To kommuner politianmeldt og indstillet til bøde for manglende kryptering af computere

Sagen omhandler Gladsaxe og Hørsholm Kommuners anmeldelse af brud på persondatasikkerheden til Datatilsynet. Begge kommuner havde oplevet tyveri af computere, der indeholdt personoplysninger, herunder følsomme oplysninger og CPR-numre. Ingen af de stjålne computere var krypterede, hvilket Datatilsynet vurderede som en væsentlig sikkerhedsrisiko. I Gladsaxe Kommune drejede det sig om oplysninger om 20.620 borgere, mens det i Hørsholm Kommune drejede sig om ca. 1.600 medarbejdere.

Kommunernes ansvar

Datatilsynet understreger, at kommuner har et stort ansvar for at beskytte borgernes personoplysninger, da borgerne ikke har mulighed for at fravælge kommunens behandling af deres oplysninger. Datatilsynet fremhæver, at manglende kryptering gør det simpelt at tilgå filer gemt på en computer, hvilket udgør en særdeles uforsigtig praksis.

Indstilling til bøde

Datatilsynet har på baggrund af de konstaterede sikkerhedsbrud politianmeldt Gladsaxe og Hørsholm Kommuner og indstillet til, at de idømmes bøder på henholdsvis 100.000 kr. og 50.000 kr. Bødestørrelsen er fastsat under hensyntagen til overtrædelsens karakter (manglende behandlingssikkerhed), at manglende kryptering er en generel foranstaltning, samt kommunernes størrelse.

Datatilsynet har truffet afgørelse om at politianmelde Gladsaxe Kommune og Hørsholm Kommune for overtrædelse af Databeskyttelsesforordningen og Databeskyttelsesloven i forbindelse med to sager om tyveri af computere med personoplysninger.

Afgørelse

Datatilsynet har indstillet til, at Gladsaxe Kommune idømmes en bøde på 100.000 kr., og Hørsholm Kommune idømmes en bøde på 50.000 kr.

Begrundelse

Datatilsynets afgørelse er begrundet i:

• Manglende overholdelse af kravet om passende sikkerhed i forbindelse med behandling af personoplysninger, jf. Databeskyttelsesforordningens artikel 32 og Databeskyttelsesloven § 5, stk. 1.
• Manglende kryptering af computere, hvilket udgør en generel mangel i behandlingssikkerheden.
• Det store antal berørte personer og den følsomme karakter af de stjålne oplysninger.