Orientering om brud på persondatasikkerheden i Aarhus Kommune

Hvad vedrører bruddet?

Aarhus Kommune kan bevilge taxakørsel til borgerne. Det kan for eksempel være, hvis en borger har brækket benene, eller hvis et fysisk eller psykisk udfordret barn skal køres til og fra skole.

Til det formål benytter Aarhus Kommune et bookingsystem, og bus- og taxaselskaber tilgår disse data via en webkøreliste for at se dagens køreture.

Sikkerhedsbristen er fundet i den chauffør-vendte webkøreliste, og bruddet er anmeldt til Datatilsynet.

Hvad er der sket?

For at busselskaber og chauffører kan få adgang til dagens køreture, skal de logge ind i webkørelisten, hvorefter de normalt kun vises de ture, som vedrører selskabets egne køreture for en konkret vogn. Men en vaks tekniker hos et af busselskaberne opdagede, at det var muligt at logge ind og samtidig give sig selv udvidet adgang, sådan at køreture fra andre busselskaber end deres eget også var tilgængelige.

Dermed har der været en mulighed for, at brugere med login til systemet har kunnet give sig selv adgang til personoplysninger, som ikke vedkommer dem. En bruger med udvidede rettigheder kunne også få rettigheder til at aflyse ture i systemet.

Kun person med login til webkørelisten, og som er i besiddelse af moderat teknisk snilde, kunne have udnyttet bristen.

Hvilke personoplysninger drejer det sig om?

Webkørelisten udstiller en række almindelige personoplysninger: navn, til- og fra-adresser.

Dertil udstiller webkørelisten følsomme helbredsoplysninger, der er relevante for at kunne gennemføre en given kørsel.

Hvilke konsekvenser har bruddet haft?

Konsekvenserne for de registrerede borgere har været et brud på fortrolighed, dvs. en risiko for at uvedkommende har haft uretmæssig adgang til deres til- og fra-adresser, hvor den registrerede ville være at finde på givne tidspunkter.

Aarhus Kommune har i sine undersøgelser ikke fundet grund til at tro, at sikkerhedshullet i praksis er blevet udnyttet, og kommunen har ikke kendskab til borgere, der har oplevet konsekvenser som følge af sikkerhedshullet i systemet. Dermed er der heller ikke nogen grund til at tro, at nogen har brugt data uretmæssigt til at opsøge de registrerede på de steder og tider, hvor kørslerne har foregået.

Hvordan orienterer Aarhus Kommune?

Aarhus Kommune orienterer gennem denne nyhed alle de berørte borgere, da det er uforholdsmæssig vanskeligt at kontakte de registrerede direkte, eller forældrene hvis den registrerede fx er et barn. Et forsøg på direkte kontakt til de 2.500 aktive i systemet, ville i sig selv udgøre en risiko for, at forældre uden forældremyndighed fejlagtigt bliver tilskrevet, samt en risiko for, at fx børn kunne risikere at blive tilskrevet direkte, og det kunne skabe uberettiget angst eller forvirring hos denne sårbare gruppe.

Denne kontaktform er aftalt i samarbejde med Datatilsynet.

Hvad har Aarhus Kommune gjort for at afhjælpe bruddet?

Aarhus Kommune lukkede øjeblikkeligt webkørelisten, og kommunen overgik med det samme til at benytte en anden app til nøddrift, som kommunen gennem egne forsøg fastslog ikke indeholdt samme fejl. Chaufførernes brug af den anden app, indtil en mere permanent løsning kunne findes, var godkendt af Datatilsynet. Kort tid efter fik Aarhus Kommune og leverandøren i fællesskab stabiliseret en tredje, bedre app, som chaufførerne nu benytter.

Aarhus Kommune har i forbindelse med bruddet foretaget en generel gennemgang af de systemer og apps, der understøtter booking af taxature og den efterfølgende kørsel, samt holdt flere møder med leverandøren om at øge databeskyttelsen.

I forbindelse med denne gennemgang blev Aarhus Kommune og leverandøren enige om en udviklingsplan, der forventes implementeret pr. 1. august. Dette højner generelt sikkerheden i hele løsningen.

Har du brug for yderligere information?

Du kan henvende dig til Borgmesterens Afdelings sikkerhedsafdeling pr. email: itsikkerhed@aarhus.dk, og du kan alternativt kontakte vores Databeskyttelsesrådgiver på databeskyttelsesraadgiver@aarhus.dk

Endelig skal vi oplyse, at du kan klage over Aarhus Kommunes behandling af dine personoplysninger til Datatilsynet.