Kombit A/S

Datatilsynet har truffet afgørelse i en sag, hvor 30 kommuner havde anmeldt et brud på persondatasikkerheden i Aula til Datatilsynet Datatilsynet traf den 23. februar 2022 afgørelse i en sag, hvor 30 kommuner i slutningen af 2019 og starten af 2020 havde anmeldt et brud på persondatasikkerheden til Datatilsynet. Bruddet omhandlede, at en fejl i Aula medførte, at det fra den 24. november 2019 til den 20. december 2019 var muligt for en bruger A at tilgå en anden bruger B’s sikre filer i Aula, hvis bruger B ikke var logget ud af computeren, og bruger A loggede ind med eget NemID. Sikre filer er et område i Aula med følsomme personoplysninger, der kræver ekstra login. Fejlen skyldtes en programmeringsfejl hos Netcompany i forbindelse med udviklingen af en ændring til loginløsningen i Aula. Til brug for sagen indhentede Datatilsynet en udtalelse fra Gentofte Kommune, som var én af de 30 kommuner, der havde haft et sikkerhedsbrud, samt Kombit og Netcompany. Datatilsynet fandt, at Kombit ikke havde levet op til reglerne om behandlingssikkerhed, da Kombit ikke havde sikret, at der blev foretaget tilstrækkelig test af Aula i forbindelse med ændringen af koden i Aula. Datatilsynet lagde vægt på, at en fejl i udviklingen af løsningen medførte, at der ikke var korrekt styring af adgangsrettigheder i Aula. Datatilsynet lagde endvidere vægt på, at Netcompany og Kombit ikke kunne blive enige om, hvilke tests der kunne forventes udført i forbindelse med udviklingsprojektet, og at de ikke kunne blive enige om, hvorvidt Netcompany agerede som underdatabehandler eller ej.

Datatilsynet modtog i december 2018 – februar 2019 en række anmeldelser fra landets kommuner vedrørende Fælleskommunalt Ledelsesinformationssystem (FLIS), som driftes af Kombit A/S. Formålet med systemet er at levere ledelsesinformation til kommunerne, der på baggrund af oplysningerne kan træffe beslutninger, der vedrører kommunens drift, på et databaseret grundlag. I forbindelse med levering af data til kommunerne, fik Kombit A/S’ underdatabehandler Netcompany A/S ved en fejl udeladt et filter, der skulle begrænse de enkelte kommuners adgang til kun at omfatte data om de borgere, som kommunen har ret til at se i datasættet (primært kommunens egne borgere). Som følge af fejlen har det været muligt over en periode på godt 4 måneder for udvalgte medarbejdere i kommunerne, samt for enkelte kommuners leverandører af Business Intelligence, uretmæssigt at tilgå personnumre og beskæftigelsesrelaterede oplysninger om op mod 4,2 mio. borgere. Datatilsynet vender hermed tilbage til sagen, hvor 84 kommuner – grundet en fejl ved dataudtræk fra Fælleskommunalt Ledelsesinformationssystem (herefter FLIS) – uretmæssigt har fået adgang til personnumre og beskæftigelsesrelaterede oplysninger om op mod 4,2 mio. borgere. Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale af, at Kombit A/S’ behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse. Kombit A/S driver FLIS, som er en infrastruktur til benchmark og ledelsesinformation. FLIS udvikles af Netcompany A/S, som er underdatabehandler for Kombit A/S. Datatilsynet har i perioden 14. december 2018 til 11.