Journalnummer: 2007-632-0007
Datatilsynet er gennem dagspressen blevet opmærksom på at Nyborg Kommune har videregivet oplysninger om hemmelige adresser til [udeladt]. Det fremgår endvidere, at oplysninger indgår i Vejviseren [udeladt].
Nyborg Kommune er ved brev af 24. maj 2007 fremkommet med en udtalelse.
På anmodning fra Datatilsynet er Indenrigs- og Sundhedsministeriet ved e-post af 7. august 2007 fremkommet med en udtalelse.
Det fremgår herefter af sagen, at Nyborg Kommune på begæring fra [udeladt] i februar 2007 har foretaget navneudtræk af navne- og adresse oplysninger på personer bosiddende i den tidligere [udeladt] Kommune.
Det fremgår endvidere, at der er videregivet oplysninger om 387 personer med lokalvejviserbeskyttelse og 32 personer med navne- og adressebekyttelse.
Nyborg Kommune har anført, at det drejer sig om et specielt udtræk fra CPR-registeret fra kommunens IT-leverandør KMD A/S af en liste over borgere i en del af kommunen, nemlig den tidligere [udeladt] Kommune.
Nyborg Kommune har nu indført en procedure, hvor der tages kontakt til fagafdelingen hos KMD A/S ved bestilling af særudtræk, således at der sikres mod fejlagtige udtræk. Bestillinger vil endvidere blive centraliseret ved én medarbejder med fast stedfortræder, der kontrollerer bestillingen gensidigt før afsendelse af denne. Endvidere vil der blive taget kontakt til rekvirenten af data for kontrollere, at der ikke er videregivet data på personer, som har anmodet om beskyttelse.
Kommunen har endvidere oplyst, at de 32 personer med navne- og adressebeskyttelse vil blive orienteret om det skete og at fejlen vil blive beklaget, ligesom kommunen har henvendt sig til Fyens Stifttidende for herigennem at gøre de berørte borgere klar over det skete.
Datatilsynet har til brug for sagen indhentet en udtalelse fra Indenrigs- og Sundhedsministeriet, CPR-kontoret, om reglerne i CPR-loven.
CPR-kontoret har i brev af 7. august 2007 oplyst følgende:
”1. Kommunalbestyrelsens adgang til at videregive oplysninger om navne, stillinger og adresser for de personer, som er registreret i CPR med bopæl i kommunen til brug for trykning af lokale vejvisere er reguleret i § 47 i CPR-loven, som har følgende ordlyd:
”§ 47. Til brug for trykning af lokale vejvisere kan kommunalbestyrelsen træffe beslutning om at videregive oplysninger om navne, stillinger og adresser for de personer, som er registreret i CPR med bopæl i kommunen, medmindre vedkommende har navne- og adressebeskyttelse efter § 28 eller lokalvejviserbeskyttelse efter § 29, stk. 1. Kommunalbestyrelsen fastsætter vilkårene for videregivelsen og kan herunder bestemme, at beboere på institutioner af særlig karakter ikke skal medtages i lokalvejvisere. Der må ikke udleveres løbende ændringer til tidligere videregivne oplysninger.
Stk. 2. Kommunalbestyrelsen skal stille som et vilkår for videregivelse efter stk. 1, at oplysningerne ikke anvendes eller videregives til brug for offentliggørelse i elektronisk form.”
Det fremgår således af ordlyden af bestemmelsen, at oplysninger om navne, stillinger og adresser for personer med navne- og adressebeskyttelse og lokalvejviserbeskyttelse ikke kan videregives af kommunalbestyrelsen til brug for trykning af lokale vejvisere.
Af bemærkningerne til bestemmelsen fremgår om baggrunden for kommunalbestyrelsens adgang til at videregive oplysninger om navne, stillinger og adresser for kommunens borgere med undtagelse af tilfælde, hvor der er navne- og adressebeskyttelse og lokalvejviserbeskyttelse, at lokalvejvisere bygger på en lang tradition i kommunerne, hvor størsteparten af kommunerne har givet adgang til udgivelse af lokalvejvisere, som trykkes af private forlag o.lign.
2. Om de omhandlede beskyttelsesformer i CPR-lovens §§ 28 og 29, stk. 1, kan ministeriet generelt oplyse følgende:
Efter CPR-lovens § 28 har enhver ret til ved henvendelse til sin bopælskommune at få navne- og adressebeskyttelse. Beskyttelsen indebærer, at vedkommendes navn og adresse i CPR ikke må videregives til private, medmindre der er særlig hjemmel hertil, jf. opregningen i CPR-lovens § 28 af bestemmelser, der giver adgang til videregivelse trods navne- og adressebeskyttelse. Beskyttelsen bortfalder efter et år, medmindre vedkommende ønsker et tidligere bortfald eller kommunalbestyrelsen finder, at helt særlige forhold berettiger til en beskyttelse for længere tid end ét år.
Enhver har ret til ved henvendelse til sin bopælskommune at få registreret lokalvejviserbeskyttelse i CPR, således at vedkommende ikke optages i lokale vejvisere, jf. lovens § 29, stk. 1.
Det følger af CPR-lovens § 30, stk. 1, at personer med navne- og adressebeskyttelse efter lovens § 28 tillige er beskyttet efter bestemmelsen i lovens § 29, stk. 1 om lokalvejviserbeskyttelse.”
Datatilsynet skal herefter udtale følgende:
CPR-loven
Af CPR-lovens § 47 fremgår bl.a. at kommunalbestyrelsen til brug for trykning af lokale vejvisere kan træffe beslutning om at videregive oplysninger om navne, stillinger og adresser for de personer, som er registreret i CPR med bopæl i kommunen, medmindre vedkommende har navne- og adressebeskyttelse efter § 28 eller lokalvejviserbeskyttelse efter § 29, stk. 1.
Datatilsynet må på baggrund af det af Indenrigs- og Sundhedsministeriet oplyste lægge til grund, at videregivelsen til [udeladt] er sket i strid med CPR-lovens regler.
Persondataloven
Behandling af personoplysninger skal ske i overensstemmelse med de grundlæggende principper, som er indeholdt i lovens § 5.
Det følger således af § 5, stk. 1, at oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Det betyder ifølge lovens forarbejder, at behandlingen skal være rimelig og lovlig.
Behandlingsreglerne i persondatalovens kapitel 4 sætter grænser for, i hvilke tilfælde myndigheder og andre dataansvarlige må videregive personoplysninger.
Reglerne suppleres af bestemmelser i anden lovgivning, herunder den specifikke regel i CPR-lovens § 47.
Datatilsynet kan konstatere, at Nyborg Kommune har videregivet oplysninger om 387 borgere med vejviserbeskyttelse og 32 borgere med adressebeskyttelse til [udeladt].
Videregivelsen var i strid med CPR-loven, og det er Datatilsynets opfattelse, at Nyborg Kommune med det skete tillige har tilsidesat persondatalovens krav om god databehandlingsskik.
Datatilsynet finder det passerede meget beklageligt.
Offentliggørelse af oplysninger om beskyttede navne og adresser vil kunne få alvorlige konsekvenser for de berørte personer. På den baggrund er det Datatilsynets opfattelse, at der er tale om en uacceptabel tilsidesættelse af hensynet til de registrerede personer. Datatilsynet har derfor fundet det nødvendigt at orientere kommunalbestyrelsen om sagen. Kopi af Datatilsynets indberetning vedlægges til orientering.
Nyborg Kommune har oplyst, at de 32 personer med navne- og adressebeskyttelse vil blive orienteret om det skete, og at fejlen vil blive beklaget.
Kommunen har henvendt sig til Fyens Stifttidende for herigennem at gøre de berørte borgere klar over det skete.
Nyborg Kommune har desuden oplyst, at kommunen nu har indført en procedure, hvor der tages kontakt til fagafdelingen hos KMD A/S ved bestilling af særudtræk, således at der sikres mod fejlagtige udtræk. Bestillinger vil endvidere blive centraliseret ved én medarbejder med fast stedfortræder, der kontrollerer bestillingen gensidigt før afsendelse af denne. Endvidere vil der blive taget kontakt til rekvirenten af data for at kontrollere, at der ikke er videregivet data på personer, som har anmodet om beskyttelse.
Datatilsynet har noteret sig det af kommunen oplyste. Datatilsynet skal i den forbindelse understrege, at kommunen og ikke KMD A/S er ansvarlig for, at personoplysninger, som behandles af og for kommunen, behandles i overensstemmelse med persondatalovens regler.
Datatilsynet skal anmode om at få tilsendt den af Nyborg Kommune udformede beskrivelse af den nye procedure samt oplysning om, hvordan proceduren er kommunikeret til de relevante medarbejdere i kommunen.
Datatilsynet skal for en god ordens skyld oplyse, at tilsynet forventer at omtale sagen på sin hjemmeside.
Datatilsynet afventer herefter svar fra Nyborg Kommune.