Kritik af Gladsaxe Kommune for manglende overholdelse af behandlingssikkerhed vedrørende adgangsstyring i SBSYS

Datatilsynet gennemførte i sommeren 2021 et skriftligt tilsyn med Gladsaxe Kommunes håndtering af adgangsrettigheder på børne- og ungeområdet, særligt inden for skoleområdet. Tilsynet fokuserede på, om kommunen havde sikret, at fratrådte medarbejderes adgangsrettigheder til det elektroniske sags- og dokumenthåndteringssystem SBSYS var blevet inddraget.

Datatilsynet anmodede om en liste over systemer på kommunens skoleområde, der behandler personoplysninger, og efterfølgende om yderligere oplysninger om rettighedsstyringen i SBSYS. Kommunen fremsendte udtalelser og lister over fratrådte medarbejdere. Datatilsynet udvalgte medarbejdere til stikprøvekontrol og anmodede om dokumentation for, hvornår deres adgangsrettigheder var blevet inddraget.

Det fremgår af Gladsaxe Kommunes informationssikkerhedshåndbog, at adgangen til kommunens it-systemer skal begrænses gennem konkrete autorisationer, og at medarbejdere kun skal have adgang til personoplysninger, hvis de har et arbejdsbetinget behov. Håndbogen beskriver også procedurer for tildeling, ændring og sletning af adgangsrettigheder, samt krav om regelmæssig gennemgang af brugernes rettigheder.

Gladsaxe Kommune oplyste, at SBSYS anvendes til journalisering af forskellige oplysninger om elever, og at adgangen styres via kommunens Active Directory (AD). Kommunen oplyste, at superbrugere bestiller og afmelder rettigheder på vegne af lederne, og at det er ledernes ansvar at sikre, at medarbejderne har de korrekte roller i SBSYS.

Det kom frem, at en fratrådt medarbejder havde haft adgang til SBSYS efter sin fratrædelse, og at kommunens procedure for at gennemgå fratrådte medarbejderes konti ikke var blevet fulgt.

Datatilsynets Afgørelse

Datatilsynet udtalte kritik af Gladsaxe Kommune for ikke at have overholdt Databeskyttelsesforordningens artikel 32, stk. 1, der omhandler passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen ved behandlingen af personoplysninger.

• Datatilsynet lagde vægt på, at en bruger havde haft adgang til SBSYS efter sin fratrædelse.
• Kommunens procedure om at gennemgå fratrådte medarbejderes konti var ikke blevet fulgt.
• Datatilsynet påpegede, at der skal være en kontrolprocedure, der effektivt følger op på, om inddragelse af rettigheder ved stillingsophør rent faktisk sker, og at denne procedure bør være organisatorisk og/eller teknisk forankret.