Vedrørende klage over offentliggørelse af personoplysninger på Hvidovre Kommunes hjemmeside
Datatilsynet vender hermed tilbage til sagen om offentliggørelse af personoplysninger på Hvidovre Kommunes hjemmeside.
Sagsfremstilling
Ved telefonisk henvendelse den 9. februar 2009 har x (herefter klager) klaget til Datatilsynet over Hvidovre Kommunes offentliggørelse af personoplysninger på kommunens hjemmeside.
I den anledning anmodede Datatilsynet den 18. februar 2009 Hvidovre Kommune om en udtalelse til sagen.
Det fremgår herefter af sagen, at Hvidovre Kommune har offentliggjort en ansøgning fra klager om byggetilladelse til opførelse af en carport.
Offentliggørelsen skete i forbindelse med, at klagers ansøgning om dispensation til opførelse af en carport blev behandlet i kommunens Teknik- og Miljøudvalg ved et møde.
Ansøgningen, der blev offentliggjort på kommunens hjemmeside den 3. januar 2007, bestod af flere akter, hvoraf to indeholdt oplysninger om klagers helbredsmæssige forhold (dårlig ryg, skulder og nakke). Vedlagt ansøgningen var endvidere en indkaldelse af klager til undersøgelse i ortopædkirurgisk ambulatorium, Herlev Hospital. Af indkaldelsen fremgik klagers personnummer, ligesom indkaldelsen indikerede oplysninger om klagers helbredsmæssige forhold.
Klager kontaktede telefonisk Hvidovre Kommune den 9. februar 2009 med henblik på at få oplysningerne fjernet fra kommunens hjemmeside, hvorefter kommunen fjernede indkaldelsen til undersøgelse i ortopædkirurgisk ambulatorium den 12. februar 2009.
Ved søgning via søgemaskinen Google den 17. februar 2009 kunne Datatilsynet konstatere, at de to øvrige bilag - indeholdende oplysninger om klagers helbredsmæssige forhold - fortsat var tilgængelige på Hvidovre Kommunes hjemmeside.
Datatilsynet kunne ved samme lejlighed konstatere, at Google havde dannet en html-udgave af den omhandlede ansøgning med samtlige akter, og at denne fortsat var tilgængelig via Google.
Datatilsynet kontaktede herefter kommunen telefonisk den 17. februar 2009 med henblik på straks at få de pågældende oplysninger fjernet fra hjemmesiden og internettet.
Ved e-post af 17. februar 2009 oplyste Hvidovre Kommune over for Datatilsynet, at kommunen havde fjernet de sidste bilag fra hjemmesiden, og at kommunen havde kontaktet Google for at få fjernet oplysningerne fra cachen.
Hvidovre Kommune har endvidere ved e-post af 18. februar 2009 orienteret Datatilsynet om kommunens underretning til klager.
Ved e-post af 4. marts 2009 har Hvidovre Kommune besvaret Datatilsynets anmodning om en udtalelse.
Hvidovre Kommunes udtalelser
Som led i at skabe åbenhed i forvaltningen offentliggøres udvalgsdagsordener med relevante bilag som udgangspunkt på kommunens hjemmeside. Indeholder et dagsordenspunkt oplysninger om enkeltpersoner, som er fortrolige og undergivet tavshedspligt, anføres dagsordenspunktet alene i den sagsforteg-nelse, som kommunen er forpligtet til at offentliggøre i medfør af § 20, stk. 7, i lov om kommunernes styrelse.
Den skete offentliggørelse beror ifølge kommunen på en yderst beklagelig fejl.
I forlængelse heraf har kommunen oplyst, at det er helt usædvanligt, at der i ansøgninger om byggetilladelser anføres personoplysninger af fortrolig karakter.
Hvidovre Kommune har over for Datatilsynet beklaget, at kommunen ikke straks efter klagers henvendelse den 9. februar 2009 fjernede oplysningerne fra kommunens hjemmeside samt rettede henvendelse til Google. Kommunen har hertil forklaret, at de personer, som er ansvarlige for at fjerne personoplysninger fra hjemmesiden og internettet, ikke var til stede i den pågældende uge, og at den medarbejder, der tog imod klagers henvendelse, ikke var opmærksom på sagens hastende karakter.
Kommunen har oplyst, at indkaldelsen til ortopædkirurgisk ambulatorium blev fjernet fra hjemmesiden den 12. februar 2009, og at akterne indeholdende oplysninger om klagers helbredsforhold blev fjernet fra hjemmesiden den 16. februar 2009. Den 17. februar 2009 anmodede Hvidovre Kommune Google om at fjerne dokumenterne fra søgemaskinen.
Hvidovre Kommune har oplyst, at nye medarbejdere instrueres i, hvilke personoplysninger, der må offentliggøres på kommunens hjemmeside. Kommunen har bl.a. udarbejdet et notat om persondataloven, som nye medarbejdere skal læse. Notatet er tilgængeligt på kommunens intranet, og alle medarbejdere forudsættes at have kendskab hertil.
Endvidere gennemgås alle dagsordenspunkter af den pågældende forvaltningschef, som er bekendt med persondatalovens, hvilket er med til at sikre, at lovens regler overholdes i forbindelse med offentliggørelse af dagsordenspunkter på kommunens hjemmeside.
For at sikre at der ikke i fremtiden utilsigtet offentliggøres personoplysninger på kommunens hjemmeside vil kommunen bl.a. udarbejde et notat, som mere pædagogisk angiver, hvilke typer af personoplysninger, der ikke må offentliggøres på kommunens hjemmeside. Notatet skal tillige præcisere, hvem der er ansvarlig for, at der ikke sker offentliggørelse af personoplysninger i strid med persondatalovens regler. Kommunen overvejer endvidere, hvorvidt der er behov for, at kommunens jurister foretager en mundtlig gennemgang af persondatalovens regler, f.eks. i forbindelse med afdelingsmøder i de enkelte forvaltninger.
Foranlediget af den konkrete sag er Hvidovre Kommune i gang med at udarbejde retningslinjer for, hvordan sager, hvor der er sket utilsigtet offentliggørelse af personoplysninger på kommunens hjemmeside, skal håndteres. Retningslinjerne skal også sikre, at de enkelte forvaltninger er opmærksomme på, at der i kommunens åbningstid altid skal være en medarbejder til stede, som har autorisation til at slette oplysninger, som utilsigtet er offentliggjort på hjemmesiden. Det vil fremgå af retningslinjerne, at oplysninger, der utilsigtet er offentliggjort på kommunens hjemmeside, skal slettes straks.
Hvidovre Kommune har endelig oplyst, at kommunen vil foretage en gennemgang af offentliggjorte dagsordner og referater af møder fra de udvalg, som Teknisk Forvaltning betjener. Gennemgangen vil gå tilbage til september 2006, da dagsordner og referater ikke var offentligt tilgængelig før denne dato.
Datatilsynet skal herefter udtale følgende:
Offentliggørelse på kommunens hjemmeside
Efter Datatilsynets opfattelse er en sikring af, at personoplysninger ikke uberettiget offentliggøres på en hjemmeside, omfattet af den dataansvarliges forpligtelse efter lovens § 41, stk. 3, til at træffe de fornødne sikkerhedsforanstaltninger.1
Bestemmelsen i persondatalovens § 41, stk. 3, indeholder således en forpligtelse for den dataansvarlige til at beskytte såvel følsomme oplysninger som fortrolige og almindelige ikke-følsomme oplysninger, ligesom den dataansvarlige skal sikre sig, at myndighedens systemer, organisation og arbejdsgange indrettes således, at kravene i § 41, stk. 3, efterleves.
Det er endvidere Datatilsynet opfattelse, at der navnlig i situationer, hvor der er en potentiel risiko for offentliggørelse af fortrolige og/eller følsomme personoplysninger, skal udvises særlig påpasselighed, både for så vidt angår tilrettelæggelsen af arbejdsgange og for så vidt angår indretningen af myndighedens systemer.
Datatilsynet må lægge til grund, at der er offentliggjort oplysningerne om klagers personnummer samt oplysninger om klagers helbredsmæssige forhold. Datatilsynet lægger til grund, at der var tale om oplysninger, der ikke lovligt kunne offentliggøres på kommunens hjemmeside.
I det konkrete tilfælde, hvor fortrolige personoplysninger om personnummer med tilhørende navn samt følsomme personoplysninger om helbredsmæssige forhold er blevet offentliggjort, finder Datatilsynet ikke, at Hvidovre Kommune har udvist den fornødne omhu, og kommunen har dermed ikke overholdt kravene i persondatalovens § 41, stk. 3. Datatilsynet finder det skete meget beklageligt.
Datatilsynet har noteret sig, at Hvidovre Kommune har beklaget offentliggørelsen, herunder kommunens håndtering af sagen.
Datatilsynet har endvidere noteret sig det oplyste om, at Hvidovre Kommune vil indskærpe persondatalovens regler over for medarbejderne, at kommunen agter at udarbejde nye retningslinjer på området, og at kommunen har iværksat en gennemgang af relevante hjemmesider.
Kommunens håndtering af den fejlagtige offentliggørelse af oplysninger
Datatilsynet må lægge til grund, at klager ved telefonisk henvendelse gjorde Hvidovre Kommune opmærksom på offentliggørelsen den 9. februar 2009. Datatilsynet må endvidere lægge til grund, at kommunen fjernede indkaldelsen til ortopædkirurgisk afdelingen den 12. februar 2009, men at ansøgningens øvrige akter, der indeholdt følsomme personoplysninger, stadig var tilgængelige på kommunens hjemmeside den 17. februar 2009, ligesom kommunen først denne dag rettede henvendelse til Google.
Når en myndighed er kommet til at offentliggøre fortrolige og følsomme personoplysninger på internettet, bør den efter Datatilsynets opfattelse tage hånd om fejlen, straks den bliver opmærksom herpå.
Datatilsynet ville som udgangspunkt forvente, at oplysningerne blev fjernet fra myndighedens hjemmeside samme dag eller senest dagen efter.
Datatilsynet finder det derfor meget beklageligt, at kommunen først tog skridt til at fjerne indkaldelsen den 12. februar 2009, samt at der den 17. februar 2009 stadig var følsomme personoplysninger på kommunens hjemmeside, ligesom kommunen først denne dag tog initiativ til at få oplysningerne fjernet fra Google.
Underretning af de berørte personer og sletning fra Google
Når en myndighed ved en fejl er kommet til at lægge personoplysninger, der ikke må offentliggøres, på internettet, skal myndigheden gøre, hvad den kan, for at begrænse skaden. Dette er efter Datatilsynets opfattelse også led i det krav om god databehandlingsskik, der følger af persondatalovens § 5, stk. 1. Yderligere oplysninger findes i Datatilsynets hjemmesidetekst: "Utilsigtet offentliggørelse på internettet".2
Hvis de berørte personer ikke allerede ved, at deres oplysninger har været offentliggjort ved en fejl, bør de efter Datatilsynets opfattelse underrettes.
Efter Datatilsynets opfattelse skal den dataansvarlige endvidere undersøge, om oplysningerne findes i Google eller andre søgemaskiners kopier af myndighedens hjemmesider og i givet fald sørge for, at oplysningerne fjernes derfra.
Datatilsynet har noteret sig, at Hvidovre Kommune ved brev af 19. februar 2009 har underrettet klager om offentliggørelsen samt kommunens håndtering heraf.
Datatilsynet har endelig noteret sig, at de omhandlede oplysninger ikke længere er tilgængelige via Google.
Instruktion af medarbejdere
I relation til Hvidovre Kommunes praksis for offentliggørelse af dokumenter skal Datatilsynet understrege vigtigheden af, at medarbejderne modtager grundig instruktion i, hvorledes offentliggørelsen skal håndteres. Uberettiget offentliggørelse af personoplysninger kan have betydelige negative konsekvenser for de personer, der berøres heraf. Det vil endvidere ofte være forbundet med store vanskeligheder at få oplysningerne fjernet fra eksempelvis søgemaskiner.
Datatilsynet skal herved tillige henvise til persondatalovens grundregel i § 5, stk. 1, om god databehandlingsskik samt sikkerhedsbekendtgørelsens § 6.3
Afsluttende bemærkninger
Datatilsynet forventer at offentliggøre denne udtalelse på sin hjemmeside. Offentliggørelsen vil ske uden angivelse af klagers navn.
I øvrigt anser Datatilsynet sagen for afsluttet.
1 Af persondatalovens § 41, stk. 3, fremgår, at der skal træffes de fornødne tekniske og orga-nisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgø-res, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbru-ges eller i øvrigt behandles i strid med loven.
2 Teksten kan findes på internetadressen: www.datatilsynet.dk/offentlig/internettet/utilsigtet-offentliggoerelse/.
3 Af sikkerhedsbekendtgørelsens § 6 følger, at den dataansvarlige myndighed skal give den fornødne instruktion til de medarbejdere, som behandler personoplysningerne. Medarbejderne skal herunder gøres bekendt med de regler, der er fastsat i myndighedens interne sikkerhedsbestemmelser.