Odense Kommune

På baggrund af Odense Kommunes besvarelse af de tilsendte spørgsmål er det Datatilsynets overordnede vurdering, at Odense Kommunes generelle modenhed på sikkerhedsområdet er udtryk for et niveau, der passer til de risici, som organisationens behandlingsaktiviteter udgør for de registreredes rettigheder og frihedsrettigheder. Som et led i Datatilsynets arbejde med at styrke den data- og risikobaserede tilgang til vejledning og kontrol afsluttede tilsynet en række spørgeskemaundersøgelser i december 2020. Undersøgelserne skulle belyse den generelle modenhed på udvalgte sikkerhedsområder hos syv offentlige myndigheder og syv private virksomheder. Spørgeskemaerne omfattede bl.a. spørgsmål til håndtering af backup og brud på persondatasikkerheden samt udarbejdelse af informationssikkerhedspolitikker, beredskabsplaner og dokumentation. Datatilsynet kan konstatere, at særligt håndteringen af backup er et område, som har de dataansvarliges bevågenhed. I flere tilfælde har Datatilsynet dog vurderet, at de dataansvarlige med fordel kan have et større fokus på etableringen af beredskab og beredskabsplaner. Datatilsynet har den 10. juli 2020 sendt et spørgeskema til Odense Kommune. På baggrund af Odense Kommunes besvarelse af spørgeskemaet har Datatilsynet efterfølgende den 16. december 2020 været i telefonisk kontakt med kommunen med henblik på at få uddybet en række af svarene. Datatilsynets formål med at gennemføre den skriftlige spørgeskemaundersøgelse var navnlig at foretage en vurdering af Odense Kommunes modenhed på databeskyttelsesområdet med et særligt fokus på håndtering af brud på persondatasikkerhed samt efterlevelsen af krav til informationssikkerhed, herunder håndtering af dokumentation, backup og beredskabsplaner.

Odense Kommune har i maj 2020 anmeldt et brud på persondatasikkerheden til Datatilsynet. Bruddet vedrører et system, der blev sat i drift i maj 2019 – altså et år forud for anmeldelsen – hvor det er muligt digitalt at søge om personligt tillæg eller enkeltydelse. Det er i systemet muligt at gennemføre en ansøgning på en andens vegne, hvilket fx er aktuelt når en sundhedsfaglig person ansøger på vegne af en patient. Systemet var opsat således, at når en person gennemførte en ansøgning på en borgers vegne, og vedkommende brugte sit personlige NemID, blev personens navn, adresse og personnummer sendt i en kvittering til borgeren via Digital Post. Datatilsynet vender hermed tilbage til sagen, hvor Odense Kommune den 12. maj 2020 har anmeldt et brud på persondatasikkerheden til Datatilsynet. Anmeldelsen og opfølgningen af 29. juni 2020 har følgende referencenumre: Odense Kommune har den 24. august og den 1. september 2020 besvaret spørgsmål fra Datatilsynet. Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale af, at Odense Kommunes behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens Samtidig finder Datatilsynet, at der er grundlag for at meddele Odense Kommune om at undersøge, hvorvidt der uretmæssigt er videregivet oplysninger om registreredes beskyttede adresser, og i bekræftende fald underrette de berørte registrerede, jf. artikel 34, stk. 1 og 2, samt tage kontakt til modtagerne af de pågældende oplysninger med opfordring om, at oplysningerne slettes. Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d og e.

Datatilsynet har i 2019 foretaget et planlagt tilsyn hos Odense Kommune. Tilsynet fokuserede på kommunens overholdelse af reglerne om den registreredes indsigtsret, jf. databeskyttelsesforordningens artikel 15 og artikel 12. af, at Odense Kommunes behandling af personoplysninger ikke var sket i overensstemmelse med forordningens artikel 12, stk. 3. Af Datatilsynets afsluttende udtalelse fremgår bl.a., at Odense Kommunes håndtering af indsigtsanmodninger generelt er sket i overensstemmelse med forordningens artikel 15, men at kommunen i tre tilfælde har besvaret en anmodning om indsigt senere end en måned efter modtagelsen af anmodningen. Odense Kommune var blandt de offentlige myndigheder, som Datatilsynet havde udvalgt til tilsyn i foråret 2019. Datatilsynets planlagte tilsyn med Odense Kommune fokuserede navnlig på myndighedens efterlevelse af reglerne om den registreredes indsigtsret, jf. databeskyttelsesforordningens Efter anmodning fra Datatilsynet havde Odense Kommune inden tilsynsbesøget udfyldt et spørgeskema og indsendt dette sammen med yderligere materiale til tilsynet. Selve tilsynsbesøget fandt sted den 20. maj 2019. Efter tilsynet med Odense Kommune finder Datatilsynet anledning til sammenfattende at konkludere: At Odense Kommune i en vis grad har udarbejdet retningslinjer, procedurer m.v. for kommunens efterlevelse af databeskyttelsesforordningens artikel 15. At Odense Kommune i en vis grad har udarbejdet skabeloner, der kan medvirke til at sikre og lette kommunens efterlevelse af databeskyttelsesforordningens artikel 15. At Odense Kommune har modtaget og besvaret 9 indsigtsanmodninger i perioden 25. maj 2018 til tidspunktet for varslingen af tilsynet, og at kommunen i tre af tilfældene ikke besvaret en anmodning om indsigt i overensstemmelse med tidsfristerne i databeskyttelsesforordningens artikel 12, stk.