En mail til 18 personer, synlig for alle 18
Metropolitan Police Service (MPS) sendte en mail for at advare 18 personer med tilknytning til det britiske parlament om en ændring af en mistænkts kautionsdato, og afslørede dermed for hver enkelt, hvem de andre 17 var.
Modtagerne havde i 2024 og 2025 været mål for en person, der brugte WhatsApp-beskeder til at indsamle kompromitterende materiale om dem, en sag som Information Commissioner's Office (ICO), den britiske databeskyttelsesmyndighed, kalder "Honeytrap-sagen". En MPS-betjent satte hver mailadresse i feltet "Til" i stedet for et skjult felt, så alle kunne se navn og adresse på alle de andre. Selve mailteksten forklarede ikke tydeligt årsagen til kontakten, men konteksten alene gjorde det muligt at udlede meget følsomme oplysninger om hver berørt person.
Det andet databrud var værre: en stalking-ofres nye adresse
En anden fejl hos MPS, undersøgt i samme sag, satte igen en stalking-offer i fare over for den person, hun var flygtet fra.
En betjent, der forkyndte dokumenter i en sag om en Stalking Protection Order, undlod at redigere fortrolige oplysninger om tredjeparter, før de blev udleveret til den tiltalte. Papirerne afslørede ofrets nye adresse og telefonnummer samt navne og kontaktoplysninger på tre vidner. Ofret havde netop ændret begge dele på grund af den risiko, tiltalte udgjorde. Han kontaktede hende senere på det nye nummer og fortalte, at han havde fået hendes nye oplysninger fra MPS selv.
Ikke enkeltstående fejl: hvad ICO fandt bagved
ICO's undersøgelse viste, at begge databrud havde samme grundlæggende årsag: svag efterlevelse af træningskrav, mangelfuld kontrol og styring, ikke to uheldige enkeltfejl.
Betjenten, der sendte gruppemailen, havde ikke gennemført obligatorisk databeskyttelsestræning i over fire år, og den leder, der skulle have opdaget fejlen, havde næsten lige så længe været uden træning. MPS erkendte selv, at gennemførelsesraterne for den obligatoriske Managing Information-træning var for lave i hele styrken. I stalking-sagen fandt ICO også, at de involverede betjente ikke havde fået den specialiserede træning, der kræves til dokumenter om Stalking Protection Order, og at processen for at forberede og kontrollere dokumenterne var utilstrækkelig.
Løsningen enhver virksomhed kan kopiere i dag
ICO pålagde MPS at rette op på træning, kontrol og styring inden for tre og tolv måneder, og den mest nyttige lære for enhver anden organisation ligger i, hvad ICO ikke gjorde: den accepterede ikke et politikdokument som bevis for, at problemet var løst.
MPS havde allerede indført et adfærdsværktøj, der advarer medarbejdere, når en mail er ved at blive sendt til flere eksterne modtagere, netop den type sikkerhedsforanstaltning, som de fleste virksomheders mailplatforme allerede tilbyder deres administratorer, og som blot ikke er slået til. Enhver virksomhed, der sender gruppemails til kunder, patienter eller sagskontakter, inden for hr, sundhed, jura eller professionelle tjenester, bærer nøjagtig den samme risiko, som MPS lige har demonstreret: én person, der glemmer at bruge et skjult felt, og en leder, der aldrig kontrollerede det. Én detalje er værd at bemærke for læsere i den private sektor, ikke offentlige myndigheder: ICO gav her en irettesættelse og et påbud, ikke en bøde, i tråd med sin erklærede tilgang om sjældent at bøde offentlige myndigheder, da en bøde blot flytter penge mellem dele af staten. En privat virksomhed med samme fejl ville ikke få samme behandling. I Danmark håndhæver Datatilsynet det samme fortrolighedsprincip i artikel 5, stk. 1, litra f, i databeskyttelsesforordningen, uanset om den dataansvarlige er en offentlig myndighed eller en privat virksomhed.
Læs videre: EU omskriver GDPR | Går Dit Firma Konkurs, Bliver Dine Mails Solgt
