En fejl i Digitaliseringsstyrelsens systemer gav ni borgere adgang til fremmedes digitale post — sagen afslører et konkret databrud i den infrastruktur, som næsten alle danskere bruger, og rejser spørgsmål om, hvorvidt staten lever op til de regler, den selv stiller til andre.
Konklusion
Ni borgere fik uautoriseret adgang til andre danskeres digitale post — post der kan indeholde alt fra sygehusbeskeder til afgørelser om sociale ydelser. Det skete som følge af en fejl i Digitaliseringsstyrelsens egne systemer. Det er et databrud i klassisk forstand efter GDPR, og det rammer præcis den infrastruktur, som den danske stat har gjort obligatorisk for borgerne. Sagen illustrerer et grundlæggende problem: Staten kræver, at borgere og virksomheder beskytter persondata med omhu — men styrker sin egen troværdighed som databehandler ikke, når den begår fejl af denne karakter og reagerer ved at bede en berørt borger om selv at lede efter andres personfølsomme dokumenter.
Baggrund
Digital Post er ikke et valgfrit supplement til brevkassen. Det er en lovpligtig infrastruktur, som det offentlige bruger til at kommunikere med borgere og virksomheder. Praktisk talt alle danskere over 15 år er tilknyttet systemet, medmindre de har fået en særlig fritagelse. Det betyder, at post fra kommuner, regioner, SKAT, domstole, sygehuse og en lang række andre myndigheder som udgangspunkt lander digitalt.
Digitaliseringsstyrelsen er den myndighed, der drifter og er dataansvarlig for platformen. Styrelsen er dermed ansvarlig for, at de personoplysninger, som systemet behandler, håndteres i overensstemmelse med databeskyttelsesreglerne. Det fremgår direkte af styrelsens egne oplysninger om databehandling, at der i forbindelse med blandt andet support behandles personoplysninger — herunder almindelige personoplysninger, personnumre og følsomme personoplysninger.
Den digitale post, der sendes igennem systemet, er ikke neutral information. Den kan indeholde afgørelser om psykiatrisk behandling, oplysninger om gæld, afgørelser i sager om børn eller familieforhold, og en lang række andre oplysninger, som borgerne med rette forventer holdes fortroligt.
Hvad sker der
Ifølge Ingeniørens artikel fik ni borgere adgang til digitale postbokse, der ikke tilhørte dem. En af de berørte, Julie, opdagede, at hun i sin digitale postkasse kunne se dokumenter, som tilhørte en anden person — dokumenter af følsom karakter.
Det bemærkelsesværdige ved sagen er ikke kun, at fejlen opstod. Fejl i komplekse IT-systemer er ikke usete. Det bemærkelsesværdige er reaktionen: Julie blev angiveligt opfordret til at lede efter flere fejlplacerede dokumenter. Det er en reaktion, der i sig selv er problematisk. At bede en uautoriseret person om at gennemgå data, hun ikke er berettiget til at tilgå, er ikke en løsning på et databrud — det er en forværring af det.
Digitaliseringsstyrelsen har bekræftet hændelsen. Det præcise tekniske årsagsforløb er ikke fuldt offentliggjort, og omfanget ud over de ni berørte borgere er ikke endeligt kortlagt på tidspunktet for artiklens udgivelse.
De centrale spørgsmål
Sagen rejser mindst tre konkrete spørgsmål, der har juridisk og politisk vægt:
1. Er der tale om et anmeldelsespligtigt databrud efter GDPR?
2. Hvad er konsekvenserne for Digitaliseringsstyrelsen?
3. Lever staten op til de krav, den stiller til andre dataansvarlige?
Analyse
GDPR og databrud: Hvad kræver reglerne?
Databeskyttelsesforordningen — i daglig tale GDPR — opstiller klare krav til, hvad der skal ske, når et databrud finder sted. Et databrud defineres som en sikkerhedshændelse, der fører til utilsigtet eller ulovlig adgang til personoplysninger. Det er præcis, hvad der skete her: ni personer fik adgang til personoplysninger, de ikke var berettigede til.
Reglerne kræver, at den dataansvarlige — her Digitaliseringsstyrelsen — anmelder bruddet til Datatilsynet inden 72 timer fra opdagelsen, medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte personers rettigheder og friheder. Det kriterium er vanskeligt at opfylde, når der er tale om adgang til følsomme personoplysninger. Følsomme personoplysninger er en særlig kategori i GDPR — det drejer sig om helbredsoplysninger, oplysninger om seksuel orientering, etnisk oprindelse, politisk overbevisning og en række andre kategorier, som nyder en skærpet beskyttelse.
Derudover stiller reglerne krav om, at de berørte personer underrettes direkte, hvis bruddet med sandsynlighed medfører høj risiko for dem. At fremmede har haft adgang til ens sygehuskorrespondance eller afgørelser i sociale sager udgør en reel risiko — ikke blot en teoretisk.
Digitaliseringsstyrelsen oplyser selv, at styrelsen i forbindelse med support behandler personoplysninger, herunder følsomme personoplysninger. Det understreger, at styrelsen som dataansvarlig er fuldt bekendt med den kategori af oplysninger, der befinder sig i systemet — og dermed også det ansvar, der følger af at forvalte det.
Reaktionen: Et problem i sig selv
Det, der skiller denne sag ud fra et ordinært databrud, er den dokumenterede reaktion fra styrelsens side. Når en borger kontakter en myndighed og siger, at hun kan se fremmedes post, er det korrekte svar at lukke adgangen øjeblikkeligt, igangsætte en intern undersøgelse og anmelde bruddet. Det er ikke at bede borgeren om at lede videre i de fremmede dokumenter.
At bede Julie om at undersøge omfanget ved selv at gennemse dokumenterne giver hende — og dermed uvedkommende — endnu bredere adgang til oplysninger, hun ikke har hjemmel til at behandle. Det er ikke blot dårlig krisehåndtering. Det er en handling, der i sig selv kan udgøre en yderligere overtrædelse af databeskyttelsesreglerne, fordi styrelsen dermed aktivt foranlediger videre uautoriseret behandling af andres personoplysninger.
Det rejser spørgsmål om, hvilke interne procedurer styrelsen har for håndtering af databrud, og om medarbejderne er tilstrækkeligt trænede i at genkende og reagere korrekt på netop den situation.
Statens dobbelte rolle
Her er et punkt, som er værd at dvæle ved: Staten er ikke kun dataansvarlig for borgernes digitale post. Staten er også den aktør, der gennem lovgivning og tilsyn stiller krav til alle andre dataansvarlige i Danmark — private virksomheder, foreninger, kommuner og regioner.
Datatilsynet fører tilsyn med, at GDPR overholdes. Tilsynet kan udstede påbud, give bøder og offentliggøre kritik. Store private virksomheder er blevet bødelagt for langt mindre alvorlige overtrædelser. Spørgsmålet er, om de samme standarder reelt gælder, når det er en central statslig myndighed, der begår fejlen.
Det er ikke et spørgsmål om at straffe fejl for straffens skyld. Det er et spørgsmål om tillid og ligebehandling. Borgere er ikke givet mulighed for at vælge en alternativ udbyder af digital post. Systemet er obligatorisk. Når man tvinger borgere ind i en infrastruktur med lovgivning, påtager man sig et tilsvarende ansvar for at forvalte den med den højest mulige grad af sikkerhed og transparens.
Denne asymmetri — at staten kan håndhæve regler over for andre, som den selv har vanskeligt ved at leve op til — er ikke ny. Men den er særligt synlig i denne sag, fordi fejlen sker i et system, der er gjort obligatorisk, og fordi de kompromitterede oplysninger tilhører kategorier, som nyder særlig beskyttelse.
Hvad ved vi ikke?
Det er vigtigt at være præcis om, hvad der er dokumenteret, og hvad der er uafklaret. Det er dokumenteret, at ni borgere fik adgang til fremmedes digitale post, og at mindst én borger er blevet bedt om at undersøge omfanget. Det er ikke offentliggjort, hvad den præcise tekniske årsag var. Det er ikke offentliggjort, om Datatilsynet er underrettet inden for den lovpligtige 72-timers-frist. Det er ikke offentliggjort, om alle ni berørte borgere — dem hvis post blev set — er blevet direkte underrettet.
Disse uafklarede punkter er centrale. Og fraværet af svar er i sig selv en oplysning om, hvordan sagen bliver kommunikeret.
Den bredere kontekst: Digital post som kritisk infrastruktur
Digital Post behandler korrespondance fra en lang række myndigheder. Oplysningerne, der passerer igennem systemet, spænder fra det banale til det yderst sensitive. En person i et psykiatrisk forløb modtager post om det via systemet. En person i en forældremyndighedssag gør det samme. En borger med restancer til det offentlige ser afgørelser om gæld her.
Det er ikke en sammenligning med en webshop, der fejlhåndterer leveringsadresser. Det er kritisk infrastruktur i den mest direkte betydning af ordet: Systemet bærer kommunikation, som borgerne ikke kan fravælge, og som kan have afgørende betydning for deres liv.
Det stiller krav, som rækker ud over GDPR-compliance som en checkliste-øvelse. Det stiller krav om løbende sikkerhedstest, klare procedurer for hændelsesberedskab, og en organisationskultur, hvor den første reaktion på en rapporteret fejl ikke er at sende borgeren tilbage ind i problemet.
Konklusion
Sagen om de ni borgere er ikke et teknisk kuriosum. Det er et konkret databrud i den infrastruktur, der bærer det offentliges kommunikation med borgerne — en infrastruktur, der er gjort obligatorisk ved lov, og som håndterer oplysninger af den mest følsomme karakter.
GDPR og databeskyttelsesloven stiller klare krav: Anmeldelse til Datatilsynet inden 72 timer. Direkte underretning af berørte borgere ved høj risiko. Og frem for alt: Ingen yderligere uautoriseret behandling af de kompromitterede oplysninger.
Reaktionen — at bede Julie om at lede efter mere — lever ikke op til de krav. Det er ikke en håndtering af et databrud. Det er en forværring af det.
Spørgsmålet er ikke kun, om Digitaliseringsstyrelsen overtrådte reglerne. Spørgsmålet er, om staten som helhed er villig til at holde sine egne systemer op mod de samme standarder, som private og kommunale aktører holdes op mod. Svaret på det spørgsmål kommer ikke i en pressemeddelelse. Det kommer i Datatilsynets behandling af sagen — og i, om den nogensinde bliver fuldt offentliggjort.
Borgerne har ikke valgt at bruge Digital Post. De er blevet sat ind i det. Det forpligter.