Intervare A/S

I begge sager havde de dataansvarlige vurderet, at der ikke skulle ske underretning af de registrerede. Oplysningerne var primært navn, kontakt- og adresseoplysninger samt købshistorik. Da der var tale om et betydeligt antal registrerede (mere end 250.000), og da de dataansvarlige ikke havde vurderet risikoen særskilt for den delmængde af de registrerede, der måtte have hemmelig eller udeladt adresse, foretog Datatilsynet en vurdering af risikoen for denne gruppe af registrerede. Da tilsynet vurderede risikoen for disse registrerede som værende høj, pålagde Datatilsynet de dataansvarlige at underrette de registrerede, der måtte have hemmelig eller udeladt adresse. Afgørelsen fastslår, at der selv i ellers homogene behandlinger af oplysninger, som generelt ikke har en høj risikoprofil, kan være forhold for den enkelte registrerede, der indebærer en høj risiko. Den risikovurdering, der foretages af den dataansvarlige – for om der skal ske underretning – skal afspejle sådanne individuelle forhold. Datatilsynet vender hermed tilbage til sagen, hvor Intervare A/S (herefter "Intervare") den 21. januar 2019 har anmeldt et brud på persondatasikkerheden til Datatilsynet. Efter en gennemgang af sagen finder Datatilsynet grundlag for at meddele Intervare Dog skal alle berørte registrerede, som specifikt er kunder hos Intervare underrettes (uanset om disse har hemmelig/udeladt adresse eller ej), såfremt de kunne identificeres ud fra oplysningerne, som der var uautoriseret adgang til. Indholdet i underretningen skal opfylde kravene i databeskyttelsesforordningens artikel 34, og dermed i et klart sprog beskrive karakteren af bruddet på persondatasikkerheden og mindst indeholde de oplysninger og foranstaltninger, der er omhandlet i artikel 33, stk. 3, litra b, c og d. .