Den 15. maj 2020 behandlede Statsrevisorerne
Beretning nr. 15/2019 om outsourcede persondata
Statsrevisorerne afgav beretningen til Folketinget med følgende bemærkning:
"Danmark er et af de mest digitaliserede lande i verden. Digitaliseringen betyder, at de offentlige myndigheder indsamler og behandler mange oplysninger om borgerne. En stor del af oplysningerne er af følsom eller fortrolig karakter. Det kan derfor have store negative konsekvenser for såvel den enkelte borger som for den offentlige forvaltning, hvis oplysningerne ender i de forkerte hænder eller går tabt.
Danmark er blandt de lande i EU, som outsourcer den største andel af statslige it-systemer. Outsourcing betyder, at en opgave, fx drift, vedligeholdelse og udvikling af it-tjenester, overlades til en ekstern leverandør, fx en privat virksomhed eller en anden offentlig myndighed. Outsourcing muliggør på den ene side billigere drift og bedre udnyttelse af ekspertise, men ændrer samtidig styringsopgaven fra at være operationel til at være en kontraktbaseret styring af relationen til de eksterne databehandlere. I denne undersøgelse har Rigsrevisionen gennemgået 148 it-systemer, hvor opbevaringen af persondata er outsourcet af myndigheder på alle ministerområder, undtagen Udenrigsministeriet, og af Region Midtjylland.
Statsrevisorerne påtaler og finder det meget alvorligt, at myndighedernes styring ikke har sikret, at outsourcede følsomme og fortrolige persondata opbevares sikkert hos de eksterne databehandlere. Statsrevisorerne påtaler i den forbindelse, at myndighederne ikke har overholdt reglerne om databeskyttelse, herunder krav om at udarbejde risikovurderinger, indgå databehandleraftaler og føre tilsyn med databehandlerne, som har været gældende siden 2000.
Statsrevisorerne bemærker, at særligt Udlændinge- og Integrationsministeriet og Region Midtjylland har haft en kritisabel styring af eksterne databehandlere, mens Finansministeriet har haft den bedste styring af databehandlere.
Statsrevisorerne finder det utilfredsstillende, at Justitsministeriet, herunder Datatilsynet, og Finansministeriet ikke i tilstrækkelig grad har understøttet de øvrige myndigheders styring af databehandlere.
Statsrevisorerne har hæftet sig ved disse resultater fra undersøgelsen:
- Myndighederne har ikke udarbejdet en risikovurdering, inden de har indgået en databehandleraftale, for 58 % af de it-systemer, der indgår i undersøgelsen. Myndighederne har således ikke haft grundlag for at fastsætte passende sikkerhedsforanstaltninger eller planlægge deres tilsyn.
- Myndighederne har kun i 6 ud af 17 tilfælde, hvor de benytter globale cloud-udbydere til at opbevare persondata, udarbejdet en risikovurdering, og flere myndigheder har i øvrigt ikke haft fuld klarhed over indholdet af de standardvilkår, som de har accepteret.
- Myndighederne har ikke indgået en databehandleraftale for 14 % af it-systemerne, selv om de har outsourcet opbevaringen af følsomme eller fortrolige persondata.
- Myndighederne har ikke ført tilsyn med databehandlerne for 23 % af systemerne og har ikke undersøgt, om databehandlerne overholder vilkårene i databehandleraftalen og databeskyttelsesreglerne.
- Myndighederne har for 24 % af systemerne ikke haft kendskab til alle de underdatabehandlere, der har behandlet deres følsomme og fortrolige persondata.
- Justitsministeriet har ikke udgivet hverken en bekendtgørelse eller en vejledning om lokationskravet, som bestemmer, hvilke it-systemer der af hensyn til statens sikkerhed skal opbevares i Danmark.
- Væsentlige vejledninger fra Justitsministeriet og Finansministeriet udkom først, efter at myndighederne skulle have implementeret GDPR (databeskyttelsesforordningen).
- Datatilsynet har ikke ført et risikobaseret tilsyn og har ikke opdateret sin strategi, siden GDPR blev gældende i maj 2018. Datatilsynet har heller ikke gennemført de tilsyn hos offentlige myndigheder og private virksomheder, som var planlagt. Det har medført lav risiko for at blive opdaget i overtrædelser af reglerne om databeskyttelse.
Statsrevisorerne finder det bekymrende, at der stadig er så store problemer med sikring af følsomme og fortrolige persondata. Der er gået 8 år siden det største læk af fortrolige persondata og mere end 5 år, siden Statsrevisorerne skarpt kritiserede, at en række statslige institutioner ikke i tilstrækkeligt omfang beskytter fortrolige oplysninger om personer og virksomheder i beretning nr. 1/2014 om statens behandling af fortrolige oplysninger om personer og virksomheder."