En novembermorgen sidste år dukker en mand op på 4kløverskolen i Ørbæk på Fyn.
Fra hans bukselomme hænger et id-kort påtrykt Nyborg Kommunes byvåben, der identificerer ham som værende ansat i kommunens afdeling for skole-IT.
Skolelederen står på gangen og er netop blevet færdig med at tale med et par elever, da han bliver kontaktet af manden. Manden siger til skolelederen, at der er opdaget et datalæk på 4kløverskolen, og at han derfor akut er sendt af sted af kommunens it-chef for at finde kilden og stoppe lækket.
Kamera skjult i taske
Skolelederen kan ikke kende manden og forsøger derfor at få fat på Nyborg Kommune for at bekræfte mandens identitet. Imens taler manden med 4kløverskolens it-vejleder, undersøger skolens antivirusprogram og får fremvist kontorets printere.
Under armen holder han en taske, som hele tiden peger i retning af de medarbejdere, han taler med.
Senere skal det vise sig, at mandens id-kort er falsk. At tasken gemmer på et skjult kamera, som optager alt, hvad der foregår omkring ham. Og at han i virkeligheden er ansat i et sikkerhedsfirma, der er hyret af Nyborg Kommune.
Kommunen har sendt ham undercover for at undersøge, om skolens medarbejdere kan narres til at give adgang til personfølsomme oplysninger – og dermed overtræde EU's nye persondataforordning.
Beskrivelsen af forløbet fremgår af en række interne mails fra kommunen, som DR Nyheder er kommet i besiddelse af.
Hele aktionen er altså en test, der skal finde svagheder i, hvordan kommunens medarbejdere passer på personfølsomme oplysninger. Men metoden vækker forargelse i Skolelederforeningen, der repræsenterer landets skoleledere.
- Det er en sag, der ryster mig meget. Det er så uetisk og umoralsk, som det overhovedet kan være. Man sætter noget i gang med skæg og blå briller ude på en skole, hvor der ikke har været nogen problemer. Jeg synes, det er løbet helt af sporet, siger skoleledernes formand, Claus Hjortdal.
'Kan I ikke optræde med skjult kamera?'
DR Nyheder er i besiddelse af interne mails mellem sikkerhedsfirmaet Prueba Cybersecurity og Nyborg Kommune. Korrespondancen viser, at sikkerhedsfirmaet har planlagt aktionen i tæt samarbejde med sekretariatschefen og it-chefen i kommunen.
Forberedelserne er i gang allerede i oktober måned, hvor sikkerhedsfirmaet foreslår at gennemføre en aktion i skoleafdelingen på rådhuset.
Men it-chefen har andre planer.
'Jeg tænker også, at det ville være en idé at besøge en social institution, eller måske en skole i stedet for skoleafdelingen?', skriver han i en mail i begyndelsen af oktober.
Sikkerhedsfirmaet accepterer forslaget, og en måned senere skal aktionen på skolen løbe af stablen. Den 7. november skriver it-chefen igen til sikkerhedsfirmaet.
'Vi venter spændt på jeres besøg og udfaldet. Kan I ikke optræde med skjult kamera?'
59 minutter senere kommer der svar.
'Vi har altid kamera med (skjult), så I har dokumentation'
I strid med arbejdsretten
Ifølge Christian Højer Schjøler, der er adjunkt ved Juridisk Institut på Syddansk Universitet og ekspert i ansættelsesret, kan undercover-aktionen være i strid med arbejdsretten.
Kommunernes Landsforening (KL) og lønmodtagerorganisationerne har nemlig lavet en kollektiv aftale, der beskriver, hvilke metoder kommunerne må bruge for at undersøge de ansattes håndtering af it-sikkerhed.
I aftalen står der blandt andet, at kontrolforanstaltningerne ikke må være krænkende over for medarbejderne, og at der skal være et rimeligt forhold mellem mål og midler.
- Det er en voldsom presset situation at blive sat i som medarbejder, at man pludselig hører om, at der er sket læk af fortrolige oplysninger. Den karakter, som foranstaltningen havde, mener jeg godt kan berettige en bod fra Arbejdsretten. I sidste ende er det et spørgsmål om, hvor langt man må gå for at sikre it-sikkerheden, siger Christian Højer Schjøler.
KL vil ikke kommentere sagen, da den ifølge en mail fra KL er 'i proces', og man ingen kommentarer har, så længe sagen kører.
Et psykisk overgreb
Skolelederen på 4kløverskolen oplevede besøget af den falske it-medarbejder som et så stort tillidsbrud, at han i en periode har været sygemeldt.
DR Nyheder har været i kontakt med skolelederen der, selvom han gjorde alt det rigtige og dermed bestod ”testen”, fortsat er så mærket af situationen, at han ikke ønsker at tale om den offentligt.
Men DR Nyheder er i besiddelse af en mail, som skolelederen dagen efter besøget sender til Nyborg Kommunes skolechef og kommunens direktør for børne-, skole- og ungdomsområdet.
Her skriver han blandt andet: 'Vi har været udsat for en person, som har opført sig grænseoverskridende/forsøgt at lokke os i en alvorlig fælde på vores egen hjemmebane og på vores egen arbejdsplads – en arbejdsplads, som vi hæger og værner om. Hvis man kan tale om, at et menneske kan udsættes for et ’psykisk overgreb’, er jeg helt klart blevet udsat for et ’psykisk overgreb’! Jeg har oplevet mangt og meget igennem mine mange år som skoleleder, men denne oplevelse er uden tvivl det værste, jeg har været udsat for.'
Kommunaldirektør: Direktionen vidste det ikke
I Nyborg Kommune beklager kommunaldirektør Lars Svenningsen det, der er sket.
- Det er en træls sag, der kolliderer med de værdier, vi har i Nyborg kommune. Da jeg hørte om den konkrete episode, har vi stoppet samarbejdet med firmaet, og jeg tager meget afstand fra de metoder, der er blevet anvendt med skjult kamera, siger han.
Det er Nyborg kommunes it-chef, der har haft kontakten med sikkerhedsfirmaet. Ifølge kommunaldirektør Lars Svenningsen nåede oplysningerne om, at der skulle bruges skjult kamera, ikke op i den øverste ledelse.
- Direktionen har på intet tidspunkt vidst noget som helst om det her og stopper det i det øjeblik, vi får det oplyst.
Manden fra sikkerhedsfirmaet udgiver sig for at være ansat og har et id-kort, har I givet ham det?
- Jeg mener, det er et id-kort, han har fundet i en skraldespand. Det er ikke noget, vi har givet ham. Det siger jo også noget om sikkerhden, for det burde jo ikke kunne lade sig gøre, at et id-kort ligger, så man kan finde det.
Har I givet ham tilladelse til at bære det?
- Det mener jeg ikke, men det kan jeg ikke svare 100 procent sikkert på.
Hvorfor sender I en person, der lyver om et datalæk, med et skjult kamera og med en falsk identitet ind, når der ikke var nogen mistanke om problemer på den skole?
- Det var jo helt tilfældigt, hvad det er for institutioner, der blev udvalgt. Jeg har kommenteret på metoden, den er meget uheldig. Det er ikke, fordi man havde nogen mistanke, og det viste sig jo heldigvis også, at der ikke var nogen problemer.
Set i det lys, at man ikke har nogen som helst forestilling om, at der kunne være problemer på den skole, er det så de rigtige midler?
- Nej, det er ikke i orden, det er også derfor, vi har stoppet det, og vi har stoppet de her kontrolforanstaltninger fuldstændigt. Der er ikke besøg ude på vores institutioner længere.
På et spørgsmål om, hvorvidt Nyborg kommune har brudt en aftale mellem forhandlingsfællesskabet, altså de faglige organisationer, og KL om, hvordan man må føre kontrol med medarbejdere, svarer Lars Svenningsen:
- Vi går ikke bevidst ud og gør noget ulovligt. Jeg håber ikke, vi har gjort noget forkert i forhold til rammeaftalen, men det er der jo instanser, der skal tage sig af, hvis vi har lavet en fejl.
Flere kommuner bruger samme metoder
Sagen fra Nyborg Kommune er tilsyneladende ikke enestående. I en mail til kommunen skriver sikkerhedsfirmaet, Prueba Cybersecurity, at de har gennemført lignende aktioner i tre andre kommuner og oplært it-konsulenter i en af landets regioner i, hvordan konsulenterne selv kan bruge metoderne.
Direktøren i Prueba Cybersecurity, Dennis Ellebæk, ønsker ikke at oplyse navnene på kommunerne og regionen til DR Nyheder.
Han har heller ikke ønsket at stille op til interview med DR i dag, men han skriver i en mail:
- Vores fremgangsmåde aftales meget specifikt og godkendes altid af kunden, inden vi påbegynder opgaven, vi er blevet stillet.
Dennis Ellebæk skriver også, at firmaets arbejde handler om at øge informationssikkerheden ved at finde frem til, hvor den kan forbedres, og at det ikke handler om at 'forfølge eller på anden måde udstille enkelte individer'.
Et spørgsmål om tillid
Men ekspert i ansættelsesret Christian Højer Schjøler mener, det kan være problematisk at bruge undercover-aktioner til at kontrollere kommunernes it-sikkerhed.
- Hvis vi kigger på det overordnet, så er det ikke begunstigende for et godt og trygt arbejdsmiljø, at man pludselig skal se sig over skulderen i forhold til, hvad man gør over for hvem, siger Christian Højer Schjøler.
For selvom hensynet til it-sikkerhed er vigtigt, så risikerer de simulerede angreb at have negative konsekvenser for det danske arbejdsmarked.
- Hvis en arbejdsgiver begynder at animere til mistillid kollegaerne imellem og ikke sikrer medarbejdernes tryghed i ansættelsen, så er det efter min opfattelse en glidebane i forhold til det samarbejde, som kendetegner forholdet mellem arbejdstager og arbejdsgiver i Danmark, lyder det fra adjunkten.
Den vurdering deler Skolelederforeningen, der frygter, at kommunernes brug af agent provocateurs vil gøre det sværere at rekruttere ledere til landets skoler.
- Hvis man ikke bliver mødt med tillid, så er det rigtig svært at være leder. Hvis man hele tiden skal være bange for at lave fejl, og kommunen så yderligere sender folk ud og prøver at påtvinge en at lave fejl, så kan vi ikke få offentlige ledere mere. Det er der ingen, der kan holde til, siger formand Claus Hjortdal.
Nyt kodeks
I Nyborg kommune nedsætter man nu en arbejdsgruppe sammen med nogle medarbejderrepræsentanter, siger kommunaldirektør Lars Svenningsen.
- Nu laver vi et kodeks for, hvordan vi håndterer det her fremad, fordi vi stadig har hensynet til borgernes retssikkerhed og samtidig skal tilgodese hensynet til sikkerheden for vores medarbejdere. Det skal vi nok finde en god løsning på. Med den omtale, sagen har fået, tror jeg alle vil være meget opmærksomme på det i fremtiden.
Ifølge Lars Svenningsen er kommunen fanget mellem hensynet til at beskytte borgernes personfølsomme oplysninger og et hensyn til medarbejderne.
- Vores medarbejdere skal kunne føle sig trygge, når de går på arbejde. Samtidig skal vi hele tiden tænke på, hvordan vi kan beskytte borgernes retssikkerhed så godt som overhovedet muligt, så her er vi havnet i en konflikt mellem de to hensyn.