Ifølge Datatilsynet bør it-systemer kontrolleres og testes jævnligt for at undgå brud på datasikkerheden.
I tre sager har Datatilsynet vurderet, at manglende basale tests af it-systemer var årsag til brud på datasikkerheden.
Kontrol af it-systemer
It-systemer skal kontrolleres regelmæssigt for at sikre:
- At systemet ikke videregiver flere oplysninger end nødvendigt.
- At systemet ikke videregiver oplysninger til forkerte modtagere.
- At adgangskontrollen på systemet fungerer hensigtsmæssigt, således at brugerne har adgang til præcis de oplysninger, de skal bruge (og ikke mere).
Kontrollerne bør udføres inden systemet tages i brug, og hver gang der bliver foretaget en ændring i systemet f.eks. i forbindelse med en opdatering.
Manglende kontroller resulterede i brud på datasikkerheden
Datatilsynet har kritiseret flere kommuner for en mangelfuld kontrol af deres it-systemer, som i de konkrete tilfælde førte til brud på datasikkerheden.
I en af sagerne blev der blandt andet videregivet for mange oplysninger om borgere til kommunens ansatte. Når medarbejderen udfyldte kommunens digitale ansøgning på vegne af en borger, videregav it-systemet således oplysninger om borgerens navn, adresse og personnummer, hvilket ikke var nødvendigt for behandlingen af ansøgningen.
I et andet tilfælde havde underdatabehandleren, som leverede digitale løsninger til kommunen, fejlagtigt udeladt et filter i it-systemet, der skulle begrænse de enkelte kommuners adgang til data om borgere. Fejlen betød, at nogle af kommunens ansatte havde adgang til 4,2 mio. borgeres personnumre og beskæftigelsesrelaterede oplysninger i en periode på omkring 4 måneder.
Sikkerhedsbruddet skete i en af sagerne i forbindelse med en opdatering af it-systemet. En sikkerhedskomponent der skulle sikre, at kun de relevante oplysninger var tilgængelige for brugerne med adgang til systemet, var midlertidigt blevet deaktiveret. Fejlen resulterede i at udvalgte medarbejdere i kommunen uretmæssigt kunne tilgå beskæftigelsesrelaterede oplysninger om 1,5 mio. borgere fra andre kommuner.
Læs alle afgørelserne på Datatilsynets hjemmeside.
Gå ikke glip af vigtig juridisk viden - Tilmeld dig vores gratis nyhedsservice
her →
Har du spørgsmål til dette indlæg, er du mere end velkommen til at
kontakte mig.
Skal din artikel også udgives via Jurainfo og udsendes direkte, via e-mail, til personer og virksomheder som specifikt efterspørger viden og kompetencer inden for dit område? Ansøg om en profil her.
