Franske skattedata stjålet, og ikke ett passord: nettopp det gjør saken farlig

Hva som kom ut

• Skatteopplysninger: skattemessig referanseinntekt, familiekvotient, sats for forskuddstrekk, foretaksnummer og foretaksnavn.
• Matrikkelopplysninger: adresser og arealer på eiendommer.
• Brukernavn og passord ser ikke ut til å være berørt.

Den siste linjen pleier å berolige, og her er den problemet. Uten innloggingsopplysninger kommer ingen inn på andres konto; med inntekt, familiekvotient, sats og eiendomsadresse skriver man en melding som vet mer om en person enn bankens egen. Det er førsteklasses phishing-materiale, og tilsynet sier det rett ut blant anbefalingene: vær skeptisk til enhver «hastende» henvendelse på e-post eller telefon bygget på disse opplysningene.

Setningen som angår enhver som er personvernombud

«Tilsynet kan gjennomføre undersøkelser på dokumenter eller på stedet for særlig å kontrollere om sikkerhetstiltakene som er på plass, er i samsvar med gjeldende teknisk nivå innen informasjonssikkerhet.» Ikke «om det fantes en rutine», ikke «om det var et personvernombud»: om tiltakene holdt gjeldende teknisk nivå på det tidspunktet.

Det er målestokken i artikkel 32, og den bevises med datoer. En liste over tiltak uten dato for innføring og uten dokumentet som viser dem, holder ikke i en slik kontroll: ingen kan i ettertid fastslå hva som gjaldt i august og hva som ble lagt til i september.

Tilsynet legger til at et eventuelt gebyr kan ramme behandlingsansvarlige <strong>og databehandlere</strong>. Den som leverer tjenester til en forvaltning, er ikke skjermet fordi navnet i avisen er oppdragsgiverens.

Ingen individuelle klager

Tilsynet behandler allerede saken og ber om at det ikke sendes individuelle klager om den, med mindre man har konkrete opplysninger som er nyttige for etterforskningen. Et praktisk poeng å gi videre til en kunde før vedkommende bruker tid på en klage som blir lagt til side.