Erhvervsstyrelsen lækker 150.000 CPR numre

Fedt. Stort tak til Erhvervsstyrelsen!

Kunne man håbe at dette kunne skubbe lidt til processen med at CPR numre ikke skal bruges som verifikation på ting, og det derfor ikke gør noget, at de er offentligt tilgængelige?

mrtb (1) skrev:

Fedt. Stort tak til Erhvervsstyrelsen!

Kunne man håbe at dette kunne skubbe lidt til processen med at CPR numre ikke skal bruges som verifikation på ting, og det derfor ikke gør noget, at de er offentligt tilgængelige?

Det skal lige lækkes en 5-10 gange yderligere, før det kan komme på tale.
Den håndfuld gange det er sket indtil nu, er ikke helt nok.

Hvis man kikker historisk på det kommer der aldrig til at blive gjort noget ved det. Går man ti år ti år tilbage var problemet nøjagtigt det samme.

#1 Det var jo egentligt tanken, at det bare skulle være et løbenummer. I gamle dage var det løbenummeret på girokort til offentlige myndigheder, men over tid er det blev til en verifikationsmetode.

... Men nemid er i høj grad ved at tage over og gøre kendskabet til cprnummer lige så ligegyldigt som kendskabet til en persons telefonnummer.

#4

Problemet er at man med et CPR nummer kan gå ind i en tele operatør forretning og få udleveret et Simkort.

med dette simkort kan du downloade NemID og bekræfte at du er personen

Derefter kan du overtage bank konti og alt andet personen har adgang til via NemID.

så - problemet bunder i hvilke adgange man har via et CPR nummer. Alle disse bør lukkes så man kun har adgang via CPR + Billed ID

Montago.NET (5) skrev:

#4

Med dette simkort kan du downloade NemID og bekræfte at du er personen

Du kan ikke bekræfte noget ud fra et telefonnummer.
Du skal have et nøglekort samt koden for at opsætte det på ny.

Alle kreditorer der giver kredit eller gæld alene ud fra et CPR-nummer har tabt deres penge, medmindre indehaveren af CPR-nummeret er så dum at betale. Lars Kragh Andersen har ignoreret rykkere fra Santander i flere år uden at der er sket noget. De har åbenbart lånt folk penge efter at de har oplyst hans CPR-nummer. Et CPR-nummer er ikke et 4-cifret password til dit liv. At Santander er dumme er deres eget problem.

Og ja, løsningen er at offentliggøre alle CPR-numre, ligesom i Sverige. Vi skal have afskaffet misforståelsen om at et CPR-nummer er en 4-cifret talkode til et liv.

Og nej, man må heller ikke have sex med samtykke uden samtykke med en pige, bare fordi man har fundet hendes CPR-nummer. Man bliver ikke frifundet i retten for voldtægt af den grund.

Heh. "Nogen" opsnapper mindre end 20 kreditkort. Godt en million i bøde til ejerne af denne forretning.

Det her er bare et "Ups", og så er vi videre.

Det er en syg verden vi lever i.

om et par år sker det nok igen

DrHouseDK (8) skrev:

Heh. "Nogen" opsnapper mindre end 20 kreditkort. Godt en million i bøde til ejerne af denne forretning.

Det her er bare et "Ups", og så er vi videre.

Det er en syg verden vi lever i.

Hvad tænker I at det bør have som konsekvens?

nwinther (10) skrev:

DrHouseDK (8) skrev:

Heh. "Nogen" opsnapper mindre end 20 kreditkort. Godt en million i bøde til ejerne af denne forretning.

Det her er bare et "Ups", og så er vi videre.

Det er en syg verden vi lever i.

Hvad tænker I at det bør have som konsekvens?

alle medarbejdere der var involveret som havde en del af skylden skulle straffes med bøde og en fyreseddel... hvis det skete hver gang så ville det hurtigt stoppe

CBM (11) skrev:

nwinther (10) skrev:

DrHouseDK (8) skrev:

Heh. "Nogen" opsnapper mindre end 20 kreditkort. Godt en million i bøde til ejerne af denne forretning.

Det her er bare et "Ups", og så er vi videre.

Det er en syg verden vi lever i.

Hvad tænker I at det bør have som konsekvens?

alle medarbejdere der var involveret som havde en del af skylden skulle straffes med bøde og en fyreseddel... hvis det skete hver gang så ville det hurtigt stoppe

Hvis medarbejderen er stoppet? Eller hvis man ikke kan identificere medarbejderen? Skal styrelsen have en bøde?

nwinther (12) skrev:

CBM (11) skrev:

nwinther (10) skrev:

DrHouseDK (8) skrev:

Heh. "Nogen" opsnapper mindre end 20 kreditkort. Godt en million i bøde til ejerne af denne forretning.

Det her er bare et "Ups", og så er vi videre.

Det er en syg verden vi lever i.

Hvad tænker I at det bør have som konsekvens?

alle medarbejdere der var involveret som havde en del af skylden skulle straffes med bøde og en fyreseddel... hvis det skete hver gang så ville det hurtigt stoppe

Hvis medarbejderen er stoppet? Eller hvis man ikke kan identificere medarbejderen? Skal styrelsen have en bøde?

ja

men der ville derudover være en chef eller to der kunne grilles

nwinther (12) skrev:

Hvis medarbejderen er stoppet? Eller hvis man ikke kan identificere medarbejderen? Skal styrelsen have en bøde?

Hvis ikke de kan identificere medarbejderen, er det jo et kæmpe problem i sig selv, som ville give en gevaldig røvfuld fra Datatilsynet til enhver tilfældig privat virksomhed.

DrHouseDK (14) skrev:

nwinther (12) skrev:

Hvis medarbejderen er stoppet? Eller hvis man ikke kan identificere medarbejderen? Skal styrelsen have en bøde?

Hvis ikke de kan identificere medarbejderen, er det jo et kæmpe problem i sig selv, som ville give en gevaldig røvfuld fra Datatilsynet til enhver tilfældig privat virksomhed.

Nogen har lagt et dokument inde i mødelokalet, med en masse CPR-numre på. Hvem?

Person A i afdeling X laver en fil indeholdende bl.a. CPR-data bruges i et system. Person B fra afdeling X viser Filindholdet delvist blandt en gruppe personer fra afdeling Y. Person C fra afdeling Y bruger filindholdet i en anden sammenhæng, uvidende, at der også ligger CPR-data. Person D fra afdeling Z deler filindholdet til Person A. Person A sender det til tredjepart som opdager, at der ligger CPR-data.

Hvem skal straffes?

Du kan blive bedt om at publicere en kæmpe stak filer af din chef (du har ikke skrevet eller læst filindholdet - det kommer fra en anden afdeling). Det gør du så. En af filerne indeholder CPR-data. 6 måneder senere opdager man filen. Du bliver nu straffet? Men det var jo din chef, der bad dig om det. Chefen er der ikke længere. Hvad gør vi så?

Personfølsomme data skal ikke lækkes osv. - så vidt er vi enige. Og hvis der er tale om tyveri eller grov pligtforsømmelse, skal det naturligvis straffes.
Men det produktionsniveau der forventes i en effektiv virksomhed (offentlig som privat) er det klart, at sådan noget kan ske. Alle medarbejdere kan ikke forventes at sidde og kigge alting grundigt igennem, inden de videresender det.

nwinther (12) skrev:

Eller hvis man ikke kan identificere medarbejderen?

Hvis medarbejderen ikke kan identificeres, så skal der rulle hoveder på chef-gangen for grov pligt-forsømmelse.

Det er et krav at der skal være styr på adgangen til personfølsomme oplsyninger. Og selvom det ikke burde være sådan, så er CPR numre stadig personfølsomme oplysninger.

Så et svar "Vi ved ikke hvem der har mistet data" skal høres som "Ledelsen tilstår at de ikke har sikret at der er styr på data".

nwinther (12) skrev:

Hvis medarbejderen er stoppet?

Interne sanktioner såsom næse, degradering eller fyring kan naturligvis ikke anvendes på fratrådte medarbejdere.

Strafferetslige sanktioner vil være upåvirket af ansættelsesforholdets ophør. Men det skal naturligvis op i en ekstrem grovhed for at det er relevant.

Men at nogen slipper for fyring ved frivilligt at have skiftet job forinden er ikke et argument for at man ikke skal fyre nogen som ikke har skiftet job.

Og det bør naturligvis komme i deres ansættelses mappe, således at en eventuel senere reference vil lyde "XYZ forlod os DD-MM-YYYY for at starte i et andet job. Efterfølgende er der kommet oplysninger frem som gør, at han ville være blive fyret, hvis han stadig havde været her.".

nwinther (15) skrev:

Nogen har lagt et dokument inde i mødelokalet, med en masse CPR-numre på. Hvem?

Det må man jo finde ud af.

Hvem har produceret det dokument? Hvem har modtaget det dokument? Hvem har brugt mødelokalet?

nwinther (15) skrev:

Person A i afdeling X laver en fil indeholdende bl.a. CPR-data bruges i et system. Person B fra afdeling X viser Filindholdet delvist blandt en gruppe personer fra afdeling Y. Person C fra afdeling Y bruger filindholdet i en anden sammenhæng, uvidende, at der også ligger CPR-data. Person D fra afdeling Z deler filindholdet til Person A. Person A sender det til tredjepart som opdager, at der ligger CPR-data.

Hvem skal straffes?

Afhænger af hvem der har givet filen til nogen uden lovlig adgang til de CPR numre.

B ingen adgang => A har givet filen til nogen uden adgang
C ingen adgang => B har givet filen til nogen uden adgang
D ingen adgang => C har givet filen til nogen uden adgang
trediepart ingen adgang => A har givet filen til nogen uden adgang

nwinther (15) skrev:

Du kan blive bedt om at publicere en kæmpe stak filer af din chef (du har ikke skrevet eller læst filindholdet - det kommer fra en anden afdeling). Det gør du så. En af filerne indeholder CPR-data. 6 måneder senere opdager man filen. Du bliver nu straffet? Men det var jo din chef, der bad dig om det.

Afhænger af præcis hvad ordren lød på.

Publicer alt => chefens ansvar

Udvælg hvad der skal publiceres => medarbejderens ansvar + muligvis chefens ansvar (hvis chefen vidste eller burde vide at der var personfølsomme oplysninger og undlod at advare medarbejderen)

nwinther (15) skrev:

Chefen er der ikke længere. Hvad gør vi så?

Se ovenfor.

nwinther (15) skrev:

Personfølsomme data skal ikke lækkes osv. - så vidt er vi enige. Og hvis der er tale om tyveri eller grov pligtforsømmelse, skal det naturligvis straffes.
Men det produktionsniveau der forventes i en effektiv virksomhed (offentlig som privat) er det klart, at sådan noget kan ske. Alle medarbejdere kan ikke forventes at sidde og kigge alting grundigt igennem, inden de videresender det.

Uforsigtig omgang med personfølsomme oplysninger er grov pligtforsømmelse.

Ja - det er en kæmpe arbejdsopgave at checke alt inden videresendelse.

Men har man struktureret dokumenter så det er eneste måde at gøre det på, så må det jo være sådan.

Der er muligheder for at struktuere tingene (netværks drev, foldere, dokument navngivnings konvention, dokument header) så det bliver nemmere.

I visse kredse har man kunnet håndtere dette i århundreder via: top hemmeligt, hemmeligt, fortroligt, til tjenstebrug etc..

At man har valgt ikke at gøre noget af dette så det er et kæmpe-arbejde bør give mere arbejde til de ansatte og ikke dårligere data sikkerhed for borgerne.

arne_v (16) skrev:

nwinther (12) skrev:

Eller hvis man ikke kan identificere medarbejderen?

Hvis medarbejderen ikke kan identificeres, så skal der rulle hoveder på chef-gangen for grov pligt-forsømmelse.

Det er et krav at der skal være styr på adgangen til personfølsomme oplsyninger. Og selvom det ikke burde være sådan, så er CPR numre stadig personfølsomme oplysninger.

Så et svar "Vi ved ikke hvem der har mistet data" skal høres som "Ledelsen tilstår at de ikke har sikret at der er styr på data".

Det vil være noget nær fysisk umuligt, at identificere. Jeg sidder med adgang til alverdens personfølsomme oplysninger og i det arbejde jeg laver, kan der sagtens forekomme en automatisk kørsel af data, som afslører personfølsomme data, men som ikke kan føres tilbage til mig, da det ikke er mit ID der står på kørslen.

Man kan sagtens fyre mig, men det ændrer intet.

arne_v (16) skrev:

nwinther (12) skrev:

Hvis medarbejderen er stoppet?

Interne sanktioner såsom næse, degradering eller fyring kan naturligvis ikke anvendes på fratrådte medarbejdere.

Strafferetslige sanktioner vil være upåvirket af ansættelsesforholdets ophør. Men det skal naturligvis op i en ekstrem grovhed for at det er relevant.

Men at nogen slipper for fyring ved frivilligt at have skiftet job forinden er ikke et argument for at man ikke skal fyre nogen som ikke har skiftet job.

Og det bør naturligvis komme i deres ansættelses mappe, således at en eventuel senere reference vil lyde "XYZ forlod os DD-MM-YYYY for at starte i et andet job. Efterfølgende er der kommet oplysninger frem som gør, at han ville være blive fyret, hvis han stadig havde været her.".

Du kan næppe sætte sådan noget i en personalemappe, uden at medarbejderen bliver partshørt. Dvs. du reelt skal køre en afskedigelsessag på en allerede stoppet medarbejder. Overtrædelsen skal være af en ganske ekstrem grad, før du som organisation gør sådan noget.

arne_v (16) skrev:

nwinther (15) skrev:

Nogen har lagt et dokument inde i mødelokalet, med en masse CPR-numre på. Hvem?

Det må man jo finde ud af.

Hvem har produceret det dokument? Hvem har modtaget det dokument? Hvem har brugt mødelokalet?

Det er ikke logført. Hvis der overhovedet er lokalebooking på arbejdspladsen, er bookeren ofte ikke deltager i mødet, og deltagerne bliver ikke nødvendigvis registreret.

arne_v (16) skrev:

nwinther (15) skrev:

Person A i afdeling X laver en fil indeholdende bl.a. CPR-data bruges i et system. Person B fra afdeling X viser Filindholdet delvist blandt en gruppe personer fra afdeling Y. Person C fra afdeling Y bruger filindholdet i en anden sammenhæng, uvidende, at der også ligger CPR-data. Person D fra afdeling Z deler filindholdet til Person A. Person A sender det til tredjepart som opdager, at der ligger CPR-data.

Hvem skal straffes?

Afhænger af hvem der har givet filen til nogen uden lovlig adgang til de CPR numre.

B ingen adgang => A har givet filen til nogen uden adgang
C ingen adgang => B har givet filen til nogen uden adgang
D ingen adgang => C har givet filen til nogen uden adgang
trediepart ingen adgang => A har givet filen til nogen uden adgang

B skal fyres, fordi han viser en fil til nogen, uden af vise CPR-numre og uden at videregive filen? (samme kan siges om C, D og A).

arne_v (16) skrev:

nwinther (15) skrev:

Du kan blive bedt om at publicere en kæmpe stak filer af din chef (du har ikke skrevet eller læst filindholdet - det kommer fra en anden afdeling). Det gør du så. En af filerne indeholder CPR-data. 6 måneder senere opdager man filen. Du bliver nu straffet? Men det var jo din chef, der bad dig om det.

Afhænger af præcis hvad ordren lød på.

Publicer alt => chefens ansvar

Udvælg hvad der skal publiceres => medarbejderens ansvar + muligvis chefens ansvar (hvis chefen vidste eller burde vide at der var personfølsomme oplysninger og undlod at advare medarbejderen)

Chefen mener ikke at have givet ordren. Medarbejderen mener at have modtaget ordren. Hvem fyres/straffes?

arne_v (16) skrev:

nwinther (15) skrev:

Chefen er der ikke længere. Hvad gør vi så?

Se ovenfor.

Men der er jo sket et læk! Nogen skal jo straffes!

arne_v (16) skrev:

nwinther (15) skrev:

Personfølsomme data skal ikke lækkes osv. - så vidt er vi enige. Og hvis der er tale om tyveri eller grov pligtforsømmelse, skal det naturligvis straffes.
Men det produktionsniveau der forventes i en effektiv virksomhed (offentlig som privat) er det klart, at sådan noget kan ske. Alle medarbejdere kan ikke forventes at sidde og kigge alting grundigt igennem, inden de videresender det.

Uforsigtig omgang med personfølsomme oplysninger er grov pligtforsømmelse.

Ja - det er en kæmpe arbejdsopgave at checke alt inden videresendelse.

Men har man struktureret dokumenter så det er eneste måde at gøre det på, så må det jo være sådan.

Der er muligheder for at struktuere tingene (netværks drev, foldere, dokument navngivnings konvention, dokument header) så det bliver nemmere.

I visse kredse har man kunnet håndtere dette i århundreder via: top hemmeligt, hemmeligt, fortroligt, til tjenstebrug etc..

At man har valgt ikke at gøre noget af dette så det er et kæmpe-arbejde bør give mere arbejde til de ansatte og ikke dårligere data sikkerhed for borgerne.

Men du glemmer lige min bemærkning med "produktionsniveau".

For selvfølgelig kan det lade sig gøre. Hvis man altså ikke har noget imod ekstrem lav produktivitet.
Efterretningstjenester har "i århundreder" som du siger, håndteret fortrolige oplysninger. Men kongens spionchef var nok mest interesseret i, hvad HAN synes er fortroligt. Samme efterretningstjenester lækkede jo gladeligt ANDRES fortrolige oplysninger. Nu håndterer samfundet alle oplysninger, som potentielt fortrolige/personfølsomme. Dét har man ikke gjort i "århundreder", men højst i måske 40 år - og dertil er datamængden på personniveau eksploderet.

Et godt eksempel er patientjournaler og medicinskema. Alt sammen dybeste fortrolighed. Men når det så kommer til manglende behandling i sundhedsvæsenet, kan ingen forstå, hvorfor egen læge ikke kunne se, hvad fysioterapeuten skrev - og kirurgen aner hverken op eller ned - fordi de ikke lige må dele dén oplysning.

Men ingen vil dele oplysninger, for så bliver vi måske fyret! Det kræver folket at vi bliver!

nwinther (17) skrev:

arne_v (16) skrev:

nwinther (12) skrev:

Eller hvis man ikke kan identificere medarbejderen?

Hvis medarbejderen ikke kan identificeres, så skal der rulle hoveder på chef-gangen for grov pligt-forsømmelse.

Det er et krav at der skal være styr på adgangen til personfølsomme oplsyninger. Og selvom det ikke burde være sådan, så er CPR numre stadig personfølsomme oplysninger.

Så et svar "Vi ved ikke hvem der har mistet data" skal høres som "Ledelsen tilstår at de ikke har sikret at der er styr på data".

Det vil være noget nær fysisk umuligt, at identificere. Jeg sidder med adgang til alverdens personfølsomme oplysninger og i det arbejde jeg laver, kan der sagtens forekomme en automatisk kørsel af data, som afslører personfølsomme data, men som ikke kan føres tilbage til mig, da det ikke er mit ID der står på kørslen.

Efter min bedste overbevisning drives din virksomhed ulovligt.

GDPR artikel 28:

Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.
...
ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;
takes all measures required pursuant to Article 32;

GDPR artikel 32:

Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate:
...
the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services;

Brug af kontoer tilnyttet flere personer eller brug af andres konto har været betragtet som som dårlig sikkerhed i 40-50-60 år.

Det vil ikke kunne betragtes som værende "appropriate technical and organisational measures".

Din chef, chef chef, chef che chef etc. har et potentielt problem.

nwinther (17) skrev:

arne_v (16) skrev:

nwinther (12) skrev:

Hvis medarbejderen er stoppet?

Interne sanktioner såsom næse, degradering eller fyring kan naturligvis ikke anvendes på fratrådte medarbejdere.

Strafferetslige sanktioner vil være upåvirket af ansættelsesforholdets ophør. Men det skal naturligvis op i en ekstrem grovhed for at det er relevant.

Men at nogen slipper for fyring ved frivilligt at have skiftet job forinden er ikke et argument for at man ikke skal fyre nogen som ikke har skiftet job.

Og det bør naturligvis komme i deres ansættelses mappe, således at en eventuel senere reference vil lyde "XYZ forlod os DD-MM-YYYY for at starte i et andet job. Efterfølgende er der kommet oplysninger frem som gør, at han ville være blive fyret, hvis han stadig havde været her.".

Du kan næppe sætte sådan noget i en personalemappe, uden at medarbejderen bliver partshørt. Dvs. du reelt skal køre en afskedigelsessag på en allerede stoppet medarbejder. Overtrædelsen skal være af en ganske ekstrem grad, før du som organisation gør sådan noget.

Hvis man har som udgangspunkt at offentligt ansatte er vigtige og borgere er ligegyldige, så skal der være noget ekstremt for at brgrunde at man gør noget.

Men hvis man har som udgangspunbkt at borgere og deres data er vigtige og at offentligt ansatte eksisterer for borgernes skyld, så er det en selvfølge at man gør noget, når man har svigtet borgernes tillid.

nwinther (17) skrev:

arne_v (16) skrev:

nwinther (15) skrev:

Nogen har lagt et dokument inde i mødelokalet, med en masse CPR-numre på. Hvem?

Det må man jo finde ud af.

Hvem har produceret det dokument? Hvem har modtaget det dokument? Hvem har brugt mødelokalet?

Det er ikke logført. Hvis der overhovedet er lokalebooking på arbejdspladsen, er bookeren ofte ikke deltager i mødet, og deltagerne bliver ikke nødvendigvis registreret.

Igen et ledelses problem. Man har personfølsommne oplysninger og har ikke styr på hvem der har fået dem.

nwinther (17) skrev:

arne_v (16) skrev:

nwinther (15) skrev:

Person A i afdeling X laver en fil indeholdende bl.a. CPR-data bruges i et system. Person B fra afdeling X viser Filindholdet delvist blandt en gruppe personer fra afdeling Y. Person C fra afdeling Y bruger filindholdet i en anden sammenhæng, uvidende, at der også ligger CPR-data. Person D fra afdeling Z deler filindholdet til Person A. Person A sender det til tredjepart som opdager, at der ligger CPR-data.

Hvem skal straffes?

Afhænger af hvem der har givet filen til nogen uden lovlig adgang til de CPR numre.

B ingen adgang => A har givet filen til nogen uden adgang
C ingen adgang => B har givet filen til nogen uden adgang
D ingen adgang => C har givet filen til nogen uden adgang
trediepart ingen adgang => A har givet filen til nogen uden adgang

B skal fyres, fordi han viser en fil til nogen, uden af vise CPR-numre og uden at videregive filen?

Hvis B ikke har videregivet filen hvor har C den så fra????

nwinther (17) skrev:

arne_v (16) skrev:

nwinther (15) skrev:

Du kan blive bedt om at publicere en kæmpe stak filer af din chef (du har ikke skrevet eller læst filindholdet - det kommer fra en anden afdeling). Det gør du så. En af filerne indeholder CPR-data. 6 måneder senere opdager man filen. Du bliver nu straffet? Men det var jo din chef, der bad dig om det.

Afhænger af præcis hvad ordren lød på.

Publicer alt => chefens ansvar

Udvælg hvad der skal publiceres => medarbejderens ansvar + muligvis chefens ansvar (hvis chefen vidste eller burde vide at der var personfølsomme oplysninger og undlod at advare medarbejderen)

Chefen mener ikke at have givet ordren. Medarbejderen mener at have modtaget ordren. Hvem fyres/straffes?

2 suspekte typer tages af politiet med 1 kg heroin i bilen. De siger begge at det ikke er deres men en andens.

Hvad gør politiet - de efterforsker naturligvis sagen og ser om ikke det kan påvises hvem der taler sandt og hvem der lyver.

Naturligvis kan det ske at man aldrig finder frem til sandheden.

Men det er ikke en god grund til at ikke at undersøge sagen.

nwinther (17) skrev:

arne_v (16) skrev:

nwinther (15) skrev:

Chefen er der ikke længere. Hvad gør vi så?

Se ovenfor.

Men der er jo sket et læk! Nogen skal jo straffes!

Som jeg skrev ovenfor så må han som det aller mindste få sagen i hans personale-mappe.

nwinther (17) skrev:

arne_v (16) skrev:

nwinther (15) skrev:

Personfølsomme data skal ikke lækkes osv. - så vidt er vi enige. Og hvis der er tale om tyveri eller grov pligtforsømmelse, skal det naturligvis straffes.
Men det produktionsniveau der forventes i en effektiv virksomhed (offentlig som privat) er det klart, at sådan noget kan ske. Alle medarbejdere kan ikke forventes at sidde og kigge alting grundigt igennem, inden de videresender det.

Uforsigtig omgang med personfølsomme oplysninger er grov pligtforsømmelse.

Ja - det er en kæmpe arbejdsopgave at checke alt inden videresendelse.

Men har man struktureret dokumenter så det er eneste måde at gøre det på, så må det jo være sådan.

Der er muligheder for at struktuere tingene (netværks drev, foldere, dokument navngivnings konvention, dokument header) så det bliver nemmere.

I visse kredse har man kunnet håndtere dette i århundreder via: top hemmeligt, hemmeligt, fortroligt, til tjenstebrug etc..

At man har valgt ikke at gøre noget af dette så det er et kæmpe-arbejde bør give mere arbejde til de ansatte og ikke dårligere data sikkerhed for borgerne.

Men du glemmer lige min bemærkning med "produktionsniveau".

For selvfølgelig kan det lade sig gøre. Hvis man altså ikke har noget imod ekstrem lav produktivitet.

Jeg tror ikke at produktiviteten behøver at blive sænket ret meget.

Det er meget et spørgsål om at tænke aspektet ind i processer og IT systemer.´

Er man ude af stand til det, så kan der være et stort produktivitets tab.

Men at dårlig ledelse har en negativ betydning for produktivitet er ikke nyt.

Og man skal ikke tillade lovbrud for at undgå konsekvenserne af dårlig ledelse.

nwinther (17) skrev:

Nu håndterer samfundet alle oplysninger, som potentielt fortrolige/personfølsomme. Dét har man ikke gjort i "århundreder", men højst i måske 40 år - og dertil er datamængden på personniveau eksploderet.

Ikke alle oplysninger er personfølsomme. Langtfra. Men der er definitioner på hvad der er.

Og ganske vist giver computere mulighed for at opbevare og behandle langt større datamængder end før. Men det giver også langt bedre muligheder for at kontrollere og logge adgangen. Låsede kartoteksskabe, logbøger for adgang er meget bøvlede.

nwinther (17) skrev:

Et godt eksempel er patientjournaler og medicinskema. Alt sammen dybeste fortrolighed. Men når det så kommer til manglende behandling i sundhedsvæsenet, kan ingen forstå, hvorfor egen læge ikke kunne se, hvad fysioterapeuten skrev - og kirurgen aner hverken op eller ned - fordi de ikke lige må dele dén oplysning.

Men ingen vil dele oplysninger, for så bliver vi måske fyret! Det kræver folket at vi bliver!

????

Der er vist ingen i denne tråd som har ytrer ønske om at forhindre eller straffe for bevist at dele oplysninger med nogen der har brug for oplysningerne )af hensyn til GDPR med personens tilladelse!!).

Vi snakker om at det bør få konsekvenser hvis data lækkes til personer som ikke bør ganve adgang til data.