Ved en fejl er anonymiseringen ikke gennemført denne gang og dokumentet har derfor indeholdt både navne og CPR-numre.

Størrelse: px

Starte visningen fra side:

Download "Ved en fejl er anonymiseringen ikke gennemført denne gang og dokumentet har derfor indeholdt både navne og CPR-numre."

Anna Brodersen
7 år siden
Visninger:

Direktionssekretariat Rådhuspladsen 1 3300 Frederiksværk Datatilsynet Att.: Vita Horneman Borgergade 28, 5 1300 København K Telefon 4778 4000 Fax 4778 4099 mail@halsnaes.

1 Direktionssekretariat Rådhuspladsen Frederiksværk Datatilsynet Att.: Vita Horneman Borgergade 28, København K Telefon Fax mail@halsnaes.dk Side 1 af 5 Redegørelse om personfølsomme oplysninger på internettet 26. maj 2011 Datatilsynet har i skrivelse af 10. maj 2011 anmodet om en redegørelse i forbindelse med at Halsnæs Kommune ved en fejl har offentliggjort oplysninger om navn, personnummer, klagesag og ankesag på internettet. Datatilsynet har konkret ønsket svar på en række spørgsmål og i det følgende er Datatilsynets spørgsmål fremhævet i kursiv og Halsnæs Kommunes svar følger i indrykket tekst: Peter Aslund Direkte Fax PEAP@halsnaes.dk Sagsnr. 2011/ J.nr. Hvornår de omhandlede oplysninger er blevet offentliggjort på Halsnæs Kommunes hjemmeside? Den 4. maj 2011 blev dagsordenen til Udvalget for Beskæftigelse, Erhverv og Turisme offentliggjort på Halsnæs Kommune hjemmesiden, under dagsordenen ligger bilaget som indeholder disse følsomme oplysninger. Dokumentet har ved en fejl været tilgængeligt på kommunens hjemmeside i perioden maj Der er tale om et bilag til et orienteringspunkt på dagsordenen til mødet den 9. maj 2011 i Udvalget for Beskæftigelse, Erhverv og Turisme, der indeholder oplysninger om ankesager, og som normalt forelægges udvalget i anonymiseret form. Ved en fejl er anonymiseringen ikke gennemført denne gang og dokumentet har derfor indeholdt både navne og CPR-numre. Om oplysningerne er blevet fjernet fra kommunens hjemmeside og i givet fald hvornår? Den 9. maj 2011 fjernede vi øjeblikkeligt bilaget fra hjemmesiden, da vi blev gjort opmærksom på fejlen, via en opringning fra henholdsvis en borger og Datatilsynet, idet vi i det efterfølgende forløb har fulgt Datatilsynets vejledning i forbindelse med Utilsigtet offentliggørelse på internettet. Åbnings- og telefontider Mandag Tirsdag Onsdag Torsdag Fredag Efter aftale

2 Om Halsnæs Kommune inden den skete offentliggørelse havde truffet forholdsregler mod, at der ved offentliggørelse på kommunens hjemmeside ikke uberettiget videregives personoplysning. I bekræftende fald bedes kommunens forholdsregler og retningslinjer beskrevet? Der er for tiden flere former for forholdsregler, der skal sikre, at der ikke sker uberettiget offentliggørelse af følsomme oplysninger på Halsnæs Kommunes hjemmeside. Der er blandt andet udarbejdet Principper for brug af ESDH-systemer og Fælles retningslinjer for brug af ESDH, som alle medarbejdere der arbejder med sager af den omhandlede karakter er uddannet og instrueret i. I uddannelsen indgår blandt andet, hvordan der skrives sagsfremstilling, herunder håndtering af åbne og lukkede dagsordenspunkter med henvisning til lovgivningen. Derudover har hjemmesiden en facilitet SiteCheck, som gennemgår kommunens hjemmeside hver fjortende dag, og som også tjekker for CPR-numre, der måtte være på HTML-siderne. Systemet kan dog ikke tjekke PDF-filerne. Sagen gør at vi endnu engang vil gennemgå vores procedure for kvalitetssikring af udsendelse og offentliggørelse af vores dagordner, referater og bilag. Om de medarbejdere, der har foretaget den omhandlede offentliggørelse, forinden har modtaget instruktion i håndtering af personfølsomme oplysninger, herunder om de pågældende var gjort bekendt med kommunens eventuelle retningslinjer for offentliggørelse på internettet. De pågældende medarbejdere har modtaget instruktion i kommunens retningslinjer men der er tale om en menneskelig fejl. Hvad Halsnæs kommune vil gøre som følge af offentliggørelsen, herunder om kommunen vil orientere de berørte borgere? Vi vedlægger brev af 12. maj 2011 som er udsendt til alle 32 borgere, som ved en fejl har fået offentliggjort data på hjemmesiden, hvor de blev orienteret sagsforløbet og modtager en uforbeholden undskyldning. Dagsorden og bilag er endvidere sendt i papir til Halsnæs Ældreråd som også er tilskrevet med besked om at destruere bilaget med de personfølsomme oplysninger. Side 2 af 5

3 Og om kommunen vil få oplysningerne fjernes fra søgemaskiner, f.eks. Google? Halsnæs Kommune og Datatilsynet var inde på søgemaskinen Google og tage stikprøver den 9. maj 2011 og fandt ikke de aktuelle følsomme oplysninger. Tilsvarende har Halsnæs Kommune søgt andre søgemaskiner (Bing og Yahoo) med samme resultat. Søgemaskinerne synes altså ikke at have haft oplysningerne liggende "mellemlagret" og har dermed ikke gjort oplysningerne tilgængelige for en videre kreds af brugere/besøgende. Halsnæs Kommunes hjemmeside er også gennemgået for andre personlige følsomme oplysninger og vi har ikke i den forbindelse fundet andre oplysninger. Hvilke forholdsregler Halsnæs Kommune generelt vil tage for at sikre at der fremover ikke sker uberettiget offentliggørelse af personoplysninger på kommunens hjemmeside? Halsnæs Kommune har som nævnt tidligere et system Site- Check, som "crawler" hjemmesiden hver fjortende dag, og her tjekkes også for CPR-numre, som måtte være på HTML-siderne. Systemet tjekker i dag ikke PDF-filerne. Vi vil fremover få opgraderet systemet til også at "crawle" PDFfiler i fremtiden. Ligesom administrationen vil kunne få sat frekvensen op til hver 5. dag Systemet kan dog ikke søge på cpr-numre i indscannede dokumenter (idet disse fungerer som et billede - uden koder). Administrationen vil derfor skulle holde særligt øje med indscannede dokumenter (fx scannet post), som lægges på hjemmesiden. I beskrivelse af kommunens weborganisation ligger ansvaret for indholdet hos de enkelte område- og sekretariatschefer. I praksis vil det være en opgave, som rådhusets webredaktører ville forventes at kunne varetage. Side 3 af 5

4 Derudover vil vi endnu engang gennemgå vores kvalitetssikringsprocedurer i forbindelse med produktion, udsendelse og offentliggørelse af dagsordner, referater og bilag, med henblik på at sikre at fejlen ikke gentager sig. Om Halsnæs Kommune vil foretage en gennemgang af samtlige kommunens sider, for at sikre at oplysningerne om personnumre ikke er offentligt tilgængelige? Halsnæs Kommune vil umiddelbart opgradere Site-Check så der kan udføres tjek på samtlige kommunens sider set i relation PDFfiler, ekskl. PDF-filer som er scannede filer. Det kan oplyses at der i dag ligger PDF-filer på hjemmesiden. I praksis vil administrationen ikke kunne skelne, hvilke PDF-filer som er scannede, og hvilke som ikke er. Er et total-tjek påkrævet, vil samtlige filer derfor skulle åbnes og tjekkes manuelt. Halsnæs Kommune vil derfor begynde med et fortage et tjek med Site-Check i den opgraderede version og derefter vurdere resultatet med hensyn til eventuelle fejl/personnumre i filerne og lade dette danne grundlag for evt. yderligere tiltag. Det kan bemærkes, at andre søgemaskiner som f.eks. Google, heller ikke vil kunne søge personnumre frem fra indscannede dokumenter. Halsnæs Kommune kan supplerende oplyse, at vi af statistikken over besøg på Udvalget for Beskæftigelse, Erhverv og Turismes dagsorden på hjemmesiden kan se, at der i perioden fra maj 2011, har været 14 unikke besøg på hjemmesiden. De 14 fordeler sig efter al sandsynlighed på: De 7 udvalgsmedlemmer der har været inde på siden i forbindelse med mødeforberedelsen. Udvalgsmedlemmerne får ikke materialet på papir, så de skal selv forbi hjemmesiden og hente relevant materiale. Datatilsynet i forbindelse med henvendelse fra journalisten. Frederiksborg Amtsavis - minimum 1 journalist. Minimum 4 medarbejdere i Halsnæs Kommune der har arbejdet på opgaven med at fjerne bilaget og efterfølgende krydstjekke, at det var væk. Side 4 af 5

5 Vi har overfor de berørte borgere redegjort for forløbet og beklaget fejlen. Venlig hilsen Finn Gaarskjær Vicekommunaldirektør Peter Aslund Sekretariatschef Side 5 af 5

Relaterede dokumenter

Datatilsynets udtalelse af 15. oktober 2009 vedhæftes.

Datatilsynets udtalelse af 15. oktober 2009 vedhæftes. Region Syddanmark Damhaven 12 7100 Vejle Sendt til kontakt@regionsyddanmark.dk 4. februar 2013 Vedrørende sikkerhedsbrist i Region Syddanmark Datatilsynet Borgergade 28, 5. 1300 København K CVR-nr. 11-88-37-29