Civilstyrelsen

Datatilsynet anmelder Civilstyrelsen til politiet og indstiller til en bøde på 100.000 kr. Tilsynet vurderer, at Civilstyrelsen ikke har levet op til kravene om passende sikkerhedsniveau samt kravet om at anmelde et brud på persondatasikkerheden efter databeskyttelsesforordningen. Datatilsynet blev opmærksom på sagen, da en klagers partsrepræsentant klagede over Civilstyrelsens håndtering af klagers oplysninger. Af sagen fremgår det, at Civilstyrelsen v/Erstatningsnævnet returnerede et USB-stik til klager, der indeholdt mere end 800 siders oplysninger om klager af følsom og fortrolig karakter, der ved klagers modtagelse var bortkommet. USB-stikket var ikke krypteret, og styrelsen havde i øvrigt ikke retningslinjer målrettet styrelsens sagsbehandlere med hensyn til enhver håndtering af udtagelige lagringsmidler og bærbare medier. Civilstyrelsen blev bekendt med bruddet den 26. august 2020, men anmeldte herefter ikke bruddet til Datatilsynet i strid med reglerne i databeskyttelsesforordningens artikel 33. Datatilsynet finder, at Civilstyrelsens behandling af personoplysninger ikke har været i overensstemmelse med reglerne om passende sikkerhed. Datatilsynet har ved vurderingen lagt vægt på, at kryptering af udtagelige lagringsmidler, der indeholder personoplysninger (herunder USB-stik) må anses for at være en nødvendig og påkrævet sikkerhedsforanstaltning. I forlængelse heraf har tilsynet tillagt det betydning, at udtagelige lagringsmidler med personoplysninger har en skærpet risikoprofil i forhold til håndteringen af personoplysninger, og at kryptering er en foranstaltning, der er relativt let for den dataansvarlige at gennemføre. Herudover har Datatilsynet lagt vægt på, at styrelsen ikke havde retningslinjer målrettet og kendt af styrelsens sagsbehandlere i forhold til enhver håndtering af USB-stik, herunder afsendelse. Datatilsynet foretager altid en konkret vurdering af sagens grovhed i medfør af forordningens artikel 83, stk.

Datatilsynet har udtalt alvorlig kritik af, at Civilstyrelsen i en konkret sag videregav unødvendige oplysninger om en skadelidte til skadevolder. Datatilsynet har truffet afgørelse i en klagesag, hvor Civilstyrelsen i forbindelse med behandlingen af en regressag videregav oplysninger om skadelidte til skadevolderen i sagen. Civilstyrelsen anførte over for Datatilsynet, at Civilstyrelsen skal kunne godtgøre over for skadevolder, at der er et erstatningsretligt krav mod denne, og at der er årsagssammenhæng mellem den strafbare handling, skadevolderen har begået, og den erstatning, der er udbetalt til den skadelidte, herunder størrelsen af erstatningen. Det var derfor nødvendigt at videregive oplysninger om skadelidte til skadevolder. Civilstyrelsen anførte dog samtidig, at visse oplysninger ikke havde været nødvendige at videregive for, at skadevolder kunne forholde sig til kravet og derfor burde have været undtaget. Datatilsynet var enig i denne vurdering og bemærkede, at det i en sag som denne er særligt vigtigt at være opmærksom på, at der kun bliver videregivet oplysninger om skadelidte til skadevolder, som er nødvendige for behandlingen af regressagen. Datatilsynet fandt på den baggrund – efter at sagen havde været behandlet i Datarådet - anledning til at udtale alvorlig kritik af, at Civilstyrelsen havde videregivet oplysninger om skadelidte til skadevolder, som ikke var nødvendige at videregive. For så vidt angik de øvrige oplysninger om skadelidte, som var blevet videregivet til skadevolder, fandt Datatilsynet ikke tilstrækkeligt grundlag for at tilsidesætte Civilstyrelsens vurdering af, at oplysningerne var nødvendige at videregive, for at skadevolder kunne forholde sig til regreskravet.

Datatilsynet har i 2019 foretaget et planlagt tilsyn hos Civilstyrelsen. Tilsynet fokuserede på myndighedens overholdelse af reglerne om den registreredes indsigtsret, jf. databeskyttelsesforordningens artikel 15 og artikel 12. af, at Civilstyrelsens behandling af personoplysninger ikke var sket i overensstemmelse med forordningens artikel 15, stk. 1, litra b og g, artikel 12, stk. 3, og artikel 15, stk. 3. Af Datatilsynets afsluttende udtalelse fremgår bl.a., at Civilstyrelsen i to tilfælde ikke har givet den registrerede information om de berørte kategorier af personoplysninger og hvorfra oplysningerne stammer fra. Herudover fremgår det, at Civilstyrelsen i ét tilfælde ikke har besvaret en anmodning om indsigt inden for en måned efter modtagelsen af anmodningen, og at Civilstyrelsen i ét tilfælde ikke har givet den registrerede en kopi af de oplysninger, der behandles. Civilstyrelsen var blandt de offentlige myndigheder, som Datatilsynet havde udvalgt til tilsyn i foråret 2019. Datatilsynets planlagte tilsyn med Civilstyrelsen fokuserede navnlig på myndighedens overholdelse af reglerne om den registreredes indsigtsret, jf. databeskyttelsesforordningens Efter anmodning fra Datatilsynet havde Civilstyrelsen inden tilsynsbesøget udfyldt et spørgeskema og indsendt dette sammen med yderligere materiale til tilsynet. Selve tilsynsbesøget fandt sted den 21. maj 2019. Efter tilsynet med Civilstyrelsen finder Datatilsynet anledning til sammenfattende at konkludere: At Civilstyrelsen ikke har udarbejdet retningslinjer, procedurer m.v. for myndighedens efterlevelse af databeskyttelsesforordningens regler om indsigt. At Civilstyrelsen har udarbejdet en skabelon, der kan medvirke til at sikre og lette myndighedens medarbejderes efterlevelse af databeskyttelsesforordningens artikel 15. At Civilstyrelsen har modtaget og besvaret 11 anmodninger om indsigt i perioden 25. maj 2018 til tidspunktet for varslingen af dette tilsyn.