Alvorlig kritik til Høje-Taastrup Kommune for forsinket sletning af patientjournal

Baggrund for sagen

Datatilsynet behandlede en klage fra en borger over Høje-Taastrup Kommunes manglende sletning af en patientjournal. Journalen var fejlagtigt blevet sendt til kommunen af Rigshospitalet. Borgeren anmodede kommunen om at slette journalen, hvilket kommunen var enig i, men sletningen blev forsinket på grund af problemer med kommunens databehandler, EG.

Parternes synspunkter

• Klager: Anførte, at Høje-Taastrup Kommune havde afvist at slette patientjournalen med henvisning til systemtekniske vanskeligheder.
• Høje-Taastrup Kommune: Kommunen anførte, at de ikke havde afvist anmodningen om sletning, men at forsinkelsen skyldtes databehandleren EG. Kommunen forklarede, at de havde forsøgt at få EG til at slette journalen og havde løbende været i kontakt med dem. Kommunens borgerrådgivning blev også involveret.

Datatilsynets undersøgelse

Datatilsynet lagde vægt på, at der gik næsten et år fra klagers anmodning om sletning, til den rent faktisk blev gennemført. Tilsynet bemærkede, at kommunen som dataansvarlig er ansvarlig for at sikre, at registreredes rettigheder overholdes, herunder retten til sletning efter Databeskyttelsesforordningen § 17. Datatilsynet vurderede også, at kommunen skal sikre, at dens databehandler kan stille de fornødne garantier for at beskytte de registreredes rettigheder, jf. Databeskyttelsesforordningen § 28.

Afgørelse

Datatilsynet udtalte alvorlig kritik af Høje-Taastrup Kommunes behandling af personoplysninger, da den ikke var i overensstemmelse med databeskyttelsesforordningens artikel 5, artikel 17, stk. 1, og artikel 12, stk. 3.

Begrundelse

Datatilsynet begrundede sin afgørelse med:

• Høje-Taastrup Kommune overholdt ikke klagers ret til sletning af personoplysninger, jf. Databeskyttelsesforordningen § 17 og Databeskyttelsesforordningen § 12.
• Kommunen anmodede først databehandleren om sletning mere end to måneder efter klagers anmodning.
• Sletningen blev først foretaget ni måneder efter kommunens anmodning til databehandleren og næsten et år efter klagers oprindelige anmodning.
• Kommunen havde ikke i tilstrækkelig grad sikret overholdelse af forordningens bestemmelser, herunder at benytte en databehandler, der kunne stille de fornødne garantier for at sikre beskyttelsen af de registreredes rettigheder.