Skat-datalæk: 73.000 beskyttede adresser blev eksponeret

Sagen om Skats massive datalæk fortsætter med at rulle. Nye oplysninger afsløret af Version2 viser, at hele 73.000 danskere med beskyttet adresse – altså borgere, der aktivt har skjult deres bopæl af sikkerhedsmæssige årsager – fik deres adresseoplysninger eksponeret i lækket.

"Nogle sager er så vilde, det er svært at sætte ord på," lyder det ifølge Version2 fra en af dem, der kender sagen indgående.

Hvad skete der?

Skat sendte over en årrække store mængder persondata til eksterne samarbejdspartnere uden tilstrækkelig kontrol med, hvem der egentlig havde adgang til oplysningerne. I det konkrete tilfælde med de 73.000 beskyttede adresser er der tale om særligt sårbare borgere: mennesker, der har valgt at skjule deres adresse, fordi de er ofre for stalking, vold eller forfølgelse.

For disse borgere er en adresseafsløring ikke blot en formel persondataovertrædelse. Det kan være livsfarligt.

Teknisk svigt på flere niveauer

Set fra et teknisk perspektiv er sagen en lærebogssag i, hvad der sker, når databeskyttelse ikke er bygget ind i systemerne fra starten – det man i fagsprog kalder "privacy by design".

I stedet for at filtrere beskyttede adresser fra automatisk, inden data blev sendt videre, skete der åbenbart ingen tilstrækkelig kontrol. Det vidner om manglende dataklassifikation, utilstrækkelig adgangsstyring og fraværet af automatiserede sikkerhedstjek i datapipelinen.

Det er præcis den slags fejl, som GDPR-lovgivningen fra 2018 skulle forhindre – men som altså stadig sker i 2026 hos en af landets største offentlige myndigheder.

Hvad kan du selv gøre?

Har du beskyttet adresse eller kender nogen, der har, er det nu vigtigt at:

• Kontakte Skat direkte og bede om at få bekræftet, om dine oplysninger er en del af lækket
• Anmelde til Datatilsynet hvis du mener dine rettigheder er krænket
• Overveje ekstra sikkerhedstiltag som ikke at oplyse adresse i sammenhænge, hvor det ikke er strengt nødvendigt
• Søge rådgivning hos eksempelvis Hjem til dig-netværket eller Danner, der arbejder med beskyttelse af udsatte borgere

Hvem har ansvaret?

Det store spørgsmål er naturligvis: hvem drages til ansvar? Datatilsynet er involveret, og der kan være tale om bøder til Skat. Men for de 73.000 berørte borgere er en bøde til staten kun en meget lille trøst.

Sagen understreger nødvendigheden af, at offentlige myndigheder tager databeskyttelse alvorligt – ikke som en compliance-øvelse, men som en grundlæggende forpligtelse over for de borgere, de er sat i verden for at beskytte.

Det er ikke acceptabelt, at folk, der allerede er sårbare nok til at have skjult deres adresse, nu risikerer at blive fundet af præcis dem, de gemte sig for.