Datatilsynet påpeger mangler i underretning og dokumentation ved databrud. Dataansvarlige skal informere registrerede uden unødig forsinkelse ved høj risiko og kunne bevise underretningen. Få overblik over krav, myndighedspraksis og praktiske tiltag.

Datatilsynet har sendt en høring til Netcompany efter omtale af et muligt læk af kildekode. Tilsynet har ikke modtaget brudsanmeldelser og beder om svar på, om der indgår personoplysninger, hvilke systemer der berøres, om dataansvarlige er underrettet, og om der er adgangsrisici. Svarfrist 6. marts 2024.

Datatilsynet skærper tilsynet i 2024 med fokus på AI og automatisering, detailhandlens dataflows, grundlæggende sikkerhed hos offentlige myndigheder samt den registreredes indsigt. Virksomheder bør styrke DPIA, adgangsstyring og processer for rettigheder.

Datatilsynet indstiller Netcompany til en rekordbøde på 15 mio. kr. efter alvorlige sikkerhedsfejl i mit.dk gav uautoriseret adgang til digital post. Myndigheden kritiserer utilstrækkelig behandlingssikkerhed og manglende DPIA, og markerer et skærpet håndhævelsesniveau.

Datatilsynet har politianmeldt Hvidovre Kommune og indstiller en bøde på mindst 200.000 kr. efter utilsigtet deling af beskyttede adresser via den kommunale tandplejes selvbetjening og breve. Sagen skærper fokus på ændringsstyring, adgangsstyring og kravene i GDPR artikel 32 og 83.