Journalnummer: 2006-214-0143
De har ved brev af 17. oktober 2006 bl.a. klaget til Datatilsynet over datasik-kerheden på forbund F's medlemssider på internettet. De har i den forbindelse gjort gældende, at der mangler en log-ud funktion, og at systemet tilsynela-dende automatisk gemmer adgangskoder.
Ved brev af 28. november 2006 er F fremkommet med en udtalelse i sagen, som De har kommenteret ved brev af 16. december 2006.
Det fremgår af sagen, at De er medlem af F, og at De i den forbindelse er re-gistreret i F's elektroniske medlemsregister. Det fremgår endvidere, at De har benyttet adgangen til Deres egne oplysninger via F's medlemssider på inter-nettet.
F har generelt oplyst til sagen, at forbundets hjemmeside på internettet er be-skyttet mod uvedkommende adgang ved hjælp af en række tekniske hjælpe-midler, som eksempelvis firewall og diverse sikkerhedsfiltre. F får løbende sikkerheden på hjemmesiden undersøgt af eksterne konsulentfirmaer. Indtil nu har forbundet ikke konstateret ulovlig indtrængen på hjemmesiden.
F har tillige oplyst, at når et medlem har logget sig ind på hjemmesiden, an-vendes den såkaldte SSL-protokol, således at kommunikationen er sikret med en krypteret linie. Dette medfører, at det kun er serveren placeret hos F og brugerens PC, der kan læse brugernavn og password og den efterfølgende kommunikation.
F har desuden oplyst, at der ikke er en log-ud funktion på selvbetjeningssider-ne. F har i den forbindelse anført, at en log-ud funktion efter forbundets opfat-telse ikke er nødvendig, idet brugerens lukning af browseren medfører, at brugeren er logget ud. Log-ud funktionen er nemlig baseret på en såkaldt ses-sion-cookie. Det vil sige, at når man logger ind, bliver der oprettet en cookie, der har sessionen som levetid. Når sessionen afsluttes (ved at browseren luk-kes), slettes cookien automatisk af browseren.
F har endvidere oplyst, at forbundet har besluttet at oprette en log-ud funkti-on, som brugerne selv kan betjene, da den automatiske log-ud funktion åben-bart kan give anledning til usikkerhed hos nogle brugere.
F har i øvrigt oplyst, at det er muligt at logge ind uden at udfylde adgangsko-den, når man først én gang har logget sig ind ved hjælp af brugernavn og ad-gangskode. Dette kræver imidlertid, at man enten aktivt har bedt sin browser om at huske sin adgangskode, eller at man har installeret et såkaldt plug-in, der kan konfigureres til at huske den slags felter.
F har i den forbindelse bemærket, at der på medlemssiderne anvendes en ad-gangskode af html-typen Password. Det betyder, at det brugeren skriver bliver vist på skærmen i anonymiseret form, således at sidemanden ikke kan aflure adgangskoden.
De har anført, at De finder, at der mangler en log-ud funktion, og at man såle-des ikke kan være sikker på, hvornår man har forladt medlemssiden. De opfat-ter F's svar som en bekræftelse af, at en sådan funktion mangler.
De har endvidere anført, at det ved lukning af browseren ser ud til, at systemet automatisk har gemt adgangskoden, således at man alene skal indskrive bru-gernavn.
De finder, at en log-ud funktion er relevant for F's arbejdssøgende medlem-mer, der anvender F's medlemslokaler, hvor computerne står tæt ved siden af hinanden. I den forbindelse er det efter Deres opfattelse ikke nødvendigvis sikkert, at den enkelte bruger lukker browseren efter sin private session, hvis en anden person venter på at komme til, og vedkommende skal bruge samme program.
De anfører tillige, at der ikke er nogen advarsel om at afslutte sessionen.
Datatilsynet skal - efter sagen har været drøftet på et møde i Datarådet - udtale følgende:
Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personop-lysninger, som helt eller delvis foretages ved hjælp af elektronisk databehand-ling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Behandling af personoplysninger skal endvidere ske i overensstemmelse med de grundlæggende principper, som er indeholdt i lovens § 5.
Det følger således af § 5, stk. 1, at oplysninger skal behandles i overensstem-melse med god databehandlingsskik. Det betyder bl.a. ifølge lovens forarbej-der, at behandlingen skal være rimelig og lovlig.
Af persondatalovens § 41, stk. 3, fremgår, at der skal træffes de fornødne tek-niske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hæn-deligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.
Datatilsynet har tidligere tilkendegivet, at den myndighed eller virksomhed, der er dataansvarlig i forbindelse med en selvbetjeningsløsning, bør sikre sig, at anvendelsen af selvbetjeningsløsningen sker med de fornødne sikkerheds-foranstaltninger.
Efter Datatilsynets opfattelse kan en log-ud funktion medvirke til, at bruger-nes anvendelse af selvbetjeningsløsningen sker på en sikker måde.
Funktionen er efter Datatilsynets opfattelse navnlig relevant, når selvbetje-ningsløsningen giver adgang til fortrolige og følsomme personoplysninger.
Datatilsynet finder således, at F ved at indføre en sådan funktion på sine selv-betjeningssider har forbedret datasikkerheden.
Datatilsynet har noteret sig, at F ved indførslen har ønsket at imødegå usik-kerhed hos brugerne. Datatilsynet finder, at dette er i overensstemmelse med princippet om god databehandlingsskik.
Datatilsynet har ved brev af dags dato orienteret F om ovenstående og har samtidig tilkendegivet, at tilsynet finder det beklageligt, at forbundets selvbe-tjeningssider på tidspunktet for Deres klage har manglet en egentlig log-ud funktion. Kopi af brevet vedlægges til orientering.
Datatilsynet lægger i øvrigt til grund, at det forhold, at Deres adgangskode kan være blevet gemt på den PC, De har anvendt til at besøge medlemssider-ne, ikke skyldes funktioner tilknyttet F's selvbetjeningssider.
Kopi af dette brev er dags dato sendt til F.
Datatilsynet betragter herefter sagen som afsluttet.