Klage over pålæg om at bruge "Fælles Pinkode"

Publiceret 26-09-2005
Historisk afgørelse Offentlige myndigheder

Journalnummer: 2004-321-0348

Ved brev af 13. december 2004 fremsendte Ministeriet for Videnskab, Teknologi og Udvikling en klage fra K til Datatilsynet.

Klagen vedrørte det forhold, at M Kommune har pålagt klager at anvende KMD’s "Fælles Pinkode" i forbindelse med anvendelsen af KMD Minskole på klagers arbejdsplads. Da klager ligeledes anvender pinkoden i private sammenhænge, klagede han over, at han blev pålagt at anvende samme sikkerhedsløsning i forbindelse med sit arbejde.

Klager anførte i den forbindelse, at der er en særlig risiko for, at elever på skolen enten fysisk aflurer pinkoden eller anvender en såkaldt key logger med henblik på at tilegne sig pinkoden.

M har efter korrespondance med KMD bl.a. oplyst til sagen, at sikkerheden i KMD Minskole er baseret på "Den Fælles Pinkode", som overholder alle relevante retningslinjer for sikkerhed i forhold til det offentliges behandling af data.

M har herudover redegjort for en række sikkerhedsmæssige forhold, som efter kommunens opfattelse bevirker, at anvendelse af pinkoden er tilstrækkelig sikker.

M har dog oplyst, at man er bekendt med, at der har været fremført indvendinger mod en fælles adgangskode i både private og arbejdsmæssige forhold. KMD har i den forbindelse oplyst kommunen om, at man tager problemstillingen alvorligt, men KMD har ikke en løsning på problemet på nuværende tidspunkt.

Endelig har M anført, at den fælles pinkode understøtter digital signatur (OCES), samt at hvis medarbejderen anvender en USB-nøgle, så kan den anvendes på flere PC’er, uden at en key logger kan aflure nøglen. Brugeren vil dermed kunne være sikker på, at den digitale signatur kun ligger på USB-nøglen. Den digitale signatur kan ikke kopieres, forfalskes eller på anden måde misbruges, hvis man ikke har adgang til både den fysiske nøgle og kodeordet.

I den anledning skal Datatilsynet udtale følgende:

Af persondatalovens § 41, stk. 3, fremgår, at der skal træffes de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.

Pligten til at træffe fornødne sikkerhedsforanstaltninger påhviler efter persondatalovens § 41, stk. 3, såvel den dataansvarlige som en eventuel databehandler.

Datatilsynet lægger i det følgende til grund, at sikkerheden i KMD Minskole er baseret på anvendelse af KMD’s "Den Fælles Pinkode" og ikke på digital signatur.

Datatilsynet lægger ligeledes til grund, at anvendelse af KMD Minskole indebærer behandling af fortrolige og/eller følsomme personoplysninger omfattet af persondataloven.

"Den Fælles Pinkode" er karakteriseret ved, at den samme brugeridentifikation og password giver adgang til en række forskellige tjenester og systemer mv. Dette medfører, at en kompromittering af den enkelte brugers pinkode i én sammenhæng samtidig medfører en risiko for uberettiget adgang til data i andre sammenhænge. De tjenester, som pinkoden giver adgang til, er i vidt omfang rettede mod borgere som privatpersoner, og det er også som sådan den person, der har klaget til Datatilsynet, anvender sin pinkode.

M’s anvendelse af en medarbejders "Fælles Pinkode" – som tillige anvendes af medarbejderen som personlig adgangskode i ikke-arbejdsrelaterede sammenhænge – som adgangskode til kommunens systemer er efter Datatilsynets opfattelse ikke i overensstemmelse med persondatalovens § 41, stk. 3.

Datatilsynet lægger herved vægt på, at "Den Fælles Pinkode" i anden sammenhæng giver adgang til medarbejderens personlige oplysninger, hvorfor medarbejderen må have kontrollen over, hvordan koden anvendes, herunder de sikkerhedsmæssige forhold i det miljø, hvori koden indtastes. Dette er ikke tilfældet, når koden skal anvendes på arbejdspladsen.

Datatilsynet skal derfor henstille, at M ophører med i kommunens systemer at anvende medarbejderes private "Fælles Pinkoder".

Datatilsynet skal anmode om at modtage underretning, når M har efterkommet tilsynets henstilling.

Da denne afgørelse kan have konsekvenser for andre myndigheders eventuelle anvendelse af medarbejderes personlige "Fælles Pinkoder" i arbejdsmæssig sammenhæng, har Datatilsynet dags dato sendt kopi af afgørelsen til KMD. Datatilsynet har anmodet KMD om at oplyse, om tilsynets udtalelse giver virksomheden anledning til ændringer i anvendelsen af "Den Fælles Pinkode".

Kopi af dette brev er dags dato sendt til klager.

Kopi af dette brev er dags dato ligeledes sendt til Ministeriet for Videnskab, Teknologi og Udvikling til orientering.

Datatilsynet forventer desuden at offentliggøre brevet på sin hjemmeside.