TL;DR
Genom beslut den 28 juli 2026, publicerat av EDPB den 8 oktober, ålade den grekiska dataskyddsmyndigheten ministeriet för social sammanhållning och familj (personuppgiftsansvarig) 200 000 euro och E.E.T.A.A. S.A., myndigheten för lokal utveckling som drev systemen (biträde), 150 000 euro. Ministeriet hade anmält och informerat korrekt; avgiften gäller säkerheten och förhållandet till biträdet. Artiklar: 25, 28, 32, 33 och 34 GDPR.
Vad som hände
En omfattande cyberattack drabbade E.E.T.A.A:s system, som användes för att genomföra ministeriets program. Databaserna innehöll uppgifter om mycket många personer: identifierings- och kontaktuppgifter, finansiella uppgifter och hälsouppgifter.
Vad myndigheten konstaterade
- KORREKT ANMÄLAN. Ministeriet uppfyllde som personuppgiftsansvarig skyldigheten att anmäla till myndigheten och informera de registrerade (art. 33 och 34).
- FÖRÅLDRADE SYSTEM. Attacken lyckades eftersom E.E.T.A.A. fortsatte att använda föråldrade system och otillräckliga säkerhetsåtgärder, trots kända risker (art. 32).
- OREGLERAT FÖRHÅLLANDE. Brister enligt art. 28: förhållandet mellan ansvarig och biträde var inte reglerat som GDPR kräver.
- BÅDA BÖTFÄLLDA. 200 000 euro för ministeriet och 150 000 för E.E.T.A.A., med föreläggande att ingå biträdesavtal och slutföra de planerade säkerhetsåtgärderna.
Korrekt anmälan räddar inte den ansvarige
Hanteringen av incidenten var korrekt, och ändå betalar den ansvarige. Orsaken ligger tidigare: art. 28 kräver att man bara anlitar biträden med tillräckliga garantier och reglerar förhållandet skriftligt. En leverantör med föråldrade system utan bindande avtal är först den ansvariges risk.
Vad det betyder för dataskyddsombudet
Fyra kontroller
Ett: för varje leverantör som behandlar uppgifter för kundens räkning ett undertecknat biträdesavtal enligt art. 28, även när leverantören är en offentlig aktör eller ett statligt bolag. Två: i avtalet minsta säkerhetsåtgärder och rätt att kontrollera dem, inklusive systemuppdateringar. Tre: en dokumenterad periodisk granskning av leverantörer med hälso- eller finansiella uppgifter. Fyra: om leverantören känner till en risk utan att åtgärda den måste den ansvarige veta det och besluta — tillfället för ett skriftligt yttrande från ombudet.
Fallet är användbart av ytterligare ett skäl: det visar att myndigheter bötfäller biträdet direkt när orsaken till incidenten ligger hos det. Biträdet är inte «täckt» av den ansvarige: det har egna säkerhetsskyldigheter och ansvarar för dem.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
