Kommunens leverantör av arbetsmiljösystem utsatt för cyberangrepp

Eskilstuna kommun använder system för administration av bland annat sjuk- och friskanmälan, arbetsmiljöärenden som riskbedömningar samt registrering av tillbud och arbetsskador.

Systemet tillhandahålls av Miljödata i Karlskrona AB (”Miljödata”), och informationen som finns i systemen lagras på Miljödatas servrar.

Utifrån den information som vi tagit del av från Miljödata rör det sig om cirka 45 000 personer totalt, vilket innebär att samtliga nuvarande och tidigare anställda omfattas.

Informationen om anställda utgör personuppgifter enligt dataskyddsförordningen (”GDPR”). Personuppgiftsansvariga enligt GDPR är kommunens nämnder var för sig i förhållande till sina respektive anställda. Miljödata är i detta sammanhang personuppgiftsbiträde.

Detta har hänt

Måndagen 25 augusti informerade Miljödata om att deras system hade utsatts för ett cyberangrepp. De inledde omedelbart åtgärder för att förhindra vidare angrepp och för att utreda konsekvenserna.

Kommunen anmälde händelsen som en personuppgiftsincident till Integritetsskyddsmyndigheten (IMY) tisdagen 26 augusti Enligt GDPR är personuppgiftsansvariga skyldiga att informera de personer vars uppgifter berörs vid allvarligare incidenter, vilket är bakgrunden till denna information.

På kvällen tisdagen 2 september fick Eskilstuna kommun besked från Miljödata om att hotaktören stulit viss information om nuvarande anställda samt personer som haft men avslutat sin anställning.

Fredag eftermiddag 5 september fick Eskilstuna kommun ytterligare information om uppgifterna som nu har analyserats.

Vilka uppgifter har angriparen kommit över?

Det handlar om följande kategorier av personuppgifter:

• Personnummer
• För- och efternamn
• Kön
• Telefonnummer kopplad till arbetet, i vissa fall privata telefonnummer
• Första anställningsdag
• E-postadress kopplad till arbetet, i vissa fall privata e-postadresser
• Folkbokföringsadress
• Uppgift om antal sjukdagar om de varit 15 eller fler dagar (långtidssjukskrivning)

Specifika uppgifter om hälsa, såsom sjukdomsorsak, läkarintyg, planer för återgång i arbete eller anteckningar från chef, har inte röjts enligt vad Miljödatas utredning hittills visar. Skulle det framkomma ytterligare information kommer denna att uppdateras.

Uppgifter som sjukdagar avser inte förtroendevalda.

För personer med skyddade uppgifter har enbart personnummer och e-post kopplad till arbetet röjts.

Det här behöver du som berörd känna till

Bedömningen är att du som konsekvens av det inträffade riskerar att drabbas av att de stulna uppgifterna om dig används på ett bedrägligt sätt och/eller att uppgifterna samkörs med andra uppgifter som angriparen eller annan obehörig utomstående har om dig. Det är tyvärr omöjligt att bedöma sannolikheten av att sådana konsekvenser faktiskt inträffar.

Miljödata har uppgett att de har vidtagit tekniska åtgärder som innebär en fullständig genomlysning av sin IT-miljö. Händelsen är polisanmäld av Miljödata, som också har haft samarbete med IMY och Myndigheten för samhällsskydd och beredskap (MSB) i saken.

Vad gör vi framåt?

Vi ser över våra rutiner och avtal för att ytterligare stärka säkerheten kring hantering av personuppgifter.

Vart kan du vända dig?

• Nuvarande medarbetare uppmanas att i första hand vända sig till sin chef.
• Tidigare anställda kan under september månad kontakta Eskilstuna kommun på telefon 016-710 55 65 (öppet måndag–fredag kl. 09.00–11.00) för att ställa frågor om incidenten.
  Det går också bra att nå oss på e-post: incident2508@eskilstuna.se
• Dataskyddsombud (DSO) för Eskilstuna kommun nås på e-post: dso.eskilstuna@jpinfonet.se