Alvorlig kritik af Kolding Kommune for mangelfuld opfyldelse af oplysningspligten ved kontrolforanstaltninger

Datatilsynet har gennemført et skriftligt tilsyn hos Kolding Kommune for at vurdere kommunens overholdelse af oplysningspligten i forbindelse med kontrolforanstaltninger over for medarbejdere. Tilsynet undersøgte, om Kolding Kommunes praksis var i overensstemmelse med Databeskyttelsesforordningens princip om gennemsigtighed, der kræver let tilgængelig og forudgående information om kontrolforanstaltninger.

Kommunens praksis

• Kolding Kommune har primært informeret medarbejderne mundtligt om kontrolforanstaltninger.
• Kommunen har anvendt forskellige tekniske og organisatoriske foranstaltninger, der potentielt kan bruges til at kontrollere medarbejderne, herunder tv-overvågning, GPS-sporing, logning af internet- og e-mailbrug, logning af fagsystemer og adgangskontrol.
• Kommunen har argumenteret for, at disse foranstaltninger primært tjener sikkerhedsmæssige formål og ikke er tiltænkt som kontrolforanstaltninger.

Datatilsynets fokus

• Tilsynet har gennemgået Kolding Kommunes underretninger om behandling af personoplysninger og supplerende informationer om kontrolforanstaltninger.
• Datatilsynet har vurderet, om Kolding Kommune har givet tilstrækkelig information om formålet med behandlingen, retsgrundlaget, kategorier af personoplysninger og opbevaringsperioden.
• Datatilsynet har undersøgt, om den mundtlige information, som kommunen giver, er tilstrækkelig i forhold til kravene i Databeskyttelsesforordningen.

Datatilsynet udtaler alvorlig kritik af Kolding Kommunes behandling af personoplysninger, da tilsynet vurderer, at kommunen ikke har overholdt kravene i Databeskyttelsesforordningen.

Centrale elementer i afgørelsen:

• Kolding Kommune har i vidt omfang iagttaget oplysningspligten mundtligt, hvilket ikke er i overensstemmelse med Databeskyttelsesforordningen § 12, stk. 1.
• Kommunen har ikke givet tilstrækkelig information om formålet med behandlingen af personoplysninger, retsgrundlaget, de berørte kategorier af personoplysninger og opbevaringsperioden, hvilket er et brud på Databeskyttelsesforordningen § 13 og Databeskyttelsesforordningen § 14.
• Den manglende information om formålet med behandlingen er også i strid med princippet om gennemsigtighed i Databeskyttelsesforordningen § 5, stk. 1.
• Datatilsynet anbefaler, at Kolding Kommune udarbejder mere konkrete skriftlige procedurer for at sikre overholdelse af oplysningspligten.