Aula lækker data om forældremyndighed i Gribskov Kommune

17. februar 2020 kl. 14:0027
Aula lækker data om forældremyndighed i Gribskov Kommune
Illustration: Kombit.
En fejl i en opdatering til Aula gjorde, at forældre og elever kunne se, hvem der har forældremyndigheden over elever på skoler i Gribskov Kommune. Fejlen er blevet rettet.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

I Gribskov Kommune har skolernes it-system Aula i en periode afsløret private oplysninger om, hvorvidt forældre har forældremyndigheden over deres børn eller ej.

Gribskov Kommunes Center for Dagtilbud og Skoler har i en orientering til forældre i kommunen underrettet dem om, at der er sket et brud på persondatasikkerheden.

Det skriver Sn.dk.

Kommunen har ikke været i stand til at skaffe en liste over, hvem der har fået lækket oplysninger, og har derfor valgt at give en generel orientering, lyder det i meddelelsen.

Artiklen fortsætter efter annoncen

Gribskov Kommune har anmeldt databruddet til Datatilsynet.

27 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
27
24. februar 2020 kl. 11:44

Tak for svar, Palle Due Larsen.

Selvfølgelig.... Jeg forvekslede lige Aula med Skoleinta...

25
20. februar 2020 kl. 11:22

Det kunne være rart at få bekræftet, at der faktisk er tale om to fejl: Læk af oplysninger og manglende logning.

Gad vide, hvor længe det har stået på... Årevis? Og mon vi får en forklaring engang?

24
20. februar 2020 kl. 11:19

Det er jo ikke Aula som system der lækker noget for så ville alle kommuner der bruger det jo være ramt. Det er en opsætning i Gribskov Kommune der giver lækagen. Så ret lige fokus på hvad Gribskov Kommune har gjort som ingen andre har.

Det er ikke korrekt.

I Hørsholm kommune har alle forældre fået brev om, at der er sket tilsvarende læk. De skriver at det skyldes en fejl i Aula, som har medført et LANDSDÆKKENDE databrud.

23
19. februar 2020 kl. 12:48

Tak for svar, Sune Hybert. Det lyder foruroligende.

22
19. februar 2020 kl. 12:32

Ja, jeg vil tro at alle brugere (i hvert fald ansatte og forældre) har kunnet se disse oplysninger. Da jeg opdagede fejlen, tog jeg kontakt til kommunes dataansvarlige i Fredensborg kommune og de oplyste mig, at de allerede var ved at undersøge sagen og lave end anmeldelse til datatilsynet.

16
18. februar 2020 kl. 11:52

Man har som bruger

Interessant oplysning, Sune Hybert.

Kan du oplyse, hvem "man", der har kunnet skrive dette ud, er? For der vil jo være personalegrupper, for hvem det er helt relevant at kende forhold omkring forældremyndighed. Er det simpelthen alle brugere i kommunens systemer, som har kunnet?

15
18. februar 2020 kl. 11:42

Kan bekræfte for Fredensborg Kommune at det også er tilfældet her og kommunen har bekræftet over for mig, at dette læk gælder hele landet.

Man har som bruger, hvis man ville, haft mulighed for at udskrive en liste med alle forældre og forældremyndighedsforhold.

11
18. februar 2020 kl. 11:16

og det er indraporteret? eller er der nogle ansatte der har haft viden om det som ikke har overholdt loven? Hvis din kæreste har været vidende om det uden at indraportere det så er det jo også kritisk og regel brud.

9
18. februar 2020 kl. 09:35

Tak for god uddybning, som jeg blev klogere af, Nis Peder Bonde. Jeg er enig.

8
18. februar 2020 kl. 08:37

Hvis man har etableret en tilstrækkelig logning, vil det typisk være noget med, at man skal foretage en søgning i disse logdata for at kunne skabe en liste over de berørte.

Jeg mener, at man af GDPR art. 33 kan udlede, at man ved design af et hvilket som helst system med personoplysninger er forpligtet til at indtænke en hensigtsmæssig lognings-infrastruktur, som muliggør, at man inden for 72 timer efter en sikkerhedshændelse har mulighed for at skabe et overblik over, hvad der er sket (forensic) og at kunne vurdere omtrentligt antal berørte. Ellers har man jo på forhånd sat sig i en situation, hvor man ikke kan overholde artikel 33, hvilket vil være kriminelt.

Artikel 34 siger dertil, at man “uden unødig forsinkelse” (det må formentlig tolkes som “samtidig” eller lige efter 72 timers fristen) skal orientere de berørte registrerede. Det stiller yderligere krav til effektiviteten af lognings-infrastrukturen, når man også skal kunne udpege, hvem der er berørt, ligesom det ikke mindst stiller krav til at have passende kommunikationsplaner klar - man skal jo også vide, hvordan man faktisk får fat i de berørte. “Uden unødig forsinkelse” udelukker jo i hvert fald, at man kan sende de pågældende et brev med Post Nord ?

Anne-Marie, du fremhæver art. 34 stk. 3 litra c og spørger vel indirekte, om dette kan være grundlag for, at man ikke vælger at orientere de pågældende individuelt. Måske... Jeg tolker art. 34(3)(c) som noget man kan bruge, hvis der er super mange berørte, så det fx er alle borgere i Danmark eller lignende, så det i praksis vil være meget svært eller dyrt at skrive til alle. Jeg tror ikke, at manglende rettidig omhu til at sikre tilstrækkelig logning vil kunne bruges som et argument for dette.

Summarum summarum: Man skal for ethvert it-system med personoplysninger på forhånd have styr på sin logning, sine “incident response” procedurer og sine kommunikationsplaner, så man er sikker på, at det hele kan gennemføres inden for ca. 72 timer. Altså med andre ord en solid og regelmæssigt afprøvet beredskabsplan.

Jeg har imidlertid en fornemmelse af, at mange dataansvarlige viger meget tilbage fra direkte at orientere berørte registrerede jf. art. 34. Det har Datatilsynet faktisk også påtalt for nylig. Det lader til, at der rundt omkring i myndigheder og virksomheder gøres store anstrengelser for hver gang at kunne nå frem til at konkludere, at der sandelig ikke har været nogen risiko for de registrerede - eller også “glemmer” man bare behændigt at orientere. Jeg gætter på, at Datatilsynet er ved at varme op til at give nogle dataansvarlige kritik i den forbindelse, for selvfølgelig skal art. 34 også overholdes.

7
18. februar 2020 kl. 06:51

Tak for svar, Nis Peder Bonde.

det er et særskilt GDPR problem, når man ikke er i stand til at give de berørte den obligatoriske orientering..

Ja, det var det, jeg synes, artiklen eller svarene fra Gribskov Kommune gik lidt let henover, tak for henvisning til rette paragraf. Det lyder ikke helt rigtigt, at man bare kan give en "generel orientering", for det er jo ikke en orientering om, at ens data faktisk er lækket.

"skaffe en liste over "...? Er det noget, man "skaffer" - eller er det noget, man ved målrettet indsats og hårdt arbejde skaber? Ja, det lugter af manglende logning - men så skal det også frem i lyset.

Jeg hæfter mig ved dette i artikel 34;3. Det er ikke nødvendigt at underrette den registrerede som omhandlet i stk. 1, hvis en af følgende betingelser er opfyldt:""c) det vil kræve en uforholdsmæssig indsats. I et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde. "

Men de begrunder det jo så ikke med, at de synes, det er for bøvlet - men at de ikke kan identificere de pågældene - hvilket i givet fald er lidt foruroligende.

Der er i hvert fald huller i historien, som det kunne være rart at få udfyldt.

6
18. februar 2020 kl. 00:46

Dette problem har altså også været i andre kommuner som bruger Aula !! Har min kæreste lige bekræftet ?

5
17. februar 2020 kl. 20:08

Spørgsmålene er såmænd udmærkede og meget relevante, Anne-Marie. En mulig forklaring (altså alene en gisning fra min side - jeg kender intet konkret til Aula-løsningen) kunne være, at Aula måske ikke logger tilstrækkeligt til, at man har et fuldt transaktions-/kontrolspor, som kan vise alle hændelser. I givet fald ville det i sig selv formentlig kunne ses som et brud på GDPR reglerne, da der jo netop er krav om, at man skal orientere berørte registrerede subjekter i tilfælde af sikkerhedsbrud. Der kan selvfølgelig også være mange andre mulige forklaringer, men de vil nok alle sammen ende med den samme konklusion, at det er et særskilt GDPR problem, når man ikke er i stand til at give de berørte den obligatoriske orientering jf. artikel 34.

4
17. februar 2020 kl. 19:51

... Eller også er Gribskov Kommune måske bare de første, der opdagede problemet... Nogen vil jo altid være de første, og hvis Aula udviklerne straks derefter har lukket sikkerhedshullet, er Gribskov Kommune måske også de eneste, som nogensinde ser det. Uanset hvad er det på det foreliggende grundlag alt sammen gisninger, for artiklen giver ikke tilstrækkeligt med informationer til, at man kan konkludere hverken det ene eller det andet...

3
17. februar 2020 kl. 17:15

Det er jo ikke Aula som system der lækker noget for så ville alle kommuner der bruger det jo være ramt. Det er en opsætning i Gribskov Kommune der giver lækagen. Så ret lige fokus på hvad Gribskov Kommune har gjort som ingen andre har.

2
17. februar 2020 kl. 16:47

Nå, der er åbenbart en eller anden, der ikke synes, at det er en af de grovere, eller at der er grund til at undre sig over disse to ting....

1
17. februar 2020 kl. 16:24

Jeg sidder tilbage med et par spørgsmål:

  • Hvem er disse meget følsomme oplysninger lækket til, og hvordan?

  • "Kommunen har ikke været i stand til at skaffe en liste over, hvem der har fået lækket oplysninger, og har derfor valgt at give en generel orientering, lyder det i meddelelsen."Hvorfor er man ikke i stand til det? Har nogen en god ekspertforklaring?