CPR-sagen understreger behovet for bedre adgangsstyring og kontrol
I begyndelsen af oktober oplyste CPR-administrationen, at uvedkommende havde misbrugt en dansk virksomheds lovlige adgang til Det Centrale Personregister (CPR) og derved skaffet sig adgang til oplysninger på omkring 8,8 millioner registrerede personer. Datatilsynet har i relation til dette indledt en formel undersøgelse af omstændighederne omkring de mange opslag i CPR.
En lovligt etableret adgang til personoplysninger udelukker ikke, at adgangen kan misbruges. For virksomheder giver dette anledning til at gennemgå både adgangsstyringen og kontrollen med, hvordan adgangen anvendes. Der er tale om to særskilte, men dog tæt forbundne, sikkerhedsopgaver, der består i at begrænse adgangen til personoplysninger og at kunne opdage uberettiget brug af en eksisterende adgang. Med CPR-sagen som anledning belyser denne artikel sammenhængen mellem adgangsrettigheder, kontrol og håndtering af mulige brud på persondatasikkerheden.
Det retlige udgangspunkt er princippet om integritet og fortrolighed i databeskyttelsesforordningens artikel 5, stk. 1, litra f, og sikkerhedsforpligtelsen i artikel 32, stk. 1. Sidstnævnte pålægger både dataansvarlige og databehandlere at gennemføre passende tekniske og organisatoriske foranstaltninger, som sikrer et sikkerhedsniveau, der passer til behandlingens risici. Efter artikel 32, stk. 2, skal der navnlig tages hensyn til risikoen for blandt andet uautoriseret videregivelse eller adgang til personoplysninger. En virksomheds adgangsstyring og kontrol må derfor tilrettelægges i lyset af den behandling, foranstaltningerne skal beskytte. Et naturligt udgangspunkt for vurderingen af de nødvendige sikkerhedsforanstaltninger er en gennemgang af virksomhedens adgangsrettigheder med henblik på at klarlægge, hvem der har adgang til hvilke oplysninger, og om adgangen fortsat er begrundet i den enkeltes arbejdsopgaver.
Adgangsrettigheder skal følge et arbejdsbetinget behov
Gennemgangen af konkrete adgangsrettigheder bør ikke alene identificere, hvilke medarbejdere der har adgang til et system, men også hvilke oplysninger og funktioner den enkelte kan anvende. Adgang til at læse oplysninger er ikke det samme som adgangen til at ændre dem, eksportere dem eller administrere andre brugeres rettigheder. Som praktisk led i beskyttelsen mod uautoriseret behandling, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra f, og sikringen af vedvarende fortrolighed og integritet, jf. artikel 32, stk. 1, litra b, bør virksomheder derfor undersøge, om disse beføjelser kan afgrænses i overensstemmelse med de opgaver, der begrunder adgangen. Den konkrete afgrænsning af adgangsrettigheder må bero på en risikovurdering efter databeskyttelsesforordningens artikel 32, stk. 1 og 2, selvom disse ikke opstiller en udtømmende eller ensartet procedure for behandlingen af adgangsrettigheder.
Adgangsrettigheder bør afgrænses efter den konkrete arbejdsopgave. Et behov for adgang til kontaktoplysninger begrunder eksempelvis ikke nødvendigvis en adgang til samtlige oplysninger om en kunde. Denne opgavebaserede tilgang kan understøtte kravet om vedvarende fortrolighed efter databeskyttelsesforordningens artikel 32, stk. 1, litra b. Rettighederne bør ikke blot vurderes ved tildeling af en arbejdsopgave, men også ved ændring og ophør af hidtidige opgaver. Virksomheden bør fastlægge en holdbar procedure for godkendelse, ændring og lukning af adgange samt ligeledes skabe en procedure for periodisk kontrol af blandt andet inaktive konti og midlertidige adgange. Omfang og hyppighed må tilpasses behandlingens konkrete karakter og virksomhedens risikoprofil, jf. databeskyttelsesforordningens artikel 32, stk. 1 og 2. Vurderingen af adgangsrettigheder bør ligeledes omfatte en vurdering af leverandøradgange og tekniske konti, der anvendes til eksempelvis integrationer eller automatiserede overførsler. Her må virksomheden kunne afklare, hvilket formål adgangen tjener, hvem der er ansvarlig for dem, og om rettighederne fortsat er nødvendige. Denne vurdering må ligeledes bero på en konkret risikovurdering efter databeskyttelsesforordningens artikel 32, stk. 1 og 2, med henblik på navnlig at sikre vedvarende fortrolighed, jf. stk. 1, litra b.
Endelig kræver databeskyttelsesforordningens artikel 32, stk. 4, at den dataansvarlige og databehandleren tager skridt til at sikre, at personer, der arbejder for dem, kun behandler oplysninger efter den dataansvarliges instruks, medmindre lovgivningen kræver andet. Bestemmelsen understreger således sondringen mellem den tekniske mulighed for at tilgå oplysninger og den retlige adgang til at behandle dem.
Kontrolforanstaltninger
Selv en præcist afgrænset og autoriseret adgang kan anvendes til andre formål end de tilsigtede. En konkret vurdering af adgangsrettighederne kan derfor ikke i sig selv udelukke misbrug. Gennemgangen af adgangsrettigheder bør derfor følges af en vurdering af, hvordan virksomheden kontrollerer den faktiske anvendelse.
Databeskyttelsesforordningens artikel 32, stk. 1 og 2, fastsætter et risikobaseret sikkerhedskrav, men foreskriver ikke en bestemt alarmfunktion eller kontrolhyppighed. Stikprøver, kontrol af usædvanligt mange opslag og automatiske advarsler ved atypiske udtræk kan efter omstændighederne være relevante for at beskytte fortroligheden, jf. artikel 32, stk. 1, litra b, og adressere risikoen for uautoriseret adgang, jf. stk. 2. Der er tale om mulige foranstaltninger, hvis nødvendighed og udformning må vurderes konkret, og ikke om selvstændige, generelle krav i bestemmelsen. Virksomheden bør løbende holde sig opdateret på, hvilke aktivitetsmønstre der giver anledning til nærmere undersøgelse. Det kan eksempelvis være ved gentagne opslag uden en umiddelbar tilknytning til brugerens arbejdsopgaver eller omfattende udtræk, der afviger fra den sædvanlige anvendelse. Sådanne afvigelser er ikke i sig selv bevis på misbrug, men kan anvendes som indikation under virksomhedens kontrol.
Virksomheden skal ligeledes, hvor det er relevant, regelmæssigt evaluere, om kontrollen fungerer efter hensigten og effektivt understøtter behandlingssikkerheden, jf. artikel 32, stk. 1, litra d. Kontrolarbejdet kan derfor med fordel tilrettelægges med en klar ansvarsfordeling, så forhold, der giver anledning til mistanke om misbrug, undersøges og følges op.
I tilfælde af sikkerhedsbrud
Når kontrollen afslører mistænkelig aktivitet, bør en klar procedure sikre, at hændelsen undersøges og følges op. Konstateres et brud på persondatasikkerheden, gælder følgende:
Anmeldelse
Den dataansvarlige skal anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det. Anmeldelse kan kun undlades, hvis det er usandsynligt, at bruddet indebærer en risiko for de berørtes rettigheder eller frihedsrettigheder, jf. databeskyttelsesforordningens artikel 33. Efter databeskyttelsesforordningens artikel 33, skal enhver forsinkelse ud over de 72 timer begrundes.
Dokumentation
Alle brud skal dokumenteres, jf. databeskyttelsesforordningens artikel 33, stk. 5. Dette gælder også, hvis bruddene ikke anmeldes. Dokumentation skal omfatte de faktiske omstændigheder, virkningerne og de afhjælpende foranstaltninger. Hvis det ikke er muligt at give anmeldelsesoplysningerne samlet, kan de meddeles trinvist uden unødig yderligere forsinkelse, jf. databeskyttelsesforordningens artikel 33, stk. 4.
Underretning af de berørte
Når bruddet sandsynligvis indebærer en høj risiko for personers rettigheder og frihedsrettigheder, skal den dataansvarlige som udgangspunkt underrette de berørte personer uden unødig forsinkelse, jf. artikel 34, stk. 1. Underretningen skal i et klart og forståeligt sprog beskrive bruddets karakter og indeholde kontaktoplysninger, sandsynlige konsekvenser og trufne eller foreslåede foranstaltninger, jf. databeskyttelsesforordningens artikel 34, stk. 2, sammenholdt med artikel 33, stk. 3, litra b-d.
Underretning kan undlades, hvis beskyttelsesforanstaltningerne er anvendt på de berørte oplysninger og navnlig gør dem uforståelige for personer uden autoriseret adgang, jf. databeskyttelsesforordningens artikel 34, stk. 3, litra a, eller hvis efterfølgende foranstaltninger sikrer, at den høje risiko sandsynligvis ikke længere er reel, jf. litra b.
Såfremt en individuel underretning kræver en uforholdsmæssig indsats, skal den erstattes af en tilsvarende effektiv offentlig meddelelse eller anden foranstaltning, jf. databeskyttelsesforordningens artikel 34, stk. 3, litra c.
Få rådgivning om persondatasikkerhed og GDPR
Effektiv beskyttelse af personoplysninger kræver mere end korrekt tildeling af adgangsrettigheder. Virksomheder bør også have de nødvendige kontrolforanstaltninger og et klart beredskab, der gør det muligt at forebygge, opdage og håndtere eventuelle sikkerhedsbrud. Hos ØENS Advokatfirma rådgiver vi virksomheder om databeskyttelse og GDPR, herunder adgangsstyring, kontrolforanstaltninger og håndtering af brud på persondatasikkerheden.
Har din virksomhed behov for juridisk rådgivning, er I velkomne til at kontakte advokat Lisa Lykke for en drøftelse af jeres konkrete behov.
Kontakt mig for en uforpligtende drøftelse
Ofte stillede spørgsmål om adgangsstyring og persondatasikkerhed
Hvilke krav stiller GDPR til virksomheders adgangsstyring?
Efter databeskyttelsesforordningens artikel 32 skal virksomheder gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger, der tager højde for risiciene ved behandlingen af personoplysninger. Det indebærer blandt andet, at adgangsrettigheder bør afgrænses efter medarbejdernes arbejdsbetingede behov. GDPR fastsætter ikke én bestemt model for adgangsstyring, og de nødvendige foranstaltninger skal derfor vurderes konkret.
Hvor ofte skal virksomheder kontrollere medarbejdernes adgangsrettigheder?
GDPR fastsætter ikke et generelt krav om, hvor ofte adgangsrettigheder skal gennemgås. Kontrollen skal tilrettelægges ud fra en konkret risikovurdering efter artikel 32. Virksomheder bør blandt andet gennemgå rettigheder ved ændringer i medarbejdernes arbejdsopgaver, ved fratrædelse og med passende mellemrum for at sikre, at adgangen fortsat er nødvendig.
Er virksomheder forpligtet til at føre log over medarbejderes adgang til personoplysninger?
GDPR indeholder ikke et generelt krav om logning af alle opslag i personoplysninger. Logning kan dog være en nødvendig sikkerhedsforanstaltning efter artikel 32, afhængigt af behandlingens karakter og risici. Logning kan blandt andet bidrage til at opdage uautoriseret adgang og dokumentere hændelser. Omfanget af logning og den efterfølgende kontrol skal fastlægges på baggrund af en konkret vurdering og under hensyntagen til de øvrige databeskyttelsesretlige krav.
Må en medarbejder tilgå personoplysninger, hvis vedkommende har adgang til systemet?
En teknisk adgang giver ikke i sig selv medarbejderen ret til at behandle alle tilgængelige personoplysninger. Efter databeskyttelsesforordningens artikel 32, stk. 4, skal den dataansvarlige og databehandleren sikre, at personer, der arbejder for dem, som udgangspunkt kun behandler oplysninger efter den dataansvarliges instruks. Adgangen skal derfor anvendes inden for rammerne af medarbejderens arbejdsopgaver og de gældende instrukser.
Hvornår skal et brud på persondatasikkerheden anmeldes til Datatilsynet?
Efter databeskyttelsesforordningens artikel 33, stk. 1, skal den dataansvarlige anmelde et brud på persondatasikkerheden til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med bruddet. Anmeldelse kan undlades, hvis det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. Alle konstaterede brud på persondatasikkerheden skal dokumenteres, også når de ikke anmeldes.
Hvornår skal virksomheden underrette personer, der er berørt af et sikkerhedsbrud?
Efter databeskyttelsesforordningens artikel 34 skal den dataansvarlige som udgangspunkt underrette de berørte personer uden unødig forsinkelse, hvis bruddet sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder. Underretningen skal blandt andet beskrive bruddets karakter, sandsynlige konsekvenser og relevante afhjælpende foranstaltninger. Forordningens artikel 34, stk. 3, indeholder dog undtagelser fra underretningspligten.
Hvad bør en virksomhed gøre ved mistanke om misbrug af personoplysninger?
Virksomheden bør hurtigst muligt undersøge den mistænkelige aktivitet, begrænse eventuel uautoriseret adgang og vurdere, om der er sket et brud på persondatasikkerheden. Hvis der konstateres et brud, skal virksomheden dokumentere hændelsen og vurdere, om der er pligt til at anmelde bruddet til Datatilsynet og underrette de berørte personer. Håndteringen bør ske efter virksomhedens beredskabsprocedurer og de relevante krav i databeskyttelsesforordningens artikel 32-34.
Seneste nyt
SE ALLE NYHEDER
