TL;DR
Ved vedtak av 28. juli 2026, publisert av EDPB 8. oktober, ila det greske datatilsynet Departementet for sosial samhørighet og familie (behandlingsansvarlig) 200 000 euro og E.E.T.A.A. S.A., etaten for lokal utvikling som driftet systemene (databehandler), 150 000 euro. Departementet hadde varslet og informert korrekt; gebyret gjelder sikkerhet og forholdet til databehandleren. Artikler: 25, 28, 32, 33 og 34 GDPR.
Hva som skjedde
Et omfattende dataangrep rammet systemene til E.E.T.A.A., som ble brukt til å gjennomføre departementets programmer. Databasene inneholdt opplysninger om svært mange mennesker: identifikasjon og kontakt, økonomi og helse.
Hva tilsynet fant
- KORREKT VARSLING. Departementet oppfylte som behandlingsansvarlig pliktene til å varsle tilsynet og informere de registrerte (art. 33 og 34).
- UTDATERTE SYSTEMER. Angrepet lyktes fordi E.E.T.A.A. fortsatt brukte utdaterte systemer og utilstrekkelige sikkerhetstiltak, til tross for kjente risikoer (art. 32).
- UREGULERT FORHOLD. Mangler etter art. 28: forholdet mellom behandlingsansvarlig og databehandler var ikke regulert slik GDPR krever.
- BEGGE BØTELAGT. 200 000 euro til departementet og 150 000 til E.E.T.A.A., med pålegg om å inngå databehandleravtale og fullføre de planlagte sikkerhetstiltakene.
God varsling redder ikke den behandlingsansvarlige
Håndteringen av avviket var korrekt, og likevel betaler den behandlingsansvarlige. Grunnen ligger tidligere: art. 28 krever at man bare bruker databehandlere med tilstrekkelige garantier og regulerer forholdet skriftlig. En leverandør med utdaterte systemer uten bindende avtale er den ansvarliges risiko før den er leverandørens.
Hva det betyr for personvernombudet
Fire kontroller
Én: for hver leverandør som behandler data på kundens vegne, en signert avtale etter art. 28, også når leverandøren er et offentlig organ eller statseid selskap. To: i avtalen minimumstiltak for sikkerhet og rett til å kontrollere dem, inkludert oppdatering av systemer. Tre: en dokumentert periodisk gjennomgang av leverandører med helse- eller finansopplysninger. Fire: kjenner leverandøren en risiko uten å rette den, må den behandlingsansvarlige vite det og beslutte — tidspunktet for en skriftlig uttalelse fra personvernombudet.
Saken er nyttig av en annen grunn også: den viser at tilsyn bøtelegger databehandleren direkte når årsaken ligger hos den. Databehandleren er ikke «dekket» av den behandlingsansvarlige: den har egne sikkerhetsplikter og svarer for dem.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
