Salling Group A/S

En fejl der stod på i mere end et år. Salling Group anvender et fælleslogin – Salling Group profil – således at brugernavn og password kan anvendes på alle de tjenester, hvor Salling Group profilen er adgangsgivende, herunder blandt andet Føtex’, Bilkas, Nettos, Sallings og Carl Junior hjemmesider. I 2021 implementerede Salling Group et monitoreringsværktøj til at registrere hændelser og events – herunder login – på koncernens hjemmesider enkeltvis. Ved en menneskelig fejl blev kundernes passwords ikke krypteret inden de blev lagret i systemets logfil, når kunderne loggede ind på hjemmesiden hjem.foetex.dk. Derved fik op mod 146 interne brugere i Salling Group teknisk adgang til at læse både brugernavne og passwords for et antal kunder, der havde foretaget login på hjemmesiden. Hvis denne adgang blev udnyttet, ville der kunne skaffes adgang til navn, adresse, mailadresse, telefonnummer og eventuelle maskerede betalingskortoplysninger og købshistorik for et antal af Salling Groups kunder. 1. om behandlingssikkerhed. Datatilsynet har endvidere påbudt Salling Group at underrette de kunder, hvis passwords har været opbevaret ukrypteret i loggen til monitoreringsværktøjet, inden den 1. august 2022. Personoplysninger i form af passwords altid skal behandles på en måde, der sikrer en tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret adgang og behandling.

På baggrund af Salling Group A/S’ besvarelse af de tilsendte spørgsmål er det Datatilsynets overordnede vurdering, at Salling Group A/S’ generelle modenhed på sikkerhedsområdet er udtryk for et niveau, der passer til de risici, som organisationens behandlingsaktiviteter udgør for de registreredes rettigheder og frihedsrettigheder. Som et led i Datatilsynets arbejde med at styrke den data- og risikobaserede tilgang til vejledning og kontrol afsluttede tilsynet en række spørgeskemaundersøgelser i december 2020. Undersøgelserne skulle belyse den generelle modenhed på udvalgte sikkerhedsområder hos syv offentlige myndigheder og syv private virksomheder. Spørgeskemaerne omfattede bl.a. spørgsmål til håndtering af backup og brud på persondatasikkerheden samt udarbejdelse af informationssikkerhedspolitikker, beredskabsplaner og dokumentation. Datatilsynet kan konstatere, at særligt håndteringen af backup er et område, som har de dataansvarliges bevågenhed. I flere tilfælde har Datatilsynet dog vurderet, at de dataansvarlige med fordel kan have et større fokus på etableringen af beredskab og beredskabsplaner. Datatilsynet har den 10. juli 2020 sendt et spørgeskema til Salling Group A/S. Datatilsynets formål med at gennemføre den skriftlige spørgeskemaundersøgelse var navnlig at foretage en vurdering af Salling Group A/S’ modenhed på databeskyttelsesområdet med et særligt fokus på håndtering af brud på persondatasikkerhed samt efterlevelsen af krav til informationssikkerhed, herunder håndtering af dokumentation, backup og beredskabsplaner. Datatilsynet har ligeledes på baggrund af Salling Group A/S’ besvarelse foretaget en overordnet vurdering af de foranstaltninger, som Salling Group A/S har vurderet som passende for at imødegå risici, som organisationens behandlingsaktiviteter udgør for de registrerede. artikel 32, stk. 1, fremgår bl.a.