Datatilsynet giver hård kritik af fem kommuner og sender opfordring til KL

Selvom Aula er et system der bruges af alle landets kommuner, er det i dag op til den enkelte at udarbejde konsekvensanalyser og risikovurderinger, så bl.a. børn og deres forældres personoplysninger er beskyttet, som datasikkerhedsreglerne foreskriver. 

I et brev til KL, KOMBIT og Styrelsen for IT og Læring, opfordrer Datatilsynet nu til, at der udarbejdes en fælles konsekvensanalyse og et fælles adfærdskodeks for Aula. Det skriver Tilsynet i en pressemeddelelse.

- Det er en stor og ressourcekrævende opgave for de enkelte kommuner at foretage risikovurderinger og konsekvensanalyser, der sikrer de rette sikkerhedsforanstaltninger. Men det er nødvendigt, siger Signe Vestergård, specialkonsulent i Datatilsynet.

- Aula er et værktøj, der anvendes i alle kommuner til de samme behandlingsaktiviteter af samme type personoplysninger. Vi opfordrer derfor kommunerne – evt. i samarbejde med KL og KOMBIT – til at gå sammen og sikre, at borgernes oplysninger i Aula er tilstrækkelig beskyttet, fortsætter hun.

Fem kommuner får kritik

Baggrunden for Datatilsynets opfordring er resultaterne fra en gennemgang af fem tilsynssager, som alle er mundet ud i kritik og alvorlig kritik til de fem berørte kommuner. Datatilsynet har desuden givet påbud i to af sagerne. Der er tale om Randers, Hillerød, Lolland, Esbjerg og Frederikshavn Kommuner.

Det er Lolland og Hillerød Kommuner som har modtaget alvorlig kritik og påbud for ikke at have lavet en konsekvensanalyse. Det har de to kommuner fået tre måneder til at udarbejde.

Der er dog ingen af de fem kommuner, som har styr på reglerne og kravene til udarbejdelsen af en konsekvensanalyse ifbm. Aula. Derfor har alle fem kommuner fået kritik.

Alle fem kommuner har også fået kritik eller alvorlig kritik, fordi kommunernes risikovurderinger ikke lever op til kravene. Kritikken skyldes at kommunerne ikke opfylder dokumentationskravet for at kunne påvise, at de har identificeret og nedbragt de risici, som behandlingen af personoplysninger i Aula udgør for de personer, oplysningerne vedrører, så der er sikret et passende sikkerhedsniveau.

Kritikken skyldes også at de fem kommuner har manglende identifikation og implementering af relevante foranstaltninger for at sikre et passende sikkerhedsniveau. Det er igen Lolland og Hillerød Kommuner som har modtaget alvorlig kritik, da ingen af de to kommuner fremsendte risikovurderinger til Datatilsynet.

Du kan læse hele Datatilsynets afgørelse, samt de enkelte afgørelser til de fem kommuner og brevet til bl.a. KL via dette link.

lal