Databehandler

Datatilsynet har udtalt kritik i en sag, hvor en databehandler, Mindworking A/S, ikke havde sikret passende sikkerhed ved udviklingen af en platform (en webapplikation), der var målrettet ejendomsmæglere. Datatilsynet har truffet afgørelse i en sag, hvor Mindworking A/S, som databehandler og leverandør af en platform til ejendomshandler, ikke havde sikret sig mod, at uvedkommende – ved inspektion af kildekoden (XML-koden) – kunne tilgå personoplysninger på platformen. De oplysninger, der kunne tilgås på platformen, var de oplysninger, som den enkelte ejendomsmægler havde knyttet til en konkret ejendom, der var til salg. Der var bl.a. tale om navne på potentielle købere og den pris, de havde tilbudt for ejendommen, samt dokumenter med personoplysninger. Det var f.eks. udkast til købsaftaler, der - udover diverse identitetsoplysninger – i enkelte tilfælde også indeholdt cpr-numre. Enkelte af personoplysningerne var allerede offentliggjorte oplysninger fra tinglysningsportaler. Oplysningerne kunne tilgås af brugere, der var tilknyttet konkrete salgssager, og efter de var logget ind med et brugernavn og adgangskode. Brugeren kunne få adgang til oplysningerne ved at trykke på en funktionstast og aktivere såkaldte ”Dev tools”. Datatilsynet slår i afgørelsen fast, at der generelt ikke i kildekoden eller i visningslagets kommentarfelter skal fremgå personoplysninger. Dette gælder også for oplysninger, der ikke er personoplysninger, men som vil kunne kompromittere behandlingssikkerheden - f.eks. hvis det er muligt i klar tekst at se styringsparametre på services, certifikater eller lignende. Datatilsynet slår endvidere fast, at det ikke er at betragte som en sikkerhedsforanstaltning, at adgang til oplysningerne krævede, at den enkelte bruger skulle aktivere ”Dev Tools” i browseren.

En kommune anmeldte et brud på persondatasikkerheden til Datatilsynet, da en databehandler havde anvendt en ikke godkendt underleverandør. Datatilsynet har truffet afgørelse i en sag, hvor Herning Kommune anmeldte et brud på persondatasikkerheden, idet en databehandler havde overført personoplysninger til en ikke godkendt leverandør. Leverandøren, som databehandleren overførte personoplysninger til, behandlede oplysningerne i ikke sikre tredjelande. Ved sin udtalelse af graden af kritik lagde Datatilsynet vægt på, at der var tale om oplysninger vedrørende et højt antal registrerede, at oplysningerne omfattede personnummer, og at der var sket uhjemlet overførsel af personoplysninger til usikre tredjelande. Datatilsynet vender hermed tilbage til sagen, hvor Herning Kommune den 3. september 2019 har anmeldt et brud på persondatasikkerheden til tilsynet, da personoplysninger tilsyneladende er blevet behandlet af en leverandør, som Herning Kommune ikke har godkendt som underdatabehandler. Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale af, at EG A/S’ behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 6, stk. 1 og databeskyttelseslovens § 11, stk. 2, jf. databeskyttelsesforordningens artikel 28, stk. 10, jf. artikel 28, stk. 2, og artikel 44, stk. 1. Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.