Efter det massive datalæk, der ramte ejendomsmæglerkæden EDC, træder Datatilsynet nu ind i ringen for at undersøge det potentielle GDPR-brud, der kan have udsat tusindvis af kunders personlige oplysninger.
Finansrapporter indikerer ifølge Finans, at EDC muligvis har overtrådt GDPR-reglerne ved ikke korrekt at håndtere de lækkede personfølsomme oplysninger. GDPR-brud kan udløse bøder på op til fire procent af virksomhedens årlige omsætning, og EDC står nu over for konsekvenserne af en potentiel krænkelse.
Det omfangsrige angreb, der fandt sted den 1. november og blev udført af russiske hackere, resulterede i, at næsten 100.000 CPR-numre og personlige dokumenter blev lækket på det såkaldte mørke internet. Blandt de berørte oplysninger var også pas, kørekort, sygesikringsbeviser, telefonnumre og adresser.
Jesper Lund, formand for it-politisk forening, tidligere udtalte til B.T., at følsomme oplysninger som disse burde have været krypteret.
EDC's informationschef, Jan Nordmann, erkender fejl i håndteringen af dataene, men understreger, at problemet primært lå i manglende sletning og opbevaring på et drev med lavere sikkerhed, snarere end manglende kryptering.
Datatilsynet tager nu affære og vil undersøge EDC's håndtering af situationen. Juristen og it-sikkerhedsspecialisten hos Datatilsynet vil særligt fokusere på spørgsmål om manglende kryptering og, ikke mindst, hvorfor den enorme mængde lækkede data kunne forlade virksomhedens systemer uden at blive stoppet af sikkerhedsmekanismer.
EDC's informationschef, Jan Nordmann, ser frem til en "god og fornuftig dialog" med Datatilsynet og påpeger, at it-sikkerhed har været i fokus hos EDC i årevis.
Spørgsmålet om ansvar og beskyttelse af kunders personlige oplysninger er nu centrum for den kommende undersøgelse, der kan forme fremtiden for ejendomsmæglerkæden og skabe præcedens for lignende sager.
