Apper kan ha hatt uautorisert tilgang til person­opplysninger i ti år

Eksterne, ikke-godkjente applikasjoner kan ha hatt tilgang til personopplysninger om ansatte og studenter ved Universitetet i Oslo (UiO) i en periode på over ti år, melder Universitas.

Omtrent 17.000 UiO-brukere skal ha samtykket til at tredjepartstjenester som  universitetet ikke har godkjent, har fått tilgang til data. 

UiO har sendt inn en avviksmelding til Datatilsynet som Universitas har sett. 

Kan ha lest e-post

Studenter og ansatte kan knytte applikasjoner til sin Microsoft365-bruker, hvor applikasjonene kan få tilgang til brukernes data. UiO har ikke hatt rutiner for å godkjenne at tredjepartstjenester får tilgang til data som er lagret ved universitetet etter at brukere har lastet ned applikasjoner.

Studenter og ansatte kan benytte seg av rundt 1400 tjenester som har tilgang til brukernes data. Flere av disse er godkjent av UiO, men langt fra alle. Noen applikasjoner skal ha fått lese- og skriverettigheter til brukernes e-post, Teams og Sharepoint. 

Sperrer tjenester

— Per dags dato foreligger det ingen opplysninger som tilsier at dataene er misbrukt eller distribuert videre av tjenesteleverandørene som er omfattet i avviket, står det i avviksmeldingen til Datatilsynet. 

UiO har kartlagt og varslet brukere som har gitt tilgang til eksterne applikasjoner som ikke er godkjente. De fikk tid til å hente ut dokumenter de trengte, og etterpå sperret UiO muligheten for å logge på. 

Skal brukerne nå knytte tjenester til Microsoft356, må administrator godkjenne det.