Aarhus Kommune

Datatilsynet har på baggrund af en artikel om Aarhus Kommunes brug af et såkaldt referenceregister overvejet, om der var anledning til rejse en tilsynssag. Datatilsynet blev på baggrund af en artikel publiceret på dr.dk opmærksom på, at Aarhus Kommune ”nu opretter et såkaldt referenceregister, hvor medarbejdere med registrerede forseelser som vold og trusler kommer til at stå”. Aarhus Kommune blev i den forbindelse anmodet om at besvare en række spørgsmål om referenceregisteret, herunder hvad formålet og hjemlen var, hvordan personer ender i registret og hvor længe personer fremgår af registreret. På baggrund af Aarhus Kommunes redegørelse vurderede Datatilsynet, at der ikke på det foreliggende grundlag var anledning til at rejse en tilsynssag. Datatilsynet vender hermed tilbage i sagen, hvor tilsynet – i anledning af en nyhed publiceret på dr.dk om Aarhus Kommunes såkaldte referenceregister – den 7. marts 2024 anmodede Aarhus Kommune om at besvare en række spørgsmål om registret. Datatilsynet har den 26. marts 2024 modtaget Aarhus Kommunes redegørelse i sagen. På baggrund af Aarhus Kommunes redegørelse vurderer Datatilsynet, at der ikke er anledning til at rejse en tilsynssag på det foreliggende grundlag. Det fremgår af Aarhus Kommunes redegørelse, at referenceregistret alene oprettes og anvendes internt i Aarhus Kommune i Magistratsafdelingen for Sundhed og Omsorg og dermed ikke på tværs af Aarhus Kommunes forvaltningsgrene eller på tværs af juridiske enheder. Der er således alene tale om en intern behandling af oplysninger, som allerede behandles i Magistratsafdelingen for Sundhed og Omsorg, og som i dag allerede bør inddrages ved spørgsmål om genansættelse, men hvor dette i praksis er vanskeligt.

Datatilsynet meddeler Aarhus Kommune et påbud om at få ændret den indgående aftale med databehandleren på en sådan måde, at de forhold, der er nævnt i tilsynets afgørelser af 14. juli og 18. august 2022, i forhold til Helsingør Kommune, samt det materiale, Aarhus Kommune har fremsendt den 1. september 2022, og som hidrører fra det samlede aftalegrundlag med leverandøren, bringes i overensstemmelse med databeskyttelsesforordningen. Dette inkluderer som minimum en tydeliggørelse af de steder, hvor ”databehandleren” agerer som selvstændig dataansvarlig, samt til hvilke formål, de supportsituationer, som kommunen ikke længere benytter, og uklarheder i kontraktsteksten, der skaber usikkerhed om databehandlerens ageren ud over reglen i databeskyttelsesforordningens artikel 28, stk. 3, litra a. Herudover skal alle tilsigtede overførsler til usikre tredjelande dokumenterbart overholde databeskyttelsesforordningen. Datatilsynet meddeler yderligere Aarhus Kommune et påbud om at beskrive de datastrømme, der finder sted, og identificere de persondata, der videregives til leverandøren, og gør klart, hvornår denne agerer som selvstændig eller delt dataansvarlig. Dokumentationen skal omfatte hele den teknologistak, Aarhus Kommune bruger til behandlingen. Datatilsynet påbyder yderligere Aarhus Kommune at udfærdige en opdateret konsekvensanalyse baseret på alle de risici, som kommunen under dokumentationsprocessen har identificeret, såfremt det viser sig, at der – udover de, der nu er anmodet om artikel 36-procedure for – er yderligere høje, ikke mitigerbare høje risici, omfatter påbuddet også høring af Datatilsynet efter artikel 36. Endelig påbyder Datatilsynet Aarhus Kommune at fremlægge en endelig tidsfæstet plan for lovliggørelse af eventuelle behandlinger, der ikke har kunnet lovliggøres inden fristen for påbuddene, der er fastsat til den 3. november 2022.