I en undersøgelse har Rigsrevisionen gennemgået 148 it-systemer, hvor opbevaringen af persondata er outsourcet af myndigheder på alle ministerområder, undtagen Udenrigsministeriet og Region Midtjylland.
Statsrevisorerne påtaler og finder det meget alvorligt i Beretning 15/2019, at myndighedernes styring ikke har sikret, at outsourcede følsomme og fortrolige persondata opbevares sikkert hos de eksterne databehandlere.
Statsrevisorerne påtaler i den forbindelse, at myndighederne ikke har overholdt reglerne om databeskyttelse, herunder krav om at udarbejde risikovurderinger, indgå databehandleraftaler og føre tilsyn med databehandlerne, som har været gældende siden 2000.
Statsrevisorerne bemærker, at særligt Udlændinge- og Integrationsministeriet og Region Midtjylland har haft en kritisabel styring af eksterne databehandlere, mens Finansministeriet har haft den bedste styring af databehandlere.
Utilfredsstillende mangel på støtte af myndigheders styring
Statsrevisorerne finder det utilfredsstillende, at Justitsministeriet, herunder Datatilsynet, og Finansministeriet ikke i tilstrækkelig grad har understøttet de øvrige myndigheders styring af databehandlere.
Statsrevisorerne har ifølge deres meddelelse hæftet sig ved disse resultater fra undersøgelsen:
Myndighederne har ikke udarbejdet en risikovurdering, inden de har indgået en databehandleraftale, for 58 % af de it-systemer, der indgår i undersøgelsen. Myndighederne har således ikke haft grundlag for at fastsætte passende sikkerhedsforanstaltninger eller planlægge deres tilsyn.
Myndighederne har kun i 6 ud af 17 tilfælde, hvor de benytter globale cloud-udbydere til at opbevare persondata, udarbejdet en risikovurdering, og flere myndigheder har i øvrigt ikke haft fuld klarhed over indholdet af de standardvilkår, som de har accepteret.
Myndighederne har ikke indgået en databehandleraftale for 14 % af it-systemerne, selv om de har outsourcet opbevaringen af følsomme eller fortrolige persondata.
Myndighederne har ikke ført tilsyn med databehandlerne for 23 % af systemerne og har ikke undersøgt, om databehandlerne overholder vilkårene i databehandleraftalen og databeskyttelsesreglerne.
Myndighederne har for 24 % af systemerne ikke haft kendskab til alle de underdatabehandlere, der har behandlet deres følsomme og fortrolige persondata.
Justitsministeriet har ikke udgivet hverken en bekendtgørelse eller en vejledning om lokationskravet, som bestemmer, hvilke it-systemer der af hensyn til statens sikkerhed skal opbevares i Danmark.
Væsentlige vejledninger fra Justitsministeriet og Finansministeriet udkom først, efter at myndighederne skulle have implementeret GDPR (databeskyttelsesforordningen).
Datatilsynet har ikke ført et risikobaseret tilsyn og har ikke opdateret sin strategi, siden GDPR blev gældende i maj 2018. Datatilsynet har heller ikke gennemført de tilsyn hos offentlige myndigheder og private virksomheder, som var planlagt. Det har medført lav risiko for at blive opdaget i overtrædelser af reglerne om databeskyttelse.
Statsrevisorerne finder det bekymrende, at der stadig er så store problemer med sikring af følsomme og fortrolige persondata. Der er gået otte år siden det største læk af fortrolige persondata og mere end fem år, siden Statsrevisorerne skarpt kritiserede, at en række statslige institutioner ikke i tilstrækkeligt omfang beskytter fortrolige oplysninger om personer og virksomheder i beretning nr. 1/2014 om statens behandling af fortrolige oplysninger om personer og virksomheder.
Datatilsynet: Vi tager kritikken alvorlig
»Datatilsynet har haft øget fokus på databehandlere siden 2016, og undersøgelsen ligger således i forlængelse af dette fokus. Men den viser desværre også et behov for, at både vi og myndighederne arbejder meget mere med området,« udtaler Datatilsynets direktør Cristina Angela Gulisano ifølge en kommentar på tilsynets hjemmeside, der bemærker, at myndigheden tager kritikken alvorligt og på flere områder allerede har iværksat ændringer.
Et af Rigsrevisionens kritikpunkter er, at det ikke er dokumenteret, at Datatilsynets planlagte tilsyn er risikobaserede. Det mener Datatilsynet dog kun er et problem i selve dokumentationen.
»Når vi udvælger de konkrete emner og dataansvarlige, de planlagte tilsyn skal omfatte, er det baseret på, hvor vi vurderer, at risikoen for manglende overholdelse af reglerne er størst. Dette har vi ikke være gode nok til at dokumentere. Derfor har vi også fuld forståelse for Rigsrevisionens kritik på dette punkt. Vi arbejder allerede på et mere dokumenteret og databaseret koncept for udførelsen af de planlagte tilsyn, og vi forventer, at det vil imødekomme Rigsvisionens kritik.«
For få tilsyn
Om kritikken af, at der ikke afsluttet så mange tilsyn som planlagt, siger Cristina Angela Gulisano ifølge meddelelsen:
»Det er helt rigtigt, at det ikke går så stærkt, som vi havde håbet. Derfor er vi ved at gentænke konceptet for planlagte tilsyn ved at etablere nogle nye tilsynsformer. Vi behandler dog et stort antal klager og får dagligt et betydeligt antal underretninger om sikkerhedsbrud, og begge dele er ligesom de planlagte tilsyn med til at fastlægge praksis. Vi offentliggør løbende principielle afgørelser – ikke blot på baggrund af planlagte tilsyn, men også klager og sikkerhedsbrud.«
En væsentlig del af Rigsrevisionens kritik består i, at antallet af vejledninger, der var offentliggjort 25. maj 2018, da databeskyttelsesforordningen fik virkning i Danmark, var for lavt. Der et udkommet flere vejledninger efter denne dato, og Rigsrevisionen finder det uhensigtsmæssigt, at de ikke lå klar tidligere.
»Vi har udgivet en lang række vejledninger gennem de seneste år, og vi har flere på vej. Vejledningsindsatsen er en løbende opgave, som skal tage højde for udviklingen i samfundet. Vi hæfter os derfor mindre ved datoen 25. maj 2018 og mere ved, at vi til stadighed får fortolket og formidlet relevante regler. Lige nu har vi særligt fokus på at gøre vejledningerne mere konkrete og målrettede,« siger Cristina Angela Gulisano.
