Според норвежкия надзорен орган университетът не е предприел подходящи мерки за защита на сигурността на личните данни при използването на Microsoft Teams
Норвежкият орган за защита на данните Datatilsynet наложи глоба от 150 000 норвежки крони на Университета Агдер (UiA) за нарушение на Регламента относно защитата на личните данни (GDPR). Университетът не е въвел подходящи мерки за защита на сигурността на личните данни при използването на Microsoft Teams.
През февруари 2024 г. служител на UiA открива, че документи с лична информация са били съхранявани в отворени папки на Teams, до които служителите са имали достъп, без да е „необходимо да знаят“. Университетът започна да използва Microsoft Teams през август 2018 г. и нарушението започва още тогава.
Личната информация е била достъпна в системата и служителите са имали възможност да получат достъп чрез търсене в отворени папки. Нарушението на данните обхваща документи с лични данни за служители, студенти и външни лица. Засегнати са около 16 000 субекта на данни.
Информацията включва имена, национални идентификационни номера, информация за насрочени изпити, брой опити за изпити и специални договорености. Достъпни са и данни на бежанци.
В повечето случаи само служители на UiA са имали достъп. От университета се изисква да гарантира, че служителите нямат достъп до лична информация, от която нямат нужда служебно. Това означава наличие на добри процедури и обучение на служителите за защита на личните данни в системите, използвани от университета. Освен това има задължение за създаване на системи за регистриране и последващ контрол, които дават възможност за откриване на отклонения, пише в сайта на Datatilsynet.
Надзорният орган в решението си отбелязва, че са предприети мерки за спиране на съществуващата практика веднага след откриването на нарушението.
При оценката на размера на глобата Datatilsynet отчита, че UiA бързо осигурява проверката на наличните лични данни и информира субектите на данни. UiA бързо съобщава за несъответствието и сътрудничи на надзорния орган за защита на данните.
Санкцията е съобразена и с факта, че голямо количество лични данни са били достъпни за 1200 служители без необходимост за период от шест години. Нарушението разкрива липса на обучение и неясни процедури при защита на лични данни в Microsoft Teams.