Kolding Kommune

Datatilsynet har i august 2020 afsluttet et planlagt skriftligt tilsyn hos Kolding Kommune. Tilsynet fokuserede på kommunens efterlevelse af reglerne om oplysningspligt ved brug af kontrolforanstaltninger over for medarbejdere. Tilsynet fokuserede også på, hvorvidt Kolding Kommunes iagttagelse af oplysningspligten levede op til forordningens grundlæggende princip om gennemsigtighed, som bl.a. indebærer, at den dataansvarlige skal give medarbejderne let tilgængelig og forudgående information om de anvendte kontrolforanstaltninger. Datatilsynet har på baggrund af det gennemførte tilsyn fundet anledning til at udtale Af Datatilsynets afsluttende udtalelse fremgår bl.a., at Kolding Kommune i vidt omfang har iagttaget oplysningspligten mundtligt over for kommunens medarbejdere. Herudover fremgår det, at Kolding Kommunes efterlevelse af oplysningspligten har været mangelfuld, fordi kommunen ikke har givet medarbejderne tilstrækkelig information om formålet med behandlingen af personoplysninger, retsgrundlaget for behandlingen af personoplysninger, de berørte kategorier af personoplysninger og det tidsrum, hvor oplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum. Du kan læse Datatilsynets vejledning om databeskyttelse i forbindelse med ansættelsesforhold her Du kan læse Datatilsynets vejledning om registreredes rettigheder her 1. Skriftligt tilsyn med Kolding Kommunes behandling af personoplysninger Kolding Kommune var blandt de myndigheder, som Datatilsynet i efteråret 2019 havde valgt at føre tilsyn med efter databeskyttelsesforordningen Datatilsynets tilsyn var et skriftligt tilsyn, som fokuserede på Kolding Kommunes efterlevelse af oplysningspligten i forbindelse med kontrolforanstaltninger over for medarbejdere, jf. forordningens artikel 13 og 14. Herudover fokuserede tilsynet på, hvorvidt Kolding Kommunes iagttagelse af oplysningspligten levede op til princippet om gennemsigtighed i forordningens artikel 5, stk.

Datatilsynet har behandlet en sag, hvor Kolding Kommune siden 2012 har behandlet dokumenter indeholdende personoplysninger i omkring 400.000 sager uden at træffe passende tekniske og organisatoriske foranstaltninger. databeskyttelsesforordningens artikel 32, stk. 1. Kolding Kommune har benyttet et ESDH-system igennem en længere årrække. I forbindelse med en opgradering af systemet ændrede kommunens leverandør rettighedsstyringen til den underliggende filstruktur, uden at kommunen blev informeret herom. Dokumenterne, der under normale forhold alene kunne tilgås gennem ESDH-systemet, blev gjort tilgængelige for alle kommunens 2.400 ansatte, såfremt man gik direkte til dokumentmappen. Denne direkte adgang til dokumenterne blev i øvrigt ikke logget. Kolding Kommune har fået foretaget årlige revisioner af et udvalg af de benyttede it-systemer. Af revisionsberetningerne fremgår, at kommunens overordnede styring af it-sikkerheden inden for regnskabsområdet er tilfredsstillende. Revisionerne omfattede ikke en generel revision af de tekniske og organisatoriske sikkerhedsforanstaltninger for opbevaring af dokumenter og integritet af netværksinfrastrukturen eller procedurerne for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af sådanne foranstaltninger. De foretagne revisioner havde i perioden 2016-2018 generelt ikke set på persondatabeskyttelse eller fejl i konfigurationen af adgangsrettigheder, og der var ikke opsat anden kontrol heraf. Set i lyset dette og henset til den konkrete manglende sikkerhed på dokumentdrevet og adgang uden logning til dokumenterne, var der ikke truffet passende tekniske og organisatoriske foranstaltninger. Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets udtalelse.