Digitaliseringsstyrelsen i brøler: Julie fik adgang til fremmeds følsomme papirer

Digital Post er den digitale postkasse, som stort set alle danskere er tvunget til at bruge, når det offentlige sender breve om alt fra skat til sygesikring. Systemet driftes af Digitaliseringsstyrelsen og bygger på et princip, der burde være ufravigeligt: du kan kun se dine egne dokumenter. Den garanti holdt ikke i august.

En kvinde, som i sagen omtales som Julie, loggede ind for at hente et helt almindeligt personligt dokument. I stedet for sin egen postkasse fik hun adgang til en fremmed borgers arkiv — med følsomme oplysninger, heriblandt helbredsoplysninger, som aldrig var tiltænkt hendes øjne.

Det er præcis den slags fejl, der får it-nørder til at tage sig til hovedet. Adgangskontrol — altså sikringen af, at bruger A kun kan se data tilhørende bruger A — er et af de mest grundlæggende principper i systemdesign, især når systemet håndterer personfølsomme data i stor skala. At det fejler i en løsning, som hele befolkningen er pålagt at bruge, er ikke en detalje. Det er en systemisk brist.

Ni borgere ramt — og en underlig håndtering

Sagen er ikke isoleret til Julie. I alt ni borgere har oplevet lignende utilsigtet adgang til andres digitale post. Det tyder på, at fejlen ikke er en enkeltstående fluke, men noget der ligger dybere i den måde, systemet matcher brugere med data på — muligvis i en session- eller cache-mekanisme, der under bestemte omstændigheder blander identiteter sammen.

Ifølge sagens oplysninger blev Julie, i stedet for at få lukket ned for adgangen med det samme, bedt om selv at undersøge og lede videre i de fremmede dokumenter for at kortlægge omfanget af fejlen. Uanset hensigten er det en håndtering, der forlænger bruddet på den fremmede borgers privatliv i stedet for at begrænse det — den mest basale regel ved en databrist er at lukke hullet først og undersøge bagefter, ikke omvendt.

Styrelsen tier

Digitaliseringsstyrelsen har undskyldt for sin håndtering af sagen, men har ellers været tavs. Ifølge journalisten bag afsløringen har han været i dialog med styrelsen i over en uge uden at få svar på den rejste kritik. Heller ikke vicedirektør Agnes Egsgaard, der har ansvaret for Digital Post, har villet forholde sig direkte til den berørte borgers oplevelse.

Den tavshed er et problem i sig selv. Når en offentlig it-løsning, som borgerne ikke kan fravælge, fejler på sin mest grundlæggende sikkerhedsgaranti, er en undskyldning uden konkret forklaring ikke nok til at genoprette tilliden. Borgerne har ikke mulighed for at vælge et andet system — Digital Post er obligatorisk — og derfor hviler et ekstra ansvar på styrelsen for at være gennemsigtig om, hvad der gik galt, og hvordan det lukkes.

Et mønster af tillidsbrud

Sagen føjer sig til en række af sager, hvor offentlige it-systemer har vist sig sårbare over for adgangs- og datafejl, der rammer borgernes mest følsomme oplysninger. Hver gang det sker, undergraves den grundlæggende antagelse, som hele den digitale forvaltning bygger på: at borgerne trygt kan aflevere deres data til staten, fordi staten kan garantere, at kun de rette øjne ser dem.

Uden konkrete svar på, hvordan fejlen i Digital Post kunne opstå, og hvilke tekniske ændringer der er lavet for at forhindre gentagelse, risikerer sagen at blive endnu et eksempel på, at digitaliseringen af den offentlige sektor går hurtigere end evnen til at sikre den ordentligt.