Myndighets usb-minne med känsliga uppgifter tappades bort

Ett USB-minne med en kopia av registret över samtliga personer med gode män och förvaltare i Stockholms stad försvann i augusti. Nu har minnet återfunnits – i verksamhetens egna lokaler. Uppgifterna på minnet var inte krypterade, vilket fått myndigheten att polisanmäla händelsen och göra en anmälan till Integritetsskyddsmyndigheten.

Överförmyndarförvaltningen i Stockholms stad hanterar frågor för personer som av olika skäl inte kan bevaka sina egna intressen. Det kan handla om äldre, sjuka eller funktionsnedsatta som behöver hjälp med allt från ekonomi till personliga angelägenheter. Den försvunna kopian innehöll personuppgifter om tusentals sådana personer – uppgifter som till sin natur är mycket känsliga.

– I augusti uppdagades att ett USB-minne hade försvunnit där det fanns uppgifter av sådan karaktär att man bedömde att man behövde göra en anmälan till Integritetsskyddsmyndigheten, säger Olof Klingvall, presskontakt vid Överförmyndarförvaltningen.

Även en polisanmälan gjordes. Enligt Klingvall upptäcktes försvinnandet i samband med att en person avslutade sin anställning.

– Det var i samband med att en person slutade sin anställning som vi inte kunde hitta det här USB-minnet, säger han.

Under torsdagen kom dock beskedet att minnet har hittats.

– Det har hittats i verksamhetens egna lokaler. Vi är väldigt glada över att det har återfunnits, säger Sebastian Tabrizzi, enhetschef vid stadsledningskontoret i Stockholms stad.

En extern granskning har inletts för att klargöra hur USB-minnet kunde försvinna. Tabrizzi understryker att polisanmälan inte gjordes mot den person som slutade i samband med att minnet försvann.

– Den gjordes inte mot någon person utan som ett nödvändigt steg för att skyndsamt kunna gå vidare i processen, säger han.

På frågan om det stämmer att informationen på USB-minnet var okrypterad svarar Tabrizzi att man vid anmälningstillfället utgick från att det fanns personuppgifter på stickan. Utredningen får visa detaljerna och exakt vad som hände. Något datum för när granskningen ska vara klar finns ännu inte.

– Vi ser det som allvarligt om man inte har kontroll på personuppgifter oavsett exakt på vilket sätt de lagras. Sedan får utredningen visa de exakta omständigheterna. I det här läget vill vi inte spekulera kring vad som har hänt, säger Sebastian Tabrizzi.

Att ett sådant här register kommer på villovägar är allvarligt ur flera aspekter. Uppgifterna rör människor i utsatta situationer – personer som redan har svårt att tillvarata sina rättigheter. Uppgifterna kan i fel händer användas för ekonomisk brottslighet, identitetsintrång eller andra former av utnyttjande. För de berörda handlar det om integritetskänsliga uppgifter som skulle kunna få allvarliga konsekvenser om de hamnade hos obehöriga.

Händelsen sätter också ljuset på en bredare problematik inom offentlig sektor. Under de senaste åren har flera svenska myndigheter fått kritik för bristande informationssäkerhet. Det mest uppmärksammade exemplet är Transportstyrelsens hantering av hemliga uppgifter, men även kommuner och regioner har vid upprepade tillfällen uppmärksammats för brister i hanteringen av personuppgifter. En återkommande svaghet är just användandet av lösa medier som USB-minnen utan kryptering.

Enligt dataskyddsförordningen (GDPR) är verksamheter skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter. Att lagra känsliga personuppgifter okrypterat på ett flyktigt minne är i praktiken att betrakta som en brist i denna skyldighet. Integritetsskyddsmyndigheten har i flera tidigare beslut varit tydliga med att kryptering är en miniminivå för att skydda uppgifter som lämnar en kontrollerad miljö.

För Stockholms stads del har händelsen redan fått konsekvenser. Överförmyndarförvaltningen har sett över sina rutiner för att undvika att något liknande sker igen, enligt Klingvall. Stockholms stad är Sveriges största kommun och förvaltningen ansvarar för en av de mest utsatta grupperna i samhället. Att uppgifterna nu är återfunna innebär dock inte att ärendet är avslutat. Den externa granskningen ska nu fastställa vad som faktiskt hände – och hur uppgifterna kunde lämna verksamheten utan att någon märkte det. För de tusentals personer som omfattas av registret lär det dröja innan oron lagt sig.