Journalnummer: 2007-632-0006
Datatilsynet er gennem dagspressen blevet opmærksom på, at Kerteminde Kommune har videregivet oplysninger om hemmelige adresser til [udeladt]. Det fremgår endvidere, at oplysninger indgår i Vejviseren [udeladt].
Ved brev af 24. maj 2007 er Kerteminde Kommune fremkommet med en udtalelse i sagen.
På anmodning fra Datatilsynet er Indenrigs- og Sundhedsministeriet ved e-post af 7. august 2007 fremkommet med en udtalelse.
Det fremgår herefter af sagen, at Kerteminde Kommune i februar 2007 leverede adresser til [udeladt] til brug for udgivelse af vejviseren for [udeladt]. Af de udleverede adresser tilhørte 347 af adresserne borgere med vejviserbeskyttelse og 61 af adresserne borgere med adressebeskyttelse.
Kerteminde Kommune har oplyst, at kommunen nu har indført en procedure, hvor der skal foretages en konkret vurdering i hvert enkelt tilfælde af formålet med et udtræk fra CPR-registeret, således skal borgerservicechefen konsulteres i tilfælde af henvendelse fra eksterne interessenter med anmodning om udtræk fra CPR-registeret.
Kerteminde Kommune har desuden oplyst, at KMD A/S fremover skal konsulteres og have konkrete anvisninger vedrørende formålet med listen, således at det sikres, at der kun foretages relevante udtræk.
Endelig har Kerteminde Kommune oplyst, at samtlige berørte borgere er blevet orienteret personligt ved brev af 15. maj 2007, med en beklagelse af hændelsen og en forklaring.
Kerteminde Kommune har anført, at det drejer sig om et specielt udtræk fra CPR-registeret fra kommunens IT-leverandør KMD A/S af en liste over borgere i en del af kommunen, nemlig den tidligere [udeladt] Kommune. Det er endvidere oplyst, at opgaven blev løst i samarbejde med Nyborg Kommune, som havde konsulteret KMD A/S i forbindelse med udtræk om borgere i [udeladt].
Datatilsynet har til brug for sagen indhentet en udtalelse fra Indenrigs- og Sundhedsministeriet, CPR-kontoret, om reglerne i CPR-loven.
CPR-kontoret har i brev af 7. august 2007 oplyst følgende:
”1. Kommunalbestyrelsens adgang til at videregive oplysninger om navne, stillinger og adresser for de personer, som er registreret i CPR med bopæl i kommunen til brug for trykning af lokale vejvisere er reguleret i § 47 i CPR-loven, som har følgende ordlyd:
”47. Til brug for trykning af lokale vejvisere kan kommunalbestyrelsen træffe beslutning om at videregive oplysninger om navne, stillinger og adresser for de personer, som er registreret i CPR med bopæl i kommunen, medmindre vedkommende har navne- og adressebeskyttelse efter § 28 eller lokalvejviserbeskyttelse efter § 29, stk. 1. Kommunalbestyrelsen fastsætter vilkårene for videregivelsen og kan herunder bestemme, at beboere på institutioner af særlig karakter ikke skal medtages i lokalvejvisere. Der må ikke udleveres løbende ændringer til tidligere videregivne oplysninger.
Stk. 2. Kommunalbestyrelsen skal stille som et vilkår for videregivelse efter stk. 1, at oplysningerne ikke anvendes eller videregives til brug for offentliggørelse i elektronisk form.”
Det fremgår således af ordlyden af bestemmelsen, at oplysninger om navne, stillinger og adresser for personer med navne- og adressebeskyttelse og lokalvejviserbeskyttelse ikke kan videregives af kommunalbestyrelsen til brug for trykning af lokale vejvisere.
Af bemærkningerne til bestemmelsen fremgår om baggrunden for kommunalbestyrelsens adgang til at videregive oplysninger om navne, stillinger og adresser for kommunens borgere med undtagelse af tilfælde, hvor der er navne- og adressebeskyttelse og lokalvejviserbeskyttelse, at lokalvejvisere bygger på en lang tradition i kommunerne, hvor størsteparten af kommunerne har givet adgang til udgivelse af lokalvejvisere, som trykkes af private forlag o.lign.
2. Om de omhandlede beskyttelsesformer i CPR-lovens §§ 28 og 29, stk. 1, kan ministeriet generelt oplyse følgende:
Efter CPR-lovens § 28 har enhver ret til ved henvendelse til sin bopælskommune at få navne- og adressebeskyttelse. Beskyttelsen indebærer, at vedkommendes navn og adresse i CPR ikke må videregives til private, medmindre der er særlig hjemmel hertil, jf. opregningen i CPR-lovens § 28 af bestemmelser, der giver adgang til videregivelse trods navne- og adressebeskyttelse. Beskyttelsen bortfalder efter et år, medmindre vedkommende ønsker et tidligere bortfald eller kommunalbestyrelsen finder, at helt særlige forhold berettiger til en beskyttelse for længere tid end ét år.
Enhver har ret til ved henvendelse til sin bopælskommune at få registreret lokalvejviserbeskyttelse i CPR, således at vedkommende ikke optages i lokale vejvisere, jf. lovens § 29, stk. 1.
Det følger af CPR-lovens § 30, stk. 1, at personer med navne- og adressebeskyttelse efter lovens § 28 tillige er beskyttet efter bestemmelsen i lovens § 29, stk. 1 om lokalvejviserbeskyttelse.”
Datatilsynet skal herefter udtale følgende:
CPR-loven
Af CPR-lovens § 47 fremgår bl.a. at kommunalbestyrelsen til brug for trykning af lokale vejvisere kan træffe beslutning om at videregive oplysninger om navne, stillinger og adresser for de personer, som er registreret i CPR med bopæl i kommunen, medmindre vedkommende har navne- og adressebeskyttelse efter § 28 eller lokalvejviserbeskyttelse efter § 29, stk. 1.
Datatilsynet må på baggrund af det af Indenrigs- og Sundhedsministeriet oplyste lægge til grund, at videregivelsen til [udeladt] er sket i strid med CPRlovens regler.
Persondataloven
Behandling af personoplysninger skal ske i overensstemmelse med de grundlæggende principper, som er indeholdt i lovens § 5.
Det følger således af § 5, stk. 1, at oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Det betyder ifølge lovens forarbejder, at behandlingen skal være rimelig og lovlig.
Behandlingsreglerne i persondatalovens kapitel 4 sætter grænser for, i hvilke tilfælde myndigheder og andre dataansvarlige må videregive personoplysninger.
Reglerne suppleres af bestemmelser i anden lovgivning, herunder den specifikke regel i CPR-lovens § 47.
Datatilsynet kan konstatere, at Kerteminde Kommune har videregivet oplysninger om 347 borgere med vejviserbeskyttelse og 61 borgere med adressebeskyttelse til [udeladt].
Videregivelsen var i strid med CPR-loven, og det er Datatilsynets opfattelse, at Kerteminde Kommune med det skete tillige har tilsidesat persondatalovens krav om god databehandlingsskik.
Datatilsynet finder det passerede meget beklageligt.
Offentliggørelse af oplysninger om beskyttede navne og adresser vil kunne få alvorlige konsekvenser for de berørte personer. På den baggrund er det Datatilsynets opfattelse, at der er tale om en uacceptabel tilsidesættelse af hensynet til de registrerede personer. Datatilsynet har derfor fundet det nødvendigt at orientere kommunalbestyrelsen om sagen. Kopi af Datatilsynets indberetning vedlægges til orientering.
Kerteminde Kommune har oplyst, at kommunen har orienteret samtlige berørte borgere personligt ved brev af 15. maj 2007 med en beklagelse af hændelsen og en forklaring.
Kerteminde Kommune har desuden oplyst, at kommunen nu har indført en procedure, hvor der skal foretages en konkret vurdering i hvert enkelt tilfælde af formålet med et udtræk fra CPR-registeret. I den forbindelse skal borgerservicechefen konsulteres i tilfælde af henvendelse fra eksterne interessenter med anmodning om udtræk fra CPR-registeret.
Kerteminde Kommune har endelig oplyst, at KMD A/S fremover skal konsulteres og have konkrete anvisninger vedrørende formålet med listen, således at det sikres, at der kun foretages relevante udtræk.
Datatilsynet har noteret sig det af kommunen oplyste. Datatilsynet skal i den forbindelse understrege, at kommunen og ikke KMD A/S er ansvarlig for at personoplysninger, som behandles af og for kommunen, behandles i overensstemmelse med persondatalovens regler.
Datatilsynet skal anmode om at få tilsendt den af Kerteminde Kommune udformede beskrivelse af den nye procedure samt oplysning om, hvordan proceduren er kommunikeret til de relevante medarbejdere i kommunen.
Datatilsynet skal for en god ordens skyld oplyse, at tilsynet forventer at omtale sagen på sin hjemmeside.
Datatilsynet afventer herefter svar fra Kerteminde Kommune.