Datatilsynet kommer med ny kritik af kommuner

Datatilsynet kritiserer igen en række kommuner, som ikke overholder persondataloven. Samtidig varsler Datatilsynet op til 45 nye kontrolbesøg i første halvdel af 2015.

Datatilsynet gennemfører med jævne mellemrum kontrolbesøg hos de danske kommuner. Kommunerne behandler ofte de mest følsomme oplysninger om borgerne og skal derfor også leve op til en lang række krav, herunder krav om organisatorisk og teknisk sikkerhed.

Kontrolbesøgene i 2014 har medført kritik af fem kommuners manglende overholdelse af persondatareglerne. Nedenfor kan du læse hvilke krav, kommunerne ikke levede op til.

Stikprøvekontrol og autorisation
To kommuners borgerservicecentre fik kritik for ikke at have gennemført tilstrækkelig stikprøvekontrol af logfiler. Også andre kommuner fik i 2014 kritik for denne forteelse. Det ene af de to kontrollerede borgerservicecentre havde endvidere ikke sikret korrekt autorisation af en medarbejder. Medarbejderen havde adgang til oplysninger, som medarbejderen ikke havde nogen arbejdsmæssig begrundelse for at have adgang til. Dette fandt Datatilsynet meget problematisk.

Transmission af følsomme oplysninger
En borger havde klaget over en kommunes transmission af følsomme personoplysninger på en ikke tilstrækkeligt sikker måde. Kommunen havde sendt de følsomme oplysninger i en ikke-krypteret e-mail, i strid med sikkerhedsbekendtgørelsens § 14.

Den pågældende kommune har tidligere fået kritik af Datatilsynet for lignende overtrædelser, og Datatilsynet valgte derfor at karakterisere kommunens adfærd som meget kritisabel.

Videregivelse af følsomme oplysninger
I forbindelse med en arbejdsretligt tvist valgte en kommune at videresende følsomme oplysninger om en tidligere medarbejder til en anden kommune og en arbejdsløshedskasse. Oplysningerne vedrørte mistanke om strafbare forhold.

Efter en konkret afvejning vurderede Datatilsynet, at kommunen ikke havde hjemmel til at videregive oplysningerne. Kommunen havde endvidere sendt de følsomme oplysninger i en ikke-krypteret e-mail. Datatilsynet vurderede kommunens adfærd som kritisabel.

Brug af databehandlere
En kommune havde ikke sørget for at indgå lovpligtige, skriftlige databehandleraftaler med leverandører, der behandlede personoplysninger på vegne af kommunen. Endvidere havde kommunen heller ikke sikret sig, at databehandlerne behandlede kommunens oplysninger med passende høj sikkerhed. Dette fandt Datatilsynet kritisabelt og henstillede til, at kommunen fik forholdene bragt i orden.

En pre-audit fra Bech-Bruun kan hjælpe
Bech-Bruun har som det eneste rådgiverfirma i Danmark udviklet et særligt persondata pre-audit-produkt til kommunerne. En pre-audit vurderer en kommunes aktuelle complianceniveau i forhold til persondataloven og sikkerhedsbekendtgørelsen. Pre-auditten gennemføres blandt andet ved interviews af nøglepersoner i kommunen samt gennemgang af centrale politikker, aftaler, anmeldelser og instrukser. En pre-audit udmønter sig i en operationel ledelsesrapport med anbefalinger til forbedringer.

---