Planlagte tilsyn i første halvår af 2019

Brud på datasikkerhed og den registreredes indsigtsret

I det første halvår af 2019 vil Datatilsynet blandt andet fokusere på brud på persondatasikkerheden og den registreredes indsigtsret hos både offentlige myndigheder og private virksomheder.

Efter databeskyttelsesforordningen er alle dataansvarlige – såvel offentlige myndigheder som private virksomheder – som udgangspunkt forpligtet til at anmelde brud på persondatasikkerheden indenfor 72 timer, efter den dataansvarlige er blevet opmærksom på databruddet. Formålet med reglen er især at sikre, at de dataansvarlige reagerer straks, når der opstår et brud på persondatasikkerheden.

Antallet af anmeldelser til Datatilsynet viser, at mange dataansvarlige oplever brud på persondatasikkerheden. Datatilsynet har derfor valgt at føre tilsyn med, om offentlige myndigheder og private virksomheder anmelder de brud på persondatasikkerheden, som de skal. Der vil blive ført tilsyn med fem private virksomheder og ti offentlige myndigheder.

Efter databeskyttelsesforordningen har den registrerede ret til at få indsigt i personoplysninger, som behandles om vedkommende. Datatilsynet vil også følge op på, om både offentlige myndigheder og private virksomheder rent faktisk imødekommer den registreredes indsigtsret. Derfor har Datatilsynet besluttet at føre tilsyn med tre offentlige myndigheder og tre private virksomheder.

Kryptering af e-mails

I juli 2018 skærpede Datatilsynet kravene til kryptering af e-mails for private virksomheder, hvilket betød, at e-mails, der indeholdt fortrolige og/eller følsomme personoplysninger, skal krypteres fra den 1. januar 2019. I den forbindelse vil Datatilsynet føre tilsyn med to advokatkontorer, et revisionsfirma og en fagforening.

Læs eller genlæs vores tidligere nyhed om kravene til kryptering.

Kommerciel brug af data

Efter Cambridge Analytica-sagen har kommerciel brug af data fået stor bevågenhed. Desuden har flere virksomheder profileret sig på at aggregere og sammenstille data til brug for videresalg. På den baggrund har Datatilsynet besluttet at føre tilsyn i 2019 med en privat virksomhed, som udbyder disse ydelser.

Tilsyn med kommuner

I 2019 vil Datatilsynet desuden føre en række tilsyn med kommuner.

Datatilsynet vil i den forbindelse føre tilsyn med kommunernes (gen)brug af data til automatiserede beslutninger og vurderinger. Der vil især være fokus på, om genbrug af data er forenelig med det oprindelige formål med behandlingen af personoplysninger samt retsgrundlaget.

Datatilsynet vil tillige føre tilsyn med overholdelse af kravene til behandlingssikkerhed ved blandt andet at se på, om kommunerne har autorisationsordninger.

Herudover vil Datatilsynet føre tilsyn med, om kommunerne har udpeget en databeskyttelsesrådgiver, som er et krav for alle offentlige myndigheder efter databeskyttelsesforordningen.