Tre politikredse

Datatilsynet har afsluttet tilsyn med tre udvalgte politikredses brugerstyring og kontrol med brugernes anvendelse (”logkontrol”) af politiets sagsstyringssystem POLSAS. Datatilsynet fandt i alle tre tilfælde anledning til at udtale kritik pga. utilstrækkelig logkontrol. I 2021 indledte Datatilsynet skriftlige tilsyn med henholdsvis Nordjyllands Politi, Fyns Politi og Bornholms Politis brugerstyring og logkontrol af politiets sagsstyringssystem POLSAS, idet der behandles store mængder af personoplysninger i systemet, herunder oplysninger om strafbare forhold. Valget af de tre politikredse skyldes, at de varierer i størrelsen, og at de er udtryk for en geografisk spredning. Politikredsenes oplysninger om brugerstyring i POLSAS – dvs. administration af adgangsrettigheder, herunder hvordan adgangsrettigheder tildeles og afmeldes – gav ikke Datatilsynet anledning til bemærkninger. Datatilsynet fandt imidlertid anledning til at udtale kritik af, at politikredsenes logkontrol ikke var i overensstemmelse med reglerne om behandlingssikkerhed, idet de ikke havde implementeret faste procedurer for løbende logkontrol (f.eks. ved stikprøvekontrol) for at sikre, at brugerne kun tilgår oplysninger, de har et arbejdsbetinget behov for at behandle. Politikredsene kontrollerede kun loggen ved konkret mistanke om misbrug. Det er Datatilsynets opfattelse, at kravet om passende sikkerhed normalt vil indebære, at den dataansvarlige løbende foretager stikprøver af loggen for at kontrollere, at brugerne kun tilgår oplysninger, de har et arbejdsbetinget behov for. En konkret risikovurdering kan danne grundlag for, hvordan og hvor ofte denne kontrol skal udføres.

Datatilsynet har afsluttet tilsyn med tre udvalgte politikredses brugerstyring og kontrol med brugernes anvendelse (”logkontrol”) af politiets sagsstyringssystem POLSAS. Datatilsynet fandt i alle tre tilfælde anledning til at udtale kritik pga. utilstrækkelig logkontrol. I 2021 indledte Datatilsynet skriftlige tilsyn med henholdsvis Nordjyllands Politi, Fyns Politi og Bornholms Politis brugerstyring og logkontrol af politiets sagsstyringssystem POLSAS, idet der behandles store mængder af personoplysninger i systemet, herunder oplysninger om strafbare forhold. Valget af de tre politikredse skyldes, at de varierer i størrelsen, og at de er udtryk for en geografisk spredning. Politikredsenes oplysninger om brugerstyring i POLSAS – dvs. administration af adgangsrettigheder, herunder hvordan adgangsrettigheder tildeles og afmeldes – gav ikke Datatilsynet anledning til bemærkninger. Datatilsynet fandt imidlertid anledning til at udtale kritik af, at politikredsenes logkontrol ikke var i overensstemmelse med reglerne om behandlingssikkerhed, idet de ikke havde implementeret faste procedurer for løbende logkontrol (f.eks. ved stikprøvekontrol) for at sikre, at brugerne kun tilgår oplysninger, de har et arbejdsbetinget behov for at behandle. Politikredsene kontrollerede kun loggen ved konkret mistanke om misbrug. Det er Datatilsynets opfattelse, at kravet om passende sikkerhed normalt vil indebære, at den dataansvarlige løbende foretager stikprøver af loggen for at kontrollere, at brugerne kun tilgår oplysninger, de har et arbejdsbetinget behov for. En konkret risikovurdering kan danne grundlag for, hvordan og hvor ofte denne kontrol skal udføres.

Datatilsynet har afsluttet tilsyn med tre udvalgte politikredses brugerstyring og kontrol med brugernes anvendelse (”logkontrol”) af politiets sagsstyringssystem POLSAS. Datatilsynet fandt i alle tre tilfælde anledning til at udtale kritik pga. utilstrækkelig logkontrol. I 2021 indledte Datatilsynet skriftlige tilsyn med henholdsvis Nordjyllands Politi, Fyns Politi og Bornholms Politis brugerstyring og logkontrol af politiets sagsstyringssystem POLSAS, idet der behandles store mængder af personoplysninger i systemet, herunder oplysninger om strafbare forhold. Valget af de tre politikredse skyldes, at de varierer i størrelsen, og at de er udtryk for en geografisk spredning. Politikredsenes oplysninger om brugerstyring i POLSAS – dvs. administration af adgangsrettigheder, herunder hvordan adgangsrettigheder tildeles og afmeldes – gav ikke Datatilsynet anledning til bemærkninger. Datatilsynet fandt imidlertid anledning til at udtale kritik af, at politikredsenes logkontrol ikke var i overensstemmelse med reglerne om behandlingssikkerhed, idet de ikke havde implementeret faste procedurer for løbende logkontrol (f.eks. ved stikprøvekontrol) for at sikre, at brugerne kun tilgår oplysninger, de har et arbejdsbetinget behov for at behandle. Politikredsene kontrollerede kun loggen ved konkret mistanke om misbrug. Det er Datatilsynets opfattelse, at kravet om passende sikkerhed normalt vil indebære, at den dataansvarlige løbende foretager stikprøver af loggen for at kontrollere, at brugerne kun tilgår oplysninger, de har et arbejdsbetinget behov for. En konkret risikovurdering kan danne grundlag for, hvordan og hvor ofte denne kontrol skal udføres.