Sagen om de mange uberettigede opslag i CPR-registeret har endnu en gang vist, hvor store konsekvenser det kan have, når sikkerheden omkring personoplysninger svigter. I et samfund, hvor stadig flere oplysninger behandles digitalt, kræver det en fælles og målrettet indsats at beskytte dem.
Men en vigtig del af arbejdet med at styrke Danmarks digitale sikkerhed bliver ofte overset: beskyttelsen af vores personoplysninger.
Her spiller Datatilsynet en væsentlig rolle.
For selv om GDPR ofte forbindes med samtykke, sletning og retten til indsigt i egne personoplysninger, stiller reglerne også krav til sikkerheden omkring oplysningerne i nogle af de store digitale systemer, som samfundet er afhængigt af.
”Når vi taler om GDPR, kommer debatten ofte til at handle om de små konkrete spørgsmål, som virksomheder og borgere møder i hverdagen. Men databeskyttelse handler i den grad også om sikkerheden omkring de oplysninger, som kommuner, hospitaler, statslige myndigheder og virksomheder behandler om os alle sammen. Det er en væsentlig del af vores digitale sikkerhed, som fortjener langt større opmærksomhed,” siger Datatilsynets direktør, Cristina Angela Gulisano.
Sikkerhed begynder med de grundlæggende krav
Hvilke personoplysninger er det nødvendigt at behandle? Hvem skal have adgang til dem, og hvordan sikrer vi, at de (for)bliver beskyttet, når virksomheder og myndigheder er forbundet gennem digitale systemer og leverandører?
Det er spørgsmål, som Datatilsynet arbejder med hver dag.
Databeskyttelsesreglerne stiller b.la. krav om adgangsstyring, risikovurderinger og passende sikkerhedsforanstaltninger. Gennem vejledning og afgørelser i klage- og tilsynssager er Datatilsynet med til at præcisere, hvordan virksomheder og myndigheder skal beskytte de oplysninger, de behandler.
Det gælder både den mindre virksomhed med oplysninger om kunder og medarbejdere og de store offentlige it-systemer, som tusindvis af borgere benytter hver dag.
Når Datatilsynet f.eks. lægger vægt på, at virksomheder og offentlige myndigheder kun indsamler og på anden måde behandler de personoplysninger, de har brug for, og sletter oplysningerne, når de ikke længere er nødvendige, handler det b.la. om at undgå unødig ophobning af data.
En sådan ophobning kan nemlig udgøre en alvorlig sikkerhedsrisiko. Jo flere unødvendige oplysninger en virksomhed eller offentlig myndighed behandler og opbevarer – især hvis der er tale om følsomme personoplysninger – desto større kan konsekvenserne blive ved et eventuelt hackerangreb.
En særlig indsigt i sikkerhedsbrud
Hvert år modtager Datatilsynet omkring 10.000 anmeldelser om brud på persondatasikkerheden fra danske virksomheder og myndigheder.
Anmeldelserne giver tilsynet en omfattende indsigt i, hvor sikkerheden svigter, hvilke problemer der går igen, og hvilke udfordringer virksomheder og myndigheder møder i arbejdet med at beskytte personoplysninger.
En indsigt og viden, vi i Datatilsynet gør brug af, ikke mindst når vi hver dag vejleder virksomheder og myndigheder. Datatilsynet kan derfor bidrage til det bredere arbejde med at styrke cyber- og informationssikkerheden i Danmark.
”Vi får hvert år indblik i tusindvis af konkrete sikkerhedsbrud. Det giver os mulighed for at se mønstre og identificere problemer, der går igen på tværs af virksomheder og myndigheder. Den viden bruger vi til at vejlede og føre tilsyn, så vi kan være med til at forebygge, at de samme fejl bliver begået igen,” siger Cristina Angela Gulisano.
Når Datatilsynet gør en konkret forskel
Datatilsynet har gennem flere år sat fokus på risici ved behandlingen af personoplysninger i store digitale løsninger. Gennem konkrete afgørelser har tilsynet identificeret problemer, stillet krav og bidraget til ændringer, der styrker beskyttelsen af borgernes oplysninger.
I sagen om det digitale kørekort greb Datatilsynet ind over for Digitaliseringsstyrelsens behandling af oplysninger om borgere, der ikke havde tilmeldt sig appen. Styrelsen ændrede efterfølgende løsningen, så oplysninger om disse borgere ikke længere blev behandlet. Sagen viser, hvordan Datatilsynets arbejde kan føre til bedre beskyttelse af personoplysninger, samtidig med at digitale løsninger fortsat kan anvendes.
I Chromebook-sagen har Datatilsynet gennem flere år sat fokus på kommunernes ansvar for behandlingen af skoleelevernes personoplysninger, når de anvender digitale produkter fra internationale leverandører. Senest udtalte tilsynet i januar 2026 alvorlig kritik af 51 kommuner og advarede dem om en række forhold ved deres brug af Googles produkter.
I maj 2026 gav Datatilsynet Aalborg Kommune påbud om at få styr på sletningen af personoplysninger, som kommunen ikke længere havde behov for at opbevare. Kommunen skulle b.la. sikre, at oplysningerne blev slettet, og få overblik over sletningen i sine it-systemer. Sagen understreger, hvorfor det er vigtigt, at virksomheder og myndigheder ikke opbevarer personoplysninger længere end nødvendigt.
De tre sager viser, hvordan Datatilsynet arbejder for at beskytte personoplysninger gennem hele deres livscyklus – fra de bliver indsamlet og behandlet, til de skal slettes. Det handler om at begrænse behandlingen til det nødvendige, have styr på leverandørerne og undgå, at oplysninger opbevares unødigt.
Datatilsynet har samtidig indledt en undersøgelse af den omfattende uberettigede adgang til oplysninger i CPR-registeret. Undersøgelsen skal belyse de databeskyttelsesretlige forhold omkring hændelsen.
En vigtig del af det samlede sikkerhedsarbejde
Danmarks digitale sikkerhed kræver et tæt samarbejde mellem myndigheder med forskellige ansvarsområder og kompetencer.
Datatilsynet bidrager med en særlig indsigt i beskyttelsen af personoplysninger og de sikkerhedsproblemer, der opstår i praksis. Det er viden, som har betydning både i håndteringen af konkrete sikkerhedsbrud og i arbejdet med at forebygge nye.
”Beskyttelsen af vores personoplysninger er en vigtig del af Danmarks digitale sikkerhed. Det har vi i Datatilsynet arbejdet med i mange år, og vores afgørelser viser, hvorfor det er nødvendigt. Vi har både erfaringen og den faglige viden til at bidrage, når sikkerheden skal styrkes. Derfor er det vigtigt, at databeskyttelse bliver tænkt ind fra begyndelsen, når vi udvikler nye digitale løsninger,” siger Cristina Angela Gulisano.