Datatilsynets tilsyn med Hjemrejsestyrelsens tilsyn med databehandler: Ingen kritik

Datatilsynet har gennemført et skriftligt tilsyn med Hjemrejsestyrelsens tilsyn med en af styrelsens databehandlere, UIM Koncern IT (KIT). Tilsynet blev iværksat som en del af en større undersøgelse af myndigheders overholdelse af databeskyttelsesreglerne.

Baggrund

• Hjemrejsestyrelsen er oprettet i 2020 og har overtaget opgaver fra andre ministerier.
• KIT er Hjemrejsestyrelsens primære it-leverandør og behandler en bred vifte af personoplysninger på styrelsens vegne, herunder følsomme oplysninger.
• Hjemrejsestyrelsen og KIT har en databehandleraftale, der fastlægger rammerne for tilsynet.

Hjemrejsestyrelsens tilsynsmodel

• Tilsynsmodellen er baseret på løbende dialog med KIT, deltagelse i udvalgsmøder og gennemgang af årlige rapporter fra Udlændinge- og Integrationsministeriets (UIM) databeskyttelsesrådgiver og KIT selv.
• Hjemrejsestyrelsens informationssikkerhedsteam gennemgår rapporterne og følger op på relevante emner.
• Hjemrejsestyrelsen vurderer, at denne tilsynsform giver tilstrækkelig kontrol med databehandlingen hos KIT.

Datatilsynets undersøgelse

• Datatilsynet anmodede Hjemrejsestyrelsen om at redegøre for deres tilsynsplaner og -aktiviteter.
• Hjemrejsestyrelsen fremlagde dokumentation for deres tilsyn med KIT, herunder deltagelse i IT-udvalg og gennemgang af rapporter.
• Datatilsynet vurderede, om Hjemrejsestyrelsens tilsyn var tilstrækkeligt til at sikre overholdelse af databeskyttelsesforordningens artikel 5, stk. 1.

Afgørelse

Datatilsynet fandt ikke grundlag for at tilsidesætte Hjemrejsestyrelsens vurdering af, at deres tilsyn med databehandleren KIT var tilstrækkeligt og i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 2, der omhandler ansvarlighedsprincippet, jf. Databeskyttelsesforordningen § 5, stk. 1.

Begrundelse

Datatilsynet lagde vægt på:

• Den løbende dialog mellem Hjemrejsestyrelsen og KIT som følge af deres koncernforbindelse.
• Hjemrejsestyrelsens deltagelse i IT-udvalgsmøder og gennemgang af rapporter om databeskyttelse og informationssikkerhed.
• At Hjemrejsestyrelsens informationssikkerhedsteam følger op på relevante emner.