Randers Kommune

Datatilsynet har truffet afgørelse i fem tilsynssager vedrørende behandlingssikkerheden i AULA. Datatilsynet fandt anledning til at meddele påbud om udarbejdelse af konsekvensanalyser i to af sagerne. Derudover har tilsynet udtalt kritik og alvorlig kritik i sagerne. Datatilsynet igangsatte i efteråret 2021 tilsyn med i alt seks udvalgte kommuners behandling af personoplysninger i it-systemet AULA. Tilsynene var fokuseret på efterlevelse af databeskyttelsesforordningens regler om behandlingssikkerhed og konsekvensanalyse. ”Når skoler/daginstitutioner og forældre kommunikerer via AULA, indgår der i mange tilfælde følsomme og fortrolige oplysninger om børn. Det er derfor vigtigt, at kommunerne passer godt på oplysningerne i AULA. Datatilsynet har nu truffet afgørelse i alle sager undtagen én, da denne sag indeholder nogle yderligere elementer. Tilsynene er en videreførelse af Datatilsynets tidligere tilsyn med Kombit A/S (herefter KOMBIT) i december 2019. Datatilsynet kunne på det pågældende tilsynsbesøg konstatere, at KOMBIT ikke kunne betragtes som dataansvarlig for AULA efter databeskyttelsesforordningens artikel 4, nr. 7. På tilsynsmødet oplyste Datatilsynet KOMBIT om, at KOMBIT skulle sikre, at alle kommuner blev informeret om deres dataansvar, og at KOMBIT skulle overdrage alle nødvendige materialer og informationer til kommunerne i den forbindelse. Datatilsynet finder, at tilsynssagerne rejser nogle generelle databeskyttelsesretlige problemstillinger på tværs af kommunerne, som med fordel kan håndteres samlet fremfor særskilt hos de enkelte kommuner. Derfor har Datatilsynet valgt at orientere Kommunernes Landsforening (KL), Styrelsen for It og Læring og Kombit A/S (herefter KOMBIT) om tilsynets afgørelser i disse sager.

Datatilsynet har udtalt alvorlig kritik af Randers Kommunes behandling af personoplysninger, idet der har været offentliggjort personoplysninger på kommunens hjemmeside, og idet kommunen ikke har anmeldt den pågældende hændelse eller underrettet de berørte borgere i overensstemmelse med forordningens regler herom. Datatilsynet har truffet afgørelse i en sag, hvor Randers Kommune har anmeldt et brud på persondatasikkerheden. Datatilsynet har i afgørelsen fundet grundlag for at udtale alvorlig kritik af, at Randers Kommunes behandling af personoplysninger ikke er sket i overensstemmelse med de databeskyttelsesretlige regler. Datatilsynet har i afgørelsen lagt vægt på, at der på Randers Kommunes hjemmeside har været offentliggjort personoplysninger af beskyttelsesværdig karakter, herunder oplysninger om navne- og adressebeskyttelse og oplysninger om børns trivsel, diagnose og tilknytning til specialskole. Datatilsynet har derudover lagt vægt på, at Randers Kommune ikke har anmeldt hændelsen som et brud på persondatasikkerheden til Datatilsynet inden for den i databeskyttelsesforordningen fastsatte frist, og at kommunen ikke har efterlevet kravene til indholdet eller tidspunktet for underretning af de berørte borgere. Datatilsynet vender hermed tilbage til sagen, hvor Randers Kommune den 1. november 2019 anmeldte et brud på persondatasikkerheden. Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale af, at Randers Kommunes behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 32, stk. 1, artikel 33, stk. 1 og artikel 34, stk. 1-2. Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse. Randers Kommune anmeldte den 1. november 2019 et brud på persondatasikkerheden til Datatilsynet. Det fremgår af anmeldelsen, at kommunen den 18.

Datatilsynet har udtalt alvorlig kritik af, at Randers Kommune ikke har efterlevet databeskyttelsesforordningens krav i forbindelse med brugen af databehandlere. Randers Kommune var blandt de myndigheder, som Datatilsynet i 2018 havde udvalgt til tilsyn. Tilsynene fokuserede navnlig på kommunernes efterlevelse af de krav, som knytter sig til anvendelse af databehandlere. Datatilsynet har i anledning af tilsynet udtalt alvorlig kritik af, at Randers Kommune ikke har efterlevet databeskyttelsesforordningens krav i forbindelse med brugen af databehandlere, jf. databeskyttelsesforordningens artikel 28, stk. 3, og artikel 5, stk. 2, jf. artikel 5, stk. 1. Af Datatilsynets afsluttende udtalelse fremgår bl.a., at Randers Kommune ikke på tidspunktet for tilsynsbesøget havde indgået databehandleraftaler med 68 af kommunens databehandlere, hvor aftalen – som et minimum – indeholdt en beskrivelse af de forpligtelser, som er nævnt i artikel 28, stk. 3. Randers Kommune har efter tilsynsbesøget og inden Datatilsynets udtalelse oplyst, at kommunen nu har indgået databehandleraftaler med samtlige databehandlere i overensstemmelse med kravene i databeskyttelsesforordningen. Herudover fremgår det af udtalelsen, at selvom Randers Kommune havde ført løbende tilsyn med behandlingen af personoplysninger hos de af kommunens databehandlere, som var udvalgt til stikprøvekontrol på tilsynsbesøget, så havde kommunen ikke i alle tilfælde ført løbende tilsyn med behandlingen af personoplysninger hos kommunens underdatabehandlere. vejledende tekst om tilsyn med databehandlere og underdatabehandlere her Randers Kommune var blandt de offentlige myndigheder, som Datatilsynet i efteråret 2018 udvalgte til tilsyn efter databeskyttelsesloven Datatilsynets planlagte tilsyn med Randers Kommune fokuserede navnlig på kommunens efterlevelse af de krav, som knytter sig til anvendelse af databehandlere.