Datatilsynet finder ingen kritik i tilsyn med Aalborg Kommunes anmeldelse af brud på persondatasikkerheden

Datatilsynet gennemførte i 2019 et tilsyn med Aalborg Kommune for at undersøge, om kommunen overholder databeskyttelsesforordningens artikel 33 vedrørende anmeldelse af brud på persondatasikkerheden og dokumentation af sådanne brud. Tilsynet var et skriftligt tilsyn, hvor Datatilsynet anmodede Aalborg Kommune om at redegøre for deres procedurer og uddannelse af medarbejdere i forhold til håndtering af brud på persondatasikkerheden.

Aalborg Kommune indsendte en udtalelse med dokumentation for registrerede informationssikkerhedshændelser og brud på persondatasikkerheden i perioden fra 25. maj 2018 til 8. marts 2019. Kommunen oplyste at have registreret 189 informationssikkerhedshændelser, hvoraf 181 blev kategoriseret som brud på persondatasikkerheden. Af disse 181 brud blev 11 anmeldt til Datatilsynet, mens kommunen vurderede, at de resterende 170 ikke var anmeldelsespligtige.

Datatilsynet vurderede, om Aalborg Kommune havde anmeldt alle relevante brud på persondatasikkerheden som krævet i databeskyttelsesforordningens artikel 33, stk. 1, og om kommunen opfyldte kravet om at dokumentere alle brud på persondatasikkerheden, jf. databeskyttelsesforordningens artikel 33, stk. 5. Datatilsynet gennemgik også kommunens uddannelsesaktiviteter for medarbejdere i forhold til håndtering af brud på persondatasikkerheden.

Afgørelse

Datatilsynet konkluderede, at Aalborg Kommunes behandling af personoplysninger overordnet set er i overensstemmelse med databeskyttelsesforordningens artikel 33.

• Datatilsynet vurderede, at Aalborg Kommune har iværksat de nødvendige foranstaltninger for at overholde kravene i databeskyttelsesforordningens artikel 33, stk. 1, og dermed sikrer, at brud på persondatasikkerheden opfanges, registreres og vurderes med henblik på anmeldelse til Datatilsynet.
• Datatilsynet fandt, at Aalborg Kommune samlet set har levet op til kravene i databeskyttelsesforordningens artikel 33, stk. 5 om dokumentation af brud på persondatasikkerheden.
• Datatilsynet vurderede, at Aalborg Kommune har gennemført passende uddannelsesaktiviteter for at understøtte identifikation og håndtering af brud på persondatasikkerheden.

Datatilsynet henstillede dog, at Aalborg Kommune fremadrettet er mere opmærksom på fordelen ved at have en samlet struktureret oversigt over alle brud på persondatasikkerheden og eventuelle informationssikkerhedshændelser.