Låge nr. 10

Sikkerhedsbrud med høj risiko

Datatilsynet ser desværre flere eksempler på, at oplysninger om personer med adressebeskyttelse bliver videregivet. Dagens låge omhandler en type sikkerhedsbrud, der udgør en særlig høj risiko for de berørte personer.

Det kan have alvorlige konsekvenser, hvis oplysninger om et barn eller en forælder med navne- og adressebeskyttelse videregives til en tidligere samlever og/eller forælder uden forældremyndighed. Denne type sikkerhedsbrud kan både udspringe af menneskelige fejl eller tekniske problemstillinger i et IT-system.

Afgørelse

Brud på persondatasikkerheden hos Familieretshuset

Oplysninger om personer med navne- og adressebeskyttelse blev utilsigtet videregivet hos Familieretshuset, hvilket fik Datatilsynet til at udtale alvorlig kritik af Familieretshuset for ikke at have truffet passende og tilstrækkelige tekniske og organisatoriske foranstaltninger for at sikre en vedvarende fortrolighed omkring oplysningerne.

I marts 2021 udtalte Datatilsynet alvorlig kritik af Familieretshusets behandling af personoplysninger, der i flere tilfælde ikke havde passende sikkerhedsforanstaltninger.

Efter en gennemgang af en række anmeldelser om brud på persondatasikkerheden, konstaterede Datatilsynet, at Familieretshuset frem til den 27. september 2020 havde anmeldt 158 brud på persondatasikkerheden til tilsynet. Ud af disse brud vedrørte 130 utilsigtet videregivelse af personoplysninger, herunder oplysninger om personer med navne- og adressebeskyttelse i 34 tilfælde (Familieretshuset har senere i en opgørelse over brud på persondatasikkerheden anført antallet af sager, hvor der er sket utilsigtet videregivelse af personoplysninger, til 134). 

Datatilsynet fandt ved en gennemgang af de skete brud på persondatasikkerheden, at der i Familieretshusets selvbetjeningsløsninger var sket utilsigtet videregivelse af omkring 3.400 personers oplysninger. Dette på grund af en kendt teknisk fejl i en komponent, der havde været i drift i en årrække.

Selvom få af de behandlinger Familieretshuset foretog resulterede i brud på persondatasikkerheden, fandt Datatilsynet flere tilfælde, hvor fejlene relativt let kunne have været undgået.

Dette gjaldt både i forhold til en opstramning af de organisatoriske foranstaltninger, der var implementeret, men også i forholdet til vurderingen af risikoen for de registrerede. Datatilsynet fandt også enkelte punkter, hvor måden IT-understøttelsen blev designet og benyttet på, burde optimeres.

Læs hele afgørelsen i detaljer her

To sager fra kommunerne

 

Videregivelse i Guldborgsund Kommune 

Datatilsynet politianmeldte Guldborgsund Kommune med en bødeindstilling på 50.000 kr. i december 2020. Datatilsynet blev opmærksom på sagen, da en borger i Guldborgsund Kommune klagede til Datatilsynet i anledning af et alvorligt brud på persondatasikkerheden. Kommunen havde ved en fejl via Digital Post sendt en afgørelse indeholdende oplysninger om klagers barns opholdssted til klagers barns far, selvom faren var frakendt forældremyndigheden. Konkret havde sikkerhedsbruddet store konsekvenser for klager og klagers barn. Klageren var ikke blevet behørigt underrettet af kommunen, sådan at klager kunne tage sine forholdsregler, og kommunen havde heller ikke anmeldt sikkerhedsbruddet til Datatilsynet.

Læs mere om sagen hos Guldborgsund Kommune her.

Videregivelse i Vejle Kommune 

Vejle Kommune blev i juni 2021 indstillet til en bøde på 200.000 kr. for ikke at have overholdt sin forpligtelse som dataansvarlig til at gennemføre passende sikkerhedsforanstaltninger. Datatilsynet blev opmærksom på sagen, da kommunen anmeldte et brud på persondatasikkerheden. Af sagen fremgik det, at den kommunale tandpleje havde haft en fast praksis, hvor velkomstbreve indeholdende begge forældres adresser automatisk var blevet fremsendt til begge forældremyndighedsindehavere. Kommunen havde i de enkelte tilfælde ikke vurderet, hvorvidt oplysningerne måtte videregives til den anden forælder. Dette medførte, at forældre i flere tilfælde modtog oplysninger om den anden forælders (og barnets) adresse, uanset om den pågældende havde navne- og adressebeskyttelse.  

Læs mere om sagen hos Vejle Kommune her.

Dato: 10-12-2021