Kerteminde Kommune kritiseres for manglende logkontrol og utilstrækkelige sikkerhedsforanstaltninger

Baggrund for tilsynet

Datatilsynet gennemførte i efteråret 2023 et fysisk tilsyn hos Kerteminde Kommune for at vurdere kommunens overholdelse af databeskyttelsesforordningen og databeskyttelsesloven. Tilsynet var en opfølgning på et tidligere modenhedstilsyn og fokuserede primært på behandlingssikkerhed.

Temaer for tilsynet

Datatilsynet undersøgte følgende temaer:

• Logning og logauditering
• Interne procedurer for håndtering, anmeldelse og registrering af brud på persondatasikkerheden, herunder brug af auto-complete
• Test af backup
• Test af beredskaber
• Procedurer for sletning
• Konsekvensanalyser

Kerteminde Kommunes argumenter

Kerteminde Kommune anførte, at de ikke havde faste procedurer for løbende logkontrol, men kun foretog kontrol ved konkret mistanke om misbrug. Kommunen forklarede, at de havde prioriteret rolle- og adgangsstyring for at sikre, at medarbejderne kun havde adgang til nødvendige oplysninger. Kommunen erkendte dog, at logning er nødvendig for at dokumentere misbrug af legitime adgange.

Datatilsynets vurdering

Datatilsynet bemærkede, at Kerteminde Kommune generelt foretager logning, men at der ikke er tilstrækkelige procedurer for løbende kontrol af, om brugerne tilgår oplysninger, de har et arbejdsbetinget behov for. Datatilsynet understregede, at stikprøvekontrol er nødvendig, især i systemer med mange fortrolige oplysninger eller bred adgang.

Kritik for utilstrækkelig logauditering

Datatilsynet udtalte kritik af Kerteminde Kommune for ikke at have implementeret faste procedurer for løbende logkontrol, hvilket er i strid med kravene i databeskyttelsesforordningens artikel 32, stk. 1.

• Datatilsynet fandt, at kommunen ikke havde truffet passende tekniske og organisatoriske foranstaltninger for at sikre et tilstrækkeligt sikkerhedsniveau.
• Datatilsynet påpegede, at løbende stikprøvekontrol af logfiler er nødvendig for at sikre, at medarbejdere kun tilgår oplysninger, de har et arbejdsbetinget behov for.
• Datatilsynet bemærkede, at selvom Kerteminde Kommune har implementeret en restriktiv rolle- og adgangsstyring, er dette ikke tilstrækkeligt til at forhindre misbrug af adgangsrettigheder.

Øvrige bemærkninger

Datatilsynet bemærkede desuden, at Kerteminde Kommune bør arbejde videre med at udarbejde politikker og procedurer for sletning af data i både løst tilknyttede systemer og i fagsystemer. Datatilsynet henviste til , der omhandler opbevaringsbegrænsning. Endvidere skal kommunen fortsætte arbejdet med at afdække, hvilke behandlingsaktiviteter der kræver konsekvensanalyser.