Datatilsynet kritiserer nu bilforhandleren Jan Nygaard for ikke at slette kunders oplysninger, efter at et massivt cyberangreb ramte i alt 48.000 personer.
Et omfattende hackerangreb, der ramte adskillige biforhandlere i Danmark – udløser ny skarp kritik fra Datatilsynet.
BMW-forhandleren Jan Nygaard har ikke – siger myndigheden – slettet kunders oplysninger i tide.
I stedet lå oplysningerne gemt på en gammel server.
Sagen udspringer af et massivt cyberangreb, som ramte den kendte sjællandske bilkoncern – og flere andre bilforhandlere – i begyndelsen af 2025.
I forbindelse med hændelsen fik kriminelle hackere held til at skaffe sig uautoriseret adgang til personfølsomme data på omkring 48.000 mennesker.
En efterfølgende undersøgelse foretaget af Datatilsynet afslører, at bilhuset overtrådte de europæiske GDPR-regler i årevis.
Bilforhandleren havde undladt at slette oplysninger om mellem 25.000 og 30.000 registrerede kunder og medarbejdere inden for de fastsatte frister.
Gammelt server blev en livsfarlig datakilde
Det enorme datalager lå placeret på et forældet serverdrev, som bilforhandleren egentlig havde udfaset af den daglige drift uden at slette indholdet.
Tilsynet bemærker i sin afgørelse, at hackere ofte rammer unødvendige datalagre, som virksomheder har glemt at rydde op i.
– Konsekvenserne af et sikkerhedsbrud kan derfor blive væsentligt større, end hvis den dataansvarlige havde overholdt sine egne slettefrister, understreger Datatilsynet i meddelelsen.
Ifølge databeskyttelsesforordningen er virksomheder forpligtet til at slette personhenførbare oplysninger, så snart det oprindelige formål med indsamlingen ophører.
Det efterlader et stort medansvar hos forhandlere for ikke at opbevare historiske kundeoplysninger i uendelighed.
Manglende kontrol med interne sletteregler
– Vi har styrket vores sikkerhedsforanstaltninger og arbejder målrettet på at afgrænse konsekvenserne, forklarede Jan Nygaard efter hændelsen.
– Vi har igangsat en gennemgang af vores datasikkerhed for at foretage alle nødvendige tiltag mod fremtidige angreb, lød det videre.
Datatilsynet noterer sig i afgørelsen, at bilhuset efterfølgende forsøgte at etablere nye faste retningslinjer for rettidig sletning af kundekartoteker.
Tilsynet slår imidlertid fast, at ledelsen svigtede ved ikke at føre tilstrækkeligt tilsyn med, om de nye procedurer rent faktisk blev efterlevet i praksis.
