Journalnummer: 2021-423-0247.
Frederikshavn Kommune var blandt de offentlige myndigheder, som Datatilsynet i foråret 2021 havde udvalgt at føre tilsyn med efter databeskyttelsesforordningen[1] og databeskyttelsesloven[2].
Datatilsynets tilsyn var et skriftligt tilsyn, som fokuserede på, om Frederikshavn Kommune foretager anmeldelse af og dokumenterer brud på persondatasikkerheden i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1, og artikel 33, stk. 5, herunder kommunens processer for håndtering og registrering af brud på persondatasikkerheden. Tilsynet var baseret på vurdering af stikprøver blandt ikke anmeldte brud samt oplysninger om retningslinjer, procedurer og uddannelsesaktiviteter mv.
Tilsynet blev ved brev af 21. juni 2021 varslet over for Frederikshavn Kommune, og kommunen blev ved samme lejlighed anmodet om at besvare en række spørgsmål. Datatilsynet oplyste om baggrunden for tilsynet, at det ved en gennemgang af tilsynets sager vedrørende anmeldelser af brud på persondatasikkerheden kunne konstateres, at Frederikshavn Kommune havde anmeldt væsentlig færre brud på persondatasikkerheden pr. indbygger i kommunen end Danmarks øvrige kommuner.
Ved brev af 24. august 2021 sendte Frederikshavn Kommune en udtalelse, hvor kommunen svarede på Datatilsynets spørgsmål. Kommunens svar var endvidere vedlagt en række dokumenter, herunder procesbeskrivelser og retningslinjer, som kommunen anvender for at efterleve artikel 33 i databeskyttelsesforordningen.
1. Afgørelse
Efter en gennemgang af det fremsendte materiale finder Datatilsynet, at der er grundlag for at udtale kritik af, at Frederikshavn Kommune ikke har dokumenteret, hvor mange brud på persondatasikkerheden kommunen har konstateret i 2018, jf. databeskyttelsesforordningens artikel 33, stk. 5.
Datatilsynet finder herudover, at Frederikshavn Kommune overordnet set har vedtaget passende procedurer og retningslinjer og har gennemført passende uddannelsesaktiviteter for at opfange og behandle brud på persondatasikkerheden korrekt, jf. databeskyttelsesforordningens artikel 33.
Nedenfor følger en nærmere gennemgang af de oplysninger, der er kommet frem i forbindelse med tilsynet, og en begrundelse for Datatilsynets afgørelse.
2. Begrundelse for Datatilsynets afgørelse
2.1. Relevante retsregler
Et brud på persondatasikkerheden er i databeskyttelsesforordningens artikel 4, nr. 12, defineret som et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.
Det følger af databeskyttelsesforordningens artikel 33, stk. 1, at ved brud på persondatasikkerheden skal den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at den dataansvarlige er blevet bekendt med bruddet på persondatasikkerheden, anmelde dette til den tilsynsmyndighed, som er kompetent i overensstemmelse med artikel 55 (Datatilsynet), medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. Foretages anmeldelsen til tilsynsmyndigheden ikke inden for 72 timer, skal den ledsages af en begrundelse for forsinkelsen.
Det er Datatilsynets opfattelse, at kravet i artikel 33 om, at brud på persondatasikkerheden som udgangspunkt skal anmeldes til Datatilsynet inden for 72 timer, indebærer, at den dataansvarlige skal etablere passende procedurer og retningslinjer, som skal sikre, at brud bliver opdaget og behandlet korrekt. Den dataansvarlige skal i den forbindelse sikre sig, at alle medarbejdere i organisationen i nødvendigt omfang er bekendt med interne procedurer for håndtering af brud på persondatasikkerheden, og at relevante medarbejdere kan identificere, håndtere og vurdere brud på persondatasikkerheden.
Det følger endvidere af databeskyttelsesforordningens artikel 33, stk. 5, at den dataansvarlige skal dokumentere alle brud på persondatasikkerheden, herunder de faktiske omstændigheder ved bruddet på persondatasikkerheden, dets virkninger og de trufne afhjælpende foranstaltninger. Denne dokumentation skal kunne sætte tilsynsmyndigheden (Datatilsynet) i stand til at kontrollere, at bestemmelsen er overholdt.
I Datatilsynets vejledning fra februar 2018 om håndtering af brud på persondatasikkerheden er det på side 27 anført, at kravene til dokumentation kan opstilles således:
- Dato og tidspunkt for bruddet.
- Hvad skete der i forbindelse med bruddet?
- Hvad er årsagen til bruddet?
- Hvilke (typer) personoplysninger er omfattet af bruddet?
- Hvilke konsekvenser har bruddet for de berørte personer?
- Hvilke afhjælpende foranstaltninger er truffet?
- Hvorvidt – og i givet fald hvordan – der er sket anmeldelse til Datatilsynet? Hvorfor/hvorfor ikke?
Den dataansvarlige bør således dokumentere sine begrundelser for alle væsentlige beslutninger, der træffes som følge af bruddet. Dette gælder ikke mindst, hvis den dataansvarlige efter at have vurderet bruddet er nået frem til, at det ikke skal anmeldes til Datatilsynet. Dokumentationen bør i relation til denne beslutning omfatte en nærmere redegørelse for, hvorfor den dataansvarlige mener, at bruddet sandsynligvis ikke vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder.
2.2. Dokumentation af brud på persondatasikkerheden
Frederikshavn Kommune har i udtalelsen af 24. august 2021 oplyst, at der siden 25. maj 2018 er registreret i alt 34 brud på persondatasikkerheden i kommunen.
Frederikshavn Kommune har dog videre oplyst, at det ikke har været muligt at finde en hændelseslog for 2018, men at der er registreret et enkelt brud på persondatasikkerheden for dette år.
Datatilsynet lægger på den baggrund til grund, at Frederikshavn Kommunen alene har dokumenteret informationssikkerhedshændelser i en hændelseslog siden 2019, og at kommunen dermed ikke har dokumenteret alle brud på persondatasikkerheden siden 25. maj 2018, hvor databeskyttelsesforordningen fik virkning.
Datatilsynet finder herefter anledning til at udtale kritik af, at Frederikshavn Kommune ikke har dokumenteret, hvor mange brud på persondatasikkerheden kommunen har konstateret i 2018, jf. databeskyttelsesforordningens artikel 33, stk. 5.
Datatilsynet har ved valg af reaktion lagt vægt på, at den manglende dokumentation alene vedrørte 2018.
2.3. Vurdering af ikke-anmeldte brud
Frederikshavn Kommune har på Datatilsynets anmodning redegjort for de tre første brud på persondatasikkerheden, som er sket i 2021, og som kommunen har undladt at anmelde til Datatilsynet.
Den første hændelse angik, at en sagsbehandler sendte en pædagogisk psykologisk udredning vedrørende en forkert borger til Ankestyrelsen. Ankestyrelsen blev kontaktet og oplyste, at det forkerte dokument var blevet slettet. Den anden hændelse angik, at en medarbejder på vegne af en borger ved en fejl sendte et afbud vedrørende et AOK-forløb til en HK-projektmedarbejder, inden der var indgået en databehandleraftale med HK. Mailen indeholdt navn og fødselsdato på den registrerede. HK-projektmedarbejderen, der skulle behandle sådanne personoplysninger, når databehandleraftalen var indgået, slettede mailen med det samme. Den tredje hændelse angik, at en medarbejder i Pladsanvisningen for Dagtilbud kom til at videresende en mail til en borger i stedet for en kollega. Den indeholdt fornavn og indkomstoplysninger på den registrerede. Modtageren blev med det samme anmodet om at slette mailen, og sletningen blev bekræftet bådet mundtligt og på mail. Modtageren blev ud fra et tidligere samarbejde vurderet meget troværdig.
Datatilsynet finder ikke grundlag for at tilsidesætte kommunens vurdering af, at de tre hændelser kan karakteriseres som brud på persondatasikkerheden, jf. databeskyttelsesordningens artikel 4, nr. 12, men at disse ikke er omfattet af pligten til at foretage anmeldelse.
Datatilsynet finder således ikke grundlag for at tilsidesætte vurderingen af, at det må betegnes som usandsynligt, at de pågældende brud indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder, jf. artikel 33, stk. 1.
Datatilsynet bemærker dog i forhold til den tredje hændelse, at den dataansvarlige bør være sikker i sin sag, når modtagerens troværdighed tillægges betydning for vurderingen af, om der skal ske underretning til Datatilsynet, og at der i den interne dokumentation af hændelsen bør anføres en nærmere begrundelse for denne troværdighedsvurdering.
2.4. Procedurer og uddannelse af medarbejderne
Det fremgår af udtalelsen af 24. august 2021 og de vedlagte bilag, at Frederikshavn Kommune bl.a. har fastlagt procedurer for, hvortil og hvordan brud på persondatasikkerheden skal indberettes internt i kommunen, hvem medarbejderne kan rette henvendelse til med spørgsmål om brud, hvem der har ansvaret for at varetage opgaverne med at håndtere og vurdere brud samt at foretage anmeldelse til Datatilsynet.
Det fremgår endvidere, at Frederikshavn Kommune har udarbejdet vejledninger og gennemført aktiviteter med henblik på at uddanne medarbejderne i databeskyttelse, herunder med henblik på at de vil kunne identificere og eventuelt håndtere brud på persondatasikkerheden.
I forhold til hvilke kriterier der indgår i Frederikshavn kommunens vurdering af, om et brud på persondatasikkerheden skal anmeldes til Datatilsynet, har Frederikshavn Kommunen bl.a. anført, at hvis databeskyttelsesrådgiveren er i tvivl, vil vurderingen altid ske i den registreres favør.
Det er på baggrund af det fremsendte materiale, herunder oplysningerne om de tre ikke-anmeldte brud fra 2021 – trods den manglende registrering af brud i 2018 – Datatilsynets umiddelbare vurdering, at Frederikshavn Kommune overordnet set har vedtaget passende procedurer og retningslinjer mv. og har gennemført passende uddannelsesaktiviteter, som kan understøtte overholdelsen af kravene i databeskyttelsesforordningens artikel 33, og som dermed kan sikre, at brud på persondatasikkerheden opfanges i organisationen, sådan at disse kan blive vurderet med henblik på, om bruddet skal anmeldes til Datatilsynet, ligesom der kan foretages dokumentation af bruddene, herunder bl.a. begrundelsen herfor hvis de ikke anmeldes til Datatilsynet.
Det bemærkes, at Datatilsynet ikke som led i tilsynet har haft lejlighed til at tage konkret stilling til, om alle relevante medarbejdere har gennemført de pågældende uddannelsesaktiviteter, og at tilsynet ikke er bekendt med det fulde indhold af uddannelsesmaterialet, herunder indholdet af f.eks. løbende awarenessindsatser.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger. (Databeskyttelsesloven)