Silkeborg Kommune

Datatilsynet har udtalt alvorlig kritik af, at Silkeborg Kommune ikke havde passende sikkerhedsforanstaltninger, da kommunen sendte fortrolige og følsomme oplysninger i en ukrypteret e-mail. Silkeborg Kommune har den 3. februar 2021 anmeldt et brud på persondatasikkerheden. Anmeldelsen har referencenummer: Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale af, at Silkeborg Kommunes behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 32, stk. 1 og artikel 5, stk. 2, jf. artikel 5, stk. 1, litra f. Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse. Det fremgår af anmeldelsen, at Silkeborg Kommune den 3. februar 2021 sendte en e-mail til Danmarks Statistik Consulting. E-mailen indeholdt en liste med cpr-nummer, skolenavn og skolekode for 12.915 skoleelever. Det fremgår af anmeldelsen, at e-mailen ikke var sendt sikkert og således ikke krypteret fra afsender til modtager. Silkeborg Kommune har i anmeldelsen af den 3. februar 2021 og det efterfølgende høringssvar af den 5. juli 2021 anført, at kommunen den 3. februar 2021 sendte en e-mail til Danmarks Statistik Consulting. E-mailen indeholdt en liste med cpr-nummer, skolenavn og skolekode for 12.915 skoleelever. E-mailen blev ikke sendt sikkert. Det fremgår videre, at der var tale om en menneskelig fejl, idet en medarbejder – der kendte til retningslinjerne for at sende e-mails sikkert – kom til at sende e-mailen usikkert ved at trykke på den forkerte knap. Silkeborg Kommune har den 12. august 2021 på Datatilsynets forespørgsel oplyst, at der på tidspunktet for e-mailens afsendelse var implementeret TLS 1.