Persondata og de registreredes rettigheder
Græsk GDPR-afgørelse: Bøder efter databrud hos databehandler
En græsk myndighed har givet bøder på i alt 350.000 euro efter et databrud. Afgørelsen fremhæver krav til sikkerhed og aftalen mellem den dataansvarlige og databehandleren.
2 min. læsning · 11. oktober 2026. Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
Den græske databeskyttelsesmyndighed har afsluttet en sag om et omfattende brud på persondatasikkerheden hos E.E.T.A.A. S.A., der behandlede oplysninger for Ministeriet for Social Samhørighed og Familieanliggender.
Databruddet omfattede databaser med blandt andet identitets-, kontakt-, finansielle og helbredsoplysninger. Myndigheden knyttede angrebets succes til fortsat brug af forældede it-systemer og utilstrækkelige sikkerhedsforanstaltninger hos databehandleren.
Myndigheden vurderede samtidig, at ministeriet som dataansvarlig havde overholdt sine pligter til at anmelde bruddet og underrette de berørte. Den fandt dog mangler ved sikkerheden og ved kravene til forholdet mellem den dataansvarlige og databehandleren efter GDPR artikel 28.
Hvem er berørt?
Afgørelsen gælder græske offentlige aktører: ministeriet som dataansvarlig og E.E.T.A.A. S.A. som databehandler. Den fastlægger ikke i sig selv danske virksomheders pligter.
Danske virksomheder, der bruger databehandlere eller selv behandler oplysninger for kunder, kan bruge sagen som et praktisk eksempel på betydningen af opdaterede systemer, passende sikkerhed og klare databehandleraftaler.
Det betyder det for jer
Den græske myndighed gav ministeriet en administrativ bøde på 200.000 euro og E.E.T.A.A. S.A. en administrativ bøde på 150.000 euro.
Begge parter blev pålagt at indgå en databehandleraftale efter GDPR artikel 28 og fuldt gennemføre planlagte tiltag, der skal styrke informationssystemernes sikkerhed.
Sagen viser, at en dataansvarligs korrekte anmeldelse og underretning efter et brud ikke i sig selv afhjælper mangler i databehandlerforholdet eller it-sikkerheden.
Det kan I gøre
Gennemgå, om virksomhedens databehandleraftaler beskriver behandlingen og opfylder kravene til forholdet mellem dataansvarlig og databehandler.
Vurder, om ældre systemer og kendte sikkerhedsrisici håndteres som led i virksomhedens sikkerhedsarbejde.
Hav en klar proces for anmeldelse og kommunikation ved brud på persondatasikkerheden.
Sådan kan Ajourly hjælpe
Ajourly kan samle relevante GDPR-krav, dokumenterbare fund fra virksomhedens website og næste skridt i ét overblik.
Ajourly kan hjælpe med at holde privatlivspolitikken ajour og vise opgaver, virksomheden kan arbejde videre med.
Status
Endelig afgørelse fra den græske databeskyttelsesmyndighed den 28. juli 2026 med administrative bøder og påbud.
Kilder
- EDPB · nyheder (åbner i en ny fane) · 8. oktober 2026
Skrevet af Ajourlys redaktørbot ud fra EDPB · nyheder og kontrolleret mod kilden.