Kriminalforsorgen

Kriminalforsorgens håndtering af indsattes indsigtsanmodninger overholdt ikke reglerne. Det er Datatilsynets konklusion, efter at tilsynet nu har undersøgt Kriminalforsorgens generelle håndtering af indsigtssager. Datatilsynet har undersøgt, om Kriminalforsorgens håndtering af indsigtssager fra indsatte i Kriminalforsorgens institutioner var i overensstemmelse med de databeskyttelsesretlige regler. Tilsynet fandt flere kritisable forhold. Efter at have modtaget en række konkrete henvendelser fra indsatte har Datatilsynet undersøgt Kriminalforsorgens generelle håndtering af anmodninger om indsigt. Konkret er der bl.a. indsatte, som har klaget over, at de ikke har fået udleveret de oplysninger, som de har ret til, og ikke har fået det inden for de gældende tidsfrister. Direktoratet for Kriminalforsorgen udtalte i forbindelse med sagen, at direktoratet var bekendt med, at anmodninger om indsigt ikke altid var blevet håndteret korrekt bl.a. som følge af, at der ikke altid blev anvendt det rigtige lovgrundlag, herunder manglende skelnen mellem databeskyttelsesreglerne om Direktoratet for Kriminalforsorgen har oplyst, at der nu er iværksat en række tiltag for at sikre overholdelsen af de databeskyttelsesretlige regler. På den baggrund har Datatilsynet meddelt, at tilsynet vil vende tilbage til Direktoratet for Kriminalforsorgen til næste år og bede om en redegørelse for, hvilke tiltag der så er blevet gennemført på området. Samtidig vil Datatilsynet bede om en generel redegørelse for Kriminalforsorgens behandlingstider for rettighedssager, herunder primært indsigtssager. Som følge af flere henvendelser til Datatilsynet vedrørende Kriminalforsorgens besvarelse af indsigtsanmodninger, indledte tilsynet den 19. juli 2024 en nærmere undersøgelse af Kriminalforsorgens generelle håndtering af anmodninger om indsigt fra indsatte i Kriminalforsorgens institutioner.

Datatilsynet har truffet afgørelse i en sag, hvor Kriminalforsorgen blev bekendt med oplysninger om et muligt brud, men undlod at undersøge hændelsen hurtigt for at afklare om der var tale om et brud på persondatasikkerheden. Datatilsynet har truffet afgørelse i en sag, hvor en gruppe medarbejdere hos Kriminalforsorgen oprettede en lukket Messenger-gruppe på Facebook, hvor der foregik tjenstlig kommunikation mellem ansatte i Storstrøm Fængsel om både indsatte i fængslet og ansatte hos Kriminalforsorgen. Kriminalforsorgen modtog ad flere omgange henvendelser fra en medarbejder med en bekymring for, at der var sket et brud på persondatasikkerheden, idet der foregik arbejdsrelateret kommunikation i den lukkede Messenger-gruppe. Trods henvendelserne undersøgte Kriminalforsorgen først sagen 6 måneder efter modtagelsen af første henvendelse. Datatilsynet har udtalt kritik af Kriminalforsorgen for ikke at have undersøgt det mulige brud hurtigt med henblik på at afklare, om der var tale om et brud på persondatasikkerheden og i forlængelse heraf for ikke at have anmeldt bruddet rettidigt til Datatilsynet – det vil sige uden unødig forsinkelse og om muligt senest 72 timer efter, at Kriminalforsorgen blev bekendt med bruddet. Hvornår anses den dataansvarlige for at være bekendt med et brud? Datatilsynets er af den opfattelse, at den dataansvarlige som udgangspunkt anses for være bekendt med et brud, når en medarbejder hos den dataansvarlige bliver bekendt med bruddet.