Kritik af Odsherred Kommune for manglende rettighedsstyring i Tabulex TEA

Baggrund for tilsynet

Datatilsynet gennemførte i sommeren 2021 et skriftligt tilsyn med Odsherred Kommunes behandling af personoplysninger. Tilsynet fokuserede på kommunens administration af adgangsrettigheder på børne- og ungeområdet, særligt inden for skoleområdet. Datatilsynet undersøgte specifikt rettighedsstyringen i det studieadministrative system Tabulex TEA.

Odsherred Kommunes forklaring

Odsherred Kommune har oplyst, at tildeling af rettigheder i Tabulex TEA administreres af en administrator i forvaltningen. Denne administrator tildeler og fjerner rettighedsniveauer til skolesekretærer. Systemet behandler oplysninger fra CPR-registeret, kontaktoplysninger og institutionstilknytning for medarbejdere, forældre og elever.

Kommunen oplyste, at primært skolesekretærer og administrativt personale har adgang til Tabulex TEA, og at brugere som udgangspunkt oprettes som standardbrugere med adgang til egen skole. Alle brugere skal skifte password hver 6. måned. En administrativ medarbejder gennemgår brugerne 1-2 gange årligt for at slette fratrådte medarbejdere. Kommunen erkendte, at den forud for tilsynet ikke havde kontrolleret, om alle brugeres rettigheder var nødvendige og relevante.

Datatilsynets vurdering

Datatilsynet bemærkede, at Odsherred Kommune ikke forud for tilsynet havde sikret sig, at brugernes rettigheder i Tabulex TEA var begrænset til, hvad der var nødvendigt og relevant for deres arbejdsbetingede behov.

Konklusion

Datatilsynet udtalte kritik af Odsherred Kommune for ikke at have overholdt kravet om passende sikkerhed i forbindelse med behandlingen af personoplysninger, jf. Databeskyttelsesforordningen § 32.

Begrundelse

Datatilsynet begrundede sin afgørelse med, at kommunen ikke havde truffet tilstrækkelige organisatoriske foranstaltninger for at sikre et passende sikkerhedsniveau, da de ikke havde sikret, at brugernes rettigheder i Tabulex TEA var nødvendige og relevante. Datatilsynet noterede sig dog, at Odsherred Kommune fremover vil inkludere kontrol af brugerrettigheder som en del af den regelmæssige gennemgang af brugerkonti.