Med GDPR’s indtog og ikrafttræden den 25. maj 2018 har europæiske virksomheder for alvor skullet forholde sig aktivt til deres respektive behandling af persondata. Ét er, hvilke data og hvordan disse data behandles, noget andet er sikkerhedsniveauet og virksomhederne forpligtelse til at etablere et passende sikkerhedsniveau – både teknisk og organisatorisk. Det seneste år har vist, at ikke alle danske virksomheder har haft helt styr på, om behandlingen af personoplysninger fulgte de nye regler – sanktionerne har dog været forskellige.

Politianmeldelse for overtrædelse af GDPR

I det forgangne år har Datatilsynet i ét enkelt tilfælde indgivet politianmeldelse for overtrædelse af GDPR og indstillet til en bøde. Sagen vedrører behandling af personoplysninger i forbindelse med et taxiselskabs registrering af omkring 9 mio. taxiture. Oplysninger, der efter Datatilsynets vurdering, var blevet gemt i strid med reglerne. Datatilsynets indstilling til bødens størrelse lyder på 1,2 millioner kr.  Det er nu op til anklagemyndigheden at vurdere, om Datatilsynets politianmeldelse skal føre til en straffesag mod taxiselskabet. Det sidste punktum er derfor ikke sat i denne sag, og det bliver interessant at se, hvor domstolene mener, at bødeniveauet for en overtrædelse som denne skal ligge. Læs mere om sagen her.

Når Datatilsynet udtaler alvorlig kritik eller giver påbud og forbud

Det er dog ikke kun muligheden for at udstede bøder, som Datatilsynet har til sin rådighed, når de skal sikre efterlevelse af GDPR. Tilsynet kan også vælge at udtale kritik eller give et påbud efter reglerne i artikel 58, stk. 2. Disse korrigerende beføjelser har Datatilsynet anvendt i en række tilfælde det seneste år.

Datatilsynet har bl.a. udtalt alvorlig kritik af Rejsekort A/S som følge af, at det ikke er muligt at korrigere fejlbehæftede lokationsdata på rejsende i selskabets IT-system. Selskabet har endvidere fået et påbud om at komme med en plan for at få IT-systemet bragt i overensstemmelse med reglerne. Læs her med om sagen om Rejsekort A/S her.

I en anden sag har Datatilsynet givet TDC A/S et midlertidigt forbud mod at optage telefonsamtaler til træningsbrug, da firmaet anvendte en teknisk løsning, hvor det ikke var muligt at indhente samtykke fra de registrerede forud for optagelsen af samtalen. Bliv klogere på sagen om samtykke her.

Bøder for GDPR-overtrædelser er ikke først for

Det seneste års praksis viser, at Datatilsynet ikke nødvendigvis griber direkte til bødeudstedelse, hvis de konstaterer, at reglerne er overtrådt – tilsynet bruger også flittigt de andre værktøjer, de har til deres rådighed.

Praksis viser dog også, at der tilstræbes et væsentligt højere bødeniveau end tidligere i de sager, hvor der gribes til politianmeldelse. Bøder i størrelsesordenen 1,2 millioner DKK har aldrig tidligere været på tale for en overtrædelse af persondatalovens regler. De kommende år vil vise, hvor bødeniveauet reelt kommer til at ligge, når domstolene har haft mulighed for at træffe afgørelse i de første sager. Indtil dette er endeligt afklaret, vil vi fortsat frygte det værste, men håbe på det bedste.

Passende sikkerhed – hvad er det?

Siden 25. maj 2018 har et andet fokusområde været informationssikkerhed. Mange virksomheder har måtte forholde sig til, at de er forpligtet til at have et passende sikkerhedsniveau – både teknisk og organisatorisk.

”Men hvad er passende sikkerhed?”

Dét spørgsmål er vi ofte blevet mødt med. Desværre er det bedste svar ofte: ”Hvad synes du selv? Vi har værktøjerne til at fastlægge dit sikkerhedsniveau, men du har svaret”. Det er nemlig den dataansvarlige selv, som skal fastsætte niveauet for sin informationssikkerhed. 

Informationssikkerhedsniveauet skal fastlægges på baggrund af målbare objektive kriterier, som gør det muligt at identificere mulige risici og implementere tiltag, som medvirker til at nedsætte risikoen. I bund og grund ud fra samme metode, som anvendes indenfor almindeligt arbejde med informationssikkerhed, hvor man på baggrund af risikovurderinger opnår et kendskab til de største risici, som skal imødegås og overvåges.

I den sammenhæng må vi konstatere, at ISO 27001 er blevet den mest anvendte standard, enten i sin ”rene” form eller i forskellige afarter, hvor man anvender udvalgte dele. Særligt ser vi, at metoden, som fremgår af ISO 27005, hyppigt er anvendt til kortlægning af et passende sikkerhedsniveau.    

Få styr på informationssikkerhed og risikostyring

Datatilsynet har lagt flere af de spørgeskemaer, som de anvender ved tilsyn, ud på deres hjemmeside. Det fremgår her, at Datatilsynet undersøger, om der er lavet risikovurderinger for de enkelte behandlinger. Tilsvarende kan vi se, at Datatilsynet også  undersøger, om databehandlere  kan påvise, at de har foretaget risikovurderinger til brug for deres IT-sikkerhedspolitik, når de bliver kontrolleret af den dataansvarlige.

Der således ingen tvivl om, at Datatilsynet forventer, at den enkelte virksomhed har styr sit sikkerhedsniveau og har foretaget de fornødne risikovurderinger.

Hvis du ønsker at høre mere om, hvordan du får sikret et passende sikkerhedsniveau eller får gennemført risikovurderinger, er du meget velkommen til at kontakt vores afdeling for persondata for en uforpligtende drøftelse.