Vinnubrögð KPMG verulega ámælisverð að mati Persónuverndar Tryggvi Páll Tryggvason skrifar 13. febrúar 2019 07:45 Ráðhús Garðabæjar. Fréttablaðið/Ernir Lög voru brotin þegar viðkvæmar persónuupplýsingar voru birtar á vef Garðabæjar á síðasta ári. Ráðgjafafyrirtækið KPMG er húðskammað af Persónuvernd sem hóf rannsókn eftir fréttaflutning af málinu.Greint var frá því í kvöldfréttum Stöðvar 2 á síðasta ári að þrjú sveitarfélög birtu viðkvæmar upplýsingar um einstaklinga sem notið hafa þjónustu bæjarfélaganna, til dæmis greiðslur vegna sálfræðimeðferðar og fjárhagsaðstoðar, á vefjum sem hýstu opið bókhald sveitarfélaganna Kerfið sem sveitarfélögin notuðust við var keypt af KPMG. Í svari sviðstjóra fyrirtækisins til Persónuverndar sagði að málið mæti rekja til uppfærslu hjá Microsoft, en hugbúnaður frá bandaríska tæknifyrirtækinu var notaður til þess að birta opið bókhald sveitarfélaganna. Í svari Garðabæjar til Persónuverndar segir að við hönnun og framsetningu hins opna bókhalds hafi meðal annars verið lagt til grundvallar að útgjöld undir 500 þúsund krónum skyldu undanskilin. KPMG hafi séð um að útfæra þá forsendu að beiðni Garðabæjar. Það hafi átt að tryggja að ekki væri hægt að kalla fram upplýsingar sem geti talist persónupplýsingar eða viðkvæmar upplýsingar. Þá hafi engar skýringar borist frá KMPG af hverju þetta hafi ekki virkað sem skyldi, né hafi starfsmenn Garðabæjar geta staðfest niðurstöður KPMG að rekja mætti öryggisbrestinn til þeirrar uppfærslu sem fyrirtækið nefndi. KPMG.vísir/gettyHægt að nálgast upplýsingar um 14 einstaklinga Persónuvernd óskaði einnig eftir upplýsingum frá Microsoft á Íslandi um hvenær umrædd uppfærsla hafi verið framkvæmd. Í svari Microsoft sagði að valmöguleikinn sem gerði það að verkum að upplýsingarnar fóru á netið hafi verið fyrst kynntur í apríl 2016, umræddar upplýsingar voru birtar um ári síðar. Í niðurstöðu Persónuverndar segir að það hafi verið „verulega ámælisvert“ af hálfu KMPG að viðhafa þau vinnubrögð að ekki væri gengið úr skugga um að ekki væri mögulegt að nálgast upplýsingar um einstaklinga úr því kerfi sem notast var við. Komst Persónuvernd að þeirri niðurstöðu að lög um Persónuverd hafi verið brotin í málinu en þar sem eldri lög hafi gilt þegar brotið var framið, því gæti Persónuvernd ekki lagt á stjórnvaldssekt vegna málsins. Er lagt fyrir Garðabæ að gera viðeigandi ráðstafanir til að koma í veg fyrir að slíkt geti endurtekið sig. Í svarinu segir einnig að Garðabær hafi brugðist strax við málinu, tekið umræddar upplýsingar af netinu og borin hafi verið fram afsökunarbeiðni og unnið að því að hafa samband við þá einstaklinga sem áttu hlut að máli. Samkvæmt greiningu Garðabæjar var hægt að nálgast upplýsingar um fjórtán skjólstæðinga í 50 tilvikum. Ekkert bendi þó til að umræddar upplýsingar hafi verið vistaðar, þeim dreift eða þær nýttar með öðrum hætti. Garðabær Persónuvernd Tengdar fréttir Viðkvæmar upplýsingar birtar á heimasíðum sveitarfélaga Þrjú sveitarfélög birtu á heimasíðum sínum viðkvæmar upplýsingar um einstaklinga sem notið hafa þjónustu bæjarfélaganna til dæmis greiðslur vegna sálfræðimeðferðar og fjárhagsaðstoðar. 28. apríl 2018 19:23 Gagnalekinn er á ábyrgð sveitarfélaganna: Persónuvernd segir málið af þeirri stærðargráðu að embættið nýtir heimild til frumkvæðisrannsóknar Í einhverjum tilfellum var opið fyrir upplýsingarnar í tvo til þrjá mánuði. 29. apríl 2018 18:44 Mest lesið Ákvörðun dómsmálaráðherra gríðarleg vonbrigði Innlent Lögreglan lýsir eftir Hebu Ýr Innlent Enn að jafna sig eftir stunguárás: „Þeir eru miklu yngri en réðu samt ekkert við 43 ára mann“ Innlent Öll tölfræði um málþófið á einum stað: Íslandsmet á næsta sólarhring Innlent Yfir hundrað látnir í Texas Erlent „Þetta er bara hálfkák og ekkert annað“ Innlent Skiltið hluti af stærra vandamáli sem dragi úr lífsgæðum Innlent „Við sáum að veðrið var best fyrir austan þannig við drifum okkur austur“ Veður „Kemur ekki til greina að fresta þessu máli“ Innlent Fimm grunuð um að ráðast á mann sem kom öðrum til bjargar Innlent Fleiri fréttir Ákvörðun dómsmálaráðherra gríðarleg vonbrigði Lögreglan lýsir eftir Hebu Ýr Öll tölfræði um málþófið á einum stað: Íslandsmet á næsta sólarhring „Þetta er bara hálfkák og ekkert annað“ Skiltið hluti af stærra vandamáli sem dragi úr lífsgæðum Spyr hvort berja megi blaðamenn í ljósi sýknudómsins Enn að jafna sig eftir stunguárás: „Þeir eru miklu yngri en réðu samt ekkert við 43 ára mann“ Fjársvelt geðheilbrigðisúrræði og boltaleikjabann „Kemur ekki til greina að fresta þessu máli“ Fimm grunuð um að ráðast á mann sem kom öðrum til bjargar Þrír milljarðar til viðbótar í viðhald vega Sjö ára dómur fyrir að stinga tvo: Hittu árásarmanninn í fyrsta skipti þessa nýársnótt Vill vindorkuver í Garpsdal og breytir tillögu stjórnar Tugir með magapínu eftir þríþraut við Laugarvatn „Við erum með háskólakerfi sem er fjármagnað undir OECD meðaltali“ Rembihnútur á þinginu en örþrifaráð ekki til umræðu Ákvörðun saksóknara sendi undarleg skilaboð Þinglok ekki í augnsýn og háskólarnir undirfjármagnaðir Grunaðir um að stinga mann í rassinn að tilefnislausu Ný kort sýna hvernig almyrkvinn verður á Íslandi Bandarískur kjarnorkukafbátur í heimsókn Formenn þingflokka halda spilunum þétt að sér Skjálfti upp á 3,4 í morgun á Suðurlandi Ekki efni til að ákæra þá sem fötluð kona var látin hafa samræði við Hiti nær 22 stigum fyrir austan Fjarlægðu „óvelkominn aðila“ af öldrunarheimili Rak í rogastans þegar hann las viðtalið við Bubba Árbæingar áhyggjufullir vegna umdeildra framkvæmda Aldrei séð annan eins hraðakstur eftir þrjátíu ár í lögreglunni Metfjöldi á biðlista og mögulega þarf að vísa frá Sjá meira
Lög voru brotin þegar viðkvæmar persónuupplýsingar voru birtar á vef Garðabæjar á síðasta ári. Ráðgjafafyrirtækið KPMG er húðskammað af Persónuvernd sem hóf rannsókn eftir fréttaflutning af málinu.Greint var frá því í kvöldfréttum Stöðvar 2 á síðasta ári að þrjú sveitarfélög birtu viðkvæmar upplýsingar um einstaklinga sem notið hafa þjónustu bæjarfélaganna, til dæmis greiðslur vegna sálfræðimeðferðar og fjárhagsaðstoðar, á vefjum sem hýstu opið bókhald sveitarfélaganna Kerfið sem sveitarfélögin notuðust við var keypt af KPMG. Í svari sviðstjóra fyrirtækisins til Persónuverndar sagði að málið mæti rekja til uppfærslu hjá Microsoft, en hugbúnaður frá bandaríska tæknifyrirtækinu var notaður til þess að birta opið bókhald sveitarfélaganna. Í svari Garðabæjar til Persónuverndar segir að við hönnun og framsetningu hins opna bókhalds hafi meðal annars verið lagt til grundvallar að útgjöld undir 500 þúsund krónum skyldu undanskilin. KPMG hafi séð um að útfæra þá forsendu að beiðni Garðabæjar. Það hafi átt að tryggja að ekki væri hægt að kalla fram upplýsingar sem geti talist persónupplýsingar eða viðkvæmar upplýsingar. Þá hafi engar skýringar borist frá KMPG af hverju þetta hafi ekki virkað sem skyldi, né hafi starfsmenn Garðabæjar geta staðfest niðurstöður KPMG að rekja mætti öryggisbrestinn til þeirrar uppfærslu sem fyrirtækið nefndi. KPMG.vísir/gettyHægt að nálgast upplýsingar um 14 einstaklinga Persónuvernd óskaði einnig eftir upplýsingum frá Microsoft á Íslandi um hvenær umrædd uppfærsla hafi verið framkvæmd. Í svari Microsoft sagði að valmöguleikinn sem gerði það að verkum að upplýsingarnar fóru á netið hafi verið fyrst kynntur í apríl 2016, umræddar upplýsingar voru birtar um ári síðar. Í niðurstöðu Persónuverndar segir að það hafi verið „verulega ámælisvert“ af hálfu KMPG að viðhafa þau vinnubrögð að ekki væri gengið úr skugga um að ekki væri mögulegt að nálgast upplýsingar um einstaklinga úr því kerfi sem notast var við. Komst Persónuvernd að þeirri niðurstöðu að lög um Persónuverd hafi verið brotin í málinu en þar sem eldri lög hafi gilt þegar brotið var framið, því gæti Persónuvernd ekki lagt á stjórnvaldssekt vegna málsins. Er lagt fyrir Garðabæ að gera viðeigandi ráðstafanir til að koma í veg fyrir að slíkt geti endurtekið sig. Í svarinu segir einnig að Garðabær hafi brugðist strax við málinu, tekið umræddar upplýsingar af netinu og borin hafi verið fram afsökunarbeiðni og unnið að því að hafa samband við þá einstaklinga sem áttu hlut að máli. Samkvæmt greiningu Garðabæjar var hægt að nálgast upplýsingar um fjórtán skjólstæðinga í 50 tilvikum. Ekkert bendi þó til að umræddar upplýsingar hafi verið vistaðar, þeim dreift eða þær nýttar með öðrum hætti.
Garðabær Persónuvernd Tengdar fréttir Viðkvæmar upplýsingar birtar á heimasíðum sveitarfélaga Þrjú sveitarfélög birtu á heimasíðum sínum viðkvæmar upplýsingar um einstaklinga sem notið hafa þjónustu bæjarfélaganna til dæmis greiðslur vegna sálfræðimeðferðar og fjárhagsaðstoðar. 28. apríl 2018 19:23 Gagnalekinn er á ábyrgð sveitarfélaganna: Persónuvernd segir málið af þeirri stærðargráðu að embættið nýtir heimild til frumkvæðisrannsóknar Í einhverjum tilfellum var opið fyrir upplýsingarnar í tvo til þrjá mánuði. 29. apríl 2018 18:44 Mest lesið Ákvörðun dómsmálaráðherra gríðarleg vonbrigði Innlent Lögreglan lýsir eftir Hebu Ýr Innlent Enn að jafna sig eftir stunguárás: „Þeir eru miklu yngri en réðu samt ekkert við 43 ára mann“ Innlent Öll tölfræði um málþófið á einum stað: Íslandsmet á næsta sólarhring Innlent Yfir hundrað látnir í Texas Erlent „Þetta er bara hálfkák og ekkert annað“ Innlent Skiltið hluti af stærra vandamáli sem dragi úr lífsgæðum Innlent „Við sáum að veðrið var best fyrir austan þannig við drifum okkur austur“ Veður „Kemur ekki til greina að fresta þessu máli“ Innlent Fimm grunuð um að ráðast á mann sem kom öðrum til bjargar Innlent Fleiri fréttir Ákvörðun dómsmálaráðherra gríðarleg vonbrigði Lögreglan lýsir eftir Hebu Ýr Öll tölfræði um málþófið á einum stað: Íslandsmet á næsta sólarhring „Þetta er bara hálfkák og ekkert annað“ Skiltið hluti af stærra vandamáli sem dragi úr lífsgæðum Spyr hvort berja megi blaðamenn í ljósi sýknudómsins Enn að jafna sig eftir stunguárás: „Þeir eru miklu yngri en réðu samt ekkert við 43 ára mann“ Fjársvelt geðheilbrigðisúrræði og boltaleikjabann „Kemur ekki til greina að fresta þessu máli“ Fimm grunuð um að ráðast á mann sem kom öðrum til bjargar Þrír milljarðar til viðbótar í viðhald vega Sjö ára dómur fyrir að stinga tvo: Hittu árásarmanninn í fyrsta skipti þessa nýársnótt Vill vindorkuver í Garpsdal og breytir tillögu stjórnar Tugir með magapínu eftir þríþraut við Laugarvatn „Við erum með háskólakerfi sem er fjármagnað undir OECD meðaltali“ Rembihnútur á þinginu en örþrifaráð ekki til umræðu Ákvörðun saksóknara sendi undarleg skilaboð Þinglok ekki í augnsýn og háskólarnir undirfjármagnaðir Grunaðir um að stinga mann í rassinn að tilefnislausu Ný kort sýna hvernig almyrkvinn verður á Íslandi Bandarískur kjarnorkukafbátur í heimsókn Formenn þingflokka halda spilunum þétt að sér Skjálfti upp á 3,4 í morgun á Suðurlandi Ekki efni til að ákæra þá sem fötluð kona var látin hafa samræði við Hiti nær 22 stigum fyrir austan Fjarlægðu „óvelkominn aðila“ af öldrunarheimili Rak í rogastans þegar hann las viðtalið við Bubba Árbæingar áhyggjufullir vegna umdeildra framkvæmda Aldrei séð annan eins hraðakstur eftir þrjátíu ár í lögreglunni Metfjöldi á biðlista og mögulega þarf að vísa frá Sjá meira
Viðkvæmar upplýsingar birtar á heimasíðum sveitarfélaga Þrjú sveitarfélög birtu á heimasíðum sínum viðkvæmar upplýsingar um einstaklinga sem notið hafa þjónustu bæjarfélaganna til dæmis greiðslur vegna sálfræðimeðferðar og fjárhagsaðstoðar. 28. apríl 2018 19:23
Gagnalekinn er á ábyrgð sveitarfélaganna: Persónuvernd segir málið af þeirri stærðargráðu að embættið nýtir heimild til frumkvæðisrannsóknar Í einhverjum tilfellum var opið fyrir upplýsingarnar í tvo til þrjá mánuði. 29. apríl 2018 18:44
Enn að jafna sig eftir stunguárás: „Þeir eru miklu yngri en réðu samt ekkert við 43 ára mann“ Innlent
Enn að jafna sig eftir stunguárás: „Þeir eru miklu yngri en réðu samt ekkert við 43 ára mann“ Innlent