Udlændingestyrelsen

Datatilsynet anmelder Udlændingestyrelsen til politiet, og indstiller til en bøde på 150.000 kr., da tilsynet vurderer, at styrelsen ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningen. Datatilsynet indledte den 25. august 2020 en sag af egen drift over for Udlændinge- og Integrationsministeriet, da tilsynet gennem medieomtale blev bekendt med, at en mulig logningsfejl i et it-system tilknyttet Udrejsecenter Kærshovedgård kunne have haft konsekvenser for beboernes rettigheder og frihedsrettigheder. Efter en undersøgelse af sagen, stod det klart, at Udlændingestyrelsen var dataansvarlig for behandlingen af personoplysninger i forbindelse med kontrol af beboernes opholds- og underretningspligt på Udrejsecenter Kærshovedgård og Udrejsecenter Sjælsmark. I foråret og sommeren 2020 skete en række sikkerhedshændelser vedrørende manglende registreringer i det system, som registrerer at beboere på Udrejsecenter Kærshovedgård og Udrejsecenter Sjælsmark overholder deres opholds-, underretnings- og meldepligt. De manglende registreringer førte til, at der blev påbegyndt sagsbehandling vedrørende nedsættelse af en række beboeres kontante ydelser samt politianmeldelse af en række beboere for manglende overholdelse af regler i udlændingeloven. Efter en gennemgang af sagen finder Datatilsynet, at Udlændingestyrelsens behandling af personoplysninger ikke har været i overensstemmelse med reglerne om passende sikkerhed. Datatilsynet har ved vurderingen af dette lagt vægt på, at Udlændingestyrelsen ikke havde indført procedurer for systematisk at anvende oplysningerne i den hændelseslog, som registrerer beboernes færden inde på Udrejsecenter Kærshovedgård. Det gælder også på Udrejsecenter Sjælsmark i det omfang, hvor det ville kunne bidrage til at kontrollere rigtigheden af registreringer af beboernes færden – i forbindelse med behandlingen af anmeldelsessager som led i kontrollen med opholds- og underretningspligten.

På baggrund af Udlændingestyrelsens besvarelse af de tilsendte spørgsmål er det Datatilsynets overordnede vurdering, at Udlændingestyrelsens generelle modenhed på sikkerhedsområdet er udtryk for et niveau, der passer til de risici, som organisationens behandlingsaktiviteter udgør for de registreredes rettigheder og frihedsrettigheder. Som et led i Datatilsynets arbejde med at styrke den data- og risikobaserede tilgang til vejledning og kontrol afsluttede tilsynet en række spørgeskemaundersøgelser i december 2020. Undersøgelserne skulle belyse den generelle modenhed på udvalgte sikkerhedsområder hos syv offentlige myndigheder og syv private virksomheder. Spørgeskemaerne omfattede bl.a. spørgsmål til håndtering af backup og brud på persondatasikkerheden samt udarbejdelse af informationssikkerhedspolitikker, beredskabsplaner og dokumentation. Datatilsynet kan konstatere, at særligt håndteringen af backup er et område, som har de dataansvarliges bevågenhed. I flere tilfælde har Datatilsynet dog vurderet, at de dataansvarlige med fordel kan have et større fokus på etableringen af beredskab og beredskabsplaner. Datatilsynet har den 10. juli 2020 sendt et spørgeskema til Udlændingestyrelsen. Datatilsynets formål med at gennemføre den skriftlige spørgeskemaundersøgelse var navnlig at foretage en vurdering af Udlændingestyrelsens modenhed på databeskyttelsesområdet med et særligt fokus på håndtering af brud på persondatasikkerhed samt efterlevelsen af krav til informationssikkerhed, herunder håndtering af dokumentation, backup og beredskabsplaner. Datatilsynet har ligeledes på baggrund af Udlændingestyrelsens besvarelse foretaget en overordnet vurdering af de foranstaltninger, som Udlændingestyrelsen har vurderet som passende for at imødegå risici, som organisationens behandlingsaktiviteter udgør for de registrerede. artikel 32, stk. 1, fremgår bl.a.