Hvidovre Kommune er blevet anmeldt til politiet af Datatilsynet, der vurderer, at kommunen ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningen (GDPR).

Datatilsynet har indstillet kommunen til en bøde på mindst 200.000 kroner for manglende sikkerhed ved håndteringen af navne og adresser i et it-system, som bliver brugt i den kommunale tandpleje. Fejlen er ifølge Hvidovre Kommune blevet rettet tilbage i 2021.

Den 25. juni 2021 blev Datatilsynet opmærksom på sagen, da kommunen selv anmeldte et brud på persondatasikkerheden. Af sagen fremgik det, at den kommunale tandpleje havde en selvbetjeningsløsning, hvor bopælsforældre oprindeligt havde adgang til blandt andet tandplejens breve.

Efterfølgende udvidede kommunen adgangen til systemet, så det også omfattede samværsforældre med fælles forældremyndighed. Samtidig havde den kommunale tandpleje automatisk sendt breve med barnets adresse til begge forældremyndighedsindehavere.

Det betød, at der blev videregivet oplysninger og givet uberettiget adgang til oplysninger om barnets adresse. Hvis barnet sammen med den ene forældre har adressebeskyttelse på grund af den anden forælder, må adressen ikke fremgå af breve eller anden information, der sendes ud.

- Desværre skete dette flere gange i Tandplejen i Hvidovre Kommune i en længere periode mellem 2017 og 2021, skriver Hvidovre Kommune selv i en pressemeddelelse.

Ærgerlig direktør

Databruddet ærgrer kommunen, om oplyser, at den har været i kontakt med de berørte borgere, da fejlen blev kendt. I pressemeddelelsen forklarer velfærdsdirektør Tine Larting, at kommunen er ked af den bekymring, som databruddet måtte have medført, da Tandplejen uforvarende var kommet til at vise adresser på børn og forældre, der kan have været under beskyttelse mod den anden forælder.

- Det er samtidig vigtigt for os at understrege, at der allerede i 2021 blev rettet op på fejlen, og at forældre og børn med adressebeskyttelse ikke skal være bekymrede, fortæller direktør Tine Larting i samme pressemeddelelse fra Hvidovre Kommune.

Ifølge velfærdsdirektøren er Hvidovre Kommune er ikke bekendt med, at borgere skulle have været udsat for chikane eller fare som følge af databruddet i den kommunale tandpleje.

Hvidovre Kommune oplyser, at tandplejen blev opmærksom på, at systemet kun tog højde for loven om ligestilling, men ikke automatisk fjernede adresser på forældre med adresse-beskyttelse.

I samme ombæring blev 64 borgere, som havde været berørt af fejlen, kontaktet af kommunen, og der er efterfølgende indført en ny procedure i tandplejen, så adresser på borgere med adressebeskyttelse nu bliver fjernet manuelt i breve og i booking-systemet.

Det var tandplejen i en anden kommune, som i 2021 gjorde Hvidovre Kommunes tandpleje opmærksom på, at it-systemet ikke automatisk tog højde for navne- og adressebeskyttelse. Året efter blev systemet ændret af leverandøren, så det nu tager højde for adressebeskyttelse.

Alvorligt læk

Datatilsynet har imidlertid lagt vægt på, at adgangen til adresserne kunne medføre alvorlige konsekvenser for borgerne, som netop havde adressebeskyttelse for at undgå, at den anden forælder fik kendskab til adressen. Det er blandt andet årsagen til, at Hvidovre Kommune nu er blevet politianmeldt med krav om en bøde på mindst 200.000 kroner.

- Det er ikke altid let at gennemskue, hvad konsekvenserne er, når man ændrer på it-systemer, der indeholder integrationer og automatiske processer, fortæller Ditte Yde Amsnæs, kontorchef i Datatilsynet.

Hun understreger vigtigheden af at gå grundigt til værks og få det kortlagt, fordi risikoen for nogle af borgerne kan være meget stor.

- Bedre ændringsstyring i Hvidovre Kommune kunne have gjort en stor forskel, lyder det fra Ditte Yde Amsnæs.

Datatilsynet har tidligere indstillet til bøde i to lignende sager i Frederiksberg Kommune og Vejle Kommune. I sin indstilling til bødestørrelse har Datatilsynet blandt andet lagt vægt på overtrædelsens karakter og alvor.

Samtidig er der i databeskyttelsesforordningen et krav om, at en bøde i hver enkelt sag blandt andet skal være effektiv og have afskrækkende virkning.