Datatilsynet skærper i 2026: Denne fejl med it-logning har allerede kostet en dansk kommune kritik

Datatilsynet har intensiveret fokus på medarbejderovervågning og digital logning i 2026, og myndigheden peger nu direkte på, at det ikke er nok kun at tjekke logs, når mistanken opstår. Rutinerne skal være løbende og dokumenterede, ellers risikerer virksomheden både kritik og påbud.

Baggrunden er en opdateret vejledning om logning af brugernes anvendelser af personoplysninger, som Datatilsynet senest ajourførte 20. oktober 2025. Vejledningen slår fast, at it-systemer skal indrettes, så de logger enhver brugerhandling på personoplysninger, uanset hvordan handlingen udføres.

Det gælder både læsning, tilføjelse, søgning, ændring, udtræk og sletning. Kravene bygger på databeskyttelsesforordningens artikel 32 om behandlingssikkerhed, og de rammer alle organisationer, der behandler personoplysninger i it-systemer, ikke kun offentlige myndigheder.

Kommune fik allerede en løftet pegefinger

At kravene ikke er teoretiske, viste en afgørelse mod Kerteminde Kommune 14. november 2024. Kommunen fik kritik for ikke at have implementeret faste procedurer for løbende logkontrol, for eksempel stikprøvekontrol, der kunne sikre, at brugerne kun tilgik oplysninger, de havde et arbejdsbetinget behov for.

I stedet gennemførte kommunen kun logkontrol, når der var konkret mistanke om misbrug. Den fremgangsmåde er ifølge Datatilsynet ikke tilstrækkelig. En organisation, der først reagerer, når skaden er sket eller mistanken opstår, opdager ikke uautoriseret opslag i tide.

Sagen indgår i en større linje. Datatilsynet har også indstillet Lyngby-Taarbæk Kommune til en bøde på 350.000-400.000 kroner for manglende sletning af brugeradgang og manglende regelmæssig kontrol, efter tidligere medarbejdere fortsat kunne tilgå it-systemet KMD Nexus.

Sådan skal logs beskyttes

Vejledningen stiller også konkrete krav til, hvordan selve logfilerne skal håndteres. Logs skal lagres et sted, hvor de er beskyttet både i forhold til fortrolighed, integritet og tilgængelighed. Det betyder blandt andet, at systemadministratorer med privilegeret adgang til it-systemet ikke må have samtidig adgang til log-serverens kopi af logfilerne.

Ellers kan en administrator i teorien slette sporene efter egne handlinger, hvilket underminerer hele formålet med logningen. Datatilsynet fremhæver også, at log-serveren skal beskyttes særligt mod cyberangreb.

Opbevaringstiden skal sættes efter formålet. Skal loggen bruges til at kunne opdage misbrug, bør opbevaringen typisk følge, hvor ofte adgangsrettigheder gennemgås. Skal loggen bruges til at efterforske cyberangreb, kan længere opbevaring være nødvendig. Automatisk sletning er samtidig et krav for at overholde dataminimeringsprincippet.

Skærpet tilsyn i 2026

I januar 2026 offentliggjorde Datatilsynet sine særlige fokusområder for året, og overvågning af ansatte står højt på listen. Myndigheden bemærker, at en række teknologier gør det muligt for arbejdsgivere i vidt omfang at overvåge deres medarbejdere, og at målrettede tilsyn i år bygger på indsigter fra en tidligere kortlægning i 2024.

I praksis betyder det, at både systemlogning, e-mail-adgang, tidsregistrering og GPS-data i firmabiler kan blive genstand for konkrete tilsyn hen over året. Virksomheder, der ikke kan dokumentere formål, hjemmel og sletning, står svagt, hvis Datatilsynet banker på.

For danske virksomheder er anbefalingen enkel. Aktivér logning, når it-systemet sættes i drift, kontrollér at logningen faktisk virker, indfør faste procedurer for stikprøvekontrol, og beskyt logfilerne mod, at netop de personer, der overvåges, kan pille ved dem.