Danske virksomheder er også nødt til at forholde sig til, hvordan bestyrelser håndterer persondata.
Datatilsynet er nemlig nu ude med GDPR-hammeren over for Dansk Selskab for Akutmedicin for ikke at have truffet passende foranstaltninger omkring bestyrelsesmedlemmers behandling af personoplysninger på deres private computere og e-mailkonti.
Blandt andet havde selskabet ikke haft et tilstrækkeligt sikkerhedsniveau for personoplysninger modtaget ved eksterne henvendelser.
Klagen angår en jobansøger, der af forskellige omveje, havnede i indbakken hos formanden hos Dansk Selskab for Akutmedicin.
Sagen udløser en alvorlig kritik af Datatilsynet.
"Tilsynet lagde blandt andet vægt på, at det følger af kravet om passende sikkerhed, at foreninger eller organisationer, der lader bestyrelsesmedlemmer behandle personoplysninger, som foreningen eller organisationen er dataansvarlig for, skal gennemføre passende sikkerhedsforanstaltninger i forbindelse hermed," lyder det af afgørelsen.
Sikkerhedsforanstaltninger gælder også for bestyrelsen
Ifølge Datatilsynet skal der kunne føres kontrol med, at også bestyrelsesmedlemmer, der behandler personoplysninger, overholde de sikkerhedsforanstaltninger, som er besluttet at implementere i en virksomhed.
Herudover skal foreningen eller organisationen også – hvor det er relevant – fastsætte retningslinjer og procedurer for bestyrelsesmedlemmernes anvendelse af udstyret, lyder det.
Dansk Selskab for Akutmedicin har oplyst, at selskabet fremover vil sikre, at eksterne henvendelser går direkte til Dansk Selskab for Akutmedicins e-Boks.
Du kan læse hele afgørelsen her.