Aula lækker data om forældremyndighed i Gribskov Kommune

Tak for svar, Palle Due Larsen.

Selvfølgelig.... Jeg forvekslede lige Aula med Skoleinta...

Gad vide, hvor længe det har stået på... Årevis?

Næppe, Aula har jo endnu ikke eksisteret et år.

Det kunne være rart at få bekræftet, at der faktisk er tale om to fejl: Læk af oplysninger og manglende logning.

Gad vide, hvor længe det har stået på... Årevis? Og mon vi får en forklaring engang?

Det er jo ikke Aula som system der lækker noget for så ville alle kommuner der bruger det jo være ramt. Det er en opsætning i Gribskov Kommune der giver lækagen. Så ret lige fokus på hvad Gribskov Kommune har gjort som ingen andre har.

Det er ikke korrekt.

I Hørsholm kommune har alle forældre fået brev om, at der er sket tilsvarende læk. De skriver at det skyldes en fejl i Aula, som har medført et LANDSDÆKKENDE databrud.

Tak for svar, Sune Hybert. Det lyder foruroligende.

Ja, jeg vil tro at alle brugere (i hvert fald ansatte og forældre) har kunnet se disse oplysninger. Da jeg opdagede fejlen, tog jeg kontakt til kommunes dataansvarlige i Fredensborg kommune og de oplyste mig, at de allerede var ved at undersøge sagen og lave end anmeldelse til datatilsynet.

Tak for svar, Jens Beltofte.

Lyder rigtigt. Men er det i givet fald en feature ved Aula, eller ved Gribskov Kommune?

Tak for svar, Claus Bobjerg Juul.

Der er ikke tilstrækkelig logning.

Hvorfor er man ikke i stand til det? Har nogen en god ekspertforklaring?

Der er ikke tilstrækkelig logning.

Kan bekræfte for Fredensborg Kommune at det også er tilfældet her og kommunen har bekræftet over for mig, at dette læk gælder hele landet.

Man har som bruger

Kan du oplyse, hvem "man", der har kunnet skrive dette ud, er? For der vil jo være personalegrupper, for hvem det er helt relevant at kende forhold omkring forældremyndighed. Er det simpelthen alle brugere i kommunens systemer, som har kunnet?

Kan bekræfte for Fredensborg Kommune at det også er tilfældet her og kommunen har bekræftet over for mig, at dette læk gælder hele landet.

Man har som bruger, hvis man ville, haft mulighed for at udskrive en liste med alle forældre og forældremyndighedsforhold.

Ok, Sune Marcher...

Jeg tror næppe, at folk bliver sure over, at det logges, hvem deres meget private oplysninger videregives til..

Hvis man logger for megt så bliver folk sure...

og det er indraporteret? eller er der nogle ansatte der har haft viden om det som ikke har overholdt loven? Hvis din kæreste har været vidende om det uden at indraportere det så er det jo også kritisk og regel brud.

kunne være, at Aula måske ikke logger tilstrækkeligt til, at man har et fuldt transaktions-/kontrolspor

Hvis man logger for megt så bliver folk sure over, og hvis man logger for lidt bliver folk også sure, det er ikke muligt af gøre alle glade

Tak for god uddybning, som jeg blev klogere af, Nis Peder Bonde. Jeg er enig.

Hvis man har etableret en tilstrækkelig logning, vil det typisk være noget med, at man skal foretage en søgning i disse logdata for at kunne skabe en liste over de berørte.

Jeg mener, at man af GDPR art. 33 kan udlede, at man ved design af et hvilket som helst system med personoplysninger er forpligtet til at indtænke en hensigtsmæssig lognings-infrastruktur, som muliggør, at man inden for 72 timer efter en sikkerhedshændelse har mulighed for at skabe et overblik over, hvad der er sket (forensic) og at kunne vurdere omtrentligt antal berørte. Ellers har man jo på forhånd sat sig i en situation, hvor man ikke kan overholde artikel 33, hvilket vil være kriminelt.

Artikel 34 siger dertil, at man “uden unødig forsinkelse” (det må formentlig tolkes som “samtidig” eller lige efter 72 timers fristen) skal orientere de berørte registrerede. Det stiller yderligere krav til effektiviteten af lognings-infrastrukturen, når man også skal kunne udpege, hvem der er berørt, ligesom det ikke mindst stiller krav til at have passende kommunikationsplaner klar - man skal jo også vide, hvordan man faktisk får fat i de berørte. “Uden unødig forsinkelse” udelukker jo i hvert fald, at man kan sende de pågældende et brev med Post Nord ?

Anne-Marie, du fremhæver art. 34 stk. 3 litra c og spørger vel indirekte, om dette kan være grundlag for, at man ikke vælger at orientere de pågældende individuelt. Måske... Jeg tolker art. 34(3)(c) som noget man kan bruge, hvis der er super mange berørte, så det fx er alle borgere i Danmark eller lignende, så det i praksis vil være meget svært eller dyrt at skrive til alle. Jeg tror ikke, at manglende rettidig omhu til at sikre tilstrækkelig logning vil kunne bruges som et argument for dette.

Summarum summarum: Man skal for ethvert it-system med personoplysninger på forhånd have styr på sin logning, sine “incident response” procedurer og sine kommunikationsplaner, så man er sikker på, at det hele kan gennemføres inden for ca. 72 timer. Altså med andre ord en solid og regelmæssigt afprøvet beredskabsplan.

Jeg har imidlertid en fornemmelse af, at mange dataansvarlige viger meget tilbage fra direkte at orientere berørte registrerede jf. art. 34. Det har Datatilsynet faktisk også påtalt for nylig. Det lader til, at der rundt omkring i myndigheder og virksomheder gøres store anstrengelser for hver gang at kunne nå frem til at konkludere, at der sandelig ikke har været nogen risiko for de registrerede - eller også “glemmer” man bare behændigt at orientere. Jeg gætter på, at Datatilsynet er ved at varme op til at give nogle dataansvarlige kritik i den forbindelse, for selvfølgelig skal art. 34 også overholdes.

Tak for svar, Nis Peder Bonde.

det er et særskilt GDPR problem, når man ikke er i stand til at give de berørte den obligatoriske orientering..

"skaffe en liste over "...? Er det noget, man "skaffer" - eller er det noget, man ved målrettet indsats og hårdt arbejde skaber? Ja, det lugter af manglende logning - men så skal det også frem i lyset.

Jeg hæfter mig ved dette i artikel 34;3. Det er ikke nødvendigt at underrette den registrerede som omhandlet i stk. 1, hvis en af følgende betingelser er opfyldt:""c) det vil kræve en uforholdsmæssig indsats. I et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde. "​

Men de begrunder det jo så ikke med, at de synes, det er for bøvlet - men at de ikke kan identificere de pågældene - hvilket i givet fald er lidt foruroligende.

Der er i hvert fald huller i historien, som det kunne være rart at få udfyldt.

Dette problem har altså også været i andre kommuner som bruger Aula !! Har min kæreste lige bekræftet ?

Spørgsmålene er såmænd udmærkede og meget relevante, Anne-Marie. En mulig forklaring (altså alene en gisning fra min side - jeg kender intet konkret til Aula-løsningen) kunne være, at Aula måske ikke logger tilstrækkeligt til, at man har et fuldt transaktions-/kontrolspor, som kan vise alle hændelser. I givet fald ville det i sig selv formentlig kunne ses som et brud på GDPR reglerne, da der jo netop er krav om, at man skal orientere berørte registrerede subjekter i tilfælde af sikkerhedsbrud. Der kan selvfølgelig også være mange andre mulige forklaringer, men de vil nok alle sammen ende med den samme konklusion, at det er et særskilt GDPR problem, når man ikke er i stand til at give de berørte den obligatoriske orientering jf. artikel 34.

... Eller også er Gribskov Kommune måske bare de første, der opdagede problemet... Nogen vil jo altid være de første, og hvis Aula udviklerne straks derefter har lukket sikkerhedshullet, er Gribskov Kommune måske også de eneste, som nogensinde ser det. Uanset hvad er det på det foreliggende grundlag alt sammen gisninger, for artiklen giver ikke tilstrækkeligt med informationer til, at man kan konkludere hverken det ene eller det andet...

Det er jo ikke Aula som system der lækker noget for så ville alle kommuner der bruger det jo være ramt. Det er en opsætning i Gribskov Kommune der giver lækagen. Så ret lige fokus på hvad Gribskov Kommune har gjort som ingen andre har.

Nå, der er åbenbart en eller anden, der ikke synes, at det er en af de grovere, eller at der er grund til at undre sig over disse to ting....

Jeg sidder tilbage med et par spørgsmål:

• Hvem er disse meget følsomme oplysninger lækket til, og hvordan?

• "Kommunen har ikke været i stand til at skaffe en liste over, hvem der har fået lækket oplysninger, og har derfor valgt at give en generel orientering, lyder det i meddelelsen."Hvorfor er man ikke i stand til det? Har nogen en god ekspertforklaring?