Aalborg Kommune har i en længere årrække haft en række fællesdrev, som en større mængde medarbejdere har haft adgang til.
Fællesdrevene har ikke været tilgængelig for offentligheden, og det er alene medarbejdere ved Aalborg Kommune, samt medarbejdere ved kommunens databehandlere Nordjyllands Beredskab og Aalborg Forsyning, der har kunne tilgå de filer, der var gemt på fællesdrev.
Fællesdrevene har ikke været synlige for langt de fleste medarbejdere, medmindre medarbejderne har fremsøgt de specifikke drev.
Alle medarbejdere har tavshedspligt. Det gælder også medarbejderne ved kommunens databehandlere.
I en orientering om datasikkerhedsbruddet skriver Aalborg Kommune, at man ikke har grund til at tro, at medarbejdere har tilgået filer med personoplysninger på fællesdrev som er uvedkommende for deres arbejde, men da det omvendt heller ikke kan dokumenteres, at det ikke er sket, vælger kommunen for en sikkerheds skyld at underrette om sikkerhedsbruddet.
CPR-numre, navne og adresser
Der er på fællesdrevene fundet forskellige filer, der indeholder oversigter over større eller mindre grupper borgere/tidligere borgere og ansatte/tidligere ansatte i Aalborg Kommune.
På de fleste oversigter er der alene CPR-numre og andre identitetsoplysninger, såsom navn, telefonnummer og adresse. Der er for eksempel fundet en fil fra 2011 med CPR-nummer og adresse på alle kommunens borgere, som er udarbejdet i forbindelse med en befolkningsundersøgelse.
Derudover er der en fil med udtræk fra et tidligere debitorsystem, som Aalborg Kommune fortsat bruger som opslagsværk i forbindelse med kommunens tilgodehavender. Filen indeholder CPR-numre, dato for postering og et notatfelt, som kan indeholde mange forskellige oplysninger, herunder følsomme og andre fortrolige oplysninger.
Der kan for eksempel være et notat om, at en borger har ringet ind og meddelt at vedkommende ikke kan betale kommunens tilgodehavende på grund af sygdom.
I forbindelse med sikkerhedsbruddet er det også konstateret, at kommunen i tandplejen har et behandlingssystem, hvor røntgenbilleder og CPR-numre midlertidigt lagres på drev i 30 dage, hvorefter oplysninger automatisk slettes.
Tandlæger med videre bruger systemet til at vurdere røntgenbilleder med henblik på at kunne stille diagnoser.
Sender ikke direkte besked
Aalborg Kommune orienterer som udgangspunkt alle de berørte via denne offentlige meddelelse, da det ikke er muligt inden for rimelig tid at orientere alle direkte på grund af bruddets omfang og kompleksitet.
I det omfang at det har været muligt og det er relevant, vil enkelte personer udover denne offentlige meddelelse modtage et brev direkte i deres digitale post.
Da sikkerhedsbruddet blev opdaget, blev alle fællesdrev lukket, så det ikke længere er muligt for medarbejdere at tilgå de filer, der er gemt på fællesdrevene. Herefter er fællesdrevet åbnet op for få betroede medarbejdere, der har fået til opgave at undersøge omfang af sikkerhedsbruddet.
Fremadrettet vil Aalborg Kommune begrænse brugen af fællesdrev og undersøge, om det er muligt at stoppe med at bruge sådanne fællesdrev.
Aalborg Kommune har anmeldt bruddet på persondatasikkerheden til Datatilsynet den 25. januar 2024.
Hvilke konsekvenser har bruddet?
I det omfang oplysningerne mod forventning skulle være kommet uvedkommende til kendskab, vurderes de mulige konsekvenser at være tab af fortrolighed.
Hvis du har andre spørgsmål om bruddet eller om Aalborg Kommunes håndtering af sagen, er du velkommen til at sende en sikker mail eller ringe til os. Benyt kontaktinformationerne nederst på siden.
Du kan også rette henvendelse til Aalborg Kommunes Databeskyttelsesrådgiver Kathrine Tvorup Pajkes.
