Mariagerfjord Kommune

Datatilsynet gennemførte i juni måned et tilsyn med Mariagerfjord Kommune. Formålet med tilsynet var bl.a. at foretage en overordnet vurdering af kommunens modenhed i forhold til databeskyttelse, herunder navnlig på sikkerhedsområdet. På baggrund af tilsynet fandt Datatilsynet grundlag for at udtale: af, at Mariagerfjord Kommune havde opbevaret personoplysninger ud over, hvad der var nødvendigt i forhold til formålet, og ved ikke at have indført retningslinjer eller tilsvarende organisatoriske foranstaltninger for sletning af personoplysningerne i tilfælde, hvor tekniske foranstaltninger ikke var muligt. af, at Mariagerfjord Kommune ikke havde truffet passende sikkerhedsforanstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er ved kommunens behandling af personoplysninger. På baggrund af tilsynet har Datatilsynet fundet grundlag for at meddele Mariagerfjord Kommune udarbejde en liste over kommunens systemer, hvori der bliver behandlet personoplysninger, slette personoplysninger, hvor det ikke længere er nødvendigt for kommunen at opbevare oplysningerne og udarbejde en plan for hvordan kommunen i samarbejde med kommunens systemleverandører kan få slettet personoplysninger i kommunens systemer, som kommunen ikke længere har et formål med at opbevare. Datatilsynet har også fundet anledning til at meddele Mariagerfjord Kommune om at fjerne medarbejderes rettigheder til at installere programmer og eksekvere skadelig kode mv. på de computere og devices, der kan tilsluttes kommunens netværk. Datatilsynet vender hermed tilbage til sagen, hvor tilsynet den 11. maj 2022 varslede et fysisk tilsynsbesøg hos Mariagerfjord Kommune.

På baggrund af de undersøgte forhold finder Datatilsynet, at Mariagerfjord Kommunes brug af en ekstern databeskyttelsesrådgiver ligger inden for rammerne af databeskyttelsesforordningen I første halvår af 2019 besluttede Datatilsynet at føre tilsyn med forskellige temaer omkring kommunernes databeskyttelsesrådgivere (også ofte kaldet DPO efter den engelske betegnelse Data Protection Officer), herunder databeskyttelsesrådgiverens opgaver, ressourcer, faglige kvalifikationer og de registreredes adgang til databeskyttelsesrådgiveren. Den ene gruppe af tilsyn fokuserede på kommuner, som delte databeskyttelsesrådgiver med andre kommuner. Den anden gruppe af tilsyn fokuserede på kommuner, som havde tilkøbt sig ydelsen hos et advokatselskab, herunder Mariagerfjord Kommune som afgørelsen nedenfor drejer sig om. Datatilsynet fandt, at kommunernes løsninger om brug af databeskyttelsesrådgivere lå inden for rammerne af databeskyttelsesforordningen. Det er Datatilsynets opfattelse, at den dataansvarlige og databehandleren selv er nærmest til at vurdere, hvordan den praktiske del af samarbejdet med databeskyttelsesrådgiveren skal implementeres, så samarbejdet kan foregå mest effektivt og hensigtsmæssigt i organisationen. Den dataansvarlige og databehandleren kan derfor i vidt omfang selv organisere den praktiske del af samarbejdet med databeskyttelsesrådgiveren, så længe dette sker inden for rammerne af databeskyttelsesforordningens kapitel 4. Mariagerfjord Kommune var blandt de myndigheder, som Datatilsynet i 2019 havde udvalgt til tilsyn. Datatilsynets planlagte tilsyn fokuserede særligt på databeskyttelsesrådgiverens opgaver, herunder spørgsmålet om hvorvidt databeskyttelsesrådgiveren står til rådighed for medarbejdere i kommunen og registrerede vedrørende spørgsmål om databeskyttelse, samt hvorvidt databeskyttelsesrådgiveren fører den nødvendige kontrol med kommunens behandlingsaktiviteter. Datatilsynet bemærker i den forbindelse, at databeskyttelsesrådgivere ikke er personligt ansvarlige i tilfælde af manglende overholdelse af databeskyttelsesforordningen.