Kundeoplysninger på hjemmeside

I sommeren 2002 var der i bladet ComputerWorld adskillige artikler om, at kundeoplysninger havde været tilgængelige på en internetbutiks hjemmeside.

Den pågældende butik havde indgået i Forbrugerombudsmandens sikkerhedsundersøgelse af udvalgte betalingssystemer på internettet, som var gennemført i 2001. Undersøgelsen er omtalt i Juridisk Årbog 2001 side 85-87.

Det konsulentfirma, der havde forestået undersøgelsen for Forbrugerombudsmanden, havde i sin rapport om den pågældende internetbutik bl.a. bemærket, at kunde/ordredata lå ukrypteret på web-butikkens database i op til et år efter, at kunden havde indlagt en ordre. Dataene var ikke beskyttet med firewall eller lignende mod indtrængere, der havde tiltvunget sig adgang til netserveren.

Det blev i øvrigt bemærket, at købsordre blev indgivet i en ubeskyttet (ukrypteret) session, og at de indgivne købsordrer blev sendt ukrypteret via internettet til selskabets system med henblik på ekspedition.

Butikken havde i forbindelse med opfølgningen på undersøgelsen over for Forbrugerombudsmanden oplyst, at man mente at have fulgt konsulentfirmaets anbefalinger om bedre sikkerhed.

Efter presseomtalen tog Forbrugerombudsmanden atter spørgsmålet om sikkerhed op over for butikken. Samtidig undersøgte Datatilsynet, om reglerne om beskyttelse af persondata var overtrådt.

Butikken erkendte, at det i to tilfælde havde været muligt for uvedkommende at få adgang til andre kunders ordrer, at der i to tilfælde havde været brist to forskellige steder i butikkens systemer, men at der straks var taget skridt til at få problemerne løst.

Datatilsynet udtalte i sin afgørelse, at butikken havde tilsidesat sin forpligtelse efter persondatalovens § 41, stk. 3, til som dataansvarlig at etablere passende sikring mod, at oplysninger kommer til uvedkommendes kendskab. Tilsynet fandt dette kritisabelt og forudsatte, at butikken ville træffe de nødvendige foranstaltninger til fremover at sikre kundeoplysninger i overensstemmelse med persondataloven.

Butikken oplyste efterfølgende over for Forbrugerombudsmanden, at hjemmesiden nu var lagt over på en ny server hosted af en anerkendt internetudbyder, og at der var etableret firewall. Ligeledes skete kommunikation nu over krypterede linjer.

Forbrugerombudsmanden tog dette til efterretning.