Hvornår har I sidst ført tilsyn med jeres databehandlere?

Sagen illustrerer, hvor vigtigt det er, at du som dataansvarlig virksomhed kontrollerer dine databehandlere.

Sagen kort

Datatilsynet har for nyligt foretaget en undersøgelse af privathospitalet Capios tilsyn med sine databehandlere. Ved undersøgelsen fandt Datatilsynet, at privathospitalet ikke tidligere havde ført tilsyn med de tre tilfældigt udvalgte databehandlere, som de undersøgte.  

Dermed har Capio, ifølge Datatilsynet, ikke handlet i overensstemmelse med GDPR’s princip om ansvarlighed, da de ikke har været i stand til at sikre tilstrækkelig sikkerhed for de personoplysninger, der er blevet behandlet af eksterne databehandlere.  

Datatilsynet har derfor indstillet Capio til en bøde på ikke under kr. 1.500.000 samt politianmeldt virksomheden.

Ved vurdering af sanktionen har Datatilsynet bl.a. lagt vægt på:

• at virksomheden ikke har ført tilsyn med sine databehandlere i adskillige år
• at der behandles oplysninger om et stort antal registrerede
• at der behandles særlige kategorier af personoplysninger (følsomme oplysninger)

Læs mere om sagen på Datatilsynets hjemmeside.

Husk at føre tilsyn med dine databehandlere

Når du som dataansvarlig virksomhed behandler personoplysninger, har du et ansvar for, at behandlingen sker med en passende sikkerhed. Dette gælder også, når du benytter dig af eksterne databehandlere, der behandler personoplysninger på vegne af dig.

Du skal derfor indgå databehandleraftaler med dine databehandlere, der sikrer, at databehandleren benytter sig af passende teknisk og organisatorisk sikkerhed i forhold til de risici, som er forbundet med de oplysninger, som databehandleren foretager behandling af.

Som dataansvarlig skal du desuden føre tilsyn med, at databehandleren overholder jeres databehandleraftale og de aftalte sikkerhedsforanstaltninger.

Læs også artiklen: Hvornår har I etableret tilstrækkelige sikkerhedsforanstaltninger?

Hvordan du kan gennemføre et passende tilsyn med dine databehandlere afhænger af din virksomhed, og de oplysninger databehandlerne behandler for dig. Læs mere i Datatilsynets vejledning om tilsyn med databehandlere her.