Frederiksberg Kommune

Datatilsynet har anmeldt Frederiksberg Kommune til politiet, da tilsynet vurderer, at kommunen ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningen. Frederiksberg Kommune er blevet indstillet til en bøde på 100.000 kr. for ikke at have etableret tilstrækkelige sikkerhedsforanstaltninger i en af kommunens selvbetjeningsløsninger. Frederiksberg Kommune anmeldte den 1. marts 2021 et brud på persondatasikkerheden til Datatilsynet. Af sagen fremgik det, at den kommunale tandpleje havde en selvbetjeningsløsning, hvor bopælsforældre oprindeligt havde adgang til bl.a. tandplejens breve. Kommunen udvidede efterfølgende adgangen til systemet til også at omfatte samværsforældre med fælles forældremyndighed. Dette medførte, at forældre i flere tilfælde fik adgang til oplysninger om bopælsforælderen og barnets adresse, selv om bopælsforælderen og barnet var registreret med navne- og adressebeskyttelse. ”Når man udvider adgangen til et system for samværsforældre, hvor personoplysninger kan være særligt beskyttede, fx på grund af navne- og adressebeskyttelse, skal man gøre sig klart, hvilke oplysninger samværsforældrene får adgang til. Man skal også tage højde for, at adgangen kan udsætte bopælsforælderen og barnet for en potentiel høj risiko. Frederiksberg Kommune skulle således have sikret sig imod, at der blev givet adgang til oplysninger, der ikke burde gives adgang til,” forklarer specialkonsulent i Datatilsynet Liv Palmelund Osborg. Datatilsynet foretager altid en konkret vurdering af sagens grovhed i medfør af databeskyttelsesforordningens artikel 83, stk. 2, ved vurderingen af, hvilken sanktion der efter tilsynets opfattelse er den korrekte. På baggrund af sagens omstændigheder har Datatilsynet besluttet at anmelde Frederiksberg Kommune til politiet og indstiller, at der nedlægges påstand om, at kommunen idømmes en bøde på 100.000 kr.

I tilsynet med Frederiksberg Kommune konkluderer Datatilsynet, at Frederiksberg Kommunes behandling af personoplysninger overordnet set er tilrettelagt og udført i overensstemmelse med reglerne i databeskyttelsesforordningen. , der skulle belyse de dataansvarliges evne til at foretage de relevante anmeldelser af brud på persondatasikkerheden. Generelt har det været glædeligt at kunne konstatere, at alle de undersøgte dataansvarlige har haft fokus på opgaven, hvor der i de respektive organisationer var den fornødne viden og rutine, sådan at sikkerhedshændelser blev opfanget og indberettet. Der er udtalt kritik i to af sagerne: Begge hændelser var anmeldelsespligtige brud på persondatasikkerheden, der alene var klassificeret som sikkerhedshændelser. Den konkrete vurdering af, om der var tale om en behandling af oplysninger om fysiske personer, var ikke foretaget korrekt af den pågældende aktør. Frederiksberg Kommune var blandt de offentlige myndigheder, som Datatilsynet i foråret 2019 havde udvalgt at føre tilsyn med efter databeskyttelsesforordningen Datatilsynets tilsyn var et skriftligt tilsyn, som navnlig fokuserede på, om Frederiksberg Kommune foretager anmeldelse af brud på persondatasikkerheden i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1, og om kommunen opfylder kravet om at dokumentere alle brud på persondatasikkerheden, jf. artikel 33, stk. 5. Frederiksberg Kommune har endvidere i forbindelse med tilsynet efter anmodning fra Datatilsynet generelt redegjort for kommunens uddannelse af medarbejdere – i forhold til håndteringen af brud på persondatasikkerheden – med henblik på, at kommunen kan iagttage databeskyttelsesforordningens artikel 33. Datatilsynets tilsyn blev ved brev af 11. marts 2019 varslet over for Frederiksberg Kommune, og kommunen blev ved samme lejlighed anmodet om bl.a. at besvare en række spørgsmål. Ved brev af 12.