Datatilsynet finder ingen anledning til yderligere handling efter undersøgelse af Børne- og Undervisningsministeriets sikkerhedsforanstaltninger

Datatilsynet gennemførte i 2020 en række spørgeskemaundersøgelser hos syv offentlige myndigheder og syv private virksomheder for at vurdere deres modenhed inden for udvalgte sikkerhedsområder. Undersøgelsen omfattede spørgsmål om håndtering af backup, brud på persondatasikkerheden, informationssikkerhedspolitikker, beredskabsplaner og dokumentation.

Datatilsynet sendte den 10. juli 2020 et spørgeskema til Børne- og Undervisningsministeriet med henblik på at vurdere ministeriets modenhed på databeskyttelsesområdet. Fokus var på håndtering af brud på persondatasikkerhed, informationssikkerhed, dokumentation, backup og beredskabsplaner. Datatilsynet vurderede også de foranstaltninger, ministeriet har truffet for at imødegå risici for de registrerede.

Datatilsynets Afgørelse

Datatilsynet fandt ingen anledning til at foretage yderligere handlinger efter undersøgelsen af Børne- og Undervisningsministeriets sikkerhedsforanstaltninger.

• Datatilsynet vurderede, at ministeriets generelle modenhed på sikkerhedsområdet er passende i forhold til de risici, organisationens behandlingsaktiviteter udgør for de registreredes rettigheder og frihedsrettigheder.
• Ministeriets besvarelser vedrørende informationssikkerhedspolitikker, håndtering af sikkerhedsbrud, backup og beredskabsplaner indikerer, at organisationen aktivt forholder sig til risici, har fastsat passende procedurer og retningslinjer for sikkerheden, og har etableret relevante sikkerhedsforanstaltninger.
• Datatilsynet bemærkede, at Børne- og Undervisningsministeriet kun i varierende omfang har udarbejdet dokumentation i relation til håndtering af sikkerhedsbrud og beredskabsplaner. Tilsynet vurderede, at ministeriet efter omstændighederne kan have svært ved at påvise, at personoplysninger behandles med tilstrækkelig sikkerhed, jf. Databeskyttelsesforordningen § 5.
• Datatilsynet fandt dog, at der ikke var grundlag for at foretage sig yderligere, da ministeriet generelt udviser en tilstrækkelig modenhed og tilgang til databeskyttelse.

Datatilsynet betragter sagen som afsluttet.