Fingeravtrykk i alle kommuner?

Alle kommuner behandler sensitive personopplysninger, for eksempel opplysninger om helse, i sitt datasystem. Spørsmålet mange har stilt seg er derfor om samtlige norske kommuner som følge av vedtaket må skaffe seg en sikkerhetsløsning som benytter fingeravtrykk i påloggingen.

Personvernnemnda har imidlertid overfor Datatilsynet understreket at vurderingene vedtaket bygger på, er konkrete og knyttet til Tysvær kommune og den bestemte løsningen de har valgt å benytte. Det kan derfor ikke sluttes at alle kommuner må benytte fingeravtrykk.

Den viktigste konsekvensen man kan trekke ut av nemndas vedtak, er at det ikke er forbudt å benytte fingeravtrykk i de tilfeller dette er nødvendig for sikker identifisering. Nemnda har valgt å tolke loven slik at fingeravtrykk kan brukes både for å finne ut hvem som logger seg på maskinen (brukerID) og som passord (autentisering).

Hver enkelt kommune må foreta risikovurderinger i forhold til egen behandling av personopplysninger. Risikovurderingene er avgjørende for hvilket nivå av sikkerhet som anses som nødvendig for å sørge for at personopplysningene i datasystemet er beskyttet mot at uvedkommende får adgang til dem (konfidensialitet), og at kun autoriserte personer kan endre dem (integritet), samtidig som opplysningene er tilgjengelig for dem som har et tjenestelig behov for dem. Spørsmål om hvilken påloggingsløsning man skal velge, er bare ett av de mange spørsmål kommunen må vurdere i denne sammenhengen. Risikovurderingene vil ikke gi samme resultat i hver kommune, og derfor vil heller ikke sikkerhetskravene være de samme for enhver kommune.

Om det er nødvendig å bruke fingeravtrykk i påloggingen, vil avhenge av en rekke faktorer. Det kan blant annet komme an på dataløsningen kommunen har valgt. Noen løsninger baserer seg på fingeravtrykk, enten alene eller sammen med andre faktorer, som bruker-ID eller passord. Andre systemer baserer seg på kombinasjon av faktorer, som smartkort, bruker-ID og passord, uten å inkludere fingeravtrykk. Datatilsynets generelle betraktning er at en kombinasjon av flere faktorer som regel gir bedre sikkerhet enn bruk av bare én faktor i påloggingen.

Man må også huske på at det finnes både gode og dårlige løsninger som baserer seg på fingeravtrykk. Det er ikke gitt at enhver fingeravtrykksleser vil gi sikrere pålogging enn brukernavn og passord. Kommunen må selv vurdere hva som gir tilfredsstillende sikkerhet, sett hen til kommunens egen risikovurdering.

Kommunens risikovurdering kan komme til å vise at det må stilles ulike krav til de forskjellige maskinene kommunen disponerer, avhengig av hvordan de skal brukes. Hvis det behandles sensitive personopplysninger, blir kravet til sikkerhet større enn om det ikke behandles sensitive personopplysninger. Hvis kommunen ikke benytter bærbare datamaskiner, vil det ha betydning for valg av sikkerhetsløsning. Det samme gjelder hvis eventuelle bærbare datamaskiner ikke benyttes til å behandle sensitive personopplysninger.

Kommunens risikovurdering kan tilsi at bruk av fingeravtrykk alene ikke gir god nok sikkerhet, og at man må bruke andre faktorer, som for eksempel passord eller smartkort i tillegg.

Datatilsynet har i lang tid anbefalt bruk av to virkemidler for autentisering, der man har tilgang til sensitive personopplysninger fra ukontrollerte områder. Tilsynet ser ikke grunnlag for å fravike denne anbefalingen, selv om det ene virkemidlet nå kan være fingeravtrykk.

Datasikkerhet er et dynamisk begrep. Derfor stiller personopplysningsloven krav om at datasikkerheten gjennomgås og revideres ved behov. Det kan derfor heller ikke sluttes fra vedtaket at løsningen Tysvær kommune har valgt, vil være nødvendig eller tilstrekkelig over tid. Dette avhenger både av kommunens bruk av maskinene og av hvilke andre løsninger som etter hvert kommer på markedet. Konklusjonen er etter dette at Personvernnemndas vedtak ikke medfører at alle kommuner må innføre fingeravtrykk ved pålogging til datasystemet, selv om det kan brukes, når det er nødvendig. Det må avgjøres konkret med utgangspunkt i kommunens risikovurdering om det er nødvendig.

Ytterligere informasjon om bruk av fingeravtrykk finnes på Datatilsynets nettsted: www.datatilsynet.no.

Skrevet av: Helge Veum