Datatilsynets skrivelse som redegør for Datatilsynets afgørelse af 28. september 2022 bør ikke stå alene, da den ikke beskriver de konkrete forhold som danner grundlag for Datatilsynets kritik.

Først og fremmest skal det præciseres, at Datatilsynet ikke har angivet at persondata er blevet misbrugt af tredjemand, ligesom Datatilsynet ikke har pålagt Techotel bøde eller anden straf.

For Techotel har det altid været vigtigt, at give vores kunder de bedste muligheder for at tilpasse Picasso til den enkelte kundes behov. Techotel havde derfor også valgt at give kunderne mulighed for individuelt at fastsætte krav til passwords og dermed it-sikkerheden i Picasso. Det var således muligt for kunderne at vælge præcist det sikkerhedsniveau, som hver enkelt kunde vurderede som passende og hensigtsmæssig for dem.

Datatilsynet har imidlertid vurdereret, at Techotel ikke bør give kunderne muligheden for selv at fastsætte det fulde sikkerhedsniveau, men at der skal benyttes forud fastsatte minimumskrav til passwords med løbende udskiftning i Picasso. Datatilsynet har også anbefalet, at de høje krav, som gælder internt i Techotel i forhold til passwords skal gælde for Techotels kunder, som sådanne minimumskrav.

Techotel følger naturligvis Datatilsynets anbefaling og implementerer minimumskrav til brugerpasswords i Picasso. Det vil dog være muligt for kunderne aktivt at fravælge sådanne minimumskrav, baseret på kundens egen vurdering af sikkerhedsniveauet, men det anbefales naturligvis at benytte disse minimumskrav.