Datatilsynet lavede i november 2018 et tilsynsbesøg i Randers Kommune, og det fører nu til alvorlig kritik af kommunen.

Årsagen til kritikken er, at Randers Kommune dengang ikke havde indgået en såkaldt databehandleraftale for alle systemer, der behandler personoplysninger. 40 systemer manglede således en databehandleraftale.

Derudover levede nogle af de 28 databehandleraftaler, som kommunen havde indgået, heller ikke op til reglerne.

"Efter en gennemgang af sagen finder Datatilsynet samlet set grundlag for at udtale alvorlig kritik af, at Randers Kommune ikke har efterlevet databeskyttelsesforordningens krav i forbindelse med brugen af databehandlere, jf. databeskyttelsesforordningens artikel 28, stk. 3, og artikel 5, stk. 2, jf. artikel 5, stk.1," skriver Datatilsynet i sin afgørelse.

Randers Kommune understreger i dag, at kommunen nu har fået aftalerne på plads, og at der ikke er sket læk af borgernes data.

"Det er meget vigtigt for os at passe godt på borgernes data og behandle dem korrekt. Derfor er vi også rigtig ærgerlige over, at vi ikke var færdige med at indgå alle de korrekte databehandleraftaler til tiden, og heller ikke havde alle detaljer på plads omkring aftalernes indhold og opfølgningen på disse. Det er i den forbindelse vigtigt for mig at understrege, at der ikke er sket læk af data," siger Lars Sønderby, direktør for Økonomi, Personale, Digitalisering og It i Randers Kommune, i en pressemeddelelse og fortsætter:

"Vi anvender en lang række systemer til at behandle data. Systemerne har ikke været påvirket, men det formelle grundlag for systemleverandørernes databehandling nåede vi ikke at få på plads for alle vores systemer. Det er naturligvis meget beklageligt. Arbejdet er dog efterfølgende færdiggjort, ligesom vi løbende kontrollerer, at disse aftaler bliver overholdt og efterlevet."

Et stort arbejde

Ifølge Lars Sønderby er det kommet bag på kommunen, hvor stort et arbejde det har været at indgå databehandleraftalerne.

"Vi har støvsuget alle områder af kommunen for anvendelse af systemer, som kræver en databehandleraftale. Det viste sig at være en noget større opgave end forventet. Dels fordi antallet af systemer var større, end vi regnede med, og dels fordi dialogen med leverandørerne har været meget tidskrævende. Store internationale it-virksomheder skriver ikke bare lige under, fordi en dansk kommune banker på døren med en databehandleraftale i hånden," siger han.

Randers Kommune har i dag identificeret 200 systemer, som kræver en databehandleraftale.

"Vi blev ganske enkelt overrasket over, hvor tidskrævende det var at indgå de sidste aftaler. Vi har undervejs i forløbet været i dialog med Datatilsynet og tager naturligvis deres afgørelse i sagen til efterretning. Efter tilsynsbesøget har vi fået fuldt ud styr på den formelle side af sagen med korrekte databehandleraftaler på alle relevante systemer og vi arbejder ufortrødent videre med at sikre kommunens overholdelse af lovgivningen omkring databeskyttelse," siger Lars Sønderby.

Datatilsynet har anmodet Randers Kommune om en redegørelse "for de databeskyttelsesretlige overvejelser, som kommunen har gjort sig på baggrund af tilsynsbesøget."

Derudover har tilsynet også bedt Randers Kommune om en detaljeret plan for, hvordan kommunen fremover vil føre tilsyn med kommunens databehandlere og underdatabehandlere.

Ifølge Computerworld udtaler Datatilsynet også alvorlig kritik af Viborg Kommune for manglende databehandleraftaler. Her har man 130 systemer, der kræver en databehandleraftale. Kommunen mangler stadig at indgå fem af disse aftaler.

Datatilsynets sager hober sig op på grund af personalemangel 

Datatilsynet retter kritik mod politimyndighed efter kontrolbesøg