Datatilsynets kritik og påbud
Datatilsynet har afsluttet fem af seks tilsynssager om kommuners brug af AULA og konstaterer gennemgående mangler i databeskyttelsen. Særligt konsekvensanalyser (DPIA) var enten helt fraværende eller udarbejdet for sent og uden tilstrækkelig dybde.
To kommuner havde slet ikke udført en DPIA og modtog alvorlig kritik samt påbud om at gennemføre en analyse inden tre måneder. For de øvrige var analyserne utilstrækkelige og lå langt efter fastlæggelsen af dataansvaret i 2019; i flere tilfælde blev de først tilvejebragt i forbindelse med tilsynet i 2021. Samtidig fik alle fem kommuner kritik for risikovurderinger, der hverken dokumenterede identificerede risici eller passende foranstaltninger.
Børn og høje risici udløser DPIA
AULA behandler omfattende og til tider følsomme oplysninger om børn. Efter databeskyttelsesforordningen nyder børn særlig beskyttelse, fordi de typisk er mindre bevidste om datarisici. Det skærper kravene til den dataansvarlige, bl.a. ved valg af sikkerhedsforanstaltninger og ved behovet for en DPIA.
Datatilsynet fremhæver, at kravet om konsekvensanalyse udløses, når de potentielle konsekvenser for registrerede kan være alvorlige, også selv om sandsynligheden vurderes lav. Vægten skal således lægges på konsekvensens alvor i den samlede risikovurdering. Datatilsynet peger desuden på et betydeligt antal misafsendelser i AULA og anbefaler tekniske kontroller, der kan nedbringe denne risiko.
Praktiske implikationer for kommuner
Myndigheden opfordrer KL, KOMBIT og Styrelsen for It og Læring til at understøtte en fælles DPIA og til at afsøge fælles tekniske løsninger. Kommuner bør samtidig styrke deres egen governance og dokumentation. Følgende tiltag bør prioriteres på kort sigt:
- Gennemfør og vedligehold en DPIA for AULA, gerne koordineret via KOMBIT, med tydelig dokumentation af formål, risici og risikoreduktion.
- Implementér konkrete tekniske foranstaltninger mod fejlfremsendelser, fx modtagerbekræftelse, begrænsede distributionslister, adgangsstyring og logning.
- Opdater risikovurderinger efter GDPR art. 32 og dokumentér organisatoriske kontroller, herunder uddannelse og klare instrukser til brugere.
- Klargør roller og ansvar mellem dataansvarlige og eventuelle databehandlere, og ajourfør relevante aftaler og politikker.
Sagerne markerer en skærpet praksis: hvor DPIA tidligere blev anset som undtagelse, må offentlige dataansvarlige nu forventes oftere at gennemføre den, særligt ved systemer, der håndterer børns oplysninger i stor skala.
