Vejle Kommune

Datatilsynet anmelder Vejle Kommune til politiet, da tilsynet vurderer, at kommunen ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningen. Vejle Kommune er blevet indstillet til en bøde på 200.000 kr. for ikke at have overholdt sin forpligtelse som dataansvarlig til at gennemføre passende sikkerhedsforanstaltninger. Datatilsynet blev opmærksom på sagen, da kommunen anmeldte et brud på persondatasikkerheden. Af sagen fremgik det, at den kommunale tandpleje havde haft en fast praksis, hvor velkomstbreve indeholdende begge forældres adresser automatisk var blevet fremsendt til begge forældremyndighedsindehavere. Kommunen havde i de enkelte tilfælde ikke vurderet, hvorvidt oplysningerne måtte videregives til den anden forælder. Dette medførte, at forældre i flere tilfælde modtog oplysninger om den anden forælders (og barnets) adresse, uanset om denne havde navne- og adressebeskyttelse. ”Når man opsætter en automatisk proces til fremsendelse af breve med personoplysninger, f.eks. adresser, skal man tage højde for, at videregivelse af oplysningerne i hvert enkelt tilfælde ikke må udsætte borgeres, herunder børns, rettigheder for en risiko. Man skal i øvrigt altid vurdere, om det overhovedet er nødvendigt, at oplysningerne fremgår af brevene,” forklarer chefkonsulent i Datatilsynet Eva Volfing. Datatilsynet har besluttet at anmelde Vejle Kommune til politiet og indstiller, at der nedlægges påstand om, at kommunen idømmes en bøde på 200.000 kr. Datatilsynet har ved sin indstilling til bødestørrelse blandt andet lagt vægt på overtrædelsens karakter og alvor samt forordningens krav om, at en bøde i hver enkelt sag skal være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

På baggrund af de undersøgte forhold finder Datatilsynet, at Vejle Kommunes brug af en ekstern databeskyttelsesrådgiver ligger inden for rammerne af databeskyttelsesforordningen. I første halvår af 2019 besluttede Datatilsynet at føre tilsyn med forskellige temaer omkring kommunernes databeskyttelsesrådgivere (også ofte kaldet DPO efter den engelske betegnelse Data Protection Officer), herunder databeskyttelsesrådgiverens opgaver, ressourcer, faglige kvalifikationer og de registreredes adgang til databeskyttelsesrådgiveren. Den ene gruppe af tilsyn fokuserede på kommuner, som delte databeskyttelsesrådgiver med andre kommuner. Den anden gruppe af tilsyn fokuserede på kommuner, som havde tilkøbt sig ydelsen hos et advokatselskab, herunder Vejle Kommune som afgørelsen nedenfor drejer sig om. Datatilsynet fandt, at kommunernes løsninger om brug af databeskyttelsesrådgivere lå inden for rammerne af databeskyttelsesforordningen. Det er Datatilsynets opfattelse, at den dataansvarlige og databehandleren selv er nærmest til at vurdere, hvordan den praktiske del af samarbejdet med databeskyttelsesrådgiveren skal implementeres, så samarbejdet kan foregå mest effektivt og hensigtsmæssigt i organisationen. Den dataansvarlige og databehandleren kan derfor i vidt omfang selv organisere den praktiske del af samarbejdet med databeskyttelsesrådgiveren, så længe dette sker inden for rammerne af databeskyttelsesforordningens kapitel 4. Vejle Kommune var blandt de myndigheder, som Datatilsynet i 2019 havde udvalgt til tilsyn. Datatilsynets planlagte tilsyn fokuserede særligt på databeskyttelsesrådgiverens opgaver, herunder spørgsmålet om hvorvidt databeskyttelsesrådgiveren står til rådighed for medarbejdere i kommunen og registrerede vedrørende spørgsmål om databeskyttelse, samt hvorvidt databeskyttelsesrådgiveren fører den nødvendige kontrol med kommunens behandlingsaktiviteter. Datatilsynet bemærker i den forbindelse, at databeskyttelsesrådgivere ikke er personligt ansvarlige i tilfælde af manglende overholdelse af databeskyttelsesforordningen[1].