Journalnummer: 2003-313-0222
Ved brev af 17. december 2003 har Tilsynsrådet for .[udeladt].. Amt til Datatilsynet oversendt en klage fra Dem over, at oplysninger om Deres afskedigelsessag lå frit tilgængeligt på .[udeladt]..forvaltningens interne net, således at samtlige ansatte i forvaltningen havde adgang hertil.
A Kommune er ved brev af 29. januar 2004 fremkommet med en udtalelse i sagen, som De har kommenteret ved brev af 23. februar 2004.
Det fremgår herefter af sagen, at De har været ansat ved A Kommune, og at De blev afskediget med virkning fra den 30. september 2003.
A Kommune har oplyst, at kommunens sikkerhedspolitik foreskriver, at dokumenter med persondata skal placeres midlertidigt i mappen benævnt ”Sikkerhed”. Der foretages central logning af aktivitet på denne mappe.
IT-organisationsmæssigt forholder det sig således, at de medarbejdere, som er beskæftiget i den afdeling, som De og Deres nærmeste leder, henhører til et fælles K-drev.
K-drevet omfatter ca. 46 medarbejdere, som alle har relationer til arbejdspladsen kaldet ”[udeladt]”. De medarbejdere, der er omfattet af det fælles K-drev, hvor alle disse medarbejderes H-drev (personlige drev) også er placeret, har alle mulighed for at læse dokumenter på de øvriges H-drev. Ingen andre har mulighed herfor. Det forudsættes, at muligheden for at læse hinandens dokumenter udelukkende anvendes i fagligt relevante forhold.
A Kommune har oplyst, at Deres afskedigelsessag har været håndteret af Deres nærmeste leder, som i forbindelse med forberedelse af sagen har haft denne liggende på kommunens IT-system under sit personlige drev (H-drev) i en mappe benævnt ”Personale”.
Afskedigelsessagen har således været placeret på et H-drev, som er tilgængelig for afdelingens 44-46 medarbejdere, men ikke som anført af Dem på …forvaltningens samlede interne net med adgang for samtlige denne forvaltnings medarbejdere.
Sagen har således ikke ligget i mappen ”Sikkerhed” som foreskrevet i kommunens IT-sikkerhedspolitik. Dokumentets faktiske placering gør, at det ikke har været muligt at finde frem til, hvem der evt. har tilegnet sig adgang til sagen.
A Kommune har anført, at der i denne konkrete sag ikke hersker tvivl om, at den leder, der sagsbehandlede Deres afskedigelsessag, burde have placeret arbejdsdokumentet i mappen ”Sikkerhed”.
Endelig har A Kommune oplyst, at chefen for …forvaltningen over for lederne har indskærpet, at dokumenter, der f.eks. omhandler afskedigelsessager, skal befinde sig på det personlige H-drev i mappen ”Sikkerhed” og i øvrigt slettes, når dokumentet konverteres til et papirdokument.
De har hertil anført, at De ikke finder, at der er sket en forbedring af sikkerhedsprocedurerne i A Kommune. De har endvidere anført, at De som følge heraf bl.a. ønsker en forhøjelse af Deres torterstatning.
Datatilsynet skal på den baggrund udtale følgende:
Persondataloven indeholder i lovens kapitel 11 regler for behandlingssikkerhed.
Det fremgår af lovens § 41, stk. 3, at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.
En udmøntning af princippet i § 41, stk. 3, er bl.a. sket i sikkerhedsbekendtgørelsens2 § 11, stk. 1, hvoraf fremgår, at kun de personer, som autoriseres hertil, må have adgang til de personoplysninger, der behandles. Af § 11, stk. 2, følger endvidere, at der kun må autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.
Som sagen foreligger oplyst, har A Kommune behandlet oplysninger om Deres afskedigelse i kommunens IT-system på H-drevet i en mappe benævnt ”Personale”. Mappen har været tilgængelig for afdelingens ca. 46 medarbejdere. Datatilsynet finder ikke, at A Kommune har sandsynliggjort, at de pågældende medarbejdere har haft et sagligt behov for at have adgang til oplysningerne om Deres afskedigelsessag, jf. persondatalovens § 41, stk. 3, og sikkerhedsbekendtgørelsens § 11.
På den baggrund kan Datatilsynet konstatere, at A Kommune, i forbindelse med behandlingen af Deres afskedigelsessag, ikke har levet op til kravene i persondatalovens § 41, stk. 3, og sikkerhedsbekendtgørelsens § 11, hvilket Datatilsynet finder beklageligt.
Datatilsynet har noteret sig, at A Kommune efterfølgende over for lederne har indskærpet, at dokumenter, der f.eks. omhandler afskedigelsessager, skal befinde sig på H-drevet i mappen ”Sikkerhed”, og i øvrigt slettes når dokumentet konverteres til et papirdokument.
Datatilsynet foretager sig herefter ikke yderligere i sagen, der anses for afsluttet.
Afslutningsvis skal Datatilsynet bemærke, at den dataansvarlige efter persondatalovens § 69 skal erstatte skade, der er forvoldt ved behandling i strid med bestemmelserne i persondataloven, medmindre det godtgøres, at skaden ikke kunne have været afværget ved den agtpågivenhed og omhu, der må kræves i forbindelse med behandling af oplysninger. Et erstatningskrav, der gøres gældende, kan ikke forelægges Datatilsynet, men skal indbringes for domstolene.
Kopi af dette brev er sendt til A Kommune.