Randers og Viborg Kommune er blevet afsløret af Datatilsynet i yderst mangelfuld håndtering af kommunernes databehandleraftaler. Sådanne aftaler skal sikre, at kommunernes samarbejdspartnere håndterer borgernes mange persondata korrekt.
Afsløringen sker på trods af, at det har været et lovkrav at have styr på sine databehandleraftaler, længe før GDPR blev implementeret i maj 2018. Den ‘alvorlige kritik’ af de to kommuner slår Datatilsynet fast i en afgørelse, der endnu ikke er offentliggjort, men som Viborg Kommune selv har offentliggjort i en pressemeddelelse.
Lars Sønderby, der er direktør for Økonomi, Personale, Digitalisering og IT i Randers Kommune mener, at kommunen har gjort sit bedste. Ikke desto mindre fortæller han, hvordan kommunens fokus på databehandleraftalerne er ændret betydeligt efter implementeringen af GDPR.
»Det er klart, at hvis sanktionerne er af økonomisk karakter, så får det et andet fokus, end det har haft før. Sådan er det sandsynligvis også i andre, private virksomheder. GDPR har rykket persondata ind på direktionsgangene,« fortsætter direktøren, der godt er klar over, at databehandleraftalerne har været et krav længe før GDPR.
Garanterer, der ikke er sket læk
Begge kommuner understreger i deres respektive pressemeddelelser, at der ikke er sket nogen læk af persondata trods databehandler-sløseriet, men da Version2 spurgte ind, kunne ingen af kommunerne garantere det.
Randers Kommune rettede udtalelsen til, at de ikke havde kendskab til nogle datalæk, mens Viborg Kommune henviser til det opsyn, kommunen har med sine databehandlere.
»Det er vigtigt for mig at understrege, at vores tilsyn viser, at der ikke er sket nogle datalæk,« fortæller Klaus Christiansen, der er direktør for Beskæftigelse, Økonomi & Personale i Viborg Kommune.
Men faktisk fandt Datatilsynet fejl i tre ud af tre tilsynsprocedurer i Viborg Kommune. Med andre ord overholder kommunens tilsyn ikke de gældende regler i de tre tilfælde.
»Datatilsynet har været inde og vurdere tre af vores tilsynsprocedurer og finder så mangler i alle tre. Det er jeg ærgerlig over, men må også sige, at vi har prioriteret tilsynet med databehandleraftalerne under det at lave dem i første omgang,« siger Klaus Christiansen.
Lægger sig fladt ned
Afgørelsen og den skrappe kritik tager begge kommuner dog til sig.
»Vi har ikke puttet med noget som helst, og nu lægger vi os fladt ned. Det her rap over nallerne skal vi have,« siger Lars Sønderby.
»Når vi får en afgørelse fra tilsynet, antager vi, at den er rigtig, og så tager vi den til efterretning,« supplerer Viborg Kommunes Klaus Christiansen, der dog mener, at den nye persondataforordning er en stor mundfuld for kommunerne.
»Når det er sagt, synes vi, det her har været en stor opgave for os, også set i forhold til de ressourcer, vi har fået fra staten. Det her er kun en lille del af de opgaver, vi har på området,« siger Klaus Christiansen.
Formildende omstændighed
Mens kritikken ér skarp fra Datatilsynet, nævner det i afgørelsen, at siden Viborg Kommune havde styr på størstedelen af deres i alt 180 databehandlingsaftaler, er der tale om formildende omstændigheder, når kommunen kun manglede fem. I Randers Kommunes tilfælde manglede 40 databehandleraftaler, mens 28 ikke var opdateret til at leve op til de gældende regler.
Det kan også være en del af forklaringen på, at tilsynet ikke gav økonomiske bøder i denne omgang. På trods af, at Viborg Kommune også fejlede fuldkommen i stikprøvekontrollen:
»Datatilsynet kunne på baggrund af stikprøvekontrollen konstatere, at Viborg Kommune ikke i nogen af de udvalgte stikprøver kunne fremvise dokumentation for (...) nogen form for løbende tilsyn med behandlingen hos databehandleren,« skriver tilsynet i afgørelsen.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
