Orientering om brud på persondatasikkerheden i Aalborg Kommune

Hvad er der sket?

Aalborg Kommune har i en længere årrække haft en række fællesdrev, som en større mængde medarbejdere har haft adgang til. Fællesdrevene har ikke været tilgængelig for offentligheden, og det er alene medarbejdere ved Aalborg Kommune, samt medarbejdere ved kommunens databehandlere Nordjyllands Beredskab og Aalborg Forsyning, der har kunne tilgå de filer, der var gemt på fællesdrev. Fællesdrevene har ikke været synlige for langt de fleste medarbejdere, medmindre medarbejderne har fremsøgt de specifikke drev.

Alle medarbejdere har tavshedspligt. Det gælder også medarbejderne ved kommunens databehandlere.

Vi har ikke grund til at tro, at medarbejdere har tilgået filer med personoplysninger på fællesdrev som er uvedkommende for deres arbejde, men da vi omvendt heller ikke kan dokumentere, at det ikke er sket, vælger vi for en sikkerheds skyld at underrette om sikkerhedsbruddet.

Hvilke personoplysninger drejer det sig om?

Der er på fællesdrevene fundet forskellige filer, der indeholder oversigter over større eller mindre grupper borgere/tidligere borgere og ansatte/tidligere ansatte i Aalborg Kommune.

På de fleste oversigter er der alene CPR-numre og andre identitetsoplysninger, såsom navn, telefonnummer og adresse. Der er for eksempel fundet en fil fra 2011 med CPR-nummer og adresse på alle kommunens borgere, som er udarbejdet i forbindelse med en befolkningsundersøgelse.

Derudover er der en fil med udtræk fra et tidligere debitorsystem, som Aalborg Kommune fortsat bruger som opslagsværk i forbindelse med kommunens tilgodehavender. Filen indeholder CPR-numre, dato for postering og et notatfelt, som kan indeholde mange forskellige oplysninger, herunder følsomme og andre fortrolige oplysninger. Der kan for eksempel være et notat om, at en borger har ringet ind og meddelt at vedkommende ikke kan betale kommunens tilgodehavende på grund af sygdom.

I forbindelse med sikkerhedsbruddet er det også konstateret, at kommunen i tandplejen har et behandlingssystem, hvor røntgenbilleder og CPR-numre midlertidigt lagres på drev i 30 dage, hvorefter oplysninger automatisk slettes. Tandlæger med videre bruger systemet til at vurdere røntgenbilleder med henblik på at kunne stille diagnoser.

Hvordan orienterer Aalborg Kommune?

Aalborg Kommune orienterer som udgangspunkt alle de berørte via denne offentlige meddelelse, da det ikke er muligt inden for rimelig tid at orientere alle direkte på grund af bruddets omfang og kompleksitet.

I det omfang at det har været muligt og det er relevant, vil enkelte personer udover denne offentlige meddelelse modtage et brev direkte i deres digitale post.

Hvad har Aalborg Kommune gjort for at afhjælpe bruddet?

Da sikkerhedsbruddet blev opdaget, blev alle fællesdrev lukket, så det ikke længere er muligt for medarbejdere at tilgå de filer, der er gemt på fællesdrevene. Herefter er fællesdrev åbnet op for få betroede medarbejdere, der har fået til opgave at undersøge omfang af sikkerhedsbruddet.

Fremadrettet vil Aalborg Kommune begrænse brugen af fællesdrev og undersøge, om det er muligt at stoppe med at bruge sådanne fællesdrev.  

Aalborg Kommune har anmeldt bruddet på persondatasikkerheden til Datatilsynet den 25. januar 2024.

Hvilke konsekvenser har bruddet?

I det omfang oplysningerne mod forventning skulle være kommet uvedkommende til kendskab, vurderes de mulige konsekvenser at være tab af fortrolighed.  

Du kan læse mere om hvordan du kan beskytte dig selv og finde gode råd på Sikkerdigital's hjemmeside. 

Har du brug for yderligere information?

Du kan læse mere på vores side 'Ofte stillede spørgsmål i forbindelse med brud på persondatasikkerheden.'

Hvis du har andre spørgsmål om bruddet eller om Aalborg Kommunes håndtering af sagen, er du velkommen til at sende en sikker mail eller ringe til os. Benyt kontaktinformationerne nederst på siden.

Du kan også rette henvendelse til Aalborg Kommunes Databeskyttelsesrådgiver Kathrine Tvorup Pajkes.

Du kan også klage til Datatilsynet på www.datatilsynet.dk.