DA
HR-jura Teknologi

Datasikkerheden udfordres på hjemmearbejdspladsen

logo
Juranyt
calendar 10. januar 2017
globus Danmark

I en nylig udtalelse kritiserede Datatilsynet, at der lå personoplysninger på en kommunal medarbejders private it-udstyr, som kommunen ikke havde kontrol med. IUNO sætter derfor fokus på, hvad virksomheder bør være opmærksomme på, når de tillader medarbejdere at arbejde hjemmefra. 

En række medarbejdere i Odder Kommune havde haft samtaler med kommunens arbejdspsykolog. Efterfølgende havde en medarbejder overført referaterne fra disse samtaler til en USB-nøgle og derefter gemt dem på sin private server. Oplysningerne lå dermed tilgængeligt på en server, hvor kommunen ikke havde kontrol med datasikkerheden.

Datatilsynet fandt forholdet kritisabelt og udtalte, at kommunens behandling af personoplysninger ikke levede op til kravet om fornødne sikkerhedsforanstaltninger i persondataloven.

Kommunen oplyste til Datatilsynet, at det ikke var tilladt hos kommunen at behandle personoplysninger på private computere, og at man i det hele taget tog datasikkerhed alvorligt. Datatilsynet opfordrede kommunen til at intensivere indsatsen med at sikre, at retningslinjerne om behandling af personoplysninger var kendt og overholdt af alle medarbejdere. Kommunen blev også opfordret til at fastsætte retningslinjer for, under hvilke omstændigheder oplysninger fra kommunens systemer måtte kopieres over på USB-nøgler.

Ifølge Datatilsynet var det dog ikke nødvendigt at give de berørte personer individuel information om sikkerhedsbristen, dels fordi dokumenterne havde en vis alder, og dels fordi det alene var arbejdspsykologen, som kunne identificere de delvist anonymiserede personer.

Retningslinjer for beskyttelse af personaleoplysninger

Datatilsynet indskærpede samtidig nogle af de minimumskrav til datasikkerheden, som fremgår af persondataloven, sikkerhedsbekendtgørelsen og Datatilsynets egen vejledning.

Et af disse krav er, at virksomheder skal gennemgå deres retningslinjer for håndteringen af personaleoplysninger mindst én gang årligt, og at der skal fastsættes retningslinjer for kommunens eget tilsyn med sikkerhedsforanstaltningerne. Endelig fremhævede Datatilsynet, at kommunen skulle sikre den fornødne instruktion til de medarbejdere, som behandler personoplysninger.

Særlige retningslinjer for en hjemmearbejdsplads

Særligt for hjemmearbejdspladser har Datatilsynet opstillet nogle sikkerhedsmæssige problemområder, som virksomheder bør være opmærksomme på.

Hvis medarbejderen har behov for at lagre oplysninger på hjemme-pc’en, skal de krypteres. Kommunen skulle derfor i den konkrete sag have vejledt medarbejderen om at kryptere oplysningerne, inden de blev lagt over på den private server.

Der skal derudover fastsættes retningslinjer og gives instruktion om opbevaring og destruktion af udskrifter, i det omfang medarbejderen har behov for at printe derhjemme. Retningslinjerne skal også indeholde regler for, om og i hvilket omfang hjemme-pc’en må anvendes til privat brug. Hvis der sker en trådløs udveksling af data fx mellem pc og printer, skal retningslinjerne indeholde oplysninger herom.

Endelig kræver Datatilsynet en vis fysisk sikring af hjemmet imod tyveri og hærværk.

IUNO mener

Virksomheder bør generelt være opmærksomme på at ajourføre deres retningslinjer om hjemmearbejdspladser og behandling af persondata jævnligt for at sikre, at medarbejderne arbejder med tilstrækkelige sikkerhedsforanstaltninger. Hvis ikke oftere, bør dette altså ske mindst en gang årligt.

Datatilsynets udtalelse indskærper samtidig, at det ikke er tilstrækkeligt at nøjes med at have retningslinjer for behandlingen af personoplysninger på hjemmearbejdspladsen; virksomheden skal også føre tilsyn med overholdelsen af reglerne.

Når persondataforordningen træder i kraft i maj 2018, bliver det i endnu højere grad vigtigt at have styr på virksomhedens persondatabehandling, da overtrædelser efter de nye regler vil blive sanktioneret markant hårdere end i dag. IUNO opfordrer derfor virksomhederne til allerede nu at foretage deciderede gap-analyser for at afklare, om virksomhedens nuværende behandling af persondata lever op til lovens og forordningens krav.

[Datatilsynets udtalelse af 3. oktober 2016 med journalnummer 2015-632-0154]

En række medarbejdere i Odder Kommune havde haft samtaler med kommunens arbejdspsykolog. Efterfølgende havde en medarbejder overført referaterne fra disse samtaler til en USB-nøgle og derefter gemt dem på sin private server. Oplysningerne lå dermed tilgængeligt på en server, hvor kommunen ikke havde kontrol med datasikkerheden.

Datatilsynet fandt forholdet kritisabelt og udtalte, at kommunens behandling af personoplysninger ikke levede op til kravet om fornødne sikkerhedsforanstaltninger i persondataloven.

Kommunen oplyste til Datatilsynet, at det ikke var tilladt hos kommunen at behandle personoplysninger på private computere, og at man i det hele taget tog datasikkerhed alvorligt. Datatilsynet opfordrede kommunen til at intensivere indsatsen med at sikre, at retningslinjerne om behandling af personoplysninger var kendt og overholdt af alle medarbejdere. Kommunen blev også opfordret til at fastsætte retningslinjer for, under hvilke omstændigheder oplysninger fra kommunens systemer måtte kopieres over på USB-nøgler.

Ifølge Datatilsynet var det dog ikke nødvendigt at give de berørte personer individuel information om sikkerhedsbristen, dels fordi dokumenterne havde en vis alder, og dels fordi det alene var arbejdspsykologen, som kunne identificere de delvist anonymiserede personer.

Retningslinjer for beskyttelse af personaleoplysninger

Datatilsynet indskærpede samtidig nogle af de minimumskrav til datasikkerheden, som fremgår af persondataloven, sikkerhedsbekendtgørelsen og Datatilsynets egen vejledning.

Et af disse krav er, at virksomheder skal gennemgå deres retningslinjer for håndteringen af personaleoplysninger mindst én gang årligt, og at der skal fastsættes retningslinjer for kommunens eget tilsyn med sikkerhedsforanstaltningerne. Endelig fremhævede Datatilsynet, at kommunen skulle sikre den fornødne instruktion til de medarbejdere, som behandler personoplysninger.

Særlige retningslinjer for en hjemmearbejdsplads

Særligt for hjemmearbejdspladser har Datatilsynet opstillet nogle sikkerhedsmæssige problemområder, som virksomheder bør være opmærksomme på.

Hvis medarbejderen har behov for at lagre oplysninger på hjemme-pc’en, skal de krypteres. Kommunen skulle derfor i den konkrete sag have vejledt medarbejderen om at kryptere oplysningerne, inden de blev lagt over på den private server.

Der skal derudover fastsættes retningslinjer og gives instruktion om opbevaring og destruktion af udskrifter, i det omfang medarbejderen har behov for at printe derhjemme. Retningslinjerne skal også indeholde regler for, om og i hvilket omfang hjemme-pc’en må anvendes til privat brug. Hvis der sker en trådløs udveksling af data fx mellem pc og printer, skal retningslinjerne indeholde oplysninger herom.

Endelig kræver Datatilsynet en vis fysisk sikring af hjemmet imod tyveri og hærværk.

IUNO mener

Virksomheder bør generelt være opmærksomme på at ajourføre deres retningslinjer om hjemmearbejdspladser og behandling af persondata jævnligt for at sikre, at medarbejderne arbejder med tilstrækkelige sikkerhedsforanstaltninger. Hvis ikke oftere, bør dette altså ske mindst en gang årligt.

Datatilsynets udtalelse indskærper samtidig, at det ikke er tilstrækkeligt at nøjes med at have retningslinjer for behandlingen af personoplysninger på hjemmearbejdspladsen; virksomheden skal også føre tilsyn med overholdelsen af reglerne.

Når persondataforordningen træder i kraft i maj 2018, bliver det i endnu højere grad vigtigt at have styr på virksomhedens persondatabehandling, da overtrædelser efter de nye regler vil blive sanktioneret markant hårdere end i dag. IUNO opfordrer derfor virksomhederne til allerede nu at foretage deciderede gap-analyser for at afklare, om virksomhedens nuværende behandling af persondata lever op til lovens og forordningens krav.

[Datatilsynets udtalelse af 3. oktober 2016 med journalnummer 2015-632-0154]

Modtag vores nyhedsbrev

Anders

Etgen Reitz

Partner

Søren

Hessellund Klausen

Partner

Lignende

logo
HR-jura

27. marts 2024

Regler om løngennemsigtighed på vej

logo
HR-jura

26. marts 2024

Tvillingeforældre får ekstra barsel

logo
HR-jura Litigation Teknologi

11. marts 2024

Flere medarbejdere indberetter psykisk arbejdsmiljø til Datatilsynet

logo
HR-jura

8. marts 2024

Faldskærmen der viste sig at være en rygsæk

logo
HR-jura

3. marts 2024

Ingen kære mor

logo
HR-jura

25. februar 2024

Forskellig løn var fair løn

Holdet

Alexandra

Jensen

Juridisk rådgiver

Anaïs

Kjærgaard Crouzet

Advokatfuldmægtig

Anders

Etgen Reitz

Partner

Caroline

Thorsen

Junior juridisk assistent

Cecillie

Groth Henriksen

Advokat

Johan

Gustav Dein

Advokatfuldmægtig

Julie

Meyer

Senior juridisk assistent

Kirsten

Astrup

Managing associate (orlov)

Maria

Kjærsgaard Juhl

Juridisk rådgiver

Sofie

Aurora Braut Bache

Managing associate

Søren

Hessellund Klausen

Partner