…

Datatilsynets afgørelser

Hvad der faktisk udløser en bøde

Angrebet udløste ikke bøden. Det gjorde de år, hvor advarslerne lå ubesvarede hos ledelsen.

Det er den mest udbredte misforståelse om Datatilsynet. Tilsynet straffer sjældent selve hændelsen. Det straffer det, der ikke var på plads, da hændelsen skete, og det man kan dokumentere at ledelsen vidste.

Datatilsynet modtager omkring 10.000 anmeldelser om brud på persondatasikkerheden om året. De færreste ender i en bøde. De sager, der gør, har som regel et fælles træk: nogen havde advaret, og ingen havde handlet.

Seksten afgørelser og sager fra arkivet viser mønstret. I flere af dem stod svigtet beskrevet i organisationens egen risikorapport, før det blev udnyttet.

Hvorfor det gentager sig

Advarslen bliver noteret og ikke behandlet: En rådgiver, en revisor eller en medarbejder påpeger et problem. Det bliver skrevet ned. Der sker ikke mere, og notatet bliver senere til bevismateriale.

Dokumentationen findes ikke, når den skal bruges: Tilsynet spørger ikke, om I mener, I havde styr på det. Det spørger, om I kan vise det. Referater, risikovurderinger og beslutninger er svaret.

Ledelsen betragter det som en IT-opgave: Ansvaret ligger hos den dataansvarlige, altså organisationen og dens ledelse. Det kan ikke uddelegeres til en leverandør eller til en DPO.

De banale sager fylder mest: Datatilsynet modtog i 2022 over 100 anmeldelser alene om mails sendt til den forkerte modtager gennem autoudfyldning. Det er ikke avancerede angreb, der giver flest sager.

Advarslen fandtes. Ingen handlede

Fem sager, hvor problemet var kendt internt, før tilsynet blev involveret.

• Rådgiveren advarede i tre år: Advarslen kom i 2022. Der skete ikke noget, før tilsynet greb ind.
• Landsretten femtendoblede bøden: Danmarks første bøde efter persondataforordningen lød på 100.000 kroner. Efter landsretten blev den 1,5 million. Sagen begyndte med 385.000 tidligere kunders data i et system uden slettefrister.
• Tilsynet straffer svigtet, ikke angrebet: 43 millioner borgeres data endte hos tre unge hackere. Bøden på 37 millioner kroner faldt for tre kontrolsvigt, organisationen selv havde identificeret i sin egen konsekvensanalyse og aldrig lukket.
• Den sidste, der rapporterede en fejl, blev fyret: Kulturen afgør, om fejl når frem til nogen, der kan handle på dem.
• Tilsynet afgøres af jeres referater: Det er ikke hændelsen, der udløser sanktionen. Det er det, I kan dokumentere at have besluttet.

Kontrollen manglede, og det kunne ses

Her var der ikke en intern advarsel. Der var en manglende foranstaltning, som tilsynet kunne pege på bagefter.

• 165 organisationer på samme platform uden tofaktor: Én manglende kontrol, gentaget hos alle kunderne.
• 22 millioner brugere uden databehandleraftale: Aftalen er et krav i sig selv. Fraværet er en overtrædelse, uanset om der nogensinde sker et brud.
• Alt hvad en medarbejder kan se, kan stjæles: Adgangsrettigheder, der aldrig blev begrænset, bliver til omfanget af bruddet.
• Mailprogrammet foreslog det forkerte navn: CPR-numre på 50 børn sendt til en fremmed. Det tekniske ansvar ligger stadig hos afsenderen.
• Fjerde brud på ti år hos samme udbyder: Gentagelsen er selvstændigt skærpende.

Afgørelserne flytter sig

Seks sager om, hvor praksis er på vej hen. De er værd at kende, før de bliver hverdag.

• Formulardesign som magtmiddel: Første afgørelse om, at måden en formular er bygget på, kan gøre et samtykke ugyldigt.
• Browserfiler uden samtykke: Reglen om samtykke gælder også det, der ikke ligner en cookie.
• Gratis skolesoftware med sporing kendt ulovlig: Et europæisk datatilsyn afgjorde i januar 2026, at uddannelsesversionen af en dominerende kontorpakke sporede ulovligt. Gratis betyder ikke uden forpligtelser.
• Pasnumre til salg fra en billetudbyder: Data indsamlet til ét formål ender et andet sted.
• Politi, datatilsyn og domstole alle berørt: Seks institutioner i ét EU-land på 18 måneder. Tilsynsmyndighederne er ikke selv undtaget, og deres egne sager bliver til praksis for alle andre.
• NIS2-loven har været gældende i 393 dage: Registreringspligten er trådt i kraft. Manglende registrering er den enkleste overtrædelse at konstatere udefra.

Tre svigt går igen i afgørelserne

Læser man afgørelserne på tværs, peger de på de samme tre ting. De er sjældent avancerede.

Adgangsrettigheder, der er for brede: En medarbejder kan se langt mere end det, arbejdet kræver. Det afgør ikke, om I bliver angrebet. Det afgør, hvor stort bruddet bliver.

Manglende logning: Ingen alarm, da en enkelt bruger pludselig slog millioner af poster op. Uden logning kan I hverken opdage det eller dokumentere bagefter, hvad der skete.

Manglende slettefrister: Data, der skulle have været slettet for år siden, ligger i et udfaset system. Omfanget af bruddet bliver dermed større end forretningen har brug for.

Alle tre er billige at rette og dyre at lade stå. Ingen af dem kræver nyt værktøj.

Det er også derfor, afgørelserne er svære at afvise som uheld. Tilsynet behøver ikke bevise, at I var uansvarlige. Det peger på tre ting, I selv kunne have gjort.

Hvad der går galt, når forsvaret bygges

Politikken bliver skrevet og ikke fulgt: Et dokument uden efterlevelse er værre end ingen politik. Det viser, at I kendte kravet.

Risikovurderingen mangler eller er tre år gammel: Vurderingen skal følge de systemer, I faktisk har i dag. Den er det første, tilsynet beder om.

Databehandleraftalerne er ikke gennemgået: De blev underskrevet ved indgåelsen. Siden er leverandørerne skiftet, og aftalerne er ikke fulgt med.

Ingen har prøvet at svare på et tilsyn: Første gang I samler dokumentationen, bør ikke være, mens fristen løber.

Konsekvensanalysen bliver lavet og lagt væk: Flere af afgørelserne bygger på, at organisationen selv havde beskrevet risikoen. Analysen bliver til bevis mod jer, hvis den ikke følges af handling.

Hvad I kan gøre

1. Find ud af, om der ligger en ubehandlet advarsel: Fra en rådgiver, en revisor eller en medarbejder. De sager, der ender dyrt, begynder som regel der.
2. Saml den dokumentation, et tilsyn ville bede om: Risikovurdering, politik, databehandleraftaler, referater fra ledelsen. Se, hvad der mangler, mens der er tid.
3. Gennemgå adgangsrettighederne: Omfanget af et brud afgøres af, hvor meget den enkelte konto kunne se.
4. Skriv beslutningerne ned i referaterne: Også dem, hvor I bevidst accepterer en risiko. En dokumenteret beslutning er noget andet end et fravær.
5. Gennemgå databehandleraftalerne, næste gang en leverandøraftale fornys: Med kontrol af, om de dækker det, leverandøren faktisk gør i dag.

Hvilken ydelse afdækker det

En IT-sikkerhedspolitik er det dokument, tilsynet spørger efter, og som resten af dokumentationen hænger på. Den skal beskrive det, I faktisk gør.

Er I en mindre virksomhed uden intern IT-funktion, giver et IT-sikkerhedstjek for SMV overblikket over, hvad der mangler, før nogen spørger.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Vurderingen af jeres dokumentation ender derfor ikke i et værktøjskøb.

Beslægtede mønstre

Fristerne for at anmelde et brud behandles under beredskabsplanen. Er bruddet sket hos en leverandør, men hæfter I stadig, er vinklen leverandørangreb.

Alle ni mønstre ligger samlet under cybersikkerhed.

Find ud af, hvad I kan dokumentere

Ligger der en advarsel hos jer, som ingen har handlet på? Og kan I finde referatet, hvor beslutningen blev truffet?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres dokumentation og finder ud af, om jeg kan hjælpe.