Tekniske og organisatoriske foranstaltninger

Datatilsynet har politianmeldt Lyngby-Taarbæk Kommune og indstillet en bøde på 350.000–400.000 kr. for langvarige mangler i adgangsstyring og fravær af flerfaktorautentifikation i interneteksponerede systemer. Hændelserne omfattede misbrug af konti og adgang til data om titusinder af borgere.

Østre Landsret fastslår, at Gladsaxe Kommune brød GDPRs sikkerhedskrav, men at de berørte borgere ikke dokumenterede immateriel skade. Krav om godtgørelse for tort blev derfor afvist, og byrettens frifindelse blev stadfæstet efter tyveri af en ukrypteret bærbar fra rådhuset.

Datatilsynet giver Brøndby Kommune alvorlig kritik for manglende adgangskontroller og fravær af MFA ved internetadgang til centrale fagsystemer. Sagen tydeliggør GDPR-kravene om risikobaseret sikkerhed, dokumenteret adgangsgennemgang og rettidig implementering af foranstaltninger.

Datatilsynet afslutter et skriftligt tilsyn i 48 kommuner og finder vedvarende mangler i behandlingssikkerheden. Kommunerne bør især styrke sletning, e-mailbeskyttelse, rettighedsstyring, DPIA og domænesikkerhed. Spørgerammen byggede på de 29 tekniske minimumskrav.

Københavns Byret idømte Kræftens Bekæmpelse en bøde for brud på GDPR efter fire sikkerhedshændelser med stjålne bærbare og phishing. Manglende kryptering og multifaktorgodkendelse udløste ansvar efter art. 32, og bøden blev fastsat til 75.000 kr. ud fra proportionalitet.

Datatilsynet giver alvorlig kritik til Dansk Retursystem for en pant-app, hvor et tredjeparts API kan tilgå flere bankoplysninger end nødvendigt. Virksomheden får påbud om GDPR-efterlevelse og en advarsel mod overdreven dataadgang. Afgørelsen skærper kravene til dataansvar ved app og API design.

Datatilsynet politianmelder Vejen Kommune og indstiller en bøde på 200.000 kr., efter at fem ukrypterede skolecomputere med elevoplysninger blev stjålet. Sagen tydeliggør kravet om fulddiskkryptering efter GDPR art. 32 og intensiverer fokus på behandlingssikkerhed i kommunerne.

Datatilsynet retter alvorlig kritik mod Nets DanID efter et fire dages NemID-nedbrud, hvor backup ikke kunne aktiveres. Afgørelsen skærper fokus på GDPR art. 32, dokumenteret og regelmæssig test af backup og genetablering samt øget robusthed i kritisk national infrastruktur.

Datatilsynet udtaler kritik af et gymnasiums brug af eksamensovervågningssoftware for manglende risikovurdering og utilstrækkelige foranstaltninger efter GDPR art. 25. Øvrige krav om behandlingsgrundlag m.v. er opfyldt. Myndigheden anbefaler klarere oplysningspligt og elevvejledning samt justeringer hos andre gymnasier.

EDPS påbyder EU-Kommissionen at stoppe ulovlige tredjelandsoverførsler ved brug af Microsoft 365 og at dokumentere fuld GDPR-overholdelse inden december. Afgørelsen fremhæver uklare kontrakter, utilstrækkelige garantier og behov for overførselsvurderinger og supplerende foranstaltninger.

Datatilsynet finder, at sikrede døgninstitutioners tv-overvågning overordnet følger GDPR, men fremhæver krav om nødvendighed, tydelig oplysning til børn, unge og ansatte samt stærke sikkerhedsforanstaltninger med adgangslogning og personlige logins. Klare regler for videregivelse og rettigheder anbefales.

En fransk varehuskæde blev bødesanktioneret for et scannerbaseret kontrolsystem, der målte medarbejdernes aktivitet og inaktivitet i realtid. Tilsynet konstaterede brud på proportionalitet, dataminimering, oplysningspligt og sikkerhed. Sagen skærper kravene til arbejdsgiveres behandlingsgrundlag og gennemsigtighed.

Datatilsynet indstiller Capio til mindst 1,5 mio. kr. i bøde for manglende tilsyn med databehandlere. Sagen skærper fokus på dataansvarliges løbende kontrol, sikkerhedsforanstaltninger og dokumentation, særligt ved behandling af sundhedsoplysninger.

Datatilsynet skærper tilsynet i 2024 med fokus på AI og automatisering, detailhandlens dataflows, grundlæggende sikkerhed hos offentlige myndigheder samt den registreredes indsigt. Virksomheder bør styrke DPIA, adgangsstyring og processer for rettigheder.

Datatilsynet retter skarp kritik mod fem kommuner for manglende eller svage konsekvensanalyser i AULA. Myndigheden påpeger utilstrækkelig risikostyring, mange misafsendelser og opfordrer til fælles DPIA og tekniske kontroller. Børns data kræver skærpede foranstaltninger.

Datatilsynet har politianmeldt Hvidovre Kommune og indstiller en bøde på mindst 200.000 kr. efter utilsigtet deling af beskyttede adresser via den kommunale tandplejes selvbetjening og breve. Sagen skærper fokus på ændringsstyring, adgangsstyring og kravene i GDPR artikel 32 og 83.