Datatilsyn kritiserer bilforhandler for ikke at slette oplysninger

I starten af 2025 blev en sjællandsk bilforhandler udsat for cyberangreb. Datatilsynet kritiserer håndtering.

Bilforhandleren Jan Nygaard, som sidste år blev udsat for et cyberangreb, hvor kunders oplysninger blev kompromitteret, får alvorlig kritik af Datatilsynet.

Det skriver tilsynet i en pressemeddelelse.

Datatilsynet er i forbindelse med sin undersøgelse af forløbet kommet frem til, at bilforhandleren ikke havde slettet oplysninger om mellem 25.000 og 30.000 personer rettidigt.

Oplysningerne lå på et gammelt serverdrev, som virksomheden ikke længere ville bruge. Men de burde være slettet ifølge GDPR-reglerne.

I pressemeddelelsen skriver Datatilsynet, at man jævnligt ser, at cyberangreb fører til kompromittering af oplysninger, som burde være slettet.

- Konsekvenserne af et sikkerhedsbrud kan derfor blive væsentligt større, end hvis den dataansvarlige havde overholdt sine egne slettefrister, lyder det.

Ifølge GDPR skal personoplysninger slettes, når der ikke længere er brug for dem til det formål, de blev indsamlet.

Efter angrebet udsendte Jan Nygaard en pressemeddelelse, hvor man beklagede over for kunder og medarbejdere.

- Vi har styrket vores sikkerhedsforanstaltninger og arbejder målrettet på at afgrænse konsekvenserne. Vi har igangsat en gennemgang af vores datasikkerhed med henblik på at foretage alle forhåndenværende tiltag og lignende fremtidige aktioner, lød det dengang.

I sin afgørelse anerkender Datatilsynet, at Jan Nygaard har forsøgt at indføre en ny procedure, der skulle sikre, at oplysninger blev slettet rettidigt.

Tilsynet mener dog, at der har været manglende kontrol med, om den nye procedure blev fulgt.

Samlet blev omkring 48.000 personers oplysninger kompromitteret i forbindelse med angrebet.

Sagen om cyberangrebet er tidligere beskrevet af blandt andet Ekstra Bladet. Ifølge avisen er Jan Nygaard Sjællands største forhandler af bilmærket BMW.

RITZAU