Datatilsynets tilsyn med Ringkøbing-Skjern Kommunes fortegnelser giver anledning til opdatering af vejledning

Datatilsynet gennemførte i 2020 et tilsyn hos Ringkøbing-Skjern Kommune for at vurdere, om kommunen overholdt kravet om at føre fortegnelser over behandlingsaktiviteter, jf. Databeskyttelsesforordningens artikel 30. Tilsynet undersøgte, om kommunens fortegnelser kunne bruges til de formål, der ligger til grund for kravet om fortegnelser.

Datatilsynet fokuserede på følgende områder:

• Kategorier af registrerede og personoplysninger
• Kobling mellem kategorier af registrerede og oplysninger
• Kategorier af modtagere af oplysninger
• Tidsfrister for sletning
• Beskrivelse af tekniske og organisatoriske sikkerhedsforanstaltninger

Datatilsynet konstaterede, at kommunens fortegnelser generelt gav et godt overblik over behandlingsaktiviteterne, men påpegede behov for præciseringer i visse afsnit. Tilsynet bemærkede, at det ikke altid var klart, hvilke kategorier af personoplysninger der blev behandlet for de enkelte registrerede, eller hvilke oplysninger der blev videregivet til forskellige modtagere. Datatilsynet fremhævede vigtigheden af en tydelig kobling mellem kategorier af registrerede og de behandlede oplysninger.

Kommunen oplyste, at medarbejdere på de enkelte områder kunne specificere kategorierne af oplysninger, men Datatilsynet understregede, at fortegnelserne bør være klare og forståelige, ikke kun for de involverede medarbejdere. Datatilsynet fandt det nødvendigt at opdatere vejledningen om fortegnelser fra januar 2018 på baggrund af erfaringerne fra dette og andre tilsyn.

Afgørelse

Datatilsynet fandt, at Ringkøbing-Skjern Kommunes fortegnelser generelt var udarbejdet på en god og hensigtsmæssig måde, og gav et godt overblik over kommunens behandlingsaktiviteter. Der blev derfor ikke givet kritik.

• Datatilsynet noterede dog, at der i enkelte afsnit af kommunens fortegnelser ville være gavnligt med en præcisering.
• Datatilsynet anbefalede, at Ringkøbing-Skjern Kommune præciserede kategorierne af registrerede og specificerede kategorierne af personoplysninger i fortegnelserne.
• Datatilsynet understregede vigtigheden af en tydelig kobling mellem kategorier af registrerede og de behandlede oplysninger, samt hvilke oplysninger der videregives til hvilke modtagere.
• Datatilsynet fandt anledning til at opdatere vejledningen om fortegnelse fra januar 2018.