Datatilsynet har indstillet Netcompany til en bøde på mindst 15 mio. kr. for overtrædelser af GDPR i forbindelse med udviklingen af mit.dk. Som dataansvarlig manglede virksomheden passende tekniske og organisatoriske foranstaltninger, herunder privacy by design, og der var ikke udarbejdet en konsekvensanalyse før idriftsættelsen. En autentifikationsfejl gav brugere adgang til andre borgeres digitale post med fortrolige og følsomme oplysninger.
Retligt grundlag og sanktionsvurdering
Datatilsynet lægger vægt på forpligtelserne i GDPR: art. 25 om indbygget databeskyttelse, art. 32 om behandlingssikkerhed, art. 35 om konsekvensanalyser og art. 83 om effektive, proportionale og afskrækkende bøder. Sagens grovhed forstærkes af løsningens karakter og de data, der behandles.
Beløbsniveauet afspejler både overtrædelsernes alvor og virksomhedens størrelse. Politianmeldelsen begrundes med, at fejlen var basal i forhold til systemets formål, og at en passende risikobaseret tilgang burde have forebygget hændelsen forud for lancering.
Teknisk fejl og hændelsesforløb
Fejlen opstod ved samtidige logins, hvor uhensigtsmæssig kodning i autentifikationskomponenten forvanskede sessioner og muliggjorde uautoriseret adgang. Trods kodereview, statisk analyse og performancetest blev fejlen ikke identificeret før drift.
Efter henvendelser fra brugere blev løsningen nedlukket, fejlen rettet og bruddet anmeldt. Forløbet illustrerer, at generiske test ikke er tilstrækkelige, når konsekvenserne ved fejlslagen adgangskontrol er særligt alvorlige.
Praktiske implikationer
Dataansvarlige bør tidligt kortlægge kritiske risikoscenarier og gennemføre målrettede tests af autentifikation, sessionshåndtering og adgangsstyring. En DPIA før behandling etablerer et struktureret overblik over risici og de nødvendige afværgeforanstaltninger.
Styrket dokumentation, governance og løbende validering af sikkerhedskrav er nødvendig ved løsninger, der håndterer digital post og andre oplysninger af høj følsomhed. Sagen markerer en skærpet forventning til risikobaseret compliance i nationale digitale infrastrukturer.
