Datatilsynet har udtalt alvorlig kritik af en autoforhandler efter et ondsindet angreb, hvor bl.a. fortrolige personoplysninger om både kunder og medarbejdere blev kompromitteret.
Under behandlingen af sagen kom det frem, at virksomheden ikke havde sikret rettidig sletning af personoplysninger om mellem 25.000 og 30.000 personer. Oplysningerne lå fortsat på et serverdrev, som ikke længere skulle anvendes til opbevaring af personoplysninger.
Manglende sletning kan forværre konsekvenserne
Sagen er et eksempel på en problemstilling, som Datatilsynet ofte ser i forbindelse med ondsindede angreb mod danske virksomheder og myndigheder. Antallet af denne type angreb er steget markant de seneste år. Udviklingen kan bl.a. ses ved en afgrænset søgning på ”Ondsindet aktivitet” i Datatilsynets statistik over anmeldte brud på persondatasikkerheden.
Datatilsynet ser jævnligt, at angrebene fører til kompromittering af personoplysninger, som burde have været slettet inden angrebet. Manglende efterlevelse af reglerne i databeskyttelsesforordningen bliver i nogle tilfælde først opdaget, når der sker et alvorligt sikkerhedsbrud.
Konsekvenserne af et sikkerhedsbrud kan derfor blive væsentligt større, end hvis den dataansvarlige havde overholdt sine egne slettefrister.
Sikkerhedsforanstaltninger skal fungere i praksis
I den konkrete sag havde autoforhandleren indført en organisatorisk foranstaltning med regler for opbevaring af personoplysninger og en teknisk foranstaltning med automatisk sletning. Virksomheden havde imidlertid ikke gennemført regelmæssig kontrol af, om den organisatoriske foranstaltning fungerede efter hensigten, hvilket var afgørende for at sikre, at oplysningerne blev slettet som forudsat.
Sagen understreger, at reglerne om at føre fortegnelser over behandling af personoplysninger og løbende kontrollere, om de indførte sikkerhedsforanstaltninger fungerer efter hensigten, ikke blot er formelle krav. De er en vigtig forudsætning for, at virksomheder og myndigheder kan overholde de grundlæggende databeskyttelsesprincipper i praksis. Uden det nødvendige overblik og den løbende kontrol risikerer personoplysninger eksempelvis at blive opbevaret længere end nødvendigt, som det skete i denne sag.