Danmark: Datatilsynet uttrycker kritik mot T. Hansen för otillräckliga säkerhetsåtgärder

Den danska dataskyddsmyndigheten Datatilsynet har fattat beslut om att rikta kritik mot T. Hansen Gruppen A/S då företaget inte vidtagit tillräckliga säkerhetsåtgärder vid behandling av personuppgifter vilket strider mot artikel 32.1 i dataskyddsförordningen (GDPR). T. Hansen har enligt Datatilsynet inte heller har anmält den inträffade händelsen i enlighet med kraven i artikel 33.1 GDPR.

Av beslutet framgår att Datatilsynet inlett granskningen som följd av ett klagomål från en kund om att en annan kund fått obehörig tillgång till hans personuppgifter på grund av det sätt på vilket kundprofiler hade upprättats av företaget. Datatilsynet konstaterade i samband med granskningen att detta lett till att båda kundernas information kombinerats under samma profil, vilket möjliggjorde obehörig tillgång till klagandens personliga information, inklusive hans lösenord.

Enligt Datatilsynet har T. Hansen inte vidtagit tillräckliga säkerhetsåtgärder vid behandlingen av personuppgifter i samband med kundernas profiler enligt artikel 32.1 GDPR då företaget vid utvecklingen av sitt system inte tagit hänsyn till att kundernas information kan riskera att samlas, till exempel till följd av att ett telefonnummer överförts från en person till en annan. Återanvändning av telefonnummer är enligt Datatilsynet ett normalt förekommande och förväntat scenario, varför det borde ha ingått i fastställandet av lämpliga säkerhetsåtgärder.

Datatilsynet konstaterar vidare att T. Hansen har lagrat användarnas självvalda lösenord i klartext i sitt system utan en erkänd algoritm för en oåterkallelig kryptering av dessa, samt att T. Hansen har haft en funktion där användarna har varit kunna ta emot lösenord i klartext till användarens angivna e-postadress på begäran, trots att T. Hansen inte gjort en riskbedömning.

Mot denna bakgrund har Datatilsynet gett T. Hansen en föreläggande om att använda en erkänd algoritm för kryptering (t.ex. hash) av alla lösenord, så att dessa inte lagras eller kan återställas i klartext.

T. Hansen har den 4 november 2021 meddelat Datatilsynet att de har följt myndighetens föreläggande.

Du kan läsa pressmeddelandet här och beslutet här, båda endast tillgängliga på danska.

Relaterade nyheter

Områden

I fokus

Länder

Taggar

Populära kurser

Expertis

Gå kurs med oss

06 OKT

Säkerhet för
icke-tekniker

Få en övergripande introduktion till säkerhet vid behandling av personuppgifter.

13 OKT

Privacy by Design
& Privacy by Default

Öka dina kunskaper om GDPR:s krav på inbyggt dataskydd och dataskydd som standard.

10 NOV

Artificiell intelligens & personuppgifter

Få en genomgång av de viktigaste reglerna för AI ur ett dataskyddsperspektiv.