Det er en svær afvejning, når Datatilsynet skal afgøre, om de skal orientere en virksomhed om et datalæk med det samme, eller om de skal sikre beviser først. Det viser Datatilsynets svar til Folketingets Retsudvalg.
Spørgsmålet om, hvor hurtigt Datatilsynet skal underrette, og hvor lang tid de bør bruge på at sikre beviser, blev heftigt debatteret i slutningen af november, hvor et alvorligt datalæk hos terapiportalen GoMentor blev afsløret.
Her kom det frem, at Datatilsynet havde valgt at tie om lækket, mens deres egen efterforskning af virksomheden stadig var i gang, på trods af at dybt private oplysninger stadig lækkede fra GoMentor.
Nu skriver Datatilsynet til Retsudvalget, at det ikke altid er Datatilsynets praksis at orientere virksomheder med datalæk med det samme.
Hovedreglen er, at hvis de lækkede oplysninger ligger frit tilgængelige på internettet, og datalækket skyldes en »menneskelig fejl«, så underretter Datatilsynet virksomheden med det samme.
Skyldes datalækket derimod en »systemteknisk fejl«, så er bevissikringen typisk mere kompliceret for Datatilsynet, skriver tilsynet. Derfor vil de i nogle tilfælde vente med at underrette virksomheden, men kun hvis de lækkede oplysninger alene kan tilgås af et begrænset antal personer - for eksempel personer, som allerede kender til bruddet og ved, hvordan man får adgang til dataene.
Begrænset adgang til lækkede data
Datalækket på GoMentor var netop en systemteknisk fejl, skriver Datatilsynet. Ifølge GoMentor selv var roden til datalækket en programmeringsfejl i et brugerkonto-modul.
De lækkede oplysninger kunne heller ikke umiddelbart findes på internettet med et par klik. Man skulle bestille en tid til en samtale gennem GoMentors bookingsystem og indtaste 00 00 00 00 som telefonnummer for at få adgang til oplysningerne, som blandt andet talte kontaktoplysninger på de fem berørte borgere og deres private beskrivelser af blandt andet stofmisbrug, barndomsproblemer og sex.
Da Datatilsynet valgte at undlade at orientere GoMentor om lækket, var det altså på grund af en kombination af sagens alvor (følsomheden af de lækkede data), den begrænsede adgang til de data, og det at lækket skyldtes en systemteknisk fejl, hvilket gjorde bevissikringen mere kompliceret.
Bevissikringen tog så igen længere tid, fordi politiet skulle inddrages.
»Efter Datatilsynets egen bevissikring i sagen har tilsynet en klar formodning om, at dele af it-sikkerheden i GoMentors system – navnlig i forhold til hvordan links anvendes til at få adgang til brugersiden – ikke lever op til kravet om at gennemføre passende sikkerhedsforanstaltninger. Datatilsynet kan imidlertid ikke på lovlig vis selv efterprøve sin formodning, hvorfor tilsynet telefonisk tager kontakt til Rigspolitiet,« skriver Datatilsynet.
Håndhæveren
Men hvorfor skulle beviser for GoMentor-lækket overhovedet indsamles?
I svaret til Retsudvalget skriver Datatilsynet, at én af tilsynets opgaver er at håndhæve reglerne i databeskyttelsesforordningen. Det kan de ikke, hvis de ikke har tilstrækkelig dokumentation for, at der foreligger en overtrædelse af reglerne, skriver de.
»Efter Datatilsynets opfattelse vil en løbende håndhævelse af overtrædelser af bl.a. databeskyttelsesforordningens artikel 32 om behandlingssikkerhed også generelt medvirke til en øget beskyttelse af de registrerede borgeres personoplysninger,« skriver de og fortsætter:
»Det er i den forbindelse Datatilsynets klare indtryk, at virksomheder og myndigheder gør mere ud af at passe ordentligt på borgernes personoplysninger, hvis de oplever, at reglerne bliver håndhævet.«
Se Datatilsynets tidslinje over deres behandling af GoMentor-sagen her
24. august 2018:
Klager orienterer pr. e-mail Datatilsynet om, at hun har kunnet tilgå andre personers personoplysninger, herunder deres korrespondance med mentorer, på www.gomentor.dk. Klager oplyser samtidig, at hun gerne er Datatilsynet behjælpelig med yderligere oplysninger, screenshots mv.
29. august 2018:
En journalmedarbejder gennemgår klagers e-mail og opretter sagen i Datatilsynets sagsbehandlingssystem, hvorefter sagen kan fordeles til en sagsbehandler.
11. september 2018:
Datatilsynet kontakter klager telefonisk og beder hende fremsende det yderligere materiale, hun har til rådighed.
14. september 2018:
Klagers brev med yderligere materiale modtages i Datatilsynet, hvor det indscannes og akteres på sagen.
17. september 2018:
En IT-sikkerhedskonsulent i Datatilsynet gennemgår det modtagne materiale.
20. september 2018:
Datatilsynet iværksætter egen bevissikring i sagen. Bevissikringen pågår i perioden fra den 20. september til den 4. oktober 2018.
28. september 2018:
Klager henvender sig til Datatilsynet pr. e-mail og anmoder om en opdatering i sagen. Klager oplyser samtidig, at hun nu modtager nye e-mails fra GoMentor.
2. oktober 2018:
Datatilsynet besvarer klagers henvendelse og oplyser i den forbindelse, at tilsynet aktivt arbejder på sagen.
4. oktober 2018:
Datatilsynet afslutter sin egen bevissikring i sagen – det vil sige den bevissikring der kunne foretages med hjælp fra klager.
9. oktober 2018:
Efter Datatilsynets egen bevissikring i sagen har tilsynet en klar formodning om, at dele af it-sikkerheden i GoMentors system – navnlig i forhold til hvordan links anvendes til at få adgang til brugersiden – ikke lever op til kravet om at gennemføre passende sikkerhedsforanstaltninger. Datatilsynet kan imidlertid ikke på lovlig vis selv efterprøve sin formodning, hvorfor tilsynet telefonisk tager kontakt til Rigspolitiet (NC3). Under telefonsamtalen beder NC3 om, at tilsynet sender en e-mail med de konkrete links og en forklaring af, hvilken bevissikring Datatilsynet ønsker assistance til.
9. oktober 2018:
Datatilsynet sender efter aftale en e-mail, hvori tilsynet uddyber sine ønsker til yderligere bevissikring, til Rigspolitiets Databeskyttelsesenhed, som samme dag videresender e-mailen til NC3.
23. oktober 2018:
Datatilsynet kontakter NC3 pr. e-mail for at følge op på, om NC3 har haft mulighed for at vurdere, hvorvidt NC3 kan bistå med yderligere bevissikring i sagen. Datatilsynet kontakter samme dag NC3 telefonisk og får oplyst, at den ønskede bevissikring kræver en retskendelse, hvilket forudsætter at der foreligger en politianmeldelse.
23. oktober 2018:
Datatilsynet går i gang med at skrive en politianmeldelse, hvori der redegøres for de tekniske omstændigheder i GoMentors system, ligesom der udarbejdes en detaljeret beskrivelse af, hvordan tilsynet ønsker politiets yderligere bistand til bevissikring.
26. oktober 2018:
Datatilsynet sender politianmeldelsen af GoMentor til Københavns Politi med kopi til Rigspolitiets Databeskyttelsesenhed.
26. oktober 2018:
Rigspolitiets Databeskyttelsesenhed kontakter Datatilsynet telefonisk og oplyser, at sagen er »båret over til PD«. Rigspolitiet oplyser desuden, at politiets kommunikationsfolk har talt med DR, som oplyser, at de ikke agter at bringe historien, før der er bevissikret.
26. oktober 2018:
Datatilsynet bliver telefonisk kontaktet af Politiets Almene Efterforskningsenhed, som oplyser, at man forventer at foretage bevissikring i sagen hurtigst muligt – om muligt den 26. eller 27. oktober 2018.
5. november 2018:
Datatilsynet kontakter pr. e-mail og telefonisk Rigspolitiets Databeskyttelsesenhed for at spørge til status i forhold til bevissikringen.
7. november 2018:
Datatilsynet henvender sig pr. e-mail til Rigspolitiets Databeskyttelsesenhed og anmoder om en status i sagen. Rigspolitiet oversender tilsynets henvendelse til Københavns Politi.
14. november 2018:
Datatilsynet tager telefonisk kontakt til Københavns Politi og anmoder om at få en status i forhold til bevissikringen. Københavns Politi oplyser, at der fortsat arbejdes på sagen.
22. november 2018:
GoMentor anmoder – efter at sagen har været omtalt i 21 Søndag – Datatilsynet om aktindsigt i tilsynets klagesag. Datatilsynet kontakter i den forbindelse Københavns Politi for at høre, om der er noget der skal undtages fra aktindsigt af hensyn til politiets efterforskning.
23. november 2018:
Datatilsynet afviser GoMentors anmodning om aktindsigt med henvisning til forvaltningslovens § 11, stk. 1.
23. november 2018:
GoMentor anmelder sikkerhedsbruddet til Datatilsynet via blanketten på virk.dk.
30. november 2018:
Datatilsynet tager telefonisk kontakt til Københavns Politi og anmoder om at få en status i forhold til bevissikringen. Københavns Politi oplyser at der er foretaget bevissikring, og at politiet afventer at få tilsendt materialet fra Microsoft i USA.
3. december 2018:
Datatilsynet orienterer skriftligt GoMentor om status i sagen. Tilsynet oplyser samtidig, at tilsynet vil vende tilbage til GoMentor, så snart det bevissikrede materiale er modtaget fra politiet.
Du kan læse alle Datatilsynet og Justitsministeriets svar om GoMentor-sagen til Folketingets Retsudvalg her, her og her.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
