I august søgte 51-årige Ann Pettersson psykologhjælp mod sin stress på terapiportalen GoMentor, da hendes data blev rodet sammen med fire andre brugeres. Pludselig kunne hun læse dybt private beskrivelser af deres psykiske problemer, som ellers var skrevet i fortrolighed.
Hun anmeldte virksomheden GoMentor og det alvorlige datalæk til Datatilsynet kort tid efter, og tilsynet besluttede at tie om den alvorlige sikkerhedsfejl overfor GoMentor.
Først tre måneder - onsdag den 21. november - fik GoMentor at vide, at der var en sikkerhedsbrist i deres system. Og det var ikke Datatilsynet, der ringede og sagde det. Det var en journalist fra DR.
»Han begyndte at snakke om en sag med noget datalæk, som han omtalte, som om jeg vidste, hvad han snakkede om, hvilket var meget forvirrende,« fortæller GoMentors direktør, Troels Sletved, til Version2.
Han er skuffet over den måde, Datatilsynet har håndteret sagen på.
»Hvis de nu havde oplyst os om, at der var et problem tilbage i august, så kunne vi jo have løst det med det samme,« siger han.
Da Datatilsynet modtog anmeldelsen mod GoMentor i slutningen af august, opstod der ret hurtigt en mistanke om, at sikkerhedsbristen på GoMentors hjemmeside var større, end anmeldelsen gav udtryk for. Det oplyser tilsynschef i Datatilsynet Jesper Husmer Vang til Version2.
Ifølge ham var det af hensyn til efterforskningen, at Datatilsynet ikke orienterede GoMentor om det læk af personfølsomme oplysninger, der foregik på GoMentors hjemmeside.
»Vi skulle selv overveje vores oplysningspligt, dengang vi fik sagen, og der spurgte vi os selv, om vi skulle underrette GoMentor, og det valgte vi så ikke at gøre, fordi det ville selvfølgelig gå ind og spolere efterforskningen af sagen, hvis vi fortalte dem, at vi har en mistanke om, at der er et stort sikkerhedsbrud på deres hjemmeside.«
»Så ville de nok rimelig hurtigt få det lukket. Og så ville vi ikke kunne dokumentere, at der havde været et brud, og så ville sagen ligesom være død,« siger han.
Otte nuller-nummeret
Sikkerhedsfejlen på GoMentor blev opdaget 51-årige Ann Pettersson, som ville booke en tid hos en terapeut via GoMentor. Men da hun havde indtastet sine oplysninger, var der flere ting galt.
Hun fik blandt andet en bookingbekræftelse fra GoMentor, hvor hun blev tiltalt med et forkert navn. Ifølge navnet var beskeden ikke til hende, men til en mand. Derudover kunne hun via sin profil tilgå fire andre GoMentor-brugeres kontaktoplysninger og beskrivelser af deres psykiske problemer, der blandt andet handlede om stofmisbrug, barndomsproblemer og sex. Det skrev DR i søndags.
Ifølge Troels Sletved fra GoMentor var fejlen isoleret til portalens bookingdel. Her kan brugere booke tider hos portalens terapeuter eller »mentorer« ved at indtaste e-mailadresse og telefonnummer. Der er også et åbent tekstfelt, hvor brugeren kan beskrive, hvad han eller hun vil have hjælp til.
Troels Sletved fortæller, at hullet stammede fra en programmeringsfejl i et brugerkonto-modul. Bookingsystemet verificerede ikke, om e-mailadresse og telefonnummer stemte overens. 51-årige Ann Pettersson valgte at indtaste otte nuller som sit telefonnummer, da hun ville booke en tid. Den idé havde fire andre brugere også fået, og det betød, at de fik adgang til hinandens oplysninger, som de havde indtastet ved bookingtidspunktet.
»Hvis du tastede otte nuller i telefonnummer-feltet, så var systemet ikke inde og verificere, at nummeret passede med den e-mailadresse, der stod. Så hendes data blev rodet sammen med fire andre brugere, som også tastede otte nuller,« fortæller Troels Sletved.
Ifølge ham var datalækket begrænset til de fire brugere.
Advaret eller ej
Ann Pettersson kontaktede GoMentors support, inden hun anmeldte dem til Datatilsynet i august. Ifølge DR oplyste hun allerede der virksomheden om både en sammenblanding og navne og profiler, men det afviser Troels Sletved.
Han fortæller, at han har læst korrespondancerne mellem Ann Pettersson og GoMentors support igennem. Hun havde kontaktet dem vedrørende navneforvirringen, men ikke mere end det, siger Troels Sletved.
»Der bliver ikke nogen steder gjort opmærksom på, at hun har adgang til nogen andres informationer, hvad der jo er langt mere alvorligt,« siger han.
Politianmeldelsen
Efter Ann Pettersson havde kontakt GoMentors support, anmeldte hun som nævnt også virksomheden til Datatilsynet. Tilsynet mistænkte hurtigt, at datalækket ikke kun gjaldt den enkeltstående oplevelse, Ann Pettersson var ude for.
»Vi får en mistanke om, at der er noget her, der ikke er, som det skal være. Hvis vi skal kunne dokumentere det og lave en sag på det, så er vi nødt til at få lavet noget bevissikring,« siger Jesper Husmer Vang fra Datatilsynet.
Datatilsynet efterforskede sagen, efter at anmeldelsen var modtaget. Tilsynet genskabte det, Ann Pettersson havde gjort og lavede optagelser af det som bevismateriale. På et tidspunkt fandt Datatilsynet ud af, at de havde brug for at undersøge GoMentor på en måde, som kun politiet har beføjelse til. Derfor tog tilsynet i starten af oktober kontakt til politiet, som bad Datatilsynet indsende en formel anmeldelse.
Datatilsynet politianmeldte derfor GoMentor den 26. oktober, to måneder efter sikkerhedsbristen blev opdaget. Men på dette tidspunkt kendte GoMentor stadig ikke til bristen. Hullet var derfor heller ikke lukket.
Nogen har måske haft adgang til følsomme personoplysninger i tre måneder…?
»Men det er jo netop det, vi gerne har ville undersøge: Om det kun var et enkeltstående tilfælde, eller om det var et generelt problem på hjemmesiden,« svarer Jesper Husmer Vang fra Datatilsynet.
Først en lille måned efter politianmeldelsen, nemlig onsdag den 21. oktober, ringede en journalist fra DR til GoMentors direktør Troels Sletved og spurgte ind til datalækket. Dagen efter ringede Troels Sletved til Datatilsynet, men til at starte med ville Datatilsynet hverken be- eller afkræfte, om der var en sag kørende, siger Troels Sletved.
»Da vi så ringede til Datatilsynet for at høre, hvad det egentlig drejede sig om, fordi det vidste vi jo knap nok, så ville de ikke oplyse os om noget, så skulle vi søge aktindsigt. Det gjorde vi så, og der oplyste de os om, at det var meldt til politiet,« siger han.
Kort efter det lukkede GoMentor det sikkerhedshul, der drejede sig om den manglende verifikation i bookingsystemet.
Normalt underretter man
Jesper Husmer Vang fra Datatilsynet fortæller, at tilsynet normalt underretter virksomheder, hvis der er en sag kørende mod dem.
»Det normale er, at hvis vi kører sager mod nogen, så fortæller vi dem det selvfølgelig, medmindre det går ind og gør, at vi ikke kan opnå formålet,« siger han og fortsætter:
»Grunden til, at det har taget tid, er, at vi har været nødt til at bede politiet om assistance til at få bevissikret noget yderligere. Vi holder ikke på tingene længere end højst nødvendigt, men det er klart, at vi gerne vil sikre os, at vi har den dokumentation, vi skal bruge, hvis vi skal køre en sag på det. Og det kan vi jo ikke, hvis vi går ud og fortæller nogen, at vi er ved at undersøge dem.«
Lige nu er det usikkert, hvor omfangsrigt sikkerhedsbruddet hos GoMentor er. Politiet efterforsker stadig sagen, og Datatilsynet afventer deres tilbagemelding.
- Derfor underrettede Datatilsynet ikke GoMentor om datalæk
- Boligfond politianmeldes for USB-læk
- It-ordfører om Datatilsynet efter GoMentor-sag: »Vi bliver nødt til at sætte foden ned«
- Leder: Datatilsynet glemte sin vigtigste opgave: at stoppe lækager
- IT-Branchen rystet over GoMentor-sagen: »Datatilsynet har fuldstændigt misforstået deres vigtigste rolle«
- Denne artikel
- Danmarks største terapi-portal lækker følsomme oplysninger om klienter
- Dokumentation: Det borer Datatilsynet i ved GDPR-razziaer
- emailE-mail
- linkKopier link

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
Fortsæt din læsning
- Sortér efter chevron_right
- Trådet debat
Fra Datatilsynets hjemmeside - klagevejledning:
Inden du klager, bør du tage kontakt til den virksomhed, organisation, person eller myndighed, som du mener, behandler oplysninger om dig i strid med reglerne om databeskyttelse, fordi det ofte vil være muligt at få den dataansvarlige til at komme dig i møde."https://www.datatilsynet.dk/generelt-om-databeskyttelse/klage-til-datatilsynet/ I lyset af tilsynets undskyldning for 3 måneder lang efterforskning i denne sag, må man vist konkludere, at man er lidt i splid med sig selv? Såfremt Ann Pettersson havde slået i bordet overfor GoMentor med de eksempler, hun nævner, så må man jo formode, at det ville have ødelagt Datatilsynets efterforskning, eller hvad?
I virkeligheden ville det af hensyn til efterforskningen jo være langt mere forsvarligt, at det var tilsynet, som straks ved anmeldelsen hankede op i sig selv, tog på besøg, og sikrede sig beviserne, inden klageren selv gik videre til firmaet med sagen uden om tilsynet, fordi det angiveligt kunne skade efterforskningen. Eller giver man direkte klagere besked om endeligt ikke at varsle firmaet af hensyn til efterforskningen?
Jo mere jeg tænker over sagen, jo mere dybt godnat og utroværdig forekommer tilsynets argumentation mig at være. Jeg håber da, at forklaringen kan blive uddybet, så tilliden kan genskabes. Men det må følges op med opdaterede råd vedr. anmeldelse: Skal man som anmelder henvende sig til virksomheden først, eller skal man ikke?
Tak for svar, Bjarne Nielsen. Men så vil jeg bare håbe, at der kommer en god forklaring fra tilsynet - den skal efter min mening være ualmindelig god, for at det kan begrunde det svigt, de berørte patienter har væet udsat for.
Hvad er det, Datatilsynet kan tænkes at have brugt de 3 måneder til?
Det føler jeg mig ikke særskilt kvalificeret til at gætte på. Jeg har flere gange tager mig selv i først at tænke "hvor svært kan det være?" og efterfølgende blive ganske overrasket ... og det indenfor mit eget domæne.
Vi kan godt blive enige om, at der burde være regler mod, at den slags kan ske med så følsomme data - godkendelsesordninger i stil med sundhedsvæsnet, som du foreslår (er der egentligt det?).
Jeg har læst på GoMentors hjemmeside, at de er databehandlere, mens terapeuterne selv er dataansvarlige, sådan som jeg forstår det. Så GoMentor har måske juridisk sit på det tørre, med mindre jeg har misforstået det.
Det lyder bare mærkeligt omvendt i mine ører. GoMentor bør være ansvarlige for den platform, de leverer. De enkelte terapeuter har jo ikke forudsætninger for at vurdere sikkerheden.
Men bortset fra dette, så synes jeg da, at historien kalder på, at der måske er behov for at præcisere Datatilsynets opgaver - eller ændre dem. Vi må have en eller anden instans, som sikrer øjeblikkelig indgriben, når dybt følsomme oplysninger er på spil. Enten skal det være Datatilsynet, eller politiet - eller en tredie, ny instans. Det andet her kan altså ikke gå - det ødelægger enhver tillid til systemet.
Men jeg ved, at du er sikkerhedskyndig: Hvad er det, Datatilsynet kan tænkes at have brugt de 3 måneder til? Hvilke nye oplysninger kan de have fået i den tid? Hvordan har de fået adgang til dem, når de ikke har samarbejdet med GoMentor om det?
Jeg savner stadig en overbevisende forklaring på, at man faktisk har foretaget sig noget konstruktivt i de 3 måneder, og jeg frygter, at forklaringen snarere er noget i denne retning:
Mulighed 1: "Der er kun tale om 4-5 personer (hvorfra ved vi i øvrigt det?), og sandsynligvis ikke nogen, som har overskud til at gå til medierne, og vi er fuldstændigt underdrejede pga. GDPR-tsunami. Så denne opgave nedprioriterer vi, og så tager vi den, når vi på et tidspunkt når til den i bunken".
Mulighed 2: " Denne sag er som skabt til at bruge som prøvesag og sætte en præcedens - stærkt følsomme oplysninger, det ser ud til at være en sjusket side, som er nem at afsløre, og det handler kun om 4-5 ramte (hvor ved vi i øvrigt det fra?). Så nu sætter vi fuld skrue på at malke denne sag så meget som muligt."
Begge muligheder er fuldstændigt uacceptable, og vidner om aldeles manglende forståelse af, hvor følsomme disse data er. Eller også er der tale om en meget ubehagelig kynisme ift. de ramte.
AMK, det er klart, at der er tale om særligt udsatte borgerne, og at det bør veje tungt. Og jeg hælder også til, at der er gået for lang tid.
Men jeg vil så også tillade mig at mene, at det begynder at smage af, at man kaster brønden til, efter barnet er druknet; man burde have sat ind langt tidligere med eksplicitte godkendelseskrav ... hvis der behandles terapi-oplysninger, så er det vil ikke så meget forskelligt fra medicin, som jo skal igennem en større godkendelsesprocess.
GoMentor vil så måske henvise til, at de ikke håndtere selve terapien, men kun etablerer forbindelsen ... måske, jeg gætter, både på hvordan deres løsning er opbygget, og på hvordan de muligvis kunne reagere ... og så vil mit svar på mit eget retoriske udsagn være, at tydeligvis så virkede det på deres brugere som et sikkert og naturligt sted at være meget åbne om deres problemer, og det burde GoMentor enten have forudset, eller være klar over, givet det feedback, som de fik.
Kvalitet og sikkerhed er ikke noget, som man kan klistre på bagefter ... det skal designes ind i selve løsninger på forhånd.
Og så skal vi efter min mening hellere diskutere. hvordan vi laver sikre systemer, f.eks. igennem regler for godkendelsesordninger for systemer som håndterer særligt følsomme oplysninger, end vi skal sætte hele vores lid til efterfølgende tilsyn kan lappe på det.
Ja, det kan man håbe. Men det skal ikke ske på nakken af nogle stakkels borgere, som få deres (i værste fald ret forstyrrede) sjæleliv blotlagt.Store børder som kommer af at efterforske sagen. Vil på den lange bane nok give fære datalæk ?
Store børder som kommer af at efterforske sagen. Vil på den lange bane nok give fære datalæk ?Ja, den primære opgave må være at undgå datalæk, ikke at efterforske.
Man tør så simpelhen som ansvarlig firma, også med hensyn til at betale bøder, ikke at lægge software ud "på nettet" som ikke er testet, og hvor der ikke er styr på validering og sikkerhed. Da firmaet i sidste ende kan risikere livet ved en stor bøde, og den efterfølgde udhægning i pressen og på nettet.
Så det gode sprørgsmål er, hvorfor har man i 2018 lavet et login, med så dåligt sikkerhed, til så følsomeoplysninge. Selv min læge kræver engangs kodeord til login, for at jeg kan lave en ny recept.
*"GoMentor do not disclose information about identifiable individuals to our advertisers, but we may provide them with aggregate information about our Users (for example, we may inform them that 500 men aged under 30 have clicked on their advertisement on any given day). GoMentor may also use such aggregate information to help advertisers reach the kind of audience they want to target (for example, women in SW1). GoMentor may make use of the personal data we have collected from You to enable us to comply with our advertisers' wishes by displaying their advertisement to that target audience. Disclosure of your information GoMentor may disclose your personal information to any member of our group, which means our subsidiaries, our ultimate holding company and its subsidiaries, as defined in section 736 of the UK Companies Act 1985. GoMentor may disclose your personal information to third parties: ◾In the event that GoMentor sell or buy any business or assets, in which case GoMentor may disclose your personal data to the prospective seller or buyer of such business or assets. ◾If GoMentor or substantially all of its assets are acquired by a third party, in which case personal data held by it about its customers will be one of the transferred assets. ◾If GoMentor is under a duty to disclose or share your personal data in order to comply with any legal obligation, or in order to enforce or apply our Terms of Use and other agreements; or to protect the rights, property, or safety of GoMentor, our Users, or others. This includes exchanging information with other companies and organisations for the purposes of fraud protection and credit risk reduction.https://www.gomentor.com/articles/Privacy-Policy
Måske overser jeg det, men jeg ser ingen steder indholdet i terapeutisk kommunikation undtaget fra disse tilfælde af mulig deling. Måske er det en selvfølge - det må vi håbe.
Og mon det er pseudoanonymiseret, eller hvad betyder "ingen identifiable individuals"? Hvor mange data ryger i så fald med om hver enkelt bruger? jeg synes ikke, at det står der klart og tydeligt.
Og så mener jeg, at privatlivspolitiken bør foreligge på dansk, når det er danske klienter. Godt nok er mange gode til engelsk, men det er i forvejen tungt stof, så hvis der skal være en chance for, at folk læser og forstår det, bør det være på modersmålet - især når det er så følsomme oplysninger, der er tale om.
Øv, så røg håbet om, at Datatilsynet måske havde vurderet rigtigt mht. "urgency".Beskederne var af stærk personlig karakter.
Jeg kunne i øvrigt også godt finde på at udfylde den slags med nuller eller lign. Og fejlen kan da give bekymring for, hvordan det ellers står til med datasikkerheden i denne platform.
Tak for svar og for at kæmpe kampen.
Hej AnneMarie,
Beskederne var af stærk personlig karakter. Beretninger om hvorfor patiernene behøvede hjælp og også opfølgning for at få mere hjælp.
Men der er IKKE tale om deciderede patient journaler. Det er vigtigt at understrege og derfor heller journaler som psykologerne har ført Det er beskeder de har skrevet og modtaget jeg fik tilgang til.
... brugerne måske var "kreative" med brugen af telefonnumre ...
Hvis jeg peger fingre af nogen her, så er det af dem, som ikke kunne forudse at det vil ske i en række situation, som f.eks.:
- Folk der ikke har et telefonnummer (ja, det findes faktisk).
- Folk der ikke vil have deres telefonnummeret stående i systemet.
- Folk hvis telefonnummer ikke overholder systemets forventning til telefonnumre.
Og der kan være mange andre situationer, som man skal håndtere, som f.eks. at folk kan skifte telefonnummer, eller komme til at taste forkert.
Så ja, 00000000, er et godt gæt på, hvad man så som bruger vil gøre, når man møder et felt, som systemet mener skal udfyldes, men som man ikke kan eller vil udfylde, som systemet forventer. Eller 12345678 (det ville jeg nok vælge, for jeg er ikke så god til at tælle antallet af mange ens cifre rigtigt).
I øvrigt læste jeg fornyligt en bog om computersikkerhed, og her beskrives det, hvordan adresser bliver udfyldt med "Pennsylvania Avenue 1600" (Det Hvide Hus) eller "Fort Meade, Maryland" (NSAs hovedkvarter). Selv har jeg brugt "Paradisæblevej, Andeby".
PS: ...og derfor begår vi i DK en stor fejl ved at tro alt for meget på kvaliteten af alle de data (og specielt trivsels- og sundhedsdata), som samfundet for tiden elsker at samkøre og analysere på, uden at spørge om lov eller tænke over, hvordan er opstået. Folk snor sig, hvor de kan, og det kan give anledning til store og farlige misforståelser og fejl. Men det er en anden historie.
Tak for svar, Ann Petterson. Det ville jeg heller ikke forvente. Men det gør mig utryg, at det virker uklart formuleret i policyen. Forhåbentligt er det utilsigtet.
Hej AnneMarie
Jeg er ikke jurist så jeg kan desværre ikke svare på det fra den vinkel. Men jeg kan i hvertfald svare som bruger, og som bruger og patient, ville jeg bestemt ikke forvente at mine private data om mit sygdomsforløb, for en anden patients vedkommende en beretning om problemer i sexlivet etc. skulle kunne falde under den type data man ville forvente bliver anvendt til markedsførings formål.
Hej Bjarne
Du spørger om det er korrekt at antage at hvis man havde brugt en andens brugers telefon nummer kunne man tilgå deres profil.
Ja, det er bestemt hvad jeg antager, de 8x0 er ligegyldige i denne sammenhæng.
Der manglede:
Validering af telefon nummer og email (man logger ikke ind når man booker en tid, man taster bare nogle oplysninger ind, og tastede jeg en anden brugers telefonnummer blev det ikke engang tjekket om emailen passede, selv om det naturligvis heller ikke er nok, systemet bør kræve login ellers kan jeg da nemt finde en person der bruger systemet og benytte personens email og telefonnummer til at tilgå data.
Login når man kom fra besked modulet. Man modtager en email med et link når terapeuten har svaret på en besked, klik på linket og du kan læse beskeden direkte. Klikkede man sig videre fra beskeden (via GoMentor Logoet på beskedsiden) så var man pludselig UDEN PASSWORD logget ind som bruger.
Altså havde jeg forsøgt (og det har ikke, det ville være hacking) at tilgå f.eks. en behandlers profil (deres telefon nummer står jo typiske på siden) så ville jeg potentielt have adgang til deres kommunikation med måske hundredvis af patienter.
Der er altså med andre ord tale om et potentielt rigtigt alvorligt hul.
Hej Bjarne
Du henviser til at det har været nævnt at brugerne måske var "kreative" med brugen af telefonnumre.
Jeg kan oplyse at GoMentor Systemet har en validering af telefon nummer til 8 cifre. Når man eg. bor i udlandet så kan man ikke indtaste et telefonnummer fordi feks. et tysk nummer er alt for langt, mankan naturligvis kalde det kreativt, men typiske skriver man så sit telefon nummer i besked teksten og forklarer.
Netop fordi feltet blev valideret på den måde benyttede jeg 8x0 kunne også have været 8x9 eller noget andet, og min hjerne er tilsyeladende ikke så unik, så andre før mig havde gjort det samme.
Kreativt eller ej, var det i hvertfald ikke ondt ment. Og jeg kan tilføje at jeg bookede og betalte online den første aftale.
Tak for uddybning, Ann Petterson. Beskederne er så måske mere af praktisk art, ikke af terapeutisk karakter?Jeg har haft adgang til:</p>
<ol><li>Email og Fulde navn</li>
<li>Alle beskeder sendt mellem terapeut og patient</li>
<li>kunne se alle betalinger der måtte være foretagetMen jeg har IKKE haft adgang til at tilgå private sessions i forhold til SKYPE eller andre kommunikations midler.
Hej Ann.
Tak for uddybning. Godt at høre, at der nok ikke er adgang til beskedmodulet på denne måde. Det gør det lidt mindre kritisk, men dog er også navne og den slags følsomme oplysninger i denne sammenhæng. Betyder det, at der ikke er en egentlig journal, som klienten kan tilgå, men at der kun er løbende kommunikation mellem behandler og klient?
Ja, terapeuterne har nok deres fokus et andet sted, og har stolet på platformen. Forhåbentlig retter man op på det.
Men kan du gennemskue, om kommunikationen mellem klient og terapeut hører til de persondata, som i følge privacy politiken faktisk deles med 3. part (markedsføring og den slags)? Og er det tydeligt for klienterne, hvornår de f.eks. siger ja til at indgå i forskning?
Hej AnneMarie
Jeg har haft adgang til:
- Email og Fulde navn
- Alle beskeder sendt mellem terapeut og patient
- kunne se alle betalinger der måtte være foretaget
Men jeg har IKKE haft adgang til at tilgå private sessions i forhold til SKYPE eller andre kommunikations midler.
Mange hilsner Ann
Hej Annemarie
Interessant vinkel, at terapeuter kunne have haft adgang til beskeder der ikke kom fra deres klienter. Men jeg må sige at min erfaring med besked-modulet, trods dets åbenlyse fejl og mangler, nok ikke har givet adgang til dette eftersom man modtager én besked af gangen og ikke har overblik som sådan over sine beskeder.
Så mit gæt er, at lige dette har nok ikke været tilfældet, men interessant tankegang, bestemt!
Men det er klart, to teraputer er gjort opmærksom på navneroderi, og har ikke reageret, dette tror jeg mest skyldes at de ikke har tænkt i så tekniske baner og egentlig stolet på portalen. Psykologer er vel gode til psykologi men ikke nødvendigvis stærke på teknik. Til gengæld må jeg sige at jeg har tænkt over, hvilket ansvar en behandler har for sin klients data, og jeg kan ikke gennemskue om de i virkeligheden kan holdes ansvarlige hvis de burde vide det er galt, der må nok nogle jurister på banen. Det er naturligvis et vigtigt aspekt fremadrettet for behandlerne, fordi de ikke har adgang til at vedligeholde platformen men alligevel bruger den proffesionelt som en slags kommunikations værktøj med patienter.
Henrik Kramshøj: Tak for svar. Som sagt har jeg også indtil nu betragtet tilsynet som vennerne - men lige nu er jeg i tvivl. Jeg håber, at der kommer forklaringer, som kan genskabe tilliden.
Det var dette, jeg mente. Eller el- og vandforsyning eller Sundhedsplatformen etc. Ville det også være i orden at vente 3 måneder, hvis der var et hul ind til patientdata i SP?Vil Danmark kunne gå i stå hvis det viser sig at man med en standardnøgle kan åbne alle lyskurve og adgangskoden for kontrolboxe er 1234 - det vil nok skabe lidt problemer.
For de patienter (vi aner vel ikke hvor mange?), hvis terapisamtaler muligvis er blevet tilgået af uvedkommende (jeg kan ikke helt gennemskue, om den mulighed er en del af fejlen), kan det jo meget vel opleves, som når unge får delt nøgenbilleder og det, der er værre, på nettet. Det er et decideret overgreb, det er alvorligt, og for folk i krise kan det være endnu mere alvorligt. Så jeg mener, at man i den situation fra myndighedernes side må vælge livrem og seler, og straks sørge for, at lækket bliver lukket. At tage nonchelant på det kan sagtens opleves som yderligere overgreb.
Ja, firmaerne skal selv gøre det (lukke lækken) - når de altså får det at vide. Men i mine øjne bør politi/Datatilsyn straks tjekke, at det sker, og ellers gribe ind. Hvis ikke vi kan regne med det i så alvorlige læk, står det i mine øjne helt håbløst til med vores mulighed for at beskytte privatlivet. Jeg vil faktisk sige, at enhver påstand om, at der er nogen som helst styr på den slags herhjemme, er til grin. Sådan må det i hvert fald opleves for de ramte patienter.
Jeg synes stadig, at det må kræve en rigtigt god forklaring fra Datatilsynet, at man har valgt at gøre tingene på den måde. Og hvis den gode forklaring er ressourcemangel, så er det meget kritisabelt, hvis man ikke løbende har meldt eksempler som dette videre til det politiske niveau.
Hvorfor er Datatilsynet og for den sags skyld: Finanstilsynet, egentlig ikke enheder under Politiet ?
Med ret til selvstændigt at anklage evt. overtrædelser af lovgivningen.
Der er mange gode spørgsmål Anne-Marie
Først og fremmest så er det FIRMAETS ansvar, databehandler og alt muligt. Ligesom man kan outsource services, men aldrig ansvaret.
Jeg vil mene vi har været omkring tidsforbruget og ting tager tid. Det kan helt sikkert optimeres.
Når firmaet har ansvaret så er det blandt andet at sikre funktionaliteten er passende, og det lyder som en lidt farlig funktionalitet der er implementeret, for at gøre det let?!
Jeg anbefaler typisk at man som web udvikler eller firma bruger OWASP Top-Ten https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project Ideen er at hvis man gennemgår den med udviklere og andre så kan man overveje hvordan man har beskyttet applikationen imod diverse typer af trusler.
Så i dette tilfælde er vi ude i en variant af A5 Broken Access Control - hvor man ikke checker login imod de data der hentes og vises.
Når du taler om livsvigtig infrastruktur bliver det lidt upræcist. Vil Danmark gå i stå af en læk af alle danskeres CPR, næppe. Vil Danmark kunne gå i stå hvis det viser sig at man med en standardnøgle kan åbne alle lyskurve og adgangskoden for kontrolboxe er 1234 - det vil nok skabe lidt problemer.
Jeg mener ikke datatilsynet skal komme løbende og lave raid for at stoppe datalæk, det er altid firmaerne selv der skal - evt politiet hvis de nægter. Du siger også "bør tilsynet så ikke simpelthen anmelde så alvorlige læk til politiet øjeblikkeligt" - jo, når de VED de står med et alvorligt læk, der er en vis tid fra man får anmeldelse hos datatilsynet til man ved hvad man står med, og kan sagtens være den process skal optimeres - gætter på det vælter ind med sager pt.
PS Jeg har ingen bånd til datatilsynet, men jeg ser yderst positivt på deres arbejde.
Det kunne jo tyde på, at der er lavet en brugeridentifikation i bookingsystemet på grund af det oplyste telefonnummer. Om det alene gælder for 8x0 eller alle numre, man måtte indføre, er lidt uklart. Det er faktisk en smule svævende, hvorfor det skulle gøre en forskel, men måske nogle mere tech savvy mennesker kan forklare dette.
Men i det helt grelle tilfælde, hvor alle numre er behandlet ens, har en person jo kunnet oprette en bruger og herefter knytte fx ægtefællens telefonnummer til, og så adgang til oplysninger, der måtte være udvekslet fortroligt med en psykolog. M.a.o. kan telefonnummeret have skabt en "bagindgang" til brugeroplysninger og følsomme oplysninger, og så er det jo et rimeligt stort problem med et vist misbrugspotentiale.
Til alle jer kyndige fra en ukyndig (det kan jo være, at jeg har en helt forkert forestilling om dette område):
- Er det realistisk, at det tager så lang tid at sikre en rimelig grad af beviser?
- Bør evt. indbrudsforsøg ikke fremgå af en eller anden form for log, som man umiddelbart kunne tilegne sig?
- Hvad kan man forestille sig, at man har søgt at få beviser for over så lang tid?
- Hvad vil man gøre, hvis der er tale om livsvigtig infrastruktur? Vil man så også koncentrere sig om at efterforske?
- Hvis ikke det er Datatilsynets opgave at beskytte borgerne mod indtrængen i privatlivet, hvis opgave er det så? Hvem skal stoppe lækagen?
- Hvis svaret på ovenstående spørgsmål er "Politiet", bør tilsynet så ikke simpelthen anmelde så alvorlige læk til politiet øjeblikkeligt? Hvorfor vente?
Jeg er helt i tråd med dine holdninger. Selvfølgelig er det ikke godt at der skal gå så lang tid. Men resten af historien kender vi jo, SKAT der blev barberet, Sygeplejersker der ikke kan følge med, IT folk der skal løfte flere og flere tiltag osv osv, alt sammen for færre penge. Så kærer politikere og beslutningstagere, det koster altså nogle penge at drive biksen.
Nu hvor de skal kunne udstikke bøder (med tilstrækkelig bevis for bødens grundlag) - og så er de jo i sagens natur nødt til bare at undersøge først. Jeg formoder så de har "lov til at hacke/teste andres systemer" - som andre jo ellers er blevet slæbt i retten for.
Det ser ud til at brugeren netop har informeret GoMentor først, hvis support staff - tydeligvis ikke bliver oplært godt nok i at give fejl i systemet videre til teknisk backend - der så kan vurdere potentielle problemer.
Det er 100% GoMentors problem - og ikke datatilsynets ansvar at oplære eller informere dem. Deres pligt ligger (ligesom politiets) - først og fremmest i at sikre at de har beviser, ligesom politiet må prioritere på samme vis.
Alternativet er jo ellers, at man ikke når bevissikringen før de bliver slettet - og så får man ihvertfald ikke statueret et eksempel og den ansvarlige får lært at det kan man nemt slippe afsted med.
Det betyder jo så desværre at imens bevissikringen pågår, får noget der "sandsynligvis er et problem" (bemærk SANDSYNLIGVIS - der er jo ikke håndfaste beviser på plads endnu) lov til at fortsætte.
Det bedste man kan gøre såvidt jeg kan se, er som Henrik Kramshøj siger - at tilføre flere ressourcer til bevissikringen.
Uden overhovedet at bagatelisere problemet, som de 4 brugere har været ofre for, må man samtidig sige, at denne systemfejl altså ikke er så mega-stor, som nogle vil gøre den til.
Det er trods alt "kun" i de sjældne tilfælde, hvor en bruger registrerer sig med 8x0, at fejlen er relevant.
Fejlen er naturligvis alvorlig, men i mine øjne ikke så skandaløs, at Datatilsynet havde grund til at hemmeligholde den for virksomheden, for bedre at kunne få krammet på dem.
Sådan en fejl skal da bare meldes til virksomheden MED DET SAMME, så hullet kan lukkes, og så må Datatilsynet køre den sag, de mener skal køres.
Hej Ann,
anerkendelse herfra for at have overskud til at tage sagen op i større sammenhæng!
Du skriver:
Vi andre brugere havde adgang via et par klik fra besked modulet uden brug af password!
Er det korrekt forstået, at man fra en profil havde mere eller mindre adgang til "beskedmodulet" og at "beskedmodulet" viste alle beskeder for det telefonnummer, som var registreret i profilen?
Det lyder til, at jeg i så fald kunne oprette en profil med en anden brugers telefonnummer, og derigennem få direkte adgang til vedkommendes beskeder. Også selvom man ikke havde brugt telefonnummer 00000000, men sit eget telefonnummer.
Det lyder giftigt! Husk at det kan ske uforvarende - telefonnumre kan uddelese til andre et stykke tid abonnementet er stoppet.
PS: Næste gang finder jeg "mit" telefonnummer her: https://www.random.org/integers/?num=1&min=10000000&max=100000000&col=1&base=10&format=plain&rnd=new
Jeg håber, at brugerne læser GoMentors Privacy Policy:https://www.gomentor.dk/artikler/privacy-policy
For mig at se er der en uklar definition af "personal data", som faktisk videregives til 3. part og udlandet, hvis man ikke udtrykkeligt husker at frabede sig dette. Og det virker uklart, om det også gælder indhold af selve terapisessionerne. Da mange, der henvender sig sådanne steder, står midt i en livskrise, kan man godt være bekymret for, om overskuddet til at sætte sig ind i dette, er til stede.
Jeg har svært ved at gennemskue, hvordan de videooptagelser, kommunikationer o.l., som foregår mellem terapeut og klient, rubriceres ift. privacy-politiken, og hvordan de opbevares og deles. Og det er uklart for mig ud frra artiklen, om dette materiale også kan tilgåes via det hul, som Ann Petterson har fundet, eller om det "kun" gælder stamoplysningerne på brugeren?
Hej Henrik. Måske har du ret i, at bl.a. jeg er for hurtigt ude med riven, det vil jeg tænke over. Men jeg må indrømme, at min tillid til tilsynet lider et stort knæk med denne sag. Jeg har indtil nu været tilbøjelig til at være forstående, når de ikke helt levet op til forventningerne, fordi jeg har gået ud fra, at de mangler ressourcer, men Jesper Husmer Vang forklarer ikke dette sagsforløb med ressourcemangel, men får det til at lyde som om, forløbet er helt efter bogen.
Måske er det underforstået, men umiddelbart får jeg ikke ud fra hans kommentarer indtryk af, at det er på ressourcesiden, skoen trykker. Jeg håber så alligevel, at det er det, der er problemet, for hvis det bare er standard, at der kan gå så lang tid, før meget alvorlige huller til dybt følsomme data lukkes, så forekommer hele området mig dybt, dybt håbløst. Hvordan skal vi så nogensinde kunne beskytte vores privatliv? Eller vores infrastruktur? Ville man også i det tilfælde lade efterforskning gå over stop af hullet?
I mine øjne burde det være en meget højt prioriteret sag, hvor man satte nødvendige ressourcer af med det samme. Der findes næppe mere følsomme oplysninger end terapisessioner. Hvis jeg var patient i GoMentor, ville jeg føle mig voldsomt svigtet ved at læse dette.
Og netop fordi det er en terapi-portal, kunne man jo godt forestille sig, at den er et oplagt mål for lyssky personer, enten i økonomisk øjemed eller ren nysgerrighed. Så håbet om, at ingen har opdaget det, synes jeg ikke er særlig relevant - jeg ville mene, at der er en stor risiko for, at det er blevet misbrugt. I mine øjne ser der umiddlebart ud til at være tale om forkert prioritering hos tilsynet. Men jeg håber da, at Version2 kan få en god forklaring, der kan ændre på det indtryk.
Og hvis det skyldes ressourceproblemer, så håber jeg, at det kommer frem, at tilsynet har sendt dette eksempel til politikerne som bevis på, at der må ske noget drastisk på ressourcesiden.
(Jeg undrer mig da også over, at Ann Petterson fortæller, at mindst en psykolog er blevet gjort opmærksom på problemet, så hvordan kan det gå til, at Go Mentor ikke kendte det? Det er så ikke lige Datatilsynets skyld. )
Det er klart, at når man som bruger får et svar, som lyder lidt i retning af "jeg har aldrig set fejl før, men nu har jeg overstreget de oplysninger som tilhører andre, så du kan være helt tryg.Din henvendelse betyder meget for os.", - så er det tydeligt at sikkerhed ikke tages alvorligt og der må andre boller på suppen. Jeg ville også ryge til datatilsynet - uden at kontakte firmaet.Læs svaret herunder og vurder om du ikke syntes det skriger til himlen at GoMentor ikke selv har undersøgt deres system, når de nu kendte til "uheldig" genkendelse og navneroderi....
Men datatilsynet gør ikke sig selv nogen tjeneste, ved at være 3 måneder om at dokumentere en prøvesag, - for derefter ikke at oplyse hvorfor bevissikringen skulle foregå "under radaren". De kunne jo blot have oplyst at firmaet tilsyneladende havde ignoreret flere henvendelser.
K
Jeg er den bruger der fandt lækket, jeg holdt måden at genskabe problemet helt tæt, kun Datatilsynet vidste, hvordan man kunne komme til dette læk. Jeg har arbejdet mange år indenfor IT og kunne hurtigt gennemskue at dette problem umuligt kunne begrænse sig til en tilfældig bruger.
Da jeg skrev til GoMentor support, kendte jeg ikke til omfanget af problemet, jeg skrev så snart jeg opdagede noget var galt. Jeg skrev også til psykologen, der henviste til support. En anden bruger før mig kan jeg se, har også gjort sin psykolog opmærksom på navne rod, og det ligner at profilen mindst én gang før jeg henvender mig har skiftet navn på brugeren. Emailen på profilen var hele tiden den først oprettede brugers. Vi andre brugere havde adgang via et par klik fra besked modulet uden brug af password!
Hvis denne metode var blevet brugt af onsindede mennekser kunne det potentielt have ført til (og hvem ved om det har været anvendt?) til at læse en psykologs kommunikationer med alle sine patienter, eller anvende det til at tjekke hvad f.eks. kendte bloggere der reklamerer for portalen (e,g Saszeline) har kommunikeret om.
Læs svaret herunder og vurder om du ikke syntes det skriger til himlen at GoMentor ikke selv har undersøgt deres system, når de nu kendte til "uheldig" genkendelse og navneroderi....
Her er svaret jeg fik fra support da jeg gjorde opmærksomed på at mail blev sendt til mig med et forkert navn:
Hej Ann
tak for din mail. Jeg kan godt forstå du stiller spørgsmål vedrørende det navn emailen adresserede. Jeg har kigget nærmere på det - og det viser sig at der i vores system i forvejen var en bruger, der havde oprettet sig med et telefonnummer, der matchede dit. TLF: 0000 0000 Dette er aldrig sket før. Brugerprofilen med dette tlf nummer blev opdateret med din email - men ikke dit navn. (Fornavn Efternavn) har ikke fået nogle emails. Det er selvfølgelig uheldigt, at vores system "genkender" telefonnumre, men det er for at brugere hurtigt kan logge ind og komme til at henvende sig til mentorer igen. Da vi blev opmærksomme på problemet rettede jeg brugernavnet til.
Serføldig er de det , men hvis vi venter 3 måneder med at rapportere/lukket et hul vi er klar over , hvad er det så lige der sker ?
Nu skal man passe på med at gætte, men jeg antager og konkluderer:
A) Datatilsynet og anmelder kender til hullet
B) Andre, og den generelle offentlighed kender det ikke
C) Datatilsynet skal undgå datalæk
... og drop lige de analogier med førstehjælp og tal lidt mere om sagen - analogier er jo ligesom sten i hønsekødssuppe de falder til bunds.
Når vi har sikkerhedshuller, som version2 læsere må være bekendt med er der forskel på:
Kendt sårbarhed som udnyttes aktivt, 0-day som bruges i aktuel phishing kampagne
Kendt sårbarhed som rapporteres til virksomhed, her kan vi inddrage responsible disclosure osv osv.
- en typisk embargo er vel ca. 90 dage, som jeg personligt synes er for lang tid
ref C) ovenfor har datatilsynet nogle ekstremt hårde opgaver. De skal udnytte deres resourcer bedst muligt. Jeg ser det som it-sikkerhedsmand som min fornemste opgave at lave mest muligt med de forhåndenværende resourcer.
Så jeg tror, antager, at datatilsynet ønsker at føre en så ren sag som muligt, med nok beviser, og denne skal fungere som eksempel - vi mangler eksempler - og som fremtidig rettesnor. Så ja, det er ikke optimalt med så lang behandlingstid. Firmaet ville HELT sikkert nedtone hvis der ikke er konkrete beviser, se bare hvordan KMD, Infoba med andre har reageret tidligere.
Jeg synes det er interessant at tilsynet også skal have politiet indover, og det kunne måske ses på som en håndsrækning at ændre lidt, nogen der kender politikere der gennemfører hastepolitik der normalt skader os? - kan være de vil hjælpe her ...
Godt spørgsmål.Og skal det forstås sådan, at Datatilsynet faktisk helst ikke ser, at man tipper firmaet/institutionen på egen hånd inden anmeldelse, men lader det gå igennem Datatilsynet, da det ellers kan være umuligt at sikre beviser?
På Datatilsynets hjemmeside anbefaler de, at man starter med at tage kontakt til den pågældende virksomhed.
Datatilsynet er good guys
Serføldig er de det , men hvis vi venter 3 måneder med at rapportere/lukket et hul vi er klar over , hvad er det så lige der sker ?
Nu var jeg selvfølgelig for sløv til at nå at redigere min komentar, så hermed en mere, med linket til Version2 selv der skriver om datatilsynet og resourcer,
»Det, man kan sige, er, at hvis politikerne gerne vil have, at vi skal føre flere tilsyn, så må de også sige, hvad vi ikke skal - eller øge vores bevilling. Det skal ikke være nogen hemmelighed, at vi godt kunne tænke os at lave flere tilsyn, end vi gør i dag,« siger Jesper Husmer Vang.
https://www.version2.dk/artikel/datatilsynet-udfoerte-sidste-aar-laveste-antal-tilsyn-15-aar-1077373
Hey kommentarsporet er ved at køre lidt galt synes jeg.
- Vi har et datatilsyn som er blevet udsultet og nedprioriteret
- Vi har flere og flere sager hos datatilsynet
- Det må forventes at behandlingstiden stiger - og hvis dette ønskes nedbragt skal der AFSÆTTES RESOURCER
Så med det in mente, så skal datatilsynet løfter sagerne og derfor have nogle fakta. Hvordan disse opnås, så de holder, så de holder sig lovlige osv. Det er måske noget som skal prøves af og øves noget mere
Igen det vil kræve FLERE RESOURCER, kom bare med dem til Datatilsynet
Næst efter dette, så ved de fleste der arbejder med sikkerhed at man ofte nedtoner fejl, manglende sikkerhed osv. Så det er ofte nødvendigt, eller ønskeligt at kunne demonstrere problemerne med Proof-of-concept - dvs en visning af hvordan man udnytter det pågældende problem.
Husk bare sagerne med CPR osv. "Det er jo bare et opslag fra CPR til Navn og adresse", men som kunne automatiseres også - og så er det mere alvorligt.
Så med den sparsomme information vi har tilgængelig så synes jeg IKKE der er grund til at hade på datatilsynet, men selvfølgelig er kommentarer som kan bruges konstruktivt en god ide.
TL;DR Datatilsynet skal have flere resourcer og måske et par efterforskere der er uddannet i webhacking og måske en udvidet beføjelse til selv på egen hånd at måtte udføre det.
Det lugter meget kraftigt derhénad.Og skal det forstås sådan, at Datatilsynet faktisk helst ikke ser, at man tipper firmaet/institutionen på egen hånd inden anmeldelse, men lader det gå igennem Datatilsynet, da det ellers kan være umuligt at sikre beviser?
Med de kyniske briller på, kunne man forestille sig, at der er - dejligt kvantificérbare - måltal for "antal bøder" og/eller "samlet bødemængde i kroner" , som kan udløse en bonus, eller flere medarbejdere. Og vi skal huske på at en leder med mange medarbejdere under sig har mere prestige end én med færre. Så flere medarbejdere er en CV-bonus.
Man kan så undre sig over hvad der gør at denne sag så særlig, at straffen for læk er meget vigtigere end at sørge for overholdelsen af GDPR. Er datatilsynet - i sin iver for bevissikring - stødt på dybt fortrolige oplysninger, som politiet skal efterforske? Hvad hvis Scharf er i terapi, og afslører at han godt véd at alt vedr. PET er hemmeligt - selv dét at nævne deres eksistens ?
Hvilket betyder at "den særligt bekymrede borger", som ønsker at sikre sig at lækken stoppes så hurtigt som muligt, kan kun vælge (også)at henvende sig til virksomheden........suk!
Skulle jeg støde på en læk, af denne art, vil jeg nok anmelde til datatilsynet, med en besked om at jeg inden få dage, vil oplyse firmaet om lækken, da jeg allerede risikerer at blive retsforfulgt for "hacking" og bestemt ikke også ønsker at blive hængt ud som medskyldig fordi jeg stiltiende lod kriminaliteten fortsætte.
K
Det kan jo altid reproducere fejlen fra backup eller ved at kigge i tidligere source.
Hvis de mener det er så farligt for offenteligheden skal det lukkes med det samme og ikke efter 3 måneder.
Jeg har svært ved at finde ud af, hvad jeg skal mene om denne sag - og dermed hvilket ben, som jeg skal stå på.
På den ene side forsøger man at tale sagen ned, og hvis den ikke er særligt stor eller alvorlig, hvad bekymrer vi os så om?
En (bort-)forklaring vi hører er, at der bare er tale om et bookingsystem - et slags aftalekalender. Skal vi lige erindre om, at det netop var oplysninger om en aftale med sundhedsvæsenet, som gjorde at Se og Hørs paparazzier kunne ligge på lur, da Anders Lund Madsen med kæreste var på vej til ... var det en scanning? ... det havde i hvert fald noget med graviditet at gøre. Og Hr. Madsen har udtrykt sin misfornøjelse med hændelsesforløbet ganske klart. Sagen kan derfor være et glimrende eksempel på, hvordan man fra systemkonstruktør, systemforvalter, og systembruger har en tydelig tendens til groft at undervurdere følsomheden af de oplysninger som indsamles, behandles og udstilles.
Den anden (bort-)forklaring vi hører er, at brugerne havde opført sig uventet kreativt og enten ikke havde et telefonnummer (og antagelsen er åbenbart at alle har et telefonnummer), ikke ville afsløre telefonnummeret (og antagelsen er åbenbart at man aldrig har noget at skjule), eller såmænd bare, at telefonnumre er globalt unikke over tid (hvilket telefonselskab kan dog finde på at genbruge telefonnumre?). Altså en såre menneskelig og negligerbar fejl, som er fuldt undskyldelig. Eller er den? Hvis man ved at mennesker laver denne slags fejl (og det gør vi ... postbude kan også fejlaflevere breve til kinesiske visum-myndigheder), så skal vi designe vores systemer på en anden og meget mere sikker måde, så de er robuste overfor menneskelige småfejl. For de er påregnelige, og hvis vi ikke forstår det, eller kan sikre os tilstrækkelig imod det, så skal vi slet ikke lave disse systemer.
På den anden side så spiller man forarget over, at man ikke er blevet involveret langt tidligere, når det nu er så alvorligt. Hvordan vover man at tage sig tid til at undersøge endsige efterforske. Lad os straks få lappet den umiddelbart synlige sårbarhed, så vi kan gå tilbage og lade som om, at der ikke er tale om en systemisk brist.
Og al erfaring viser, at problemerne altid er meget større og langt mere grundlæggende end systemejerne umiddelbart vil indrømme endsige erkende. Første reaktion er benægtelse og lapperi, og i den situation bliver man nødt til at sikre sig, at man kan overbevise dem om situationens fulde alvor. At der nu kan falde konsekvenser som er større end en påtale med fed skrift, gør jo også, at man dels er nødt til at være meget mere sikker i sin sag, men også at man må forvente, at en evt. skyldig vil gøre meget mere for at skjule sporene.
Med det sagt, så synes jeg også at tre måneder er meget lang tid, i særlig grad, hvis hullet ikke er så trivielt, som man på den ene side gerne vil gøre det til. Jeg er ikke imponeret, og jeg så gerne at tilsyn og myndighed havde kastet alt, hvad de havde i hænderne. Men her må jeg indrømme at jeg kigger strengt på vores politikere, som systematisk har udsultet og nedprioritet både Datatilsyn og Politi. Jeg er sikker på, at man ikke har drukket kaffe og spillet bordfodbold i de tre måneder.
Og den overordnede konklusion, som jeg drager er, at vi slet ikke er klar til at lave systemer med så mange og så følsomme oplysninger. Hverken på systemkontruktions og -ejer siden, eller på tilsynssiden. Eksemplet her er tilsyneladende groft, men på ingen måde enestående. Vi har brug for at digitaliseringsmoratorium.
Der er vist noget Datatilsynet fuldstændig har misforstået i forhold til deres rolle.
Enhver der har taget et førstehjælpskursus ved, at det absolut første punkt hedder: stands ulykken!
Det næste bliver vel at Vejdirektoratet stopper med at salte vejene, så man kan analysere hvem det er der kører galt, eller måske man ikke skal skride ind hvis man kan afværge en voldtægt, for man skal jo lige sørge for beviset sikres.
Der er noget helt, helt galt med denne sag, og åbenbart også det såkaldte Datatilsyn, som vist er blevet ramt af en neoliberal tankegang om de skal være overskudsgivende.
Lidt min tanke - har tilsynet siddet og fulgt med i folks terapisessioner i flere måneder? Det kan de simpelthen ikke være bekendt.Ellers så er det jo basal "hacking", som Datatilsynet foretager sig.
Hvorfor får de først politiet ind over efter 2 måneder? Og hvordan med de involverede terapeuter? Hvis Ann Pettersons oplysninger er blevet rodet sammen med andre brugeres, så må flere terapeuter vel have kunnet læse oplysninger, som de ikke var berettigede til (med mindre det er samme terapeuts patienter). Hvorfor har de ikke reageret?
Sikke noget svineri! Tænk, at man fortsat dagligt kan overaskes over, hvor slemt det står til med datasikkerheden.
»Det normale er, at hvis vi kører sager mod nogen, så fortæller vi dem det selvfølgelig, medmindre det går ind og gør, at vi ikke kan opnå formålet,« siger Jesper Husmer Vang fra Datatilsynet
Hvad dælen er formålet for Datatilsynet? Som Dennis Krøger skriver: Den primære opgave må være at undgå datalæk.
Vil Datatilsynet så stå til ansvar hvis der har været yderligere datalæk i tiden mellem Datatilsynet har taget sagen op, til Datatilsynet har informeret virksomhden?
Hvis Datatilsynet har hentet data fra virksomheden, har de så indhentet passende samtykke? Enten fra virksomheden, de pårørte personer eller domstolen? Ellers så er det jo basal "hacking", som Datatilsynet foretager sig.
Ja, den primære opgave må være at undgå datalæk, ikke at efterforske.
Jo, der skal selvfølgelig undersøges og straffes, men det er alt sammen sekundært i forhold til at beskytte borgerne. At holde et sikkerhedshul åbent i 3 måneder, fordi man vil være helt sikker på at kunne udskrive en bøde er dybt godnat.
Det lyder meget mystisk. Kan det tage 3 måneder at "bevissikre" i så alvorlig en sag? Alt imens dybt følsomme oplysninger lå frit fremme, og flere og flere kom til i mellemtiden? Hvad med brugernes tarv og rettigheder? Er de ligefrem underordnet "efterforskningen"?
Hvis det er rigtigt, så er jeg da godt nok endnu mere bekymret for sikkerheden omkring vort privatliv, for det vil vel så også gøre sig gældende i andre sager?
Og skal det forstås sådan, at Datatilsynet faktisk helst ikke ser, at man tipper firmaet/institutionen på egen hånd inden anmeldelse, men lader det gå igennem Datatilsynet, da det ellers kan være umuligt at sikre beviser?
Jeg håber, at Version2 vil forsøge at "udbore" denne sag (sasbehandlingen i tilsynet), for umiddelbart lyder det langt væk af dårlige undskyldninger fra Datatilsynets side. Ligger de fuldstændigt underdrejede pga. GDPR, så de overhovedet ikke har tid til at efterforske sager? I givet fald, så går jeg stærkt ud fra, at man har råbt meget højt op ad i systemet, så også politikerne er klare over, at tilsynet er i knæ, og skal have tilført yderligere ressourcer. Det hænder jo desværre, at ledere ikke selv er så glade for at skulle give den slags meldinger op ad i systemet - se bare på Finanstilsynet.