De fleste sikkerhedsbrud der anmeldes til datatilsynet, skyldes “menneskelige fejl”. Eller gør de?
Læs videre “Autocomplete i mail klienter er ikke tilladt!”Ransomware er den største trussel mod danske virksomheder!
Utallige danske virksomheder har været og vil blive ramt af ransomware angreb.
Læs videre “Ransomware er den største trussel mod danske virksomheder!”Hvad vil Datatilsynet fokusere på i 2021?
Datatilsynet har oplyst hvilke områder de vil fokusere på i 2021.
Overskrifterne er:
- Kreditoplysningsbureauer, advarselsregistre og spærrelister
- Inkassobureauers oplysningspligt og sletning
- Pengeinstitutters procedurer for indsigtsanmodninger
- Tv-overvågning
- Myndigheders videregivelse af personnumre til borgere
- Forskning
- Behandling af personoplysninger om hjemmesidebesøgende (cookies)
- Persondatasikkerhed, inkl. brud på persondatasikkerheden
- Kontrol med databehandlere
- Overførsel af personoplysninger til tredjelande
- Behandling af personoplysninger i fælleseuropæiske informationssystemer
- PNR-loven (Kommentar: Lov om indsamling, anvendelse og opbevaring af oplysninger om flypassagerer)
- Retshåndhævelsesloven
Hvad betyder det for mig?
Nogle af områderne henvender sig til specifikke brancher, typer af virksomheder og myndigheder. Men der hvor jeg kan se, at det stort set rammer alle er på:
- TV-overvågning, som mange idag har, hvilket også er tilladt hvis man følger reglerne. F.eks. må man som udgangspunkt ikke optage offentlige steder, med undtagelse af visse brancher, men gerne sin egen facade og indgang. Vigtigt er også som sædvanligt, beskrivelsen af hvorfor man optager samt slette fristen. Du skal også huske at skilte med TV-overvågning.
- Behandling af personoplysninger om hjemmesidebesøgende (cookies), gælder jo for alle der har en hjemmeside. Jeg skrev for 1 år siden om Datatilsynet har nye retningslinjer for behandling af personoplysninger til hjemmeside ejere. Den gang afsluttede jeg artiklen med at Datatilsynet nok ikke vil give anmærkning eller bøder. Men nu er der gået 1 år, så nu kan man nok forvente, at de vil være mere strikse.
- Persondatasikkerhed, inkl. brud på persondatasikkerheden, er jo store dele af GDPR delen generelt. Men der nævnes brud på persondatasikkerheden. Så det tolker jeg som, at man vil kontrollere, at virksomheder har styr på hændelser, der omhandler personsikkerhed. Man skal f.eks. beskrive enhver hændelse, der involverer personhenførbare oplysninger. Det mest almindelige i følge Datatilsynets opgørelse er, at der bliver sendt en mail med personoplysninger til den forkerte modtager. Men der kan være andre hændelser, der ikke nødvendigvis kræver en anmeldelse til Datatilsynet. Men du skal stadig registrere hændelsen, så det er vigtigt, at du har en fast proces til dette. Lexoforms, som er den online service mine kunders GDPR data ligger i, har netop introduceret et hændelses modul.
- Kontrol med databehandlere Du skal huske at kontrollere dine databehandlere. Du har indgået en aftale, men du er stadig den dataansvarlige. Så derfor skal du føre tilsyn med, at tingene er som aftalt. Nogle databehandlere får udført ekstern revisions kontrol, som du skal gennemse. Andre må du sende relevante sprøgsmål til, med det formål at sikre, at den databehandler aftale i har indgået, stadig lever op til jeres aftale. Jeg har skrevet denne artikel .Skal jeg føre tilsyn med mine Databehandlere?”
- Overførsel af personoplysninger til tredjeland Med EU’s dom om at US Privacy Shield er ikke længere er gyldigt, har vi siden 16 juli 2020 ventet på en løsning. Der har været flere møder i EU, så forventningen er stadig, at EU og USA finder en løsning. EU’s udspil er Standard Contractual Clauses (”SCC”), så alt tyder på, at EU vil fastholde sin position. Høringsfristen for denne nye aftale var 10 december 2020, du kan følge udviklingen her. Nogle US baserede firmaer har udvidet deres aftaler med at respektere SCC, desværre har jeg ikke fundet et sted med oversigt over hilse firmaer som har tilsluttet sig SCC.
Du kan læse mere her om datatilsynets fokusområder
Hvem modtager besked hvis din databehandler har en sikkerhedsbrist?
Som jeg tidligere har skrevet, skal du føre: Tilsyn med Databehandlere.
Læs videre “Hvem modtager besked hvis din databehandler har en sikkerhedsbrist?”Datatilsynet har nye retningslinjer for behandling af personoplysninger til hjemmeside ejere.
Datatilsynet har d. 17 februar 2020 frigivet en vejledning, hvor man har taget stilling til behandling af personoplysninger om hjemmesidebesøgende.
Vejledningen gør, at flere områder nu er præciseret, og man giver også mange gode eksempler deri.
Læs videre “Datatilsynet har nye retningslinjer for behandling af personoplysninger til hjemmeside ejere.”Hvad spørger Datatilsynet om ved Sikker mail tilsyn
Som opfølgning på mit nyhedsbrev fredag den 22. november 2019, som også kan læses som blogindlæg Reglerne omkring sikker mail er skærpet af Datatilsynet, har jeg kigget på de spørgsmål datatilsynet har offentliggjort om tilsyn udført i forbindelse med kryptering af email.
Hvis ikke du helt har styr på den tekniske side af sikker mail, vil jeg foreslå at du læser min artikel først.
Hvad spørger Datatilsynet om ved tilsyn omkring Sikker mail?
Læs videre “Hvad spørger Datatilsynet om ved Sikker mail tilsyn”
Reglerne omkring sikker mail er skærpet af Datatilsynet.
Datatilsynet har netop skærpet reglerne omkring sikker email. Det betyder, at mange nu er nødt til at checke deres løsning og sikre, at de lever op til de skærpede krav om kryptering.
Læs videre “Reglerne omkring sikker mail er skærpet af Datatilsynet.”Det svenske Datatilsyn indleder tilsyn mod Google
Det svenske datatilsyn har modtaget en anmeldelse på Google fra det Svenske forbruger råd.
Læs videre “Det svenske Datatilsyn indleder tilsyn mod Google”
Hvad spørger datatilsynet om ved et tilsyn?
I den forløbne uge begyndte der og florere kopiere af dokumenter som Datatilsynet havde brugt ved nogle tilsyn.