GDPR art. 33

Datatilsynet skærper rammen for databrud: Opdateret vejledning præciserer definition, typiske scenarier og den 72-timers frist for anmeldelse. Virksomheder bør etablere et beredskab med klare roller, dokumentation og risikovurdering samt plan for underretning af berørte ved høj risiko.

Datatilsynet skærper indblik i databrud: Statistikken opdeles nu på statslige, regionale og kommunale myndigheder, og kategorien utilsigtede hændelser detaljeres. Samtidig åbnes for download af rådata, så organisationer kan målrette tekniske og organisatoriske foranstaltninger. Udvidelsen balanceres mod hensynet til informationssikkerhed.

Advokater skal håndtere overlap mellem tavshedspligt og GDPR, særligt hvor transparenskrav kolliderer med fortrolighed. Sikkerhed hos både firma og leverandører er afgørende, og brud kan udløse anmeldelse til Datatilsynet. Vurder altid hjemmel og undtagelser efter begge regelsæt.

Advokatfirmaer skal systematisere GDPR-arbejdet med en klar persondatapolitik, risikometode og dokumentation. Vurder leverandørers sikkerhed før databehandleraftaler, og foretag risikovurdering ved brud. Opdater løbende vurderinger og styrk beredskab mod cyberangreb.

Advokatsamfundets vejledning anbefaler, at advokatfirmaer forankrer GDPR i en tydelig persondatapolitik med klar ansvarsplacering, faste procedurer og løbende kontrol. Fokus er på behandlingssikkerhed, databehandleraftaler, registreredes rettigheder og effektiv brudshåndtering.

Alle kommuner bliver omfattet af NIS2. Kravene gælder samtlige net- og informationssystemer, ikke kun kritiske tjenester. Lovforslaget er fremsat med foreslået ikrafttræden 1. juli 2025. Kommuner skal styrke governance, risikostyring og hændelsesrapportering.

Datatilsynet politianmelder Vejen Kommune og indstiller en bøde på 200.000 kr., efter at fem ukrypterede skolecomputere med elevoplysninger blev stjålet. Sagen tydeliggør kravet om fulddiskkryptering efter GDPR art. 32 og intensiverer fokus på behandlingssikkerhed i kommunerne.

Datatilsynet påpeger mangler i underretning og dokumentation ved databrud. Dataansvarlige skal informere registrerede uden unødig forsinkelse ved høj risiko og kunne bevise underretningen. Få overblik over krav, myndighedspraksis og praktiske tiltag.

Datatilsynet skærper fokus på underretning ved brud på persondatasikkerheden: Underretninger skal være fuldstændige, i klart sprog og kunne dokumenteres skriftligt. En aktør modtog kritik for manglende bevis. Myndigheden har udsendt ny vejledning om de gældende krav.

Datatilsynet lukker sin undersøgelse af Netcompany efter et muligt læk af kildekode. Tilsynet finder ikke grundlag for yderligere tiltag inden for GDPR-mandatet. Dialogen med Erhvervsstyrelsen og Udviklings- og Forenklingsstyrelsen sættes ligeledes i bero, mens aktindsigt begrænses af en verserende straffesag.

Datatilsynet gennemfører et skriftligt tilsyn af behandlingssikkerhed i 48 kommuner. 77 spørgsmål på 15 emner skal afdække modenhed og risici, med mulighed for dokumentation, stikprøver og besøg. Individuelle rapporter og en risikobaseret strategi skal styrke kommunernes databeskyttelse.

Datatilsynet indfører hurtig, målrettet vejledning til organisationer, der anmelder sikkerhedsbrud. Kort efter anmeldelsen modtages konkrete råd om ransomware, adgangskoder, logning og phishing, ofte suppleret af telefonisk opfølgning. Ordningen evalueres og udvides løbende.

GDPR skærper kravene ved brud på persondatasikkerheden. Få overblik over de centrale skridt: risikovurdering, indberetning inden 72 timer, underretning af registrerede ved høj risiko og systematisk dokumentation. Artiklen samler også praktiske råd til forebyggelse og beredskab.

Datatilsynet konkluderer efter 16 tilsyn, at kommuner og banker overordnet efterlever GDPR’s krav til behandlingssikkerhed, anmeldelse og dokumentation. To kommuner får kritik for mangelfuld registrering. Fokus skærpes på 72-timers fristen og aktiv brug af brudslister i risikostyringen.

Datatilsynet skærper kravene til auto-complete i e-mail: Dataansvarlige, der systematisk sender fortrolige eller følsomme oplysninger, skal indføre tekniske og organisatoriske foranstaltninger ud over awareness. Overgangsperioden løber til 1. marts 2024 med krav om risikovurdering.

Datatilsynet skærper praksis for auto-complete i e-mails: Dataansvarlige, der sender fortrolige eller følsomme oplysninger, skal indføre tekniske kontroller og kan ikke nøjes med awareness. Overgangsperiode til 1. marts 2024 og henvisning til GDPR art. 24, 25, 32 og 33.