Alvorlig kritik til Direktoratet for Kriminalforsorgen for manglende overholdelse af retshåndhævelsesloven

Datatilsynet gennemførte i april 2018 et tilsyn hos Direktoratet for Kriminalforsorgen for at undersøge overholdelsen af de registreredes rettigheder efter retshåndhævelsesloven. Tilsynet omfattede en vurdering af, om Direktoratet for Kriminalforsorgen overholdt Retshåndhævelsesloven § 13 om oplysningspligt og Retshåndhævelsesloven § 15 om meddelelse af indsigt.

Dataansvar

• Datatilsynet konstaterede, at der på tidspunktet for tilsynet ikke var taget endelig stilling til fordelingen af dataansvar i Kriminalforsorgen, hvilket skabte uklarhed om, hvem der var ansvarlig for behandlingen af personoplysninger.
• Direktoratet for Kriminalforsorgen havde ikke kontaktet Datatilsynet vedrørende dataansvaret.

Oplysningspligt

• Det fremsendte eksempel på en oplysningstekst levede ikke op til kravene i Retshåndhævelsesloven § 13, stk. 1, da den ikke tilstrækkeligt informerede om den registreredes rettigheder, herunder retten til begrænsning og retten til at lade Datatilsynet udøve den registreredes rettigheder.
• Skabelonen og de tre eksempler på meddelelser efter Retshåndhævelsesloven § 13, stk. 2 indeholdt ikke korrekte oplysninger om retsgrundlaget for behandlingen eller tidsrummet for opbevaring.

Indsigtsret

• Det fremsendte eksempel på en meddelelse om indsigt indeholdt ikke oplysninger om retsgrundlaget for behandlingen, de berørte kategorier af personoplysninger eller det påtænkte tidsrum for opbevaring.
• Direktoratet for Kriminalforsorgen havde anvendt Retshåndhævelsesloven § 16, stk. 1 til at nægte indsigt, men Datatilsynet mente, at direktoratet burde have præciseret, hvilket hensyn i Retshåndhævelsesloven § 14, stk. 1, nr. 2 der begrundede afslaget.

Afgørelse

Datatilsynet udtalte alvorlig kritik af Direktoratet for Kriminalforsorgen for ikke at have efterlevet kravene i retshåndhævelsesloven.

• Direktoratet havde ikke taget endelig stilling til fordelingen af dataansvar.
• Direktoratet havde ikke overholdt kravene i Retshåndhævelsesloven § 13, stk. 1 og 2 om oplysningspligt.
• Direktoratet havde ikke overholdt kravene i Retshåndhævelsesloven § 15, stk. 2 om meddelelse af indsigt.

Datatilsynet pålagde Direktoratet for Kriminalforsorgen at:

• Hurtigst muligt tage stilling til fordelingen af dataansvar og sende en redegørelse herfor til Datatilsynet senest den 16. januar 2019.
• Sende en redegørelse for, hvilke skridt der er taget eller vil blive taget for at sikre overholdelse af retshåndhævelsesloven vedrørende oplysningspligt og indsigtsret, ligeledes senest den 16. januar 2019.