Vy buss lagret helseinfo om barn for dårlig i tre år

Navn og helseopplysninger om inntil 86 barn med avtale om skoleskyss har ligget for dårlig sikret internt hos Vy buss i Møre og Romsdal.

Siden august 2021 har Vy buss lagret en rekke opplysninger om barn i et stort Teams-område med for dårlig tilgangsstyring. Det opplyser de selv i en avviksmelding til Datatilsynet som NTB har fått innsyn i.

Vy opplyser at det gjelder mellom 31 og 86 barn som fra høsten 2021 til slutten av 2024 hadde fast eller midlertidig vedtak om tilrettelagt skoleskyss.

Selskapet har ikke varslet barn eller foresatte om avviket, og mener det ikke er tegn på at noen har misbrukt eller lekket opplysningene.

Navn, adresse, kontaktinfo, helseopplysninger og status på foreldrene er blant opplysningene som har vært lagret om barna. Videre har det stått om barna hadde nedsatt syn, behov for rullestol eller krykker, behov for assistent og flere bosteder.

Opplysningene har vært tilgjengelig for 118 personer i Teams-området. Kun sju hadde faktisk behov for opplysningene. Informasjonen har vært brukt til å planlegge og koordinere skoleskyss-tjenesten.

– Vi begrenset tilgangene umiddelbart etter at dette ble oppdaget, til de sju lederne og ansatte som i sine oppgaver trenger å se disse opplysningene, skriver kommunikasjonssjef Åge-Christoffer Lundeby i Vy til NTB.

Han legger til at de har gått gjennom rutiner for tilgangsstyring for å hindre at feilen kan skje igjen.

Lundeby opplyser at ingen eksterne har hatt tilgang til opplysningene.

– Det er ikke avdekket at noen av de 118 medlemmene har hentet ut opplysninger som de ikke har hatt behov for i sitt arbeid, sier Lundeby.

Vy har hatt tilgang på opplysningene for å planlegge skoleskyss av elever med behov for tilrettelegging, på oppdrag for Møre og Romsdal fylkeskommune.

Lagringen av personopplysningene ble oppdaget i en intern gjennomgang og meldt til Datatilsynet. Vy buss har foreløpig ikke mottatt svar fra Datatilsynet i saken.

(NTB)