Aalborg Universitet

Datatilsynet har truffet afgørelse i en sag om Aalborg universitet, hvor studerende, medarbejdere og gæstemedarbejdere havde haft adgang til personoplysninger om universitetets medarbejdere i et system. Datatilsynet har truffet afgørelse i en sag, hvor Aalborg Universitet har anmeldt et brud på persondatasikkerheden. Aalborg Universitet konstaterede, at det i flere år – sandsynligvis siden 2020 og frem til august 2022 – havde været muligt for alle med en AAU-brugerprofil (studerende, medarbejdere og gæstemedarbejdere) at tilgå ikke-følsomme oplysninger om universitetets medarbejdere i et system. Systemet havde således ikke haft den nødvendige adgangsbegrænsning, da det kun er IT-medarbejdere på universitetet, der har behov for at anvende systemet i deres daglige arbejde. I den pågældende sag oplyste Aalborg Universitet, at der i forbindelse med migrering til ny server og omskrivning af kode i systemet i sommeren 2020 højst sandsynligt er sket en menneskelig fejl, idet der ikke er foretaget testning af adgangskontrol i systemet efterfølgende. I den forbindelse har Aalborg Universitet oplyst, at universitetets retningslinjer ikke er blevet fulgt. Datatilsynet har i sin afgørelse lagt vægt på, at det er en forudsætning, at der foretages test efter en ændring eller opdatering af et system for at sikre, at de fastsatte sikkerhedskrav i et system fortsat er implementeret efter ændringen eller opdateringen. Derudover har Datatilsynet lagt vægt på, at uvedkommende har haft adgang til systemet i flere år, og at der dermed ikke har været foretaget tilstrækkelig løbende kontrol af brugeradgange i systemet. Datatilsynet vender hermed tilbage til sagen, hvor Aalborg Universitet den 5. august 2022 har anmeldt et brud på persondatasikkerheden til Datatilsynet.