Aalborg Kommune

Datatilsynet vender hermed tilbage til sagen, hvor [x] (herefter klager) har klaget til Datatilsynet over Aalborg Kommunes videregivelse af hendes e-mailadresse. Datatilsynet har udtalt kritik af, at Aalborg Kommune – i forbindelse med et onlinekursus på Teams arrangeret af jobcenteret – har videregivet en af deltagernes e-mailadresse til de andre deltagere på kurset på grundlag af et samtykke, som efter tilsynets opfattelse ikke kunne anses som frivilligt. Datatilsynet lagde navnlig vægt på, at videregivelsen af e-mailadressen skete i forbindelse med et jobsøgningskursus, hvor deltagelse var en forudsætning for at modtage dagpenge. Kursusdeltageren havde dermed ikke et reelt frit valg i forhold til at give samtykke til behandlingen, hvis vedkommende ville bevare retten til dagpenge. Efter en gennemgang af sagen finder Datatilsynet grundlag for at udtale af, at Aalborg Kommune har videregivet klagers e-mailadresse på grundlag af et samtykke, som ikke opfylder betingelserne i databeskyttelsesforordningens Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse. Det fremgår af sagen, at jobcenteret i Aalborg Kommune – i forbindelse med klagers deltagelse i et online jobsøgningskursus på Teams – har videregivet klagers e-mailadresse til de andre deltagere på kurset, idet klagers e-mail adresse var synlig for de andre kursusdeltagere. Aalborg Kommune har anført, at kommunen er forpligtet til at udbyde kurser til ledige borgere, og at de ledige har pligt til at deltage i disse kurser for at have ret til at modtage ledighedsydelse, hvilket følger af lov om aktiv beskæftigelsesindsats.

I tilsynet med Aalborg Kommune konkluderer Datatilsynet, at Aalborg Kommunes behandling af personoplysninger overordnet set er tilrettelagt og udført i overensstemmelse med reglerne i databeskyttelsesforordningen. , der skulle belyse de dataansvarliges evne til at foretage de relevante anmeldelser af brud på persondatasikkerheden. Generelt har det været glædeligt at kunne konstatere, at alle de undersøgte dataansvarlige har haft fokus på opgaven, hvor der i de respektive organisationer var den fornødne viden og rutine, sådan at sikkerhedshændelser blev opfanget og indberettet. Der er udtalt kritik i to af sagerne: Begge hændelser var anmeldelsespligtige brud på persondatasikkerheden, der alene var klassificeret som sikkerhedshændelser. Den konkrete vurdering af, om der var tale om en behandling af oplysninger om fysiske personer, var ikke foretaget korrekt af den pågældende aktør. Aalborg Kommune var blandt de offentlige myndigheder, som Datatilsynet i foråret 2019 havde udvalgt at føre tilsyn med efter databeskyttelsesforordningen Datatilsynets tilsyn var et skriftligt tilsyn, som navnlig fokuserede på, om Aalborg Kommune foretager anmeldelse af brud på persondatasikkerheden i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1, og om kommunen opfylder kravet om at dokumentere alle brud på persondatasikkerheden, jf. artikel 33, stk. 5. Aalborg Kommune har endvidere i forbindelse med tilsynet efter anmodning fra Datatilsynet generelt redegjort for kommunens uddannelse af medarbejdere – i forhold til håndteringen af brud på persondatasikkerheden – med henblik på, at kommunen kan iagttage databeskyttelsesforordningens artikel 33. Datatilsynets tilsyn blev ved brev af 11. marts 2019 varslet over for Aalborg Kommune, og kommunen blev ved samme lejlighed anmodet om bl.a. at besvare en række spørgsmål. Ved brev af 14.