Datatilsynet har truffet afgørelse i en sag, hvor 3F Østfyn har anmeldt et brud på persondatasikkerheden.
Sagen handler om, at et medlem af 3F ændrede navn og adresse og fik adressebeskyttelse i CPR-registeret, da vedkommende flyttede fra sin voldelige samlever.
3F Østfyn ajourfører medlemmernes navne og adresser på baggrund af adresseoplysninger fra CPR-registeret. I tilfælde hvor et medlem vælger adressebeskyttelse i CPR-registret, modtager 3F ikke længere oplysninger om bl.a. medlemmets adresse, og adressefeltet låses op i 3F’s CRM-system, sådan at medlemmets oplysninger kan vedligeholdes manuelt.
I denne sag kontaktede medlemmet 3F Østfyn for at få opdateret sine navne- og adresseoplysninger, men ved en menneskelig fejl blev kun navnet opdateret. I forbindelse med udsendelse af Fagbladet fra 3F blev medlemmets navneændring anført på bladet, men sendt til medlemmets oprindelige adresse, hvor den tidligere samlever fortsat var bosiddende. Derved fik den tidligere samlever kendskab til medlemmets nye navn.
Behandling af forkerte oplysninger og manglende tekniske og organisatoriske foranstaltninger
Datatilsynet fandt grundlag for at udtale alvorlig kritik, da tilsynet konkluderede, at 3F Østfyns system generelt var sat op på en måde, så det – i givne brugsscenarier – ville behandle potentielt forkerte oplysninger, og at 3F Østfyn ikke havde taget ethvert rimeligt skridt til at sikre, at oplysningerne blev slettet eller berigtiget. 3F Østfyn behandlede derfor personoplysninger i strid med princippet om rigtighed.
Datatilsynet konstaterede yderligere, at 3F Østfyn ikke havde truffet passende organisatoriske og tekniske foranstaltninger for at sikre et sikkerhedsniveau, der passede til den konkrete risiko for de registreredes rettigheder, særligt da der ikke var opsat procedurer eller systemunderstøttelse for at sikre, at oplysningerne ajourførtes.
Datatilsynet lagde bl.a. vægt på, at princippet om rigtighed forpligter til, at systemer ikke må sættes op på en måde, der medvirker til at skabe og behandle forkerte eller ufuldstændige data. Herudover er det væsentligt, at den dataansvarlige identificerer de risici, den konkrete behandling udgør for de registrerede. Det er ikke tilstrækkeligt blot at fokusere på generiske risikoscenarier, og indføre sikkerhedsforanstaltninger der beskytter de registrerede mod disse risici.
Mulige løsninger til tekniske og organisatoriske foranstaltninger
Datatilsynet har i afgørelsen anført mulige forslag til tekniske og organisatoriske foranstaltninger, som kunne anses for relevante i den konkrete sag.
CRM-systemet kunne f.eks. opsættes med en automatisk reaktion (advarsel), som gør medarbejderen opmærksom på, at der nu er navne-/adressebeskyttelse, efter adressefeltet er låst op i CRM-systemet, og at den konkrete medarbejder, skal kontrollere om oplysningerne er korrekte, inden oplysningerne kan bruges – f.eks. til at sende materiale ud (spærring af alle automatiske behandlinger af den data, der er registreret en ændring i). Denne tekniske foranstaltning bør understøttes af særlige processer og retningslinjer for vedligeholdelse og administrering af feltværdierne, når der er tale om et manuelt vedligeholdt felt.
Vil du vide mere?
Læs afgørelsen her.
Læs Datatilsynets vejledning om behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger her.
Læs Det Europæiske Databeskyttelsesråds (EDPB's) vejledning om databeskyttelse gennem design og standardindstillinger her.
Journalister kan kontakte presseansvarlig Anders Due på tlf. 29 49 32 83.