ECLI:DK:GLO:2022:BS0000004272 Sager om brud på datasikkerheden og læk af personoplysninger, herunder om behandling af personoplysningerne var lovlig o

RETTEN I GLOSTRUP DOM afsagt den

1. maj 2021 Sag BS-19120/2019-GLO Sagsøger 1 (advokat Eva Tofteberg Persson) mod Gladsaxe Kommune (advokat Anders Valentiner-Branth) og Sag BS-22348/2019-GLO Sagsøger 2 (advokat Eva Tofteberg Persson) mod Gladsaxe Kommune (advokat Anders Valentiner-Branth) og Sag BS-49315/2019-GLO Sagsøger 3 2 (advokat Eva Tofteberg Persson) mod Gladsaxe Kommune (advokat Anders Valentiner-Branth) og Sag BS-51045/2019-GLO Sagsøger 4 (advokat Eva Tofteberg Persson) mod Gladsaxe Kommune (advokat Anders Valentiner-Branth) og Sag BS-51234/2019-GLO Sagsøger 5 (advokat Eva Tofteberg Persson) mod Gladsaxe Kommune (advokat Anders Valentiner-Branth) og Sag BS-51318/2019-GLO Sagsøger 6 (advokat Eva Tofteberg Persson) mod 3 Gladsaxe Kommune (advokat Anders Valentiner-Branth) og Sag BS-51332/2019-GLO Sagsøger 7 (advokat Eva Tofteberg Persson) mod Gladsaxe Kommune (advokat Anders Valentiner-Branth) Denne afgørelse er truffet af dommer Hans J. Christensen, dommer Janne Ro-strup Hansen og kst. dommer Pia Blaabjerg Andersen. Sagernes baggrund Sagsøger 1's sag er anlagt den
2. april
3. Sagsøger 2's sag er anlagt den
4. maj
5. Sagsøger 3's sag er anlagt den
6. november
7. Sagsøger 4's sag er anlagt den
8. november
9. Sagsøger 5, Sagsøger 6 og Sagsøger 7's sager er an-lagt den
10. november
11. Sagerne, der er forhandlet i forbindelse med hinanden, vedrører personoplysninger om 20.620 borgere, herunder de 7 sagsøgere, hvilke personoplysninger indgik i et regneark lagret på en bærbar PC, der blev stjålet fra Gladsaxe Kommunes rådhus. Sagen omhandler, om kommunens behandling af personoplysningerne var lovlig og begrænset til det relevante formål, om oplysningerne var undergivet en tilstrækkelig behandlingssikkerhed, samt om der er hjemmel i databeskyttelsesforordningens artikel 82 til at tilkende sagsøgerne en godtgørel-se for ikke økonomisk skade. Påstande BS-19120/2019-GLO Sagsøger 1 har nedlagt påstand om, at Gladsaxe Kommune skal betale 25.000 kr. med tillæg af procesrente fra den
12. december 2018 til betaling sker. 4 BS-22348/2019-GLO Sagsøger 2 har nedlagt påstand om, at Gladsaxe Kommune skal betale 10.000 kr. med tillæg af procesrente fra den
13. december 2018 til betaling sker. BS-49315/2019-GLO Sagsøger 3 har nedlagt påstand om, at Gladsaxe Kommune skal beta-le 30.000 kr. med tillæg af procesrente fra den
14. december 2018 til betaling sker. BS-51045/2019-GLO Sagsøger 4 har nedlagt påstand om, at Gladsaxe Kommune skal betale 20.000 kr. med tillæg af procesrente fra den
15. december 2018 til betaling sker. BS-51234/2019-GLO Sagsøger 5 har nedlagt påstand om, at Gladsaxe Kommune skal be-tale 27.500 kr. med tillæg af procesrente fra den
16. december 2018 til betaling sker. BS-51318/2019-GLO Sagsøger 6 har nedlagt påstand om, at Gladsaxe Kommune skal betale 15.000 kr. med tillæg af procesrente fra den
17. december 2018 til beta-ling sker. BS-51332/2019-GLO Sagsøger 7 har nedlagt påstand om, at Gladsaxe Kommune skal betale 7.500 kr. med tillæg af procesrente fra den
18. december 2018 til betaling sker. Sagsøgte, Gladsaxe Kommune, har påstået frifindelse. Oplysningerne i sagen Det fremgår af Gladsaxe Kommunes informationssikkerhedshåndbog, revideret i maj 2018: ”… 5 Informationssikkerhedspolitik 5.1 Indledning … Målet med informationssikkerheden i Gladsaxe Kommune er, at informationer og informationssystemer skal beskyttes mod uautoriseret eller utilsigtet adgang, anvendelse, videregivelse, driftsforstyrrelse, ændring eller ødelæggelse. Det er samtidig målsætningen, at indsatsen nøje afvejes i forhold til, at kommunen sik-kert og optimalt kan udføre kerneopgaverne over for borgere og virksomheder. 5.2 Formål 5 … lnformationssikkerheden i Gladsaxe Kommune skal altid leve op til gældende lovgivning og myndighedskrav. Endvidere er følgende indsatsområder særligt i fokus:    Kommunens it-infrastruktur skal være effektivt beskyttet mod eksterne trus-ler og. Oplysninger om borgere og virksomheder som kommunen er i besiddelse af, skal til enhver tid beskyttes mod uberettiget videregivelse som følge af tekniske og menneskelige fejl eller forsætlige handlinger. God praksis for informationssikkerhed, principper og normer for adfærd i anvendelsen af kommunens informationssystemer skal være klart formulere-de og formidlet til medarbejderne, så uberettiget anvendelse forebygges og undgås. 5.3 Holdninger og principper Det er Gladsaxe Kommunes politik, at informationssikkerhed bygger på tillid, sund fornuft og ansvarlighed hos kommunens medarbejdere frem for kontrol, overvågning og mistanke. Kommunen ønsker derfor også, at informationssikker-hedspolitikken fungerer adfærdsregulerende snarere end kontrollerende over for de ansatte. … 6.2 Mobilt udstyr og fjernarbejdspladser Formålet er at sikre fjernarbejdspladser og brugen af mobilt udstyr. 6.2.1 Politik for mobilt udstyr Adgangen til mobilt udstyr beskyttes med PIN-kode på mindst 4 tegn, en adgangskode eller en anden sikker identifikationsmetode. Fortrolige oplysninger og følsomme personoplysninger må kun opbevares i ES-DHsystem eller fagsystem og må således ikke opbevares på mobile enheder. Hvis det som led i løsningen af den faglige opgave midlertidigt er nødvendigt at opbevare fortrolige oplysninger eller følsomme personoplysninger på mobilt ud-styr, skal informationerne beskyttes med kryptering. Krypteringsløsningen skal godkendes af Digitaliseringsafdelingen. … 8.2.1 Klassifikation af information lnformationssikkerhedskoordinatorerne har ansvar for, at der skabes bevidsthed i organisationen omkring klassifikation af data og informationer, samt hvordan medarbejderne skal håndtere disse alt efter klassifikationen. Gladsaxe Kommune sondrer mellem følgende klassifikationer: 6      Følsomme personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering, jf. databeskyttelsesforordningens artikel 9 Fortrolige oplysninger (herunder også fortrolige personoplysninger), der omfatter væsentlig økonomisk eller forvaltningsmæssig information, der kan forårsage væsentlig skade på Gladsaxe Kommunes forvaltning, omdømme eller økonomi såfremt de offentliggøres. Det kan f.eks. være økonomiske da-ta, udbudsmateriale, fortrolige planer, lukkede politiske punkter og oplys-ninger om it-infrastruktur, dvs. oplysninger som er omfattet af tavshedspligt og ikke vil udleveres i tilfælde af aktindsigt. Alle følsomme personoplysnin-ger er også at betragte som fortrolige. Almindelige personoplysninger kan også være fortrolige. Det gælder fx for oplysninger om væsentlige sociale problemer, CPR, andre rent private forhold, økonomi, skat, gæld samt i nog-le tilfælde også informationer om uddannelses- og ansættelsesmæssige for-hold jf. Forvaltningslovens §
19. Personoplysninger vedrørende straffedom-me og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger jf. databeskyttelsesforordningens artikel 10 betragtes også som fortrolige. Almindelige personoplysninger, der omfatter væsentlige sociale problemer, andre rent private forhold, økonomi, skat, gæld, sygedage, tjenstlige forhold, familieforhold, bolig, bil, eksamen, ansøgning, CV, ansættelsesdato, stilling, arbejdsområde, arbejdstelefon, navn, adresse, fødselsdato, identificerbare oplysninger, f.eks. navn og adresse, økonomiske forhold, jf. databeskyttelsesforordningens artikel 6 og Forvaltningslovens §
20. Bemærk at almindelige personoplysninger godt kan være fortrolige. Interne oplysninger, der er oplysninger, som kun er rettet til intern brug i Gladsaxe og som kun medarbejdere har adgang til enten i elektronisk eller analog form. Offentliggørelse vil kun forårsage ubetydelig skade på Gladsaxe Kommunes forvaltning, omdømme eller økonomi. lkke-fortrolige oplysninger, som ikke er omfattet af ovenstående klassifikationer og i øvrigt er tilgængelige efter offentlighedens regler om aktindsigt. … 8.3 Mediehåndtering Formålet er at forhindre uautoriseret offentliggørelse, ændring, fjernelse eller destruktion af information lagret på medier. 8.3.1 Styring af bærbare medier Flytbare lagringsmedier som f.eks. USB-nøgle, ekstern harddisk, CD og lignende må ikke anvendes til lagring eller forsendelse af fortrolige oplysninger eller personlysninger, med mindre disse er krypteret. Datamedier, herunder også papir, som indeholder andet end offentlig informa-tion, skal opbevares aflåst i perioder, hvor informationen ikke anvendes. … 11 Fysisk sikring og miljøsikring 7 11.1 Sikre områder Formålet er at forhindre uautoriseret fysisk adgang til samt beskadigelse og forstyrrelse af organisationens information og informationsbehandlingsfaciliteter. 11.1.1 Fysisk perimetersikring I områder, hvor der opbevares fortrolige eller følsomme personoplysninger, skal der ske en passende sikring af materialet, således at oplysningerne ikke gøres tilgængelige for uvedkommende. Serverrum, krydsfelter og lignende sikrede områder, hvor der er placeret netværksudstyr, skal holdes aflåst. For serverrum med kritisk informationsbehandlingsudstyr skal der etableres et adgangskontrolsystem, hvor adgangene logges med oplysninger om, hvem der har haft adgang hvornår. 11.1.2 Fysisk adgangskontrol Sikrede områder skal beskyttes med adgangskontrol, så kun autoriserede perso-ner kan få adgang. Kun personer, der skal udføre rutinemæssige opgaver i områ-derne kan opnå fast autorisation til adgang. Til serverrum kan serviceleverandø-rer (f.eks. elektriker) efter en konkret risikovurdering opnå en fast autorisation til adgang, når dette er betinget af hurtig adgang f.eks. ved driftsnedbrud uden for arbejdstid og lignende. Adgangsautorisationen skal gennemgås og revurderes mindst en gang årligt. 11.1.3 Sikring af kontorer, lokaler og faciliteter Der skal være en passende fysisk sikkerhed for kommunens kontorer, lokaler og faciliteter. Kommunens ønske om at fremstå åben over for borgerne skal løbende afvejes mod hensynet til sikring af kommunens informationer. I områder med borgeradgang samt ubemandede områder skal ledelsen sikre, at uvedkommende ikke får adgang til følsom eller fortrolig information, samt at borgere ikke uforvarende kan aflæse oplysninger fra skærme og lignende. Der skal anvendes tilstrækkelige alarmsystemer på relevante bygninger og loka-ler … 11.1.5 Arbejde i sikre områder Gæster, der ikke har autorisation til adgang til sikrede områder, skal være ledsa-get af autoriseret personale. 11.2 Udstyr Formålet er at undgå tab, skade, tyveri eller kompromittering af aktiver og driftsafbrydelse i organisationen. 11.2.1 Placering og beskyttelse af udstyr Udstyr skal placeres, så risikoen for skader og uautoriseret adgang minimeres. 8 Udstyr (f.eks. computere, mobile enheder, skærme og printere), hvor der behand-les eller udskrives følsomme personoplysninger eller fortrolige oplysninger, skal placeres eller indrettes, så informationerne ikke kan ses eller tilgås af uvedkommende. På printere anbefales det, at der benyttes en fortrolig udskriftfunktion, så det kun er muligt at printe ved medarbejderens tilstedeværelse. … 18.1.3 Privatlivets fred og beskyttelse af personoplysninger Systemejerne har ansvar for, at der er tilstrækkelig beskyttelse indbygget i it-systemerne, således at personoplysninger er beskyttet i overensstemmelse med lovgivningen. Hvis der foretages behandlinger, der er forbundet med høj risiko som beskrevet i databeskyttelsesforordningens artikel 35, skal der foretages en konsekvensanalyse, inden behandlingen igangsættes. Endvidere skal det sikres, at anvendelse og udstilling af personoplysninger begrænses efter principperne om "Privacy by design" og "Privacy by default", jf. databeskyttelsesforordningen. Ledere og medarbejdere har ansvar for, at personoplysninger i analog form (pa-pir) beskyttes og ikke gøres tilgængeligt for uvedkommende. Alle medarbejdere har ansvar for, at personoplysninger er tilstrækkelige, relevan-te og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de be-handles jf. databeskyttelsesforordningens princip om dataminimering. …” Det fremgår af Gladsaxe Kommunes 15 sikkerhedsbud: ”… Det er afgørende for borgerne som privatpersoner og Gladsaxe Kommune som organisation, at der er styr på informationssikkerheden. Derfor skal alle medarbejdere følge de 15 sikkerhedsbud. … 1) Du har et medansvar for vores sikkerhed. Følg retningslinjerne for sikkerhed, hold dig orienteret, stil spørgsmål og vær kritisk. … 4) Sørg for, at pin- eller adgangskode altid er aktiveret på din mobil, iPad eller tablet, så uvedkommende ikke kan få adgang til dine oplysninger, hvis du f.eks. mister enheden. … 6) Brug kun godkendte journal- eller fagsystemer til at gemme personoplysninger eller andre typer af oplysninger, der er fortrolige. Brug aldrig lokale drev, fællesdrev, usb-nøgler eller eksterne harddiske til disse formål. … 9 9) Indhent og del kun personoplysninger, når der er et fagligt behov. Del så lidt som muligt med så få som muligt. …” Den
21. december 2018 anmeldte Gladsaxe Kommune til Københavns Vestegns Politi, at der var blevet stjålet 4 bærbare PC´ere fra rådhuset. På den ene af de 4 bærbare PC´ere var der på et lokaldrev lagret et regneark med oplysninger om 20.620 borgere, herunder de 7 sagsøgere, Sagsøger 1, Sagsøger 2, Sagsøger 3, Sagsøger 4, Sagsøger 5, Sagsøger 6 og Sagsøger
22. Det fremgår af regnearket, at der for alle de 7 sagsøgere var oplysninger om CPRnummer, navn og adresse. Vedrørende Sagsøger 1 var der yderligere i en kolonne med tek-sten ”Paragraf sektion” angivelse af § 112, § 138, § 138, § 138, § 83,2, § 83,2 og § 83 a. For hver bestemmelse var der anført startdato og slutdato samt en kolonne med angivelse af ”Leverandør navn” , hvor der på 5 linjer fremgik ”GLX Vest 4” og på 1 linje fremgik ”GLX Rehab Vest” . Der var endvidere i en kolonne med teksten ”Ydelsestekst” rækker med angivelse af ”Almindelig boligsikring” , og i hver række var der angivelse af periode, beløb, refusionsprocent og kommunal udligning. Vedrørende Sagsøger 2 var der yderligere i en kolonne med tek-sten ”Ydelsestekst” rækker med angivelse af ”Almindelig boligsikring” , og i hver række var der angivelse af periode, beløb, refusionsprocent og kommunal udligning. Vedrørende Sagsøger 3 var der yderligere i en kolonne med teksten ”Paragraf sektion” anført ”§ 140” med angivelse af startdato, slutdato og ”Leve-randørnavn” , hvor der fremgik, ”GLX TCG Sundhed og Træning” . Vedrørende Sagsøger 4 var der yderligere anført, ”Institutionsop-hold” , ”Fraflytningskommune” med angivelse af kode, tilflytningsdato med an-givelse af dato og ”Institution (manuel) Egebo” . Vedrørende Sagsøger 5 var der yderligere i en kolonne med teksten ”Ydelsestekst” rækker med angivelse af ”Tilskud til lejere” , og i hver række var der angivelse af periode, beløb, refusionsprocent og kommunal udligning. Vedrørende Sagsøger 6 var der yderligere i en kolonne med teksten ”Paragraf sektion” rækker, hvor der var anført ”§ 140” med angivelse af 10 startdato og slutdato. Under ”Leverandørnavn” fremgik i 3 rækker ”GLX TCG Sundhed og Træning” og i 1 række ”GLX TCG Sundhed og Træning Koordinatorer” . Vedrørende Sagsøger 7 var der yderligere i udtrækket om ”Alle ydelser” anført ”Nettobeløb 22564” og ”samlet funktion 5.58.82 Ress” Den
23. december 2018 indberettede Gladsaxe Kommune sagen som en sikkerhedshændelse til Datatilsynet. Det fremgår af indberetningen: ”… Årsag til hændelsen / hvad er der sket Beskriv hændelsen En fil med fortrolige og følsomme personoplysninger er blevet gemt lokalt på en computer. Computeren er efterfølgende blevet stjålet. Der er i løbet af weekenden d. 30/11-3/12 (mellem arbejdstidsophør fredag og mandag morgen) blevet stjålet flere computere fra
24. sal i fløj 5 på Gladsaxe Rådhus. På en af disse computere var en fil med personoplysninger midlertidigt lag-ret lokalt på pc'ens skrivebord (filen var blevet lagt lokalt d. 28/11) i modstrid med de interne retningslinjer. Data var ikke krypteret. Der er tale om en manuel menneskelig fejl. I filen sammenkøres en række oplysninger på CPR-niveau for at beregne den mellemkommunale refusion. I datasættet optræder i alt 19.681 unikke CPR-num-re. Nedenfor fremgår den samlede liste, inkl. antal berørte CPR-numre, over de informationer, der er sammenkørt. … Involveret teknologi … Personlig computer (fx bærbar, stationer, tablet) … Konsekvenser Sandsynlige konsekvenser af hændelsen for hhv. personer, virksomheder og tjenester Brud på fortrolighed …  Utilsigtet videregivelse af oplysninger, der er linket til andre oplysninger om de berørte  Oplysningerne kan blive misbrugt til andre eller ulovlige formâl  Andre konsekvenser som følge af brud på fortrolighed … 11 Fysisk, materiel eller immateriel skade med betydelige konsekvenser for den be-rørte  Mistet kontrol over egne oplysninger … Uddybende oplysninger Mulige konsekvenser er angivet ud fra, at kommunen vurderer, at der forment-ligt er tale om et brugstyveri, hvorfor det vurderes som meget lidt sandsynligt, at de nævnte data vil blive misbrugt. Såfremt data bliver delt, vil konsekvenserne for de berørte kunne være mere omfattende. Håndtering Foranstaltninger, der er truffet for at håndtere hændelsen og begrænse dets muli-ge skadevirkninger Foranstaltninger, der er truffet Tyveriet blev straks meldt til Rådhusets vagter, ligesom der er sket en politianmeldelse af tyveriet. Derudover blev kommunens lT-afdeling gjort opmærksom-me på tyveriet. Endelig er procedurerne for håndtering af denne type filer blevet indskærpet over for afdelingens medarbejdere for at undgå lignende tilfælde i fremtiden. Foranstaltninger, der foreslås truffet Gladsaxe Kommune har allerede haft betydeligt fokus på lagring på lokale drev i forbindelse med awareness-arbejdet. Denne sag forventes brugt i awareness-kontekst for at vise, hvor alvorlige konsekvenser brud på retningslinjerne kan have. …” Den
25. december 2018 sendte Gladsaxe Kommune en uddybende indberetning til Datatilsynet, hvor antallet af berørte CPR-numre blev ændret, ligesom over-sigten over, hvilke data der var omfattet af filen på den stjålne PC, blev korrige-ret. Det fremgår: ”… I det følgende gennemgås hver af de 19 datakilder, der indgik i den omtalte fil. For hver af disse er angivet typen af datakilde, antal unikke CPR-numre, perio-den som informationerne vedrører og typen af konkrete informationer. Da der er tale om et regneark, er der tale om informationer på et relativt enkelt og overord-net detaljeringsniveau. Nedenstående overskrifter er dækkende for det faktiske indhold. Der indgår således ikke journaltekst i regnearket. Institutionsophold (fra CPR Web), 2.955 unikke CPR-numre, marts-oktober 2018 - Borgers CPR-nummer - Navn på borgeren - Borgers nuværende adresse - Borgers tidligere adresse - Til- og fraflytningsdato - Navnet på den institution, som borgeren har været / er tilknyttet 12 Ydelser (fra kommunens økonomisystem), 8.031 unikke CPR-numre, oktober 2018 - Borgers CPR-nummer - Bogførte ydelser (f.eks. særlig tilrettelagt ungdomsuddannelse, hjælpemidler, midlertidige botilbud, kontanthjælp, revalideringsydelse, førtidspension, ressourceforløb og ledighedsydelse) Ydelse (fra KMD Nexus), 9.023 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Navn på borgeren - Borgers adresse - Paragraffen som ydelsen er leveret i henhold til (f.eks. §83a, §85, §138 og §140). - Start- og slutdato for ydelsen - Opholds-, handle- og betalingskommune - Leverandørnavn (f.eks. GLX TGC Sundhed og Træning) Mellemkommunale borgere på beskæftigelsesområdet (manuel liste), 51 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Betalingskommune - Start- og slutdato for ydelsen - Mellemkommunale krav (beløb) MAF / KMD Social Opsætning, 239 unikke CPR-numre, 2018 år til dato - Borgers CPR-nummer - Kommune - Mellemkommunale afregnede beløb - Årsag (f.eks. "6 års regel" og ”Anbragt på institution") Pensionssager (fra KMD Sag), 1.969 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Navn på borgeren - Status (f.eks. Aktiv, hvilket vil sige borgeren modtager pension på opgørelsestidspunktet) - Sagstype (f.eks. Førtidspension, Mellemste førtidspension, Højeste førtidspension og Invaliditetsydelse) Efterværnssager (fra Gladsaxe Tilbudsapplikation), 471 unikke CPR-numre, 2018 år til dato - Borgers CPR-nummer - Borgers mors CPR-nummer - Borgers fars CPR-nummer - Sagsbehandler - Status (f.eks. Aktiv og Afsluttet) - Forældremyndighed (angiver om det er mor eller far, der har forældremyndigheden) 13 - Sagskategorisering (angiver hvor sagen er registreret, f.eks. Ungeenheden) Mellemkommunale efterværnssager, 10 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Navn på borgeren - Handlekommune - Tilsagnsperiode - Indsats (f.eks. SEL 76.3.2 Kontaktperson) - Opfølgningsdato Boligstøtte R127 (Fra Det kommunale boligstøttesystem), 7.923 unikke CPR-numre, april- oktober 2018 - Borgers CPR-nummer - Opholds- og betalingskommune - Beløb - Ydelsestekst (f.eks. Tilskud til lejebetaling i ældrebolig og Tilskud til lejere) Kontante ydelser / STAR, 373 unikke CPR-numre, 2018 år til dato - Borgers CPR-nummer - Ydelsestype (f.eks. Førtidspension, Særlig støtte, Kontanthjælp og Ressourceforløb) - Udgifter Ældrebolig (fra KMD Nexus), 56 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Ældreboligbevilling (f.eks. Ældrebolig (§§ 105 og 115 stk. 2) Botilbud (manuel liste), 30 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Navn på borgeren - Tilbudsnavn f.eks. Center for Døve, Taxhus og Præstø) - Paragraf som tilbuddet er bevilget i henhold til (f.eks. § 108) - Diagnose (Denne overskrift er misvisende, da der alene er tale om oplysninger om institutionstypen, f.eks. psykisk handicappede. Derimod er der ikke oplysninger om den enkelte borgers konkrete diagnose.) - Kontonummer i kommunens økonomisystem - Start- og slutdato for borgers tilknytning til tilbuddet Plejehjem (manuel liste), 76 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Navn på borgeren - Tilbudsnavn (f.eks. Egegården) - Betalingskommune - Start- og slutdato for borgeres ophold på tilbuddet Plejebolig (manuel liste), 69 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer 14 - Navn på borgeren - Opholds-, handle- og betalingskommune - Kontonummer i kommunens økonomisystem - Paragraf som tilbuddet er bevilget i henhold til (f.eks. §83/192) - Start- og slutdato for borgers ophold på tilbuddet - Samlet forbrug Hjemmehjælp (manuel liste), 34 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Navn på borgeren - Borgers nuværende adresse - Borgers tidligere adresse - Ydelse (f.eks. Hjemmehjælp og Træning) - Kontonummer i kommunens økonomisystem - Start- og slutdato for ydelsen § 117 (manuel liste), 34 unikke CPR-numre, oktober2018 - Borgers CPR-nummer - Navn på borgeren - Samlet forbrug - Antal egenbetalinger BPA § 96 (fra kommunens økonomisystem), 116 unikke CPR-numre, oktober 2018 - Borgers CPR-nummer - Kontonummer i kommunens økonomisystem - Posteringstekst i kommunens økonomisystem - Beløb - Bogføringsdato Mellemkommunale borgere bosiddende i Gladsaxe Kommune (fra CPR-registe-ret), 1.153 unikke CPR-numre, øjebliksbillede - Borgers CPR-nummer - Navn på borgeren - Borgers mors CPR-nummer - Borgers fars CPR-nummer - Borgers ægtefælles CPR-nummer - Stillingsbetegnelse - Medlemskab af folkekirken - Fødselsregistreringssted - Betalingskommune - Borgers nuværende adresse - Borgers tidligere adresse - Datoer for til- og fraflytning Mellemkommunale borgere bosiddende i andre kommuner (fra CPR-registeret), 326 unikke CPR-numre, øjebliksbillede 15 - Borgers CPR-nummer - Bopælskommune - Betalingskommune - Bemærkningsfelt …” Det fremgår af e-mail af
26. december 2018 fra Person 1, partner hos PwC – Cyber & Informationssikkerhed, til Gladsaxe Kommune: ”… Jeg fremsender hermed som aftalt min vurdering af risikoen for borgerne hvis deres CPRnr, navn og adresser måske er/eller konkret er blevet eksponeret over for offentligheden, hvorved der er en risiko for at uautoriserede har fået adgang til deres CPRnr, navn og adresse. Konsekvensen for borgerne Misbrug af CPRnr, navn og adresse kan føre til identitetstyveri, som kan få en økonomisk konsekvens. Sandsynligheden for at konsekvensen udløses Det er min vurdering at der i Danmark er en meget lille sandsynlighed for at bor-gere bliver udsat for identitetstyveri. Selvom vores cyber survey viser at der er en stigning i antallet af tilfælde i forhold til sidste år, er det stadig et meget lille an-tal. Det kan skyldes at identitetstyveri kræver at den kriminelle skal udgive sig for at være en anden og dette kræver at de fysisk skal møde op for at få udstedt nye identitetspapirer, hvilket øger risikoen for at de bliver opdaget og identifice-rede. De tilfælde vi kender til vedr. identitetstyveri er når personer har haft en fy-sisk relation i en periode og kender hinanden. Der har i de seneste år været en lang række sager hvor borgers CPRnr og navn har være eksponeret over for uvedkommende og der har ikke været tilfælde hvor der har medført direkte sager om identitetstyveri. …” Ved e-mail af
27. december 2018 orienterede kommunaldirektøren i Gladsaxe Kommune byrådet om sagen, herunder om hvilke oplysninger filen med regnearket indeholdt, at kommunen havde underrettet Datatilsynet om hændelsen, samt om hvilke tiltag kommunen havde og ville iværksætte for fremover at undgå lignende hændelser. Den
28. december 2018 orienterede Gladsaxe Kommune de berørte borgere om, at der var stjålet en computer med fortrolige oplysninger. Det fremgår af orienteringen: ”… 16 Gladsaxe Kommune har i weekenden mellem uge 48 og 49 fået stjålet fire computere fra rådhuset. Desværre har vi konstateret, at der på én af computerne ved en fejl var blevet gemt et regneark, som indeholdt fortrolige oplysninger om dig og andre borgere. Vi har meldt hændelsen - som vi karakteriserer som et sikker-hedsbrud - til Datatilsynet og tyveriet til Vestegnens Politi. Karakteren af sikkerhedsbruddet På baggrund af de konkrete omstændigheder ved tyveriet har vi ikke grund til at tro, at computerne er blevet stjålet med det formål at skaffe sig adgang til Gladsaxe Kommunes oplysninger. Der er sandsynligvis tale om et brugstyveri, hvor indholdet på computeren hurtigt bliver slettet, så computeren kan sælges videre, og oplysningerne dermed ikke bliver tilgængelige. Det kan dog ikke afvises, at tyven eller andre, som får computeren i hænde, kan finde frem til oplysningerne. I henhold til databeskyttelsesforordningen, som trå-dte i kraft
29. maj 2018, skal vi derfor orientere alle personer, hvis oplysninger fremgår af det nævnte regneark, og derfor orienterer vi også dig. Oplysningerne på kommunens computere er beskyttet via tekniske og organisatoriske sikkerhedsforanstaltninger. Foranstaltninger, som også beskytter oplysningerne, hvis vi mister vores computere ved tyveri eller ved et hændeligt uheld. I dette tilfælde indeholdt én af disse computere dog undtagelsesvis et regneark med fortrolige oplysninger, som ved en menneskelig fejl var gemt midlertidigt lokalt på computeren. Informationerne i regnearket var blevet udtrukket med henblik på rutinemæssig økonomisk kontrol, til sikring af korrekt afregning kommunerne i mellem. Det skal for en god ordens skyld nævnes, at denne økonomiske kontrol alene har be-tydning for afregningen kommunerne i mellem, og ikke har betydning for din el-ler andre borgeres konkrete sager, herunder de tilbud eller ydelser, som du even-tuelt er berettiget til at modtage. Informationerne i regnearket bestod af personnummer, alder, køn og i nogle til-fælde yderligere informationer som adresse, familiære forhold (for eksempel ci-vilstand, forældre og børn), overordnet information om kommunale ydelser m.m. For en gruppe af borgere, der bor på et botilbud, er tilbudstypen oplyst (for eksempel institution for borgere med fysisk handicap). Endelig er der for en min-dre gruppe af borgere informationer om medlemskab af folkekirken. Relevante foranstaltninger Gladsaxe Kommune har som nævnt anmeldt tyveriet til politiet Derudover har Gladsaxe Kommune kontaktet en ekstern it-sikkerhedsekspert for at få en vurdering af de mulige konsekvenser. Vurderingen er, at risikoen for misbrug af dit personnummer er begrænset, da oplysningerne ikke i sig selv er nok til misbrug. Egentligt misbrug af oplysningerne kræver således oftest kode 17 eller personligt fremmøde, eksempelvis i forbindelse med udstedelse af identitetspapirer. Du kan selv forebygge eventuelt misbrug af dine oplysninger. Dette kan du læse mere om på borger.dk: https://www.borger.dk/internet-og-sikkerhed Hvis du har spørgsmål til den konkrete sag, er du velkommen til at kontakte Gladsaxe Kommune på telefonnummer 39 57 50
30. Telefonen er åben mandag til fredag i tidsrummet 09.00-14.
31. Hvis du har spørgsmål til, hvordan Gladsaxe Kommune generelt behandler dine personoplysninger, kan du kontakte vores Databeskyttelsesrådgiver på e-mail: dpo@gladsaxe.dk eller telefonnummer 39 57 69
32. Hvis du skal sende personli-ge, fortrolige eller følsomme oplysninger anbefales det, at du sender en sikker mail. Se nærmere herom i beskrivelsen af databeskyttelsesrådgiveren på gladsaxe.dk. Vi ser med stor alvor på hændelsen og skal beklage, at vi har mistet fortrolige oplysninger om dig og andre borgere. …” Efter anmodninger fra hver af sagsøgerne meddelte Gladsaxe Kommune dem indsigt i de oplysninger om dem hver især, der fremgik af det omhandlede regneark, der var lagret på den stjålne PC. Gladsaxe Kommunes borgmester orienterede på et byrådsmøde den
33. decem-ber 2018 om sagen. Det fremgår af borgmesterens notat herom af
34. december 2018: ”… Formålet med regnearket Lad mig starte med at slå fast, at det ikke er enestående, at medarbejdere i kommunen arbejder med regneark, hvori der indgår store mængde af data om borge-re i kommunen. Det er en forudsætning for at kunne løse de opgaver, som med-arbejdere i vores økonomifunktioner arbejder med, og som bidrager til den stær-ke økonomistyring, som vi har her i Gladsaxe Kommune. I dette tilfælde var der tale om et regneark, der blev brugt til at lave en obligato-risk kontrol af, om Gladsaxe Kommune får indhentet den korrekte mellemkom-munale refusion - dvs. betalinger til og fra andre kommuner. For at kunne lave denne kontrol er der brug for oplysninger om alle de borgere, der modtager ydel-ser, der potentielt kunne være omfattet af mellemkommunal refusion. Det forkla-rer det store antal af cpr-numre. I 2018 har denne kontrol sikret, at kommunen har indhentet ca. 5,5 mio. kr. som manglede i mellemkommunal refusion. 18 Desværre er det sådan, at man i det dokumenthåndteringssystem, som kommu-nen har, ikke kan arbejde aktivt med store og komplicerede regneark. Derfor bli-ver man nødt til gemme filerne midlertidigt et andet sted, mens der arbejdes med dem. Medarbejderne ved godt, at de her skal arbejde med filerne på et centralt netværksdrev, hvor de ligger sikkert, indtil de igen kan placeres i dokumenthåndteringssystemet. Desværre var der i dette tilfælde et meget uheldigt sammenfald mellem et tyveri og det forhold, at en medarbejder var kommet til at gemme regnearket et forkert sted om torsdagen - altså umiddelbart før, at com-puteren blev stjålet. … Anmeldelse til Datatilsynet og orientering af borgere Da den pågældende medarbejder mødte på arbejde mandag morgen og opdage-de at pc'en var stjålet, fortalte han straks, at han havde lagt et regneark på pc'en om torsdagen. Forvaltningen gik herefter i gang med at finde ud af, hvad der helt præcist lå i regnearket. Heldigvis lå der en identisk kopi i vores dokumenthåndteringssystem, så vi kunne identificere og gennemgå indholdet. Onsdag den
35. december foretog forvaltningen en anmeldelse til datatilsynet, som efterfølgende blev præciseret den
36. december. Byrådet blev desuden orienteret den
37. decem-ber. Forvaltningen brugte herefter tid på at afklare, hvordan borgerne bedst muligt skulle orienteres, og ikke mindst hvordan dette praktisk kunne tilrettelægges. Det er en meget stor opgave at sende breve ud til 20.000 borgere. Målet var at gi-ve en præcis og dækkende beskrivelse, som samtidig redegjorde for den reelle ri-siko, men ikke gjorde de berørte mere bekymrede, end der reelt var grund til. Derfor kontaktede man PriceWaterhouseCoopers (PWC), som overvåger it-kri-minalitet i ind og udland. På baggrund af en lang og grundig snak udarbejdede PWC en vurdering af sikkerhedsrisikoen for hændelsen. PWC vurderede, at risi-koen for, at personoplysninger på den stjålne PC ville blive misbrugt (i værste til-fælde til identitetstyveri), var meget lille. Årsagen til denne vurdering er, at omstændighederne tyder på, at der er tale om et brugstyveri, hvor PC´en hurtigt vil-le blive renset for data med henblik på videresalg. Samtidig er misbrug af personoplysninger i Danmark meget sjældne, da det oftest kræver NemlD eller per-sonligt fremmøde med forevisning af pas eller kørekort. De misbrug i form af identitetstyveri, som finder sted, begås oftest af folk i den nære bekendtskabs-kreds. … Oplysninger om medlemskab af folkekirken Person 2 spørger også til, at der i regnearket i nogle tilfælde fremgik oplysninger om den enkelte borgers tilhørsforhold til Folkekirken. Et centralt princip i de nye Databeskyttelsesregler er Dataminimering, hvilket på lidt mere let forståeligt dansk betyder, at man kun indhenter de oplysninger, der er relevante for den konkrete opgave man skal løse. Dette har også været udgangspunktet for den analyse regnearket har været brugt til. 19 Men for et mindre antal borgere har et udtræk fra CPR-registret indeholdt oplysninger om medlemskab af folkekirken. Det er naturligvis en fejl, og noget vi blev opmærksomme på tidligt i forløbet, og som vi også har nævnt i anmeldelsen til datatilsynet, ligesom det fremgik af kommunaldirektørens orientering til Byrå-det, at regnearket for et mindre antal borgere omfattede oplysninger, der ikke var relevante for den opgave regnearket bruges til. Jeg kan oplyse, at oplysninger om medlemskab af folkekirken ikke bliver brugt i kontrollen af mellemkommunale betalinger. Og jeg kan også oplyse, at de data vil blive slettet og vil ikke fremgå af det pågældende regneark fremadrettet. … En kulturændring Og så giver sagen naturligvis også anledning til endnu engang at se på, hvor vi kan forbedre sikkerheden, og hvad vi kan lære af den. Vi kan aldrig gardere os mod menneskelige fejl, men vi kan arbejde for, at konsekvenserne af fejl ikke bli-ver så store. Digitaliseringsafdelingen er derfor gået i gang med at kryptere alle nye maskiner og forventer at alle maskiner med Windows 10 vil være krypteret inden jul. Efterfølgende vil alle ældre maskiner enten blive krypteret eller udfa-set. Vi kan også skærpe den fysiske sikkerhed på Rådhuset bedre, så uvedkom-mende får sværere ved at få adgang til computere og kontorer. …” Datatilsynet stillede den
38. december 2018 og
39. januar 2019 spørgsmål om sagen til Gladsaxe Kommune. Det fremgår af bilag 1, kommunens svar af
40. januar 2019 til Datatilsynet: ”… 1 Datatilsynets spørgsmål/anmodning Dataansvarliges svar I anmeldelsen af bruddet på persondatasikkerheden fremgår det, at der er blevet stjålet flere computere. Er der alene tale om en computer, med en enkelt fil, hvor de af bruddet omfattede personoplysninger indgår? Ja, det er korrekt. I afkræftende fald bedes dette uddybet. Filen, der indeholdt 20620 unikke CPR-numre, lå på én fil på én computer. Filen blev i strid med kommunens retningslinjer lagt på computerens skrivebord torsdag
41. november med henblik på midlertidig lagring. 20 2 I anmeldelsen fremgår det at filen (et regneark) med personoplysninger ikke er krypteret. Er der i øvrigt anvendt kryptering på computerens hardd isk? Nej. I bekræften de fal d bedes det oplyst: • Hvilken type af kryptering der er tale om. • Om com puteren var tændt på det tidspunkt h vor d en blev stjålet. 3 Er comput eren o psat med adgangskontrol? I bekræften de fal d bedes det uddybet hvilk en for m der anvendes, fx brugern avnog password, 2faktor aute ntifice ring, osv. Ja, computeren er beskyttet med Windows brugernavn og adgangskode. Begge dele skal kendes, før der kan logges ind på computeren. Brugernavnet er unikt og personligt og består af en bogstavkombination sammensat af forbogstaverne fra brugerens fornavn og efternavn. Passwordet overholder standardreglerne for komplekse passwords i Windows. Dvs.: Mindst 8 tegn Må ikke indeholde brugerens fornavn, mellemnavn, efternavne eller brugernavn. Adgangskoden skal indeholde mindst 3 af disse tegn: - Store bogstaver Små bogstaver Tal Specialtegn (som !, $, #, %) Efter 5 mislykkede forsøg spærres for adgang. 21 4 Af opfølgningen på anmeldelsen fremgår det, at der er rettelser til antallet af personnumre i de forskellige kategorier. Oplyst venligst det endelig e anta l unikke personnumre, der er om fattet af bruddet. 20620 5 Indebærer brudd et på persondatasikkerhede n oply sninger hvis behandling er omfa ttet af databeskyttelsesforord ninge ns artikel 9? Der henvises til bilag
42. I bekræften de fal d bedes den dataansvar lige re degøre for hvilke oplysninge r der e r tale om, samt angive en f ordeling af typen af oplysninger p å det a ntal registrerede, om hvem d en ko nkrete type oplysning behan dles. 6 Beskriv ven ligst d en fysiske sikkerhed på sted et, hv orfor computeren blev stjålet. Der henvises til bilag 5 og 5.
43. I forhold til den konkrete hændelse blev tyveriet konstateret 03.12.2018 kl. 09.
44. Computeren blev stjålet i weekenden d. 30/11-3/12 (mellem arbejdstidsophør fredag og mandag morgen). Der var juletræstænding fredag 30/11, hvorfor der også redegøres for sikkerheden i den kontekst i bilaget. Computeren blev stjålet fra Rådhusets
45. sal, fløj lokale
46. 7 Var compu teren f astlåst på det sted hvorfra den blev stjålet, fx med wirelås? Nej. 8 Af opfølgn ingen på anmeldelsen fremgår de t, at al le registrerede vil blive under rettet den
47. december
48. Er alle regis trerede blevet underrettet om hæn delsen? Vi udsendte et orienteringsbrev til alle berørte den
49. december (bilag 6). Brevet blev sendt med digital post til deres e-boks. Borgere, der er fritaget for digital post, har modtaget et fysisk brev 1-3 dage efter. I bekræften de fald bedes underretningens indho ld angivet. I af- Ud af de 20620 berørte borgere var 22 kræftende fald bedes det oplyst hvorfor underretning endnu ikke har fundet sted. 1392 døde på tidspunktet for udsendelsen af orienteringsbrevet. 53 breve er efterfølgende kommet tilbage, hvilket eks. kan betyde, at borgeren ikke har nogen adresse. Siden udsendelsen af orienteringsbrevet har ca. 1300 borgere kontaktet Gladsaxe Kommune telefonisk eller skriftligt med forskellige spørgsmål. I forlængelse heraf har 429 borgere (pr,
50. december 2019) fået indsigt i hvilke oplysninger der fremgik om netop dem i regnearket. (se bilag 6.1 og 6.2) …” Det fremgår af bil andet: ag 2, kommunens svar af
51. januar 2019 til Datatilsynet, blandt ”… Datatilsyne ts spø rgsmål/anmodning Dataansvarliges svar 1 Redegør fo r indh oldet af de interne retnings linjer, der refereres til i hændelses beskri velsen, og hvordan disse r etning slinjer udmøntes. Der henvises til nes informationssikkerhedspolitik, håndbog samt de 15 sikkerhedsbud, der alle fremgår som bilag til besvarelsen. Der henvises desuden til redegørelsen om behandlingssikkerhed, hvori udmøntningen også beskrives (Bilag 3). 2 Redegør for med hvilken baggrund, at filen med de følsomme persondata er blevet gemt lokalt på pc'ens skrivebord. a) Hvilket filformat var filen gemt i, og var der anvendt en adgangskode på filen? At filen var lagret lokalt skyldes en fejl fra medarbejderens side. Lagring af personoplysninger i ikke-krypteret form lokalt på computere er klart i strid med Kommunens regler for informationssikkerhed. a) Der er tale om en excel fil uden adgangskode på selve filen. 23 3 Redegør for hvilke sikkerhedsforanstaltninger, der blev anvendt lokalt på pc'en herunder bl.a. kompleksitet og længde af password til operativs ystem , og om der blev anvendt BI OS password på pc'en. Der henvises til besvarelsen af Datatilsynets spørgsmålark af
52. december 2018, spørgsmål nr. 3 (Bilag 1). 4 De interne retningslinjer vurderes at være tilstrækkeligt klare, og hændelsen er udtryk for et klart brud på de interne retningslinjer. Hændelsen har naturligvis givet anledning til, at man endnu engang har haft fokus på awareness. Bl.a. har den ansvarlige direktør sendt en mail til alle medarbejdere, der har været relevant information på intranet og lign. Redegør ve nligst for om Gladsaxe Kommune på bag rund af hændelsen har skæ rpet d e interne retningslinjer, politi kker og procedure udover, hva d der allerede er nævnt. a) Er der de suden taget nye tekniske forans taltni nger i brug på baggrund a f hæn delsen? Det kan desuden oplyses, at der ikke blev anvendt BIOS-password på pc'en. a) Ja. Der henvises til redegørelsen for kryptering i beskrivelsen af behandlingssikkerhed. …” Det fremgår af bila g 4, k ommunens svar af
53. januar 2019 på spørgsmål 5 i bilag nr. 1: ”… Sikkerhedsbru ddet omfattede følsomme personoplysninger iht. Databeskyttelsesforordninge n art. 9: Oplysninger o m reli giøs overbevisning:  For 467 re gistre rede fremgår, hvorvidt de har medlemskab af folkekirken, markeret med e t "F" (medlem) eller "U" (udmeldt). Helbredsoplys ninge r:  For 30 reg istrere de som er eller har været bosiddende på et botilbud, er angi-vet tilbud dets m ålgruppe opdelt på psykisk udviklingshæmmede, fysisk handicapp ede, psykisk syge eller sindslidende.  For 28 reg istrere de er angivet, at leverandøren af de pågældende ydelser er Gladsaxe Komm unes Rusmiddelcenter. Rusmiddelcenteret er et tilbud til 24 borgere over 30 år, som har brug for hjælp til problemer med alkohol, hash eller stoffer. I det vedlagte regneark i fanen "TOP botilbud" er vist anonymiserede eksempler på, hvordan oplysningerne med tilbuddets målgruppe fremgår i arket. Oplysnin-gerne fremgår i kolonne "1", som har titlen "Diagnose". Denne overskrift er imid-lertid misvisende, da der alene er tale om oplysninger om institutionstypen/mål-gruppen, f.eks. psykisk udviklingshæmmede. Derimod er der ikke oplysninger om den enkelte borgers konkrete diagnose. I det vedlagte regneark i fanen "Nexus" er vist anonymiserede eksempler på, hvordan oplysningerne om at leverandøren er Gladsaxe Kommunes Rusmiddelcenter er fremgået i arket. Supplerende bemærkninger  For flere registrerede er angivet efter hvilken paragraf, de registrerede har modtaget eller modtager ydelser omfattet af den mellemkommunale bereg-ning. Selve lovgrundlaget er dog ikke oplyst i regnearket, og det vil derfor ikke være muligt for udenforstående at udlede det konkrete hjemmelsgrund-lag for ydelsen. Selv hvis det fulde hjemmelsgrundlag kunne udledes, er det kun i 29 tilfælde, at paragraf henvisningen i sig selv indikerer de bagvedliggende helbredsproblemer. I det vedlagte regneark, fanen "Nexus", er vist anonymiserede eksempler på to af omtalte 29 registreringer, hvor de 28 registreringer er sammenfaldende med de borgere, hvor det fremgår, at leverandøren er Gladsaxe Rusmiddelcenter jf. ovenstående. På baggrund af den manglende lovhenvisning vurderer Gladsaxe Kommune, at disse registreringer ikke er omfattet af forordningens art.
54.  For registrerede som har bopæl på en selvejende, privat eller kommunal institution i Gladsaxe Kommune og omfattet af den mellemkommunale beregning, er institutionens navn angivet. Institutionens navn kan i visse tilfælde indikere, at der er tale om registrerede som har en eller anden form for nedsat funktionsevne eller som af sociale årsager har bopæl på en institution. Der er dog tale om institutioner som henvender sig til en sammensat målgruppe af borgere, og institutionens navn siger i sig selv så-ledes ikke noget konkret om de registreredes fysiske eller psykiske tilstande. I det vedlagte regneark, fanen "Institutionsophold", er vist anonymiserede eksempler på registreringerne i kolonne "N", "Institutionsophold (manuel)". På denne baggrund vurderer Gladsaxe Kommune, at disse registreringer ikke er omfattet af forordningens art.
55. 25 I øvrigt bemærkes, at der er tale om offentligt tilgængelige oplysninger, da oplysninger om botilbuddet vil kunne udledes ved et almindeligt opslag på de registreredes adresse i f.eks. Kraks telefonbog. Der har generelt været bevågenhed om ikke at indhente flere data end nødven-digt til regnearket. Der er dog konstateret undtagelser for dette princip, idet fx oplysninger om medlemskab af folkekirken og fødselsregistreringssted fremgår af arket selvom oplysningerne ikke kan bidrage til at løse kontrolopgaven vedrø-rende mellemkommunale betalinger. …” Det fremgår af bilag 5, kommunens svar af
56. januar 2019 på spørgsmål 6 i bi-lag nr. 1: ”… Svar på spørgsmål nr. 6 i bilag nr. 1 I det følgende beskrives sikringsforhold på Gladsaxe Rådhus, opdelt på Skalsik-ring, Rumsikring samt Vagtservice. Skalsikring Rådhusets Hovedindgang, svingdør med elektronisk lås, åben for borgere kl. 10-14, torsdage kl. 10.00-18.
57. Personaleindgange A, B, C, D, E og F, har alle ADK (Automatisk Dør Kontrol) med Salto system og udgangstryk. Indgang A ved Servicegården har samtaleanlæg til Vagtservice og Kantinekøk-ken, ITV overvågning, bruges tillige til vareindlevering. Indgang B er tillige Handicapindgang, har samtaleanlæg til Vagtservice, ITV overvågning. Indgang E er dækket af ITV overvågning fra Indgang A. Indenfor indgang A, C, D, E, og F, alarmfølere, aktiveres kl. 23.00-05.
58. Flugtvejsdør ved Byrådssal, ADK, ITV overvågning. Cykelkælderindgang, ADK. Indgang til kælderarkiv, ADK. Indgang til mellemgang ved fløj 2 og 3, ADK. ITV overvågning af bilpark i Servicegården samt ved cykelskur til elcykler med ADK. Rumsikring AIA (Automatisk Indbruds Alarm) aktiveres kl. 23.00-05.00 i følgende områder/lokaler: 26 Rådhushallen, Europa mødelokalet, mødelokale 1609, Kantinen Rådhuskælde-ren, Kantinekøkken, Borgerservice, torve områder fløj 4 og 5 etage 2 og 3 samt Vagtcentralen. ADK, Salto, ved følgende døre: Etage 0, fløj 4 og 5 (tillige AIA). Efter personaleindgang B, dør videre til trappeopgang med konstant lås. Dør til mødelokaler i fløj 6, samt fløj 4 og
59. Dør til Borgerservice, låses kl. 18.00-05.
60. Dør til mellemgang ved mødelokaler i stueetagen, låses kl. 18.00-05.
61. Byrådets arbejdsværelse, Europaværelset, låst konstant. Fra Rådhushallens trappeopgang, døre ind til fløj 1, 2, 3, 4, 5 og 6, Digitaliseringsafdelingen, Kontor Borgmester og Kommunaldirektør samt kantine-køkken, låses kl. 18.00-05.
62. ITV indendørs: Indgangsdør B, flugtvejsdør ved Byrådssal, Vagtcentral. Vagtservice sikringsrum i etage 0: ADK, AIA, tågekanon, ITV i lokalet. Cellesikring Smartboard i Europaværelset. Vagtservice Døgnbemandet Vagtcentral beliggende i forbindelse med Rådhushallen med ud-syn til Borgerservice. I Rådhusets åbningstid, runderende vagt med særlig fokus på Rådhushal og Borgerservice. Vagten servicerer samtaleanlæg ved indgang A og B, sikrer personlig kontakt for adgang. Vagtservice håndterer overfaldstryk fra sagsbehandlere. Særlige forhold under den årlige Juletræstænding kl. 17.00-18.00 Hovedindgang og gammel Rådhusindgang åbnes kl. 15.30 for klargøring til arrangement for personale og optrædende. Stationær vagt i Rådhushallen med generelt opsyn, står udenfor under Borgmestertalen. Begge indgange lukkes ca. kl. 18.
63. D.
64. november var døren fra Hallens trappeopgang, etage 2, til fløj 4 og 5 defekt og blev ikke låst kl. 18.
65. …” Datatilsynet stillede den
66. januar 2019 yderligere spørgsmål til Gladsaxe Kommune. Det fremgår af spørgsmål 10 med besvarelse af
67. januar 2019: ”… 27 10 Af Gladsaxe Kommunes pressemeddelelse af
68. december 2018 fremgår: "I denne sag er der alene tale om tyveri af en computer og ikke, at oplysninger har været tilgængelige for en bredere offentlighed. Derfor er harddisken og dermed oplysningerne efter al sand synlighedblevet slettet med henblik på videresalg af computeren. Selv i de tilfælde, hvor cpr-numre har været lækket til en større kreds, har der ikke været tilfælde af misbrug af cprnumre ".
69. a. Gladsaxe Kommu ne bedes oplyse, hvilken vurderin g der ligger til grund for a t udtale, at "oplysningerne efter al sands ynlighed [er] blevet slette t med h enblik på videresalg af co mputere n". b. Gladsaxe Komm une bedes samtidig redeg øre for, hvad der menes med "S elv i de tilfælde, hvor cpr-numre har vær et lækket til en større kred s, har der ikke været tilfælde af misbrug af cprnumre". Ad a) Kommunen har vurderet, at det forekommer usandsynligt, at nogle vil stjæle en kommunal computer med datatyveri for øje, idet udefrakommende ikke vil vide, at der lå de pågældende data på maskinen. En bærbar computer af den type og alder, der er stjålet, repræsenterer en væsentlig salgsværdi, hvorfor kommunen finder det mest sandsynligt, at tyveriet er sket med henblik på videresalg af computeren. Computeren vil ikke kunne bruges, som den er, da den vil være beskyttet af et password fastsat af kommunen. Der skal derfor laves en fuldstændig reinstallation af computeren, før den kan anvendes. I den forbindelse vil alt indhold på computeren blive slettet. Ad b) Vurderingen bygger bl.a. på den vurdering, vi har fået fra Person 1 PWC I Partner - Cyber & informationssikkerhed — se vedlagte bilag. …” Datatilsynet anmeldt e den 1
70. marts 2020 Gladsaxe Kommune til politiet. Det fremgår af anmeldels en: ”… Politianmeldelse af Glad saxe Kommune for overtrædelse af databeskyttelsesforordningens ar tikel 32 , stk. 1 Datatilsynet skal hermed anmelde Gladsaxe Komm une … for: 28 overtrædelse af databeskyttelsesforordningens artikel 32, stk. 1, jf. databeskyttelseslovens § 41, stk. 1, nr. 1, jf. stk. 3, jf. stk. 6, jf. databeskyttelsesforordnin-gens artikel 83, stk. 2, og stk. 4, litra a, jf. stk. 9, ved i perioden fra forud for den
71. november 2018 ikke at have overholdt sin forpligtelse som dataansvarlig til at gennemføre tekniske og organisatoriske foranstaltninger, der passede til risiciene af varierende sandsynlighed og alvor for de registreredes rettigheder, idet Gladsaxe Kommune ikke havde sørget for at kryptere kommunens computere, hvilket medførte et utilstrækkeligt sikkerheds-niveau og tillige havde den konsekvens, at et sikkerhedsbrud medførte en unø-dig høj risiko for de registrerede, idet en medarbejder den
72. november 2018 - i strid med kommunens interne retningslinjer placerede et regneark med perso-noplysninger om 20.620 borgere, herunder oplysninger af følsom karakter og op-lysninger om personnumre på en af kommunens bærbare computere, hvilken computer i perioden fra den
73. november til den
74. december 2018 blev stjålet fra
75. sal, fløj 5, lokale 3525 i Gladsaxe Rådhus, Rådhus Alle 7 i Søborg. … 3 Datatilsynets vurdering af sagen 3.1 Behandlingssikkerhed Af databeskyttelsesforordningens artikel 32, stk. 1, fremgår, at den dataansvarli-ge skal gennemføre tekniske og organisatoriske foranstaltninger, der passer til ri-siciene af varierende sandsynlighed og alvor for de registreredes rettigheder. Der påhviler således den dataansvarlige en pligt til at identificere de risici, den dataansvarliges behandling udgør for de registrerede og til at sikre, at der indfø-res passende sikkerhedsforanstaltninger, der beskytter de registrerede mod disse risici. Gladsaxe Kommunes computere var alene beskyttet med Windows brugernavn og adgangskode. Computerne var ikke beskyttet med kryptering. Gladsaxe Kommune har en politik om, at personoplysninger alene må gemmes i journal- eller fagsystemer. Denne politik har været kommunikeret tydeligt ud til kommunens medarbejdere. En medarbejder gemte alligevel et regneark med personoplysninger på et lokalt drev på en af kommunens computere, som efterfølgende blev stjålet fra rådhuset. Kravene om et passende sikkerhedsniveau i artikel 32 indebærer, at Gladsaxe Kommune har pligt til at sikre, at de personoplysninger, som behandles af kommunens ansatte, ikke kommer til uvedkommendes kendskab. Det er Datatilsynets klare opfattelse, at Gladsaxe Kommune ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningens arti-kel
76. 29 Datatilsynet har ved sin vurdering lagt vægt på, at kommunens computere ikke har været beskyttet med kryptering. Gladsaxe Kommune har i sin redegørelse for behandlingssikkerhed anført, at risikoen for, at kommunens retningslinjer om, at behandling af personoplysninger uden for godkendte journal- og fagsystemer ikke følges af medarbejderne, er vur-deret som forholdsvis lav. Endvidere har Gladsaxe Kommune i sin redegørelse anført, at kommunen har vurderet, at det var mere væsentligt at beskytte systemer, hvor medarbejderne er blevet instrueret i at gemme oplysninger, snarere end de steder, hvor medarbej-derne ikke bør gemme oplysninger. Det er Datatilsynets opfattelse, at Gladsaxe Kommunes vurdering af risikoen for, at oplysninger kom til uvedkommendes kendskab var for lav. Det er i den forbin-delse Datatilsynets opfattelse, at særligt kommunens vurdering af at medarbej-derne ikke følger kommunens retningslinjer er åbenbar for lav. En dataansvarlig må påregne, at ikke alle ansatte til enhver tid følger interne retningslinjer. Datatilsynet har i sin vurdering heraf lagt vægt på, at medarbejdere - i to sager om anmeldte brud på persondatasikkerheden - i strid med kommunens retnings-linjer har placeret filer med personoplysninger på bærbare computeres harddisk, og at medarbejderen i nærværende sag har gjort dette med overlæg. Datatilsynet skal endvidere påpege, at Gladsaxe Kommunes generelle risikovurdering i relation til tyveri eller bortkomst af kommunens computere også har væ-ret for lav. Ved denne vurdering har Datatilsynet lagt vægt på den generelle risiko for tyve-ri, de åbne adgangsforhold, der er på et rådhus og på, at medarbejderne kan bort-tage arbejdscomputere fra arbejdspladsen. Tilsynet har endvidere lagt vægt på, at Gladsaxe Kommune tidligere har oplevet sikkerhedsbrud under lignende omstændigheder. Det er almen viden blandt de, der beskæftiger sig professionelt med IT, at det er simpelt at tilgå de filer, der er gemt på computeren, når en computers harddisk ikke er krypteret, f.eks. ved at flytte harddisken til en anden computer. Ved at flytte harddisken til en anden computer, kan man komme uden om både den tek-niske sikkerhedsforanstaltning, der består af Windows brugernavn og adgangs-kode, samt eventuelle adgangskoder opsat i computerens BIOS… Hertil kommer, at det er tilsynets vurdering, at stjålne mobile enheder i almindelighed i højere grad end tidligere bliver gennemgået for personoplysninger, som f.eks. kreditkortoplysninger og personnumre, inden disse bortskaffes f.eks. ved videresalg. Dette skyldes til dels det voksende undergrundsmarked, hvor disse typer oplysninger kan videresælges, og dels den øgede digitalisering af samfun- 30 det i almindelighed, hvormed mulighederne for udnyttelse af personoplysninger vokser. Kryptering af personoplysninger er en almindeligt anerkendt sikkerhedsforanstaltning, der endda er specifikt nævnt som eksempel på en teknisk foranstalt-ning i artikel 32, stk. 1, litra a. Henset til de risici for borgerne der knytter sig til kommunens behandling af personoplysninger, er det Datatilsynets opfattelse, at det er særdeles uforsigtigt, at Gladsaxe Kommune ikke havde beskyttet sine computere med kryptering. Ved denne vurdering har tilsynet lagt vægt på, at en kommune behandler meget store mængder af personoplysninger om kommunens borgere, herunder oplys-ninger af følsom karakter. En borger har ikke mulighed for at fravælge kommu-nens behandling af oplysninger om vedkommende, og kommunen har derfor et stort ansvar for at beskytte borgerne mod, at disse oplysninger kommer til uvedkommendes kendskab. Efter en samlet vurdering er det således Datatilsynets opfattelse, at Gladsaxe Kommune ikke har været sig sit ansvar bevidst og gennemført passende tekniske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er for de registreredes rettigheder, og at der er tale om en alvorlig overtrædelse af databeskyttelsesforordningens artikel
77. Advokatfirma har i sin skrivelse (bilag 10) under pkt. 2.
78. an-ført, at der i Datatilsynets vurdering bør lægges vægt på, at oplysningerne er bortkommet ved udefrakommende kriminelles handlinger, og at kommunen er uden skyld i den handling, der indebar, at oplysningerne er bortkommet. I skri-velsen er der under pkt. 3.2 endvidere anført, at strafansvar efter straffelovens § 27, stk. 1, forudsætter, at der er begået en overtrædelse, der kan tilregnes perso-ner tilknyttet kommunen eller kommunen som sådan. Advokatfirma har frem-hævet, at det forhold, at oplysningerne er bortkommet, ikke skyldes den pågæl-dende kommunale medarbejders fejl, som bestod i at gemme personoplysninger lokalt på sin computer, men derimod skyldes tyveri af computeren, som kommu-nen ikke er ansvarlig for. Datatilsynet skal hertil bemærke, at artikel 32 omhandler de sikkerhedsforanstaltninger den dataansvarlige (Gladsaxe Kommune) skal gennemføre for at sikre et passende sikkerhedsniveau i forhold til de risici for de registreredes rettighe-der, som behandlingen udgør. Disse risici indebærer den ikke usandsynlige risi-ko, at kommunens interne retningslinjer ikke i alle tilfælde rent faktisk følges af medarbejderne, ligesom de også indebærer udefrakommende omstændigheder, som eksempelvis hacking, tyveri, eller at en medarbejder glemmer en computer et offentligt sted, i hvilke situationer kryptering af computerens harddisk ville have været en passende og nødvendig teknisk foranstaltning. Det, der således kan tilregnes kommunen er, at kommunen ikke har opfyldt sine retlige forpligtel-ser i medfør af artikel
79. I den forbindelse skal det præciseres, at sikkerheds- 31 bruddet blot er et udtryk for nogle af de mulige konsekvenser den utilstrækkeli-ge sikkerhed medfører. Den utilstrækkelige sikkerhed udgør en høj risiko for alle de registrerede, som kommunen behandler oplysninger om. 3.2 Valg af sanktion Advokatfirma har endelig anført, at grovheden af overtrædel-sen ikke berettiger til en politianmeldelse og har i den forbindelse bl.a. henvist til, at "det følger af de almindelige bemærkninger til databeskyttelses/oven, at det ikke er en forudsætning, at der pålægges bøde ved alle overtrædelser af databeskyttelsesforordningen og loven. Sagens konkrete momenter kan således trække i en formildende retning. Dette betyder, at der ikke nødvendigvis skal komme en bestemt reaktion, herunder en bøde, ved overtrædelser af forordningen og loven. Tilsynsmyndigheden kan således - alt efter om-stændighederne - beslutte, at en overtrædelse i første omgang sanktioneres med et påbud, og at der først, hvis påbuddet overtrædes, skrides til bødeforelæg efter lovforslagets § 42 eller til politianmeldelse. I valget af sanktion kan tilsynsmyndigheden således f.eks. lægge vægt på, om der er tale om en forsætlig eller uagtsom overtrædelse, overtrædelsens karak-ter, alvor og varighed eller eventuelle relevante tidligere overtrædelser, jf. momenterne opregnet i artikel 83, stk. 2." I den forbindelse skal det oplyses, at Datatilsynet altid foretager en konkret vurdering af sagens grovhed ved vurderingen af hvilken sanktion, der efter tilsynets opfattelse er den korrekte. Datatilsynet har ved vurderingen af sanktion lagt vægt på, at Gladsaxe Kommu-ne behandler meget store mængder af fortrolige og følsomme oplysninger. Tilsy-net har endvidere lagt vægt på, at der er tale om manglende implementering af en generel foranstaltning, og at Gladsaxe Kommune tidligere har oplevet sikker-hedsbrud under lignende omstændigheder. Det er således Datatilsynets opfattel-se, at der er tale om en meget alvorlig overtrædelse, der skal sanktioneres med bøde. …” Københavns Vestegns Politi sigtede den
80. marts 2020 Gladsaxe Kommune i overensstemmelse med den anmeldelse, der var modtaget fra Datatilsynet. Sagsøgernes advokat skrev den
81. marts 2019 på vegne af Sagsøger 1, den
82. april 2019 på vegne af Sagsøger 2, den
83. oktober 2019 på vegne af Sagsøger 3, den
84. april 2019 på vegne af Sagsøger 4, den
85. maj 2019 på vegne af Sagsøger 5, den
86. april 2019 på vegne af Sagsøger 6 og den
87. april 2019 på vegne af Sagsøger 7 til Gladsaxe Kommune med krav om erstatning, der skulle forrentes fra weekenden mellem uge 48 og 49 2018, subsidiært blev der afgivet rentepåkrav. Gladsaxe Kommune afviste kravene. 32 Det fremgår om Sagsøger 3's sag, BS-49315/2019-GLO, at der den
88. marts 2019 blev bestilt nyt nøglekort til hendes NemID. Det fremgår blandt an-det videre af hendes NemID oplysninger, at der den
89. marts 2019 blev udstedt nyt nøglenummer. Den
90. marts 2019 blev der fra Sagsøger 3's konto overført henholdsvis 50.000 kr. og 45.000 kr. til andre konti. Sagsøger 3's bank har dækket beløbene. Det fremgår videre af hendes NemID op-lysninger, at brugeren den
91. marts 2020 ikke kunne autentificeres på grund af forkert adgangskode, hvorefter adgangskoden blev spærret med meddelelse til en mailadresse. Det fremgår af oplysninger fra Sagsøger 3's mobiltele-fonselskab, at skift af hendes SIM-kort blev igangsat den
92. marts 2019 efter en telefonisk henvendelse, hvor personen, der ringede, formodes at være blevet verificeret ved oplysning om kundenummer eller CPR-nummer. Det fremgår om Sagsøger 4's sag, BS-51045/2019-GLO, at der ved op-slag på institutionen Egebos hjemmeside, www.ege-bo.dk, fremgår, at institu-tionen er et unikt, psykosocialt rehabiliteringstilbud, der henvender sig til per-soner over 18 år med psykisk funktionsnedsættelse, ofte med en diagnose in-denfor skizofrenispektret. Det fremgår om Sagsøger 5's sag, BS 51234/2019-GLO, at hendes Ne-mID af sikkerhedsmæssige årsager blev spærret af Nets den
93. august
94. Det fremgår af Nets´ brev af
95. august 2020, at baggrunden for spærringen var en mistanke om, at hun havde været udsat for et vellykket phising-angreb, og at it-kriminelle dermed havde fået adgang til hendes bruger-id, adgangskode og nøglerne på hendes nøglekort. Det er oplyst, at hun har navne- og adressebe-skyttelse. Retsgrundlaget Af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af
96. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personop-lysninger og om fri udveksling af sådanne oplysninger og om ophævelse af di-rektiv 95/46/EF (generel forordning om databeskyttelse) fremgår blandt andet: ” EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, 33 under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg