Kommunes CPR-abonnement på tidligere borger var i strid med databeskyttelsesreglerne

En borger klagede til Datatilsynet over, at Københavns Kommune fortsat abonnerede på vedkommendes CPR-oplysninger, selvom borgeren ikke havde boet i kommunen siden 1999. Kommunen slettede først abonnementet efter borgerens henvendelse, men genoprettede det, da henvendelsen udløste en ny sag i kommunens system. Kommunen begrundede dette med behovet for entydig identifikation for at håndtere eventuelle aktindsigtsanmodninger og andre henvendelser vedrørende rettigheder.

Klagers argumenter

• Kommunens system burde tage højde for, at klageren fraflyttede kommunen i 1999.
• Systemet genopretter automatisk abonnementet, selvom kommunen ikke har grund til at abonnere.

Københavns Kommunes argumenter

• Kommunen behandler personnumre med hjemmel i Databeskyttelsesloven § 11, stk. 1 for entydig identifikation.
• Henvendelsen fra borgeren aktualiserede behovet for identifikation.
• Kommunen har pligt til at kunne håndtere aktindsigtsanmodninger og henvendelser vedrørende rettigheder.
• Hjemmelsgrundlaget er databeskyttelsesforordningens artikel 6, stk. 1, litra e.

Afgørelse

Datatilsynet udtalte kritik af Københavns Kommunes behandling af personoplysninger, da den ikke var i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1.

Begrundelse

• Kommunens abonnement på CPR-oplysninger var ikke nødvendigt for at håndtere eventuelle aktindsigts- eller rettighedsanmodninger.
• Kommunen har mulighed for at foretage enkeltopslag i CPR ved behov, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra c om dataminimering.