Offentliggør du data?
Mange virksomheder og myndigheder offentliggør dokumenter som led i deres arbejde – og her sniger der sig ofte utilsigtede persondata med.
Øget risiko for smishing
Over sommeren har Datatilsynet modtaget et stort antal anmeldelser om brud på persondatasikkerheden gennem en række sms-tjenester. Mere end 700.000 personers telefonnumre og beskedindhold er blevet kopieret, hvilket kan bruges til fremover at lave meget realistiske, men falske sms’er.
Nyt om databrud
Antallet af anmeldte databrud er, bortset fra et lille fald i 2021, steget jævnt siden 2018. Senest er det steget fra 8.839 anmeldelser i 2022 til 9.493 i 2023, og i 2024 er der til dato anmeldt 4.882 hændelser.
GDPR for foreninger
Mange frivillige foreninger har mange personer tilknyttet i form af ansatte, frivillige, sponsorer, samarbejdspartnere og medlemmer, der også ofte omfatter børn. Derfor er det meget vigtigt at netop foreninger har styr på GDPR. Omvendt er der også tit mangel på ressourcer, da en stor del af arbejdet er baseret på frivillige hænder.
50.000+ anmeldelser
Siden 2018 har det været lovpligtigt at underrette Datatilsynet om brud på persondatasikkerheden, og i maj 2024 passerede tælleren 50.000 anmeldte brud, der typisk omhandler tilfælde, hvor en medarbejder, kunde eller borgers oplysninger er blevet kompromitteret. Men der er stor forskel på, hvor alvorlig en hændelse, der er tale om.
Ny klageformular
Det Europæiske Databeskyttelsesråd har netop vedtaget to klageformularer vedr. EU-U.S. Data Privacy Framework. Læs mere og se dem her. Læs mere
Harmonisering af GDPR
Det Europæiske Databeskyttelsesråd (EDPB) har vedtaget en ny strategi frem mod 2027, og her er nøgleordet harmonisering. Det betyder, at regler, krav og håndhævelse i stigende grad vil blive ensrettet på tværs af EU, hvor fokus i de kommende år er på også at hjælpe ikke-eksperter med at få bedre styr på persondata og GDPR.
Nyt om 3. lande
Datatilsynet har opdateret sin vejledning om overførsel af personoplysninger til tredjelande. Du kan downloade den ved at klikke på linket herunder… Download
Temaside om samtykke
Datatilsynet får så mange henvendelser om samtykke, at de nu har oprettet en temaside, der svarer på de fleste af de spørgsmål, de dagligt får. Her kan du læse mere om, hvor og hvornår samtykke er påkrævet – og hvornår det ikke er muligt at slette data. Se siden her
SMV-hjælp i julegave
Det Europæiske Databeskyttelsesråd (EDPB) har evalueret databeskyttelsesforordningen, og konstaterer, at de første 5½ år har været en succes. Primært fordi de databeskyttelsesretlige principper i hele EU er blevet styrket, moderniseret og harmoniseret, og så er den blevet en inspiration for lande uden for EU. Dog har GDPR været en udfordring for mange i SMV-segmentet, og EDPB vil derfor sammen med de nationale datatilsyn fortsat hjælpe SMV’erne omkring GDPR. Endelig skriver de, at de på nuværende tidspunkt ikke mener, at der er behov for at revidere lovgivningsteksten. Læs hele nyheden her
Bedre sikkerhed
Datatilsynet har lanceret et katalog over sikkerheds-foranstaltninger, som virksomheder og myndigheder kan bruge i forskellige sammenhænge. Kataloget omfatter forslag til tekniske og organisatoriske foranstaltninger, der kan mixes og anvendes efter behov. Brugen af de enkelte foranstaltninger afhænger af både risikoniveau og øvrige indsatser, men tag et kig på det, hvis du mener, jeres sikkerhed kan blive endnu bedre. Bliv inspireret her
Så skete det: EU-US DPF
Efter flere års venten, sagde EU-Kommissionen mandag god for det såkaldte EU-U.S. Data Privacy Framework (EU-US DPF). Dermed bliver det meget lettere at overføre persondata til USA, da det hverken kræver brug af EU-Kommissionens standardbestemmelser (SCC), virksomhedsregler eller supplerende foranstaltninger. EU-US DPF er nok 😊 Det betyder, at vi måske snart lovligt kan benytte Google Analytics, Microsoft, Dropbox, Mailchimp og tilsvarende tjenester, som hidtil har været problematiske at bruge. Det kræver dog, at modtager er EU-US DPF-certificeret. Det har vi skrevet en lille artikel om, som du kan finde ved at klikke på nedenstående link. Læs hele blogindlægget her.
Året der gik…
Datatilsynet har netop udsendt deres årsberetning for 2022, og her er der flere spændende tal for året, der gik. De har i 2022 modtaget 8.816 anmeldelser om brud på sikkerheden. Heraf var 2.978 fra private dataansvarlige svarende til knap 34%, hvilket er et kraftigt fald fra de 40%, den har ligget på de seneste 3 år. Ret positivt 😀 De har også gennemført 1.817 tilsyn, hvoraf 1.159 var i private virksomheder, hvilket svarer til 64%. For ikke at nævne de 513 tilsyn, de har gennemført på eget initiativ. De mange tilsyn førte i 2022 til 11 politianmeldelser. Læs Datatilsynets årsberetning 2022 på Datatilsynets hjemmeside her.
Tiden der kommer…
Og hvordan ser fremtiden så ud – hvad vil Datatilsynet fremover fokusere på? I 2023 vil de justere kursen, så de i stedet for at grave alt for dybt kan tage flere generelle sager op af egen drift. Sagerne udvælges ud fra klager, databrud, medieomtale og tips – samt områder, hvor mange borgere er udsat. Desuden har de en række konkrete fokusområder i 2023. Her sætter de nemlig lup på børn og unge, virksomheder der fremstiller og leverer (sundhedsprodukter) direkte til borgere, brug af website-analytics samt tv-overvågning. Læs mere om Datatilsynets indsatsområder i 2023 på Datatilsynets hjemmeside her.
Reykjavik deklarationen
Den 15.-16. maj afholdt de nordiske datatilsyn deres årlige møde i Reykjavik, hvor de kiggede fremad. De udvekslede erfaringer om bl.a. bøder og talte om, hvordan de fremover kan… Alle områder, der ligger fint i tråd med det danske Datatilsyns ambitioner om bl.a. flere tilsyn. Find og download hele Reykjavik deklarationen (på engelsk) på Datatilsynets hjemmeside her.
Husk 27. deSCCember
Den 27. december er sidste frist for at overgå til EU’s nye standardkontrakter (SCC), der ofte bruges som overførselsgrundlag ifm. brug af databehandler i 3. land. Standardaftaler (SCC) indgået FØR den 27. september 2021 (baseret på den gamle version) skal inden den 27. december 2022 være erstattet af den nye version. Standardaftaler (SCC) indgået EFTER den 27. september 2021 bør være baseret på den nye version og skal derfor ikke opdateres. Læs mere på Datatilsynets hjemmeside her.
Benytter du usikre tredjelande?
Siden Schremms 2 satte EU-US Privacy Shield ud af kraft, har der været stor usikkerhed om, hvordan man skulle forholde sig til overførsler til usikre tredjelande. Ét værktøj er EU’s standardkontrakter SCC, og et andet er supplerende foranstaltninger. Begge bør dog suppleres af en såkaldt TIA, der vurderer selve dataoverførslen. Der er ingen autoriserede skabeloner, men grundet stor efterspørgsel, er vi ved at udvikle en Lexoforms TIA, der er til at forstå! Stay tuned! Læs mere om tredjelandsoverførsler på Datatilsynets hjemmeside her.
Advokater indstillet til stor bøde
SIRIUS advokater i København kompromitterede flere særligt beskyttelsesværdige personoplysninger, da de i marts 2020 blev udsat for et hackerangreb. De er nu indstillet til en bøde på 500.000 kr. for ikke at have gennemført helt basale sikkerhedsforanstaltninger ved opsætning af fjernadgang til deres it-systemer. “Man kan ikke gardere sig 100 % mod hackerangreb, men man skal gøre en indsats for at undgå det” siger Betty Husted, fuldmægtig i Datatilsynet. Læs hele historien på Datatilsynets hjemmeside her.
Kritik af Salling Group
Datatilsynet har kritiseret Salling Group for ikke at have krypteret kundernes passwords, når de loggede ind på hjem.foetex.dk. Problemet var, at Salling Group anvender et fælleslogin, så brugernavn og password kan anvendes på alle deres sites inkl. Føtex, Bilka, Netto, Salling og Carl Junior. Det var en menneskelig fejl, der gjorde, at op mod 146 interne brugere i Salling Group fik teknisk adgang til at læse både brugernavne og passwords for de kunder, der havde foretaget login på hjemmesiden. Læs hele historien på Datatilsynets hjemmeside her.
Så galt kan det gå
Hvis du er i tvivl om, hvorfor GDPR og datasikkerhed er vigtigt, så læs historien om, hvor galt det kan gå – og hvorfor slettepolitik er vigtigt. Der var tale om en menneskelig fejl, da 3F Østfyn helt rutinemæssigt udsendte deres fagblad til medlemmerne. Desværre havde én af modtagerne ændret navn og adresse ifm. med en fraflytning fra en voldelig samlever. Men det blev ved en fejl kun halvt opdateret i systemet… Læs hele historien på Datatilsynets hjemmeside her.
