Lolland Kommune indstilles til bøde for manglende sikkerhed på mobile enheder

Lolland Kommune er blevet indstillet til en bøde på 50.000 kr., da Datatilsynet vurderer, at kommunen ikke har implementeret tilstrækkelige sikkerhedsforanstaltninger på deres mobile enheder. Sagen startede, da en medarbejders stjålne arbejdstelefon gav adgang til personfølsomme oplysninger, herunder CPR-numre og helbredsoplysninger, da telefonen ikke var beskyttet af en adgangskode. Det var muligt for medarbejdere at deaktivere de ellers obligatoriske adgangskoder.

Datatilsynets vurdering

• Kommunens behandling af personoplysninger var ikke i overensstemmelse med reglerne om passende sikkerhed.
• Det er ikke tilstrækkeligt, at en dataansvarlig blot har interne retningslinjer, hvis disse kan omgås af medarbejderne.
• Stjålne mobile enheder bliver i stigende grad undersøgt for personoplysninger.
• Det er uforsvarligt ikke at beskytte mobile enheder med en adgangskode, som ikke kan slås fra af brugeren.

Datatilsynet foretager en konkret vurdering i henhold til artikel 83, stk. 2, i Databeskyttelsesforordningen ved valg af reaktion. Ved indstillingen til politiet har tilsynet lagt vægt på, at Lolland Kommune er en offentlig myndighed med et særligt ansvar for at beskytte borgernes oplysninger, og at der er tale om manglende implementering af en basal teknisk foranstaltning.

Datatilsynet har indstillet Lolland Kommune til en bøde på 50.000 kr. for manglende overholdelse af reglerne om passende sikkerhed i forbindelse med behandlingen af personoplysninger. Datatilsynet udtaler kritik.

Begrundelse for afgørelsen:

• Kommunen har ikke sikret, at mobile enheder var tilstrækkeligt beskyttet med adgangskoder, der ikke kunne omgås af medarbejderne.
• Kommunen har derved ikke implementeret tilstrækkelige tekniske foranstaltninger til at beskytte personoplysninger, jf. Databeskyttelsesloven § 5 og Databeskyttelsesforordningen § 6.
• Datatilsynet har lagt vægt på, at der er tale om en offentlig myndighed, der behandler store mængder fortrolige og følsomme oplysninger.