Bredbandsbolagets rutiner för att hantera kunders personuppgifter
Med anledning av ett utskick innehållande användarnamn och lösenord vill Bredbandsbolaget förtydliga företagets rutiner för säkerheten kring dessa uppgifter. Bredbandsbolaget har med anledning av händelsen gjort en genomgång av rutinerna för hantering av kunders användarnamn och lösenord. I stort fungerade rutinerna väl men vi har kunnat identifiera möjligheter till förbättring. Från och med nu lagras lösenord enbart krypterat efter aktivering av tjänsten och inte som tidigare i vissa fall både krypterat och i klartext.

• Bredbandsbolaget följer lagen vilket bland annat innebär att personuppgifter hanteras på ett säkert sätt. Alla kunders lösenord lagras krypterade.
• Nya kunder får sina inloggningsuppgifter tillsända i klartext per brev. Efter aktivering av tjänsten raderas lösenordet i klartext och lagras enbart krypterat. Bredbandsbolaget rekommenderar alla nya kunder att på egen hand på Bredbandsbolagets webbplats byta till ett nytt lösenord. Det kan göras redan innan tjänsten aktiveras. Lösenordet lagras då krypterat.
• Den kund som glömt sina inloggningsuppgifter får ett helt nytt lösenord utdelat efter en identifikationsrutin. Det nya lösenordet lagras enbart i krypterad form.
• Endast ett fåtal personer har access till databasen med användarnamn och krypterade lösenord. Det är till exempel systemförvaltare som arbetar med att åtgärda fel i produktionsmiljön. Bredbandsbolagets systemchef fattar beslut om vilka personer som ska ha access till databasen och varje person med access måste skriva under ett avtal om säkerhetsrutiner.
• Vid produktion av brev innehållande användarnamn och lösenord till nya kunder och brev till kunder som behöver nya, autogenererade lösenord lämnas personuppgifter ut till tryckeri via en säker överföring. Uppgifterna raderas efter användning. Varje extern leverantör som kan komma i fråga ska skriva under ett avtal om korrekt hantering av användaruppgifter.
• Alla försändelser som går ut från Bredbandsbolaget granskas och godkänns av ett redaktionsråd, bland annat med avseende på personlig integritet.
• Alla anställda på Bredbandsbolaget, även de som inte har access till databasen med personuppgifter, ska vara väl förtrogna med företagets rutiner för att skydda kunders personliga uppgifter och ska gå igenom säkerhetsrutinerna vid nyanställning och därefter minst en gång per år.