Bødeindstilling for utilstrækkelig behandlingssikkerhed
Datatilsynet har politianmeldt Netcompany og indstillet en administrativ bøde på 15 mio. kr. for alvorlige mangler i sikkerheden omkring mit.dk, der formidler digital post fra offentlige myndigheder. En fejl i autentificeringskomponenten muliggjorde, at brugere kunne få adgang til andre brugeres postkasser med fortrolige og følsomme oplysninger, herunder CPR-numre.
Selv om løsningen hurtigt blev lukket og rettet, vurderer Datatilsynet, at virksomheden ikke havde etableret passende tekniske og organisatoriske foranstaltninger som krævet af GDPR’s risikobaserede tilgang. Manglende opdagelse under test og kodegennemgang fremhæves som en væsentlig forsømmelse i forhold til behandlingssikkerhed efter GDPR art. 32 og principperne om indbygget databeskyttelse i art. 25.
DPIA-kravet ved høj risiko
Tilsynet konstaterede desuden, at der ikke var gennemført en konsekvensanalyse (DPIA), selv om behandlingen indebærer høj risiko for registreredes rettigheder. Kravet følger af GDPR art. 35 og skal sikre, at væsentlige risici identificeres og håndteres, før løsningen tages i brug. Se vejledning om konsekvensanalyser hos Datatilsynet på datatilsynet.dk.
Formålet med en DPIA er blandt andet at sikre et dokumenteret beslutningsgrundlag. En fyldestgørende DPIA bør som minimum adressere:
- beskrivelse af behandlingen og datatyper,
- vurdering af nødvendighed og proportionalitet,
- risici for registreredes rettigheder samt egnede afværgeforanstaltninger.
Praktiske læringspunkter for udviklere og dataansvarlige
Sagen understreger, at højrisiko-løsninger med adgang til myndighedspost kræver skærpede kontroller: sikker arkitektur, stærk autentificering, streng adgangskontrol, peer review, uafhængig test og løbende monitorering. Roller og ansvar mellem dataansvarlig og databehandler bør være klare og dokumenterede.
Bødestørrelsen markerer et skærpet håndhævelsesniveau og bør indgå i ledelsesrapporteringen om informationssikkerhed og compliance. Virksomheder med tilsvarende løsninger bør gennemgå deres sikkerhedsforanstaltninger, dokumentation og DPIA-praksis og sikre hurtig udbedring ved konstaterede svagheder. Læs Datatilsynets afgørelse på datatilsynet.dk.
