I december 2023 traf Datatilsynet afgørelse i fem ud af seks tilsynssager, som blev igangsat i efteråret 2021, og som omhandlede kommunernes behandling af personoplysninger i it-systemet Aula. Tilsynene fokuserede på overholdelsen af databeskyttelsesforordningens regler om behandlingssikkerhed og konsekvensanalyse.

Nu er den 6. afgørelse kommet, og det er Københavns Kommune, der står for skud som den sidste af de seks kommuner. Datatilsynet skriver blandt andet:

"Datatilsynet har udtalt kritik, da tilsynet har vurderet, at konsekvensanalysen ikke opfylder alle mindstekravene til en konsekvensanalyse. Afgørelsen indeholder derudover nogle anbefalinger til kommunens videre arbejde med den planlagte opdatering af konsekvensanalysen."

Signe Vestergård er specialkonsulent i Datatilsynet. Hun tilføjer:

”Når skoler/daginstitutioner og forældre kommunikerer via Aula, indgår der i mange tilfælde følsomme og fortrolige oplysninger om børn. Det er derfor vigtigt, at kommunerne passer godt på oplysningerne i systemet. Børn har, ifølge databeskyttelsesforordningen, krav på en særlig beskyttelse,” siger Signe Vestergård, specialkonsulent i Datatilsynet.

De øvrige fem kommuner, som er blevet gransket er Lolland, Esbjerg, Hillerød, Randers, Frederikshavn og altså også København som den sidste i rækken.

I forhold til de første fem kommuner lyder en samlet vurdering:

"Tre kommuner udarbejdede først konsekvensanalyserne lang tid efter, at klarhed om dataansvaret for behandlingen af personoplysninger i Aula var etableret. To af kommunerne har tilmed først udarbejdet konsekvensanalyser efter, at tilsynet har anmodet om materialet i forbindelse med iværksættelsen af tilsynet, hvorfor Datatilsynet overfor disse to kommuner har udtalt alvorlig kritik. Datatilsynet har udtalt kritik overfor den tredje kommune. 

I forhold til Københavns Kommunes risikovurdering har Datatilsynet anbefalet, at kommunen i deres reviderede risikovurderingskoncept strukturerer oplysningerne, så det bliver muligt at sammenligne risikovurderingerne før og efter implementeringen af foranstaltningerne, og at sammenhængen mellem foranstaltningerne og de enkelte risici fremgår tydeligt. Datatilsynet fandt, at kommunen ikke til fulde havde godtgjort, at passende foranstaltninger var implementeret for at nedbringe alle de risici, kommunen havde identificeret," skriver tilsynet.