Lad os nu få proportionerne på plads i al den snak om behovet for it-sikkerhed i virksomheder. Det er jo fortsat langt farligere at gå en tur på havnen eller køre cykel i morgentrafikken.
Den overraskende melding kommer fra topadvokaten Martin von Haller Grønbæk, efter at Dansk It har foreslået større beføjelser til Datatilsynet.
"Mig bekendt er der endnu ikke nogen, der er døde eller har måttet gå fra hus og hjem på grund af manglende it-sikkerhed," siger Martin Grønbæk.
Martin Grønbæks udtalelser kommer som en reaktion på et nyt forslag fra brancheforeningen Dansk IT. Datatilsynet bør kunne straffe virksomheder med bøder, hvis der bliver fundet kritisable forhold i it-sikkerheden, mener Dansk It. Ligesom man kender det fra Fødevarestyrelsens kontrolbesøg, hvor en dårlig egenkontrol kan udløse en kontant straf.
Denne udvikling med et krav til virksomheder om et stigende sikkerhedsniveau er Martin Grønbæk nu ikke enig i:
"Der er en tendens til på it-sikkerhedsområdet hele tiden at kræve et højere sikkerhedsniveau uden at tage hensyn til de samfundsmæssige og virksomhedsmæssige omkostninger, investeringerne vil medføre," siger Martin Grønbæk.
Sikkerhedskrav drives af hypoteser
Martin von Haller Grønbæk mener, at kravene om højere sikkerhedsniveauer i forbindelse med databehandling er uforholdsmæssigt store og bunder i automatreaktioner fra politikerne, når der i pressen rapporteres skræmmehistorier om afpresning.
Ofte er disse skræmmehistorier fremsat af it-sikkerhedsindustrien, der har en naturlig interesse at sælge flere it-sikkerhedsløsninger, påpeger advokaten.
"Det er hele tiden hvis og hvis, men hvor mange har vi konstateret eller blot hørt om, som rent faktisk er blevet afpresset på grund af f.eks. lækkede sygehusjournaler? Nogen bliver det måske en dag, men det er også problematisk, at folk kan falde i havnen, fordi kajen ikke er skærmet af, eller at folk dør i trafikken. Betyder det så, at alt skal lukkes af?," siger Martin von Haller Grønbæk.
Hver gang man skruer endnu en tak op for kravene til it-sikkerhed, sker det ofte med risikoen for, at kun de store virksomheder har ressourcerne til det, mens de små, innovative virksomheder må dreje nøglen om, mener Martin von Haller Grønbæk.
Datatilsynet bør styrkes med flere ressourcer
Dansk IT foreslår, at pengene fra de inddrevne bøder kunne gå i Datatilsynets kasse for at styrke tilsynet med den danske it-sikkerhed.
Både brancheforeningen og it-advokaten er enige om, at Datatilsynet godt kunne bruge flere penge til sit arbejde.
"Datatilsynet har i dag ikke ressourcer til at tage sager op af egen drift, så der er herhjemme reelt ingen, der kontrollerer danske virksomheders it-sikkerhed," siger direktør Per Andersen, Dansk It.
Men hvor Dansk It ønsker straf i form af bøder, hælder Martin Grønbæk mere til, at Datatilsynet også kunne bruge sine kompetencer til at støtte virksomhederne, når der er brug for det.
"Datatilsynet kunne med flere ressourcer mere proaktivt forklare og vejlede virksomheder om på, hvordan de skal forholde sig til nye former for databehandling overfor persondataloven, og med flere ressourcer til Datatilsynet kunne ekspeditionstiden nedsættes," siger Martin Grønbæk.
På den seneste finanslov fik Datatilsynet tildelt 22,2 millioner kroner, hvilket er en lille nedgang i forhold til året før.
EU varsler strengere straffe
I dag er den største bøde, som en sag fra Datatilsynet har medført, på 25.000 kroner. Til sammenligning har det britiske datatilsyn netop udskrevet en bøde på knap to millioner kroner for lemfældig omgang med personlige data i fængsler.
Et niveau, vi måske skal vænne os til i Danmark, hvis den nye EU-lovgivning vedrørende datasikkerhed vedtages næste år. EU vil tillade en bøderamme på op til 750 millioner kroner eller fem procent af en virksomheds internationale omsætning.
Læs også:
Disse organisationer er blevet politianmeldt af Datatilsynet
