Passende sikkerhedsforanstaltninger

Vestre Landsret nedsætter byrettens bøde til 500.000 kr., men fastslår brud på GDPR artikel 32 efter langvarig URL-sårbarhed i en regional database med følsomme sundhedsdata. Frifindelse gives for en ældre PowerPoint, da rimelige tiltag var truffet.

Vestre Landsret halverer bøden til Region Syddanmark til 500.000 kr. Regionen dømmes for URL-baseret sårbarhed efter GDPR art. 32, men frifindes i sagen om en ældre, indekseret PowerPoint. Dommen skærper fokus på forudgående viden og passende foranstaltninger.

Datatilsynet indstiller Netcompany til mindst 15 mio. kr. i bøde for GDPR-brud ved mit.dk. En autentifikationsfejl gav adgang til andres digitale post, og der manglede både privacy by design og en DPIA. Sagen signalerer skærpet sanktionslinje for kritisk digital infrastruktur.

Datatilsynet retter kritik mod Digitaliseringsstyrelsen for ikke at dokumentere en særskilt risikovurdering af JavaScript i MitID. Tilsynet kræver, at kendte misbrugsscenarier adresseres, og at passende sikkerhedsforanstaltninger dokumenteres efter GDPR ved brug af standardteknologier.

Datatilsynet konkluderer efter 16 tilsyn, at kommuner og banker overordnet efterlever GDPR’s krav til behandlingssikkerhed, anmeldelse og dokumentation. To kommuner får kritik for mangelfuld registrering. Fokus skærpes på 72-timers fristen og aktiv brug af brudslister i risikostyringen.