Afgørelser

Datatilsynet har politianmeldt Vejen Kommune for utilstrækkelige sikkerhedsforanstaltninger i forbindelse med stjålne computere, der indeholdt oplysninger om børn. Tre stjålne computere var ikke krypterede, og det blev opdaget, at op mod 300 andre computere i kommunen også manglede kryptering. Datatilsynet indskærper, at kryptering ofte er påkrævet, og har indstillet til en bøde på 200.000 kroner. Der har været gentagne tilfælde af manglende kryptering i kommunerne, og Datatilsynet opfordrer til, at kommuner tager ansvar for at sikre kryptering af bærbare enheder.

Datatilsynet har kritiseret Udlændinge- og Integrationsministeriet for manglende kontrol med slettefristerne i det nationale visuminformationssystem (IVR-VIS). Ministeriet har ikke ført løbende kontrol med, at den automatiske slettepraksis fungerer korrekt, og der sker ikke straks sletning af oplysninger, når en visumansøger opnår statsborgerskab i en EU-medlemsstat. UIM's praksis, hvor visumansøgere skal kontakte Udlændingestyrelsen for at få deres oplysninger slettet, lever ikke op til kravene i VIS-forordningen. Datatilsynet vurderer, at UIM ikke overholder principperne om ansvarlighed og opbevaringsbegrænsning i databeskyttelsesforordningen.

Datatilsynet har behandlet en klage fra en borger over Sporting Health Club (SHC) vedrørende brugen af ansigtsgenkendelse som adgangskontrol i deres fitnesscentre. Klageren hævdede, at der ikke var tilstrækkelige alternativer til ansigtsgenkendelse. Datatilsynet fandt, at SHC kan indhente gyldigt samtykke til behandling af biometriske data, så længe samtykket er informeret og korrekt indhentet. Dog udtalte Datatilsynet kritik af, at det samtykke, der blev forsøgt indhentet fra klager, ikke var frivilligt, da klageren blev informeret om, at der ikke var alternativer til ansigtsgenkendelse. Datatilsynet konkluderede, at SHC skal sikre, at medlemmerne er tilstrækkeligt informeret om de alternative adgangsmetoder.

Datatilsynet har udtalt alvorlig kritik af Familieretshuset for manglende behandlingssikkerhed, som har ført til utilsigtet videregivelse af beskyttede oplysninger, herunder navne og adresser, samt oplysninger om ophold på krisecentre. Familieretshuset har anmeldt 28 brud på persondatasikkerheden fra januar 2023 til juni 2024, hvor oplysninger ofte er blevet videregivet til modparten i sager, hvilket underminerer beskyttelsen af de registreredes oplysninger. Kritikken er ikke ny, da der tidligere er blevet udtalt alvorlig kritik af Familieretshuset i to tidligere sager, og tilsynet finder, at der ikke er truffet tilstrækkelige foranstaltninger for at forhindre gentagelse af sådanne brud.

Datatilsynet indledte den 1. marts 2023 en undersøgelse af egen drift af IDA Forsikrings brug af kunstig intelligens til at analysere selskabets telefonsamtaler med personer, som ringer til IDA Forsikrings kundeservice. IDA Forsikring optager indgående telefonopkald, hvorefter lydfilerne sendes til analyse ved en databehandler, der ved hjælp af talegenkendelse omdanner filerne til tekst. Formålet med analysen er at forbedre medlemsservice, sikre kvaliteten og give medarbejderne indsigt i deres samtaler. Datatilsynet fandt, at IDA Forsikring kan optage og analysere samtalerne inden for rammerne af databeskyttelsesreglerne, men at processen for indhentelse af samtykke fra den person, der ringer ind, ikke lever op til reglerne.