Ingen bøtenåde for Østre Toten

Personvernnemnda viste ingen nåde da den behandlet Østre Toten kommunes klage på Datatilsynets 4-millionerkronersgebyr. Nemndas konklusjon er at kommunen må betale gebyret for brudd på personvernsikkerheten etter datainnbruddet i januar 2021.

– Midler til å betale gebyret er allerede avsatt. Det vil ikke påvirke våre kostnader i 2023, sier kommunedirektør Ole Magnus Stensrud på kommunens nettsider.

Personvernnemnda er opptatt av at løsepengeviruset førte til at store mengder personverndata ble stjålet, lekket og publisert på det mørke nettet. Det omfattet også pasientjournalopplysninger og personopplysninger om barn.

Nemnda påpeker at kommunen hadde få egnede tiltak på plass for å kunne oppdage sårbarheter, avverge uønskede hendelser og begrense skadevirkningene. Manglene representerte grunnleggende svakheter i kommunenes informasjonssikkerhet, mener nemnda, som konkluderer med at Østre Toten dermed brøt reglene i personvernforordningen.

Nemnda er ikke enig med Datatilsynet i at kommunedirektøren har skylden. I stedet mener nemnda at en eller flere personer i kommunen med ansvar for sikkerhet har opptrådt uaktsomt, da sikkerheten ikke var bedre ivaretatt.