Digitaliseringsstyrelsen i ny supportbrist: Send dit CPR-nummer på e-mail
Efter adskillige forgæves forsøg på at logge ind på nemkonto.dk henvendte softwareudvikler Lars Balker sig forleden til supporten. Til hans store overraskelse fik han at vide, at han kunne få hjælp, hvis han sendte sine CPR-oplysninger via e-mail.
Det strider mod Datatilsynets tolkning af persondataloven. Tilsynets opfattelse er nemlig, at alle personfølsomme oplysninger kun bør sendes over internettet, hvis de som minimum er krypterede. Og det er en almindelig e-mail ikke. En almindelig e-mail er ikke mere sikker end et postkort.
Derfor nægtede Lars Balker også at sende sine CPR-oplysninger til NemKonto-supporten.
»Jeg er da fortørnet over, at jeg blev bedt om at sende mine CPR-oplysninger over mail. Det er vel netop for at undgå, at man skal opgive oplysninger, at vi har et system som NemKonto,« siger Lars Balker til Version2.
Ifølge KMD, som står bag supporten, er det da heller ikke normal kutyme.
»Der er tale om en beklagelig fejl. Vi har opfordret en bruger til at sende sit CPR-nummer, og det er selvfølgelig ikke normal procedure hos os, og vi har i dag indskærpet, at det må man ikke,« siger KMD’s pressechef, Christoffer Hellmann til Version2.
Han forklarer hændelsen som en menneskelig fejl og begrunder den med, at den pågældende supportmedarbejder 'ikke er superrutineret'.
Hændelsen får Digitaliseringsstyrelsen til at løfte pegefingeren over for KMD.
»Digitaliseringsstyrelsen har i dag indskærpet over for NemKonto Support/KMD, at den beskrevne situation ikke er gældende procedure, og at det derfor er væsentligt, at den ikke gentages,« skriver kommunikationsrådgiver ved Digitaliseringsstyrelsen Geske Fischer-Hansen i en mail til Version2.
Den er anden gang inden for ganske kort tid, at en service under Digitaliseringsstyrelsen giver tvivlsomme sikkerhedsråd.
I slutningen af marts blev NemID brugere mødt med en sikkerhedsadvarsel, da de skulle bruge NemID. Det fik flere brugere til at ringe ind til NemID-supporten, hvor de blev vejledt til at ignorere advarslen. En vejledning, der strider stik imod DanID’s retningslinjer og god sikkerhedspraksis.
