Datatilsynet modtager hver måned et sted mellem 600 og 800 anmeldelser af brud på persondatasikkerheden fra virksomheder og offentlige myndigheder.
Screening og visitation af anmeldelserne
Datatilsynet screener løbende alle anmeldte brud på persondatasikkerheden med henblik på at vurdere, om der er grundlag for at foretage sig yderligere i anledning af anmeldelsen. Datatilsynet foretager f.eks. en vurdering af hændelsens karakter og omfang, typerne af de omfattede personoplysninger, den dataansvarliges og evt. databehandlernes trufne foranstaltninger – både før og efter hændelsen – samt hvorvidt de påvirkede personer er blevet underrettet eller bør underrettes.
Datatilsynet foretager også altid en kategorisering af de anmeldte hændelser ud fra tilsynets hændelsestaksonomi. Dette sker for at sikre bedre viden om, hvilke typer af brud der anmeldes, hvilket bruges som led i tilsynets forebyggende og vejledende virksomhed. Læs mere om Datatilsynets statistik over anmeldte brud her.
I mange tilfælde er det ikke nødvendigt, at Datatilsynet foretager sig yderligere i anledning af anmeldelsen, og denne henlægges ved et brev til den dataansvarlige. Brevet kan bl.a. indeholde anbefaling om at underrette de registrerede, hvis dette ikke allerede er sket, eller andre anbefalinger, som vurderes relevante i forhold til det anmeldte.
Iværksættelse af yderligere undersøgelser
Nogle anmeldelser giver imidlertid anledning til supplerende spørgsmål og overvejelse af yderligere tiltag. Det kan være anmeldelser, som fremstår ufuldstændige eller uforståelige, eller som kræver opfølgning, efter at anmelder har foretaget undersøgelser af årsagen til bruddet. Datatilsynet kan også vælge at starte en sag af egen drift, hvis den anmeldte hændelse vurderes at være af mere alvorlig karakter, eller der i øvrigt er behov for at undersøge de anmeldte forhold nærmere.
Hvis mange dataansvarlige har anmeldt sikkerhedsbrud vedrørende den samme hændelse hos en databehandler, kan Datatilsynet vælge at starte en sag af egen drift over for databehandleren. Det kan også ske, at en sag startes af egen drift på baggrund af mange tilsvarende anmeldelser fra den samme dataansvarlige over en længere periode.
Yderligere undersøgelser sker typisk gennem høring af den dataansvarlige og evt. databehandlere. Hvis Datatilsynet i den forbindelse vurderer, at der er sket en overtrædelse af de databeskyttelsesretlige regler, udtaler tilsynet kritik eller alvorlig kritik i den afsluttende udtalelse. Tilsynet vil også kunne meddele påbud om, at den dataansvarlige eller databehandleren skal iværksætte specifikke foranstaltninger. I sager, hvor Datatilsynet vurderer, at overtrædelsen er har en vis alvor, kan tilsynet også vælge at anmelde forholdet til politiet, som herefter behandler sagen.