Københavns Kommune

Datatilsynet har nu truffet afgørelse i den sjette og sidste tilsynssag om behandlingssikkerheden i AULA, som tilsynet igangsatte i efteråret 2021 over for seks udvalgte kommuner. På Datatilsynets kontaktudvalgsmøde i maj dannede arbejdet med behandlingssikkerheden i AULA grundlag for drøftelser om risikovurderinger og konsekvensanalyser. I december 2023 traf Datatilsynet afgørelse i fem ud af seks tilsynssager, som blev igangsat i efteråret 2021 vedrørende de udvalgte kommuners behandling af personoplysninger i it-systemet AULA. Tilsynene fokuserede på overholdelsen af databeskyttelsesforordningens regler om behandlingssikkerhed og konsekvensanalyse. Københavns Kommune får kritik for mangler i konsekvensanalyse Datatilsynet har nu truffet afgørelse i tilsynssagen med Københavns Kommune, som er den sjette og sidste af disse sager. Datatilsynet har udtalt kritik, da tilsynet har vurderet, at konsekvensanalysen ikke opfylder alle mindstekravene til en konsekvensanalyse. Afgørelsen indeholder derudover nogle anbefalinger til kommunens videre arbejde med den planlagte opdatering af konsekvensanalysen. I forhold til kommunens risikovurdering har Datatilsynet anbefalet, at Københavns Kommune i deres reviderede risikovurderingskoncept strukturerer oplysningerne, så det bliver muligt at sammenligne risikovurderingerne før og efter implementeringen af foranstaltningerne, og at sammenhængen mellem foranstaltningerne og de enkelte risici fremgår tydeligt. Datatilsynet fandt, at kommunen ikke til fulde havde godtgjort, at passende foranstaltninger var implementeret for at nedbringe alle de risici, kommunen havde identificeret. Københavns Kommune har dog arbejdet seriøst og målrettet på at nedbringe de identificerede risici. Særligt har kommunen fokuseret på at reducere den risiko, som brugen af UNI-login efter kommunens vurdering indebærer. Tilsynssagen med Københavns Kommune indeholder flere elementer end de øvrige fem tilsynssager.

Datatilsynet har udtalt alvorlig kritik i en sag, hvor ca. 37.500 medarbejdere i Københavns Kommune uberettiget fik adgang til oplysninger om op mod 3,7 mio. personer – herunder følsomme oplysninger om børn. I forbindelse med flytning af filer med en større mængde data (diskswap) blev der som følge af en menneskelig fejl givet for brede brugeradgange til det drev, hvor data blev opbevaret. Det resulterede i, at ca. 37.500 medarbejdere i kommunen uberettiget fik adgang til oplysninger om op mod 3,7 millioner personer. Dataene relaterede sig til en såkaldt SAS-installation (format til ledelsesinformation mv.), og det var alene fire SAS datawarehouse-udviklere, der skulle have haft adgang til dataene. For størstedelen af de berørte var der bl.a. tale om navne- og adresseoplysninger, men derudover indeholdt filerne også oplysninger om trivsel, sprogvurdering og oplysninger om tandlæge og sundhedspleje vedrørende børn. Den brede adgang eksisterede i knap to måneder, indtil Københavns Kommune konstaterede fejlen ved en sikkerhedsmæssig rutinescanning af kommunens åbne drev. Adgangen blev herefter lukket, og hændelsen blev anmeldt til Datatilsynet som et brud på persondatasikkerheden. Kommunen bemærkede i forbindelse med sagen, at det dog var vurderingen, at der var en meget lille sandsynlighed for, at en almindelig it-bruger skulle støde på drevet, da det krævede særlige forudsætninger at finde det. Netværksregistrering var således slået fra på de enkelte pc’er, og det betød, at medarbejderne ikke ved almindelige søgninger på pc’en kunne finde drevet. Det betød også at URL’en skulle kendes, eller at der skulle scannes aktivt efter drevet.

Datatilsynet har truffet afgørelse i to sager, som vedrørte samme advokatundersøgelse, hvor en person klagede over behandling af oplysninger om ham i forbindelse med iværksættelsen og gennemførelsen af en advokatundersøgelse. I juli og august 2021 klagede klager over, at Københavns Kommune og Bech-Bruun Advokatpartnerselskab behandlede oplysninger om ham i en advokatundersøgelse. Undersøgelsen blev gennemført af Bech-Bruun på vegne af Københavns Kommune med det formål at afdække, om der havde været udvist krænkende adfærd på uddannelsesinstitutionen Sankt Annæ Gymnasium, samt hvordan en sådan adfærd var blevet håndteret. Datatilsynet har i den ene sag, som vedrørte Københavns Kommunes behandling af oplysninger om klager i forbindelse med advokatundersøgelsens iværksættelse, fundet, at Københavns Kommunes behandling af oplysninger om klager skete inden for rammerne af databeskyttelsesforordningen. Datatilsynet har imidlertid fundet grundlag for at kritisere, at Københavns Kommune ikke i tilstrækkelig grad opfyldte den databeskyttelsesretlige oplysningspligt. Bech-Bruuns behandling af oplysninger om klager i forbindelse med advokatundersøgelsens gennemførelse , fundet, at Bech-Bruuns behandling af oplysninger om klager, herunder oplysninger om seksuelle forhold, skete inden for rammerne af databeskyttelsesforordningen og databeskyttelsesloven. Datatilsynet har imidlertid fundet grundlag for at kritisere, at Bech-Bruun undlod at opfylde den databeskyttelsesretlige oplysningspligt. Datatilsynet har endvidere fundet grundlag for at udtale alvorlig kritik af Bech-Bruuns håndtering af en indsigtsanmodning fra klager. I den forbindelse har Datatilsynet meddelt Bech-Bruun påbud om på ny at tage stilling til klagers indsigtsanmodning. Sagerne indgår – ligesom to af tilsynets tidligere afgørelser – i en debat, der rækker langt ud over det databeskyttelsesretlige.