Kritik af Falkonergårdens Gymnasium og HF for manglende anmeldelse af sikkerhedsbrud

En elev klagede til Datatilsynet over, at Falkonergårdens Gymnasium og HF ved en fejl havde sendt en skriftlig advarsel om for meget fravær til en anden elev. Fejlen skete ved manuel indtastning af forkert personnummer i e-Boks. Klager anførte, at rygter om klagers fraværsprocent efterfølgende florerede på skolen.

Falkonergårdens argumenter:

• Falkonergården anførte, at fejlen skyldtes menneskelig fejl, og at der ikke var tekniske foranstaltninger, der kunne forhindre dette.
• Skolen havde anmodet modtageren om at slette brevet og forholde sig tavs om indholdet.
• Ledelsen havde indskærpet vigtigheden af korrekt indtastning af personnummer over for de få betroede medarbejdere, der sender breve via e-Boks.
• Falkonergården mente, at det var usandsynligt, at hændelsen indebar en risiko for klagers rettigheder, og at anmeldelse til Datatilsynet derfor ikke var nødvendig.

Klagers argumenter:

• Klager mente, at der var sket et sikkerhedsbrud, som Falkonergården burde have anmeldt til Datatilsynet.
• Klager var påvirket af situationen, da rygter om klagers fraværsprocent florerede på skolen.

Datatilsynets vurdering:

• Datatilsynet lagde til grund, at der var sket et brud på persondatasikkerheden.
• Tilsynet vurderede, at Falkonergården ikke havde godtgjort, at det var usandsynligt, at bruddet indebar en risiko for klagers rettigheder eller frihedsrettigheder.

Afgørelse

Datatilsynet udtalte kritik af, at Falkonergårdens Gymnasium og HF ikke havde anmeldt bruddet på persondatasikkerheden i overensstemmelse med Databeskyttelsesforordningen § 33, stk. 1. Tilsynet fandt dog ikke grundlag for at tilsidesætte Falkonergårdens vurdering af, at de tekniske og organisatoriske foranstaltninger var passende, jf. Databeskyttelsesforordningen § 32, stk. 1.

Datatilsynet lagde vægt på:

• Alle brud på persondatasikkerheden som udgangspunkt skal anmeldes.
• Falkonergården ikke havde bevist, at det var usandsynligt, at bruddet indebar en risiko for klagers rettigheder.
• Oplysninger om fraværsprocent og advarsler er fortrolige oplysninger.
• At den forkerte modtager var en anden elev, hvilket førte til rygter om klagers fraværsprocent.