Det har vakt opsigt og udløst hård kritik, at Datatilsynet kendte til et stort sikkerhedslæk i portalen GoMentor i tre måneder uden at sige noget til virksomheden bag portalen.
Datalækket blev opdaget af en bruger i slutningen af august. Brugeren rettede henvendelse til Datatilsynet - som imidlertid valgte ikke at underrette GoMentor om problemet.
Det kan du læse mere om her: Datatilsynet kendte til sikkerhedshul hos terapi-portal i tre måneder - men fortalte det ikke til virksomheden.
Prioriteringen fik kritikken til at rejse sig fra både politisk side og fra IT-Branchen.
Det kan du læse mere om her: IT-Branchen rystet over Datatilsynets ageren i sag om databrud hos politianmeldt terapi-platform: ”Når man ser en ulykke, så er førsteprioriteten at standse ulykken”.
Nu forklarer Datatilsynet sig i en redegørelse til Folketingets Retsudvalg.
Bevissikring
I redegørelsen skriver Datatilsynet, at tilsynet valgte at ‘foretage bevissikring inden underretningen.’
“Datatilsynet kan ikke håndhæve overtrædelser af databeskyttelsesforordningen, hvis tilsynet ikke sørger for at have tilstrækkelig dokumentation for, at der foreligger en overtrædelse af reglerne,” lyder det.
Sikkerhedshullet er et af de mest alvorlige sager af brud på persondataloven, der har været fremme i offentligheden siden GDPR trådte i kraft 25. maj.
Du kan læse mere om selve bruddet her: Datatilsynet politianmelder danmarks største terapi-portal for GDPR-brud: Data om sex og stofmisbrug flyder
Forklaringen til Folketingets Retsudvalg ligger helt i tråd med den forklaring, som Datatilsynet kom med til Computerworld i kølvandet på kritikken.
Dengang fortalte tilsynschef Jesper Husmer Vang til Computerworld, at han mente, at prioriteringen med at vente var helt rigtigt.
“Hvis vi gør det [underretter portalen, red], så er der ingen grund til at efterforske den videre, for så kan de bare lukke hullet og så kan vi ikke dokumentere, at der har været et brud. Så ville en sikkerhedssag jo aldrig få nogle konsekvenser, hvis vi bare ringer til virksomheden og beder dem lukke sikkerhedshullet,” sagde han dengang.
Datatilsynet er dog ikke skråsikker.
“Datatilsynet evaluerer løbende sin håndhævelse og de erfaringer, tilsynet gør sig i forbindelse hermed. Dette sker i øvrigt i tæt samarbejde med politiet og anklagemyndigheden,” hedder det nu i forklaringen til retsudvalget.
Du finder hele redegørelsen fra Datatilsynet her.
Læs også:
Politianmeldt terapi-portal kan se frem til rekordbøde for GDPR-brud: ”Den her sag lyder til at være noget grovere end sagerne fra både Tyskland og Portugal"