86.000 danskeres DNA sendt til USA uden kontrol
Aarhus Universitet har sendt data fra blodprøver for 86.000 danskere til USA uden at føre et eneste tilsyn med databehandleren i over tre år, hvilket er i strid med persondatalovens §42 om at føre tilsyn med databehandleren.
Det er data fra PKU-registret, der lagrer blodprøver for næsten alle nyfødte siden 1981, skriver Politiken.
Universitetet har et samarbejde med Broad Institute i USA, hvor blodprøverne er omdannet til søgbare gendata, og de involverede danskere er ikke blevet informeret, da den sendte data er anonymiseret.
§ 42. Når en dataansvarlig overlader en behandling af oplysninger til en databehandler, skal den dataansvarlige sikre sig, at databehandleren kan træffe de i § 41, stk. 3-5, nævnte tekniske og organisatoriske sikkerhedsforanstaltninger, og påse, at dette sker. Stykkerne, der henvises til, siger: Stk. 3. Den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. Tilsvarende gælder for databehandlere. Stk. 4. For oplysninger, som behandles for den offentlige forvaltning, og som er af særlig interesse for fremmede magter, skal der træffes foranstaltninger, der muliggør bortskaffelse eller tilintetgørelse i tilfælde af krig eller lignende forhold. Stk. 5. Justitsministeren kan fastsætte nærmere regler om de i stk. 3 anførte sikkerhedsforanstaltninger. Kilde: PersondatalovenPersondataloven:
Arnold Boon, direktør for Aarhus Universitet forklarer, at:
»Vores forskere har været derovre flere gange, og de har også eksplicit drøftet sikkerhed med instituttet. Men det er korrekt, at vi ikke har færdigudarbejdet nogen model for at kontrollere sikkerheden, eller hvordan vi indrapporterer det. Det er vi blevet opmærksomme på nu. Vi skal have lavet en formaliseret opfølgning på, hvordan Broad Institute arbejder med sikkerheden«, siger han til Politiken.
Det store billede
Historien fra Aarhus Universitet er blot en enkelt brik i det store billede, og Version2 kunne i januar fortælle, at Statens Serum Institut ikke har ført et eneste tilsyn med databehandlere.
Der er altså både manglende tilsyn, og samtidig viser historien her, at det er så følsomme data som DNA, der sendes til udlandet uden nogen kontrol af, at de bliver håndteret korrekt.
Både sundhedsminister Ellen Trane Nørby (V) og Datatilsynet kritiserede de manglende tilsyn hos Statens Serum Institut, og det viser sig altså nu, at Aarhus Universitet på samme måde ikke har ført tilsyn med sin databehandler.
Thomas Birk Kristiansen, formand for Patientdataforeningen, forklarede til Version2 i januar, at:
»At bryde lovgivningen for god databehandlerskik - og herunder inspektionen af databehandlere - betyder ikke nødvendigvis noget konkret, men det viser lidt et billede af, hvordan man behandler sundhedsdata i Danmark. Man har simpelthen sluppet bremsen.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
