Lolland Kommune

Datatilsynet har truffet afgørelse i fem tilsynssager vedrørende behandlingssikkerheden i AULA. Datatilsynet fandt anledning til at meddele påbud om udarbejdelse af konsekvensanalyser i to af sagerne. Derudover har tilsynet udtalt kritik og alvorlig kritik i sagerne. Datatilsynet igangsatte i efteråret 2021 tilsyn med i alt seks udvalgte kommuners behandling af personoplysninger i it-systemet AULA. Tilsynene var fokuseret på efterlevelse af databeskyttelsesforordningens regler om behandlingssikkerhed og konsekvensanalyse. ”Når skoler/daginstitutioner og forældre kommunikerer via AULA, indgår der i mange tilfælde følsomme og fortrolige oplysninger om børn. Det er derfor vigtigt, at kommunerne passer godt på oplysningerne i AULA. Datatilsynet har nu truffet afgørelse i alle sager undtagen én, da denne sag indeholder nogle yderligere elementer. Tilsynene er en videreførelse af Datatilsynets tidligere tilsyn med Kombit A/S (herefter KOMBIT) i december 2019. Datatilsynet kunne på det pågældende tilsynsbesøg konstatere, at KOMBIT ikke kunne betragtes som dataansvarlig for AULA efter databeskyttelsesforordningens artikel 4, nr. 7. På tilsynsmødet oplyste Datatilsynet KOMBIT om, at KOMBIT skulle sikre, at alle kommuner blev informeret om deres dataansvar, og at KOMBIT skulle overdrage alle nødvendige materialer og informationer til kommunerne i den forbindelse. Datatilsynet finder, at tilsynssagerne rejser nogle generelle databeskyttelsesretlige problemstillinger på tværs af kommunerne, som med fordel kan håndteres samlet fremfor særskilt hos de enkelte kommuner. Derfor har Datatilsynet valgt at orientere Kommunernes Landsforening (KL), Styrelsen for It og Læring og Kombit A/S (herefter KOMBIT) om tilsynets afgørelser i disse sager.

Borgeres oplysninger blev udsat for en unødig risiko, da Lolland Kommunes ansatte kunne slå adgangskoder på telefoner og tablets fra. Datatilsynet har politianmeldt kommunen og indstillet til en bøde på 50.000 kr. Lolland Kommune er blevet indstillet til en bøde på 50.000 kr. for ikke at have gennemført helt basale sikkerhedsforanstaltninger i form af uomgåelige krav til adgangskoder på kommunens mobile enheder. ”Kommuner behandler store mængder følsomme oplysninger om borgerne, og derfor har de også et ansvar for at passe ordentligt på disse oplysninger. Datatilsynet blev opmærksom på forholdet gennem en anmeldelse fra Lolland Kommune i december 2020, da en medarbejder i kommunen fik stjålet en arbejdstelefon. Via telefonen var der adgang til medarbejderens arbejdsmailkonto, hvor der lå oplysninger om flere borgeres navne, cpr-numre, helbredsoplysninger og misbrugsforhold. Telefonen var ikke beskyttet af en kode, da denne var slået fra. Derfor var der adgang til de oplysninger, der lå på telefonen. Kommunen oplyste, at det gennem en årrække havde været muligt for medarbejdere at fjerne de ellers obligatoriske adgangskoder, så telefoner kunne bruges uden anvendelse af kode. Kommunen havde straks iværksat genoprettende tiltag i form af nye forholdsregler og ændringer i den tekniske opsætning af udleverede telefoner. Datatilsynet finder, at Lolland Kommunes behandling af personoplysninger ikke var i overensstemmelse med reglerne om passende sikkerhed. Datatilsynet har ved vurderingen bl.a.