Journalnummer: 2024-432-0030.
Resumé
Datatilsynet har undersøgt, om Kriminalforsorgens håndtering af indsigtssager fra indsatte i Kriminalforsorgens institutioner var i overensstemmelse med de databeskyttelsesretlige regler. Tilsynet fandt flere kritisable forhold.
Derfor udtaler Datatilsynet nu kritik af Kriminalforsorgen.
Efter at have modtaget en række konkrete henvendelser fra indsatte har Datatilsynet undersøgt Kriminalforsorgens generelle håndtering af anmodninger om indsigt. Konkret er der bl.a. indsatte, som har klaget over, at de ikke har fået udleveret de oplysninger, som de har ret til, og ikke har fået det inden for de gældende tidsfrister.
Direktoratet for Kriminalforsorgen udtalte i forbindelse med sagen, at direktoratet var bekendt med, at anmodninger om indsigt ikke altid var blevet håndteret korrekt bl.a. som følge af, at der ikke altid blev anvendt det rigtige lovgrundlag, herunder manglende skelnen mellem databeskyttelsesreglerne om indsigt, og forvaltnings- og offentlighedslovens regler om aktindsigt.
Direktoratet for Kriminalforsorgen har oplyst, at der nu er iværksat en række tiltag for at sikre overholdelsen af de databeskyttelsesretlige regler. På den baggrund har Datatilsynet meddelt, at tilsynet vil vende tilbage til Direktoratet for Kriminalforsorgen til næste år og bede om en redegørelse for, hvilke tiltag der så er blevet gennemført på området. Samtidig vil Datatilsynet bede om en generel redegørelse for Kriminalforsorgens behandlingstider for rettighedssager, herunder primært indsigtssager.
Afgørelse
1. Som følge af flere henvendelser til Datatilsynet vedrørende Kriminalforsorgens besvarelse af indsigtsanmodninger, indledte tilsynet den 19. juli 2024 en nærmere undersøgelse af Kriminalforsorgens generelle håndtering af anmodninger om indsigt fra indsatte i Kriminalforsorgens institutioner.
Direktoratet for Kriminalforsorgen har over for Datatilsynet udtalt, at det er korrekt, at indsigtsanmodninger ikke i alle tilfælde er blevet håndteret korrekt, og at der beklageligvis bl.a. har været yderst lange svartider.
Datatilsynet finder på det grundlag anledning til at udtale kritik af, at Kriminalforsorgens håndtering af indsattes rettighedsanmodninger mv. ikke i alle tilfælde er sket i overensstemmelse med reglerne om indsigt.
På baggrund af det, som Direktoratet for Kriminalforsorgen har oplyst til Datatilsynet om, hvad direktoratet som følge heraf har foretaget sig og fremadrettet vil gøre, har tilsynet besluttet at afslutte sin undersøgelse.
I 2026 vil Datatilsynet imidlertid vende tilbage til Direktoratet for Kriminalforsorgen og bede om en redegørelse for, hvilke tiltag som er blevet gennemført på dette område. Tilsynet vil også bede om en generel redegørelse for Kriminalforsorgens behandlingstider for rettighedssager, herunder primært indsigtssager.
2. Det følger af databeskyttelsesforordningens artikel 15, stk. 1, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og den information, som følger af bestemmelsens litra a-h.
Det følger videre af bestemmelsen, at den registrerede som udgangspunkt har ret til at modtage en kopi af de oplysninger, som den dataansvarlige behandler om den pågældende, jf. databeskyttelsesforordningens artikel 15, stk. 3. Retten til at modtage en kopi må ikke krænke andres rettigheder eller frihedsrettigheder jf. § 15, stk. 4.
De nærmere regler for udøvelsen af den registreredes rettigheder, herunder anmodninger om indsigt efter databeskyttelsesforordningens artikel 15, fremgår af artikel 12.
Det følger af artikel 12, stk. 3, at den dataansvarlige uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen oplyser den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til bl.a. artikel 15. Denne periode kan forlænges med to måneder, hvis det er nødvendigt under hensyntagen til anmodningens kompleksitet og antal, og den dataansvarlige skal underrette den registrerede om enhver forlængelse senest en måned efter modtagelsen af anmodningen sammen med en begrundelse for forsinkelsen.
Det følger af retshåndhævelseslovens § 15, at såfremt en registreret fremsætter begæring herom, skal den dataansvarlige bekræfte over for den pågældende, om der behandles oplysninger om vedkommende. Behandles der oplysninger om den pågældende, skal der gives adgang til oplysningerne samt gives en meddelelse en række oplysninger, der fremgår af retshåndhævelseslovens § 15, stk. 2.
Det følger af retshåndhævelseslovens § 18, stk. 2, at den dataansvarlige snarest og på skrift skal besvare anmodninger som nævnt i bl.a. § 15. Er anmodningen ikke besvaret inden 4 uger efter modtagelsen, skal den dataansvarlige underrette den registrerede om grunden hertil samt oplyse om, hvornår anmodningen forventes besvaret.
3. Datatilsynet anmodede i forbindelse med sin undersøgelse Direktoratet for Kriminal-forsorgen om en beskrivelse af bl.a., hvordan indsigtsanmodninger modtaget fra indsatte i Kriminalforsorgens institutioner generelt behandles, herunder hvilke procedurer der i almindelighed følges, og hvordan det sikres, at fristen for besvarelse af indsigtsanmodninger fra den registrerede overholdes. Samtidig blev Kriminalforsorgen anmodet om at fremsende en eventuel kopi af interne retningslinjer for håndtering af indsigtsanmodninger.
Af Direktoratet for Kriminalforsorgens udtalelse af 16. august 2024 fremgik det, at Kriminalforsorgen som led i sin generelle løbende revision af politikker og retningslinjer var i gang med at revidere retningslinjerne for håndtering af indsigtsanmodninger efter databeskyttelsesforordningen[1] og retshåndhævelsesloven[2], som ville blive eftersendt til Datatilsynet.
Direktoratet for Kriminalforsorgen oplyste endvidere følgende:
” […] Kriminalforsorgen er opmærksom på, blandt andet gennem henvendelser fra registrerede – og nu også via Datatilsynets høring – at der i flere sager beklageligvis har været yderst lange svartider på anmodninger om indsigt.
Kriminalforsorgen har i forbindelse med de konkrete sager indskærpet reglerne om behandling af anmodninger fra de registrerede over for medarbejderne, herunder reglerne for, hvornår anmodninger senest skal besvares. Kriminalforsorgen har derudover – bl.a. på baggrund af konkrete sager – inddraget reglerne om behandling af anmodninger fra de registrerede i undervisning og ud-
dannelse af medarbejdere og har planer om at fortsætte dette.
[…]
Kriminalforsorgen har i forbindelse med løbende undervisning i databeskyttelse i de to kriminalforsorgsområder og direktoratet konstateret, at der er et for lille kendskab til reglerne om indsigt blandt kriminalforsorgens medarbejdere. Den interne høring, som direktoratet har foretaget om antal anmodninger i forbindelse med Datatilsynets anmodning om udtalelse, har i endnu højere grad bekræftet, at der er tale om en udfordring. Kriminalforsorgen er i gang med at planlægge en indsats i forhold til retten til indsigt. Det er planen, at indsatsen blandt andet skal bestå af yderligere undervisning i behandlingen af indsigtsanmodninger for relevant personale. Først og fremmest med henblik på at udbrede kendskabet til muligheden for indsigt efter databeskyttelsesreglerne og at kunne identificere og skelne mellem, om der er tale om en anmodning om indsigt eller en aktindsigt. Undervisningen vil også indeholde vejledning i besvarelsen af anmodningerne, herunder overholdelse af fristen.”
Datatilsynet modtog den 9. september 2024 Direktoratet for Kriminalforsorgens reviderede retningslinjer til håndtering af indsigtsanmodninger.
Direktoratet for Kriminalforsorgens udtalelse af 16. august 2024 og de reviderede retningslinjer af 9. september 2024 gav Datatilsynet anledning til at stille direktoratet en række supplerende spørgsmål, som blev besvaret telefonisk af Direktoratet for Kriminalforsorgen den 7. februar 2025.
Direktoratet for Kriminalforsorgen oplyste, at de tiltag, som direktoratet havde anført i sin udtalelse af 16. august 2024 om yderligere uddannelse, endnu ikke var blevet implementeret, hvilket skyldes besparelser i Kriminalforsorgen som følge af regeringens nedlæggelse af statslige årsværk.
Endvidere oplyste Direktoratet for Kriminalforsorgen, at alle relevante medarbejdere har dog adgang til de reviderede retningslinjer for håndtering af indsigtsanmodninger efter databeskyttelsesforordningen og retshåndhævelsesloven via Kriminalforsorgens intranet, og at der ved tvivl er mulighed for at rette henvendelse til Direktoratet for Kriminalforsorgen. De lovbestemte frister er blevet tydeliggjort i retningslinjerne, og vigtigheden af at indsigtsanmodninger besvares rettidigt er ligeledes blevet understreget. Direktoratet for Kriminalforsorgen vil som minimum i forbindelse med on-boardingprogrammet for nye medarbejdere sikre, at de bliver bekendt med forskellen på aktindsigt efter forvaltnings- og offentlighedslovens regler og indsigt efter de databeskyttelsesretlige regler.
4. Datatilsynet har noteret sig, at Direktoratet for Kriminalforsorgen er bekendt med, at anmodninger om indsigt ikke er håndteret korrekt bl.a. som følge af manglende kendskab blandt medarbejderne til reglerne om indsigt efter de databeskyttelsesretlige regler, hvilket direktoratet har beklaget.
Datatilsynet har også noteret sig, at Direktoratet for Kriminalforsorgen har iværksat en række tiltag, herunder opdateret retningslinjerne for behandlingen af indsigtsanmodninger og udbredt kendskabet til retningslinjerne via Kriminalforsorgens intranet, og i forbindelse med on-boarding af nye medarbejdere vil sørge for, at de pågældende bliver bekendt med forskellen på aktindsigt efter forvaltnings- og offentlighedslovens regler og indsigt efter de databeskyttelsesretlige regler.
Henset til at retten til indsigt er en central rettighed, som giver den registrerede mulighed for at få adgang til de oplysninger, som den dataansvarlige behandler og derved mulighed for at kontrollere korrektheden af oplysningerne og lovligheden af behandlingen, finder Datatilsynet i anledning af sagen anledning til at udtale kritik af, at Kriminalforsorgens håndtering af indsattes rettighedsanmodninger mv. ikke i alle tilfælde har været i overensstemmelse med reglerne om indsigt.
På baggrund af det som Direktoratet for Kriminalforsorgen har oplyst til Datatilsynet om, hvad direktoratet har foretaget sig og fremadrettet vil gøre, har Datatilsynet ikke fundet anledning til på nuværende tidspunkt at foretage sig yderligere, men tilsynet forudsætter og forventer at Kriminalforsorgen fremover vil behandle indsigtsanmodninger korrekt og rettidigt, og at de reviderede retningslinjer og øvrige tiltag vil blive implementeret som oplyst.
I 2026 vil Datatilsynet vende tilbage til Direktoratet for Kriminalforsorgen og bede om en redegørelse for, hvilke tiltag som er blevet gennemført på dette område, ligesom tilsynet vil bede om en generel redegørelse for Kriminalforsorgens behandlingstider for rettighedssager, herunder primært indsigtssager.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behandling af personoplysninger med senere ændringer.