Datatilsynets beslutning om ikke at indlede en generel tilsynssag

Datatilsynets beslutning om ikke at indlede en generel tilsynssag

Resumé

En mand klagede til Datatilsynet over ToldSkats behandling af personoplysninger om ham i forbindelse med udsendelsen af selvangivelser og årsopgørelser for 2003.

Datatilsynets gav manden fuldt medhold i hans klage over ToldSkat.

Datatilsynet mente derimod ikke der var grundlag for at indlede en generel tilsynssag vedrørende behandlingssikkerheden.

Dette klagede manden over til ombudsmanden.

Ombudsmanden konstaterede at Datatilsynet er en tilsynsmyndighed og ikke en rekursmyndighed, og at det tilsyn Datatilsynet fører med overholdelsen af persondataloven, har karakter af et legalitetstilsyn.

Ombudsmanden pegede også på at der måtte sondres mellem den konkrete klagesag (som manden var part i) og den generelle tilsynssag (som manden ikke var part i).

Ombudsmanden lagde til grund at Datatilsynets beslutning om ikke at rejse en generel tilsynssag vedrørende behandlingssikkerheden var truffet på baggrund af alle de oplysninger der forelå i sagen.

Ombudsmanden mente ikke der var grundlag for at kritisere Datatilsynets vurdering af at sagen var tilstrækkeligt oplyst til at tilsynet kunne vurdere om der skulle rejses en generel tilsynssag.

Ombudsmanden kunne derfor heller ikke kritisere Datatilsynets beslutning om ikke at foretage sig yderligere over for Told- og Skattestyrelsen.

Sagen gav dog ombudsmanden anledning til at bemærke at der ville kunne være – men formentlig relativt sjældent var – fuldstændigt sammenfald mellem de oplysninger der var nødvendige for at kunne vurdere om en dataansvarlig havde overtrådt persondataloven, og de oplysninger der var nødvendige for at kunne vurdere om der skulle indledes en generel tilsynssag i forhold til den dataansvarlige med henblik på fremtidig overholdelse af persondatalovens regler om behandlingssikkerhed mv.

Som følge heraf mente ombudsmanden ikke at Datatilsynet altid ville kunne træffe beslutning om at indlede eller undlade at indlede en generel tilsynssag på baggrund af oplysningerne i en klagesag, men at Datatilsynet i nogle tilfælde ville være nødt til at indhente yderligere oplysninger fra den dataansvarlige.

(J.nr. 2005-2259-203).

Det fremgik af sagens akter at A med brev af 29. marts 2004 klagede til Datatilsynet over ToldSkats (nu Skat) behandling af personoplysninger i forbindelse med udsendelsen af selvangivelser og årsopgørelser for 2003.

I brevet oplyste A bl.a. at han fredag den 19. marts 2004 havde modtaget sin selvangivelse og årsopgørelse for 2003.

Han havde imidlertid kunnet konstatere at de oplysninger (om bl.a. indtægt, person- og bankkontonummer) som fremgik af selvangivelsens henholdsvis årsopgørelsens bagsider, ikke var hans, men at oplysningerne på bagsiderne rettelig tilhørte en ham ukendt persons selvangivelse og årsopgørelse.

A skrev at dette gav ham grund til at formode at en eller måske flere andre personer måtte være kommet i besiddelse af hans bankkontonummer og personnummer, og at han på den baggrund havde set sig nødsaget til at spærre sine bankkonti og betalingskort.

A skrev endvidere at han følte at ToldSkat bagatelliserede hændelsen, og at han ønskede at Datatilsynet foretog ”en selvstændig undersøgelse med henblik på at klarlægge, hvorledes fejlen er opstået, og hvorledes det kan sikres at tilsvarende fejl ikke gentages eller undslipper den kontrol, som må formodes at være indarbejdet i systemet”.

Endelig bad han om at få oplyst ”hvor mange personer der måtte have modtaget [hans] personnummer og [hans] bankkontonummer, samt, såfremt sådan offentliggørelse måtte være sket, hvad der er eller vil blive foretaget for at forhindre misbrug”.

Den 23. april 2004 orienterede Datatilsynet A om at tilsynet samme dag havde bedt Told- og Skattestyrelsen (nu Skat) om en udtalelse i anledning af hans klage.

Datatilsynet sendte ham samtidig en kopi af tilsynets brev til Told- og Skattestyrelsen.

Det fremgik af brevet at Datatilsynet bad Told- og Skattestyrelsen oplyse om ToldSkat behandlede oplysninger om A, og i givet fald hvilke oplysninger, om oplysningerne var blevet videregivet, og i bekræftende fald til hvem, og om at redegøre for forløbet.

Told- og Skattestyrelsen afgav i brev af 19. maj 2004 en udtalelse til Datatilsynet.

Told- og Skattestyrelsen skrev bl.a. følgende i udtalelsen

”Told- og Skattestyrelsen kan bekræfte, at der i ToldSkats systemer behandles oplysninger om samtlige skatteydere.

De oplysninger, der behandles, er indberettet til ToldSkat i medfør af skattekontrolloven, lov nr. 726 af 13. august 2001 og den hertil hørende bekendtgørelse nr. 1176 af 17. december 2002 om indberetningspligter efter skattekontrolloven.

Oplysningerne indberettes til brug for skatteligning og skatteberegning og anvendes som fortryk på de årligt udsendte selvangivelser og til skatteberegning på årsopgørelserne.

Indsamling af oplysninger sker således til udtrykkeligt angivne og saglige formål, jf. persondatalovens § 5, stk. 2 og behandlingen er nødvendig af hensyn til udførelsen af ToldSkats opgaver, det vil sige skatteligning og skatteberegning, jf. persondatalovens § 6, stk. 1, nr. 6.

Told- og Skattestyrelsen kan oplyse, at oplysninger, der indberettes til ToldSkat er fortrolige oplysninger, som er beskyttet af den særlige tavshedspligt, der gælder for offentlige myndigheder, herunder specielt den særlige tavshedspligt i skattestyrelseslovens § 37.

Videregivelse af personoplysninger fra ToldSkats EDB-systemer finder ikke sted, medmindre der er en særlig lovhjemmel hertil eller der foreligger et samtykke fra den registrerede borger.

Told- og Skattestyrelsen blev den 19. marts 2004 bekendt med, at der var opstået en fejl ved udskrivning af selvangivelser og årsopgørelser for en personkreds på Fyn.

Fejlen bestod i, at der på selvangivelsen til én skatteyder kunne være udskrevet årsopgørelsesoplysninger og/eller ejendomsoplysninger med personhenførbare data vedrørende en anden skatteyder.

Fejlen, der var af teknisk karakter, opstod i udskrivningsprocessen hos ToldSkats dataleverandør (B).

Som konsekvens af fejlen anmodede Told- og Skattestyrelsen øjeblikkelig dataleverandøren (B) om at stoppe al videre produktion, indtil fejlen var genoprettet.

Styrelsen anmodede samtidig PostDanmark om at tilbageholde eventuel post indeholdende selvangivelser og årsopgørelser, der endnu ikke var omdelt i postcenter Fyn.

Samme dag blev desuden udsendt en pressemeddelelse om den indtrufne hændelse.

Dataleverandøren (B) har forklaret, at fejlen opstod i forbindelse med afvikling af printjob med indhold af en printselvangivelse med årsopgørelse/overførsel til bank samt eventuelt ejendomsskema.

Fejlen skyldes, at der på centralen i en periode på ca. 20 minutter opstod fejl i printsystemet i form af ’paperjam’, og at synkroniseringen mellem de 2 printere, der forestår arbejdsopgaven, i den nævnte periode ikke har været korrekt.

(B) har vurderet, at der i den pågældende periode har været printet materiale til ca. 1.000 kuverter, og det må derfor antages at ca. 1.000 personer, og ikke som tidligere skønnet 17.000 personer, har været berørt af den opståede fejl.

(B) indførte på denne baggrund ekstra stramme kontrolprocedurer for den videre printning og vil for fremtiden som en konsekvens af fejlen indføre krav om ekstra kontrol.

De berørte skatteydere fik inden for et par dage udsendt korrekte selvangivelser og årsopgørelser.

Med det udsendte materiale var vedlagt en beskrivelse af forløbet.

Skatteyderne blev bedt om at destruere eventuelt modtaget fejlagtigt materiale eller at returnere dette til skatteforvaltningen i kommunen.

Told- og Skattestyrelsen og dataleverandøren (B) beklagede i skrivelsen den opståede fejl overfor de berørte skatteydere.

Told- og Skattestyrelsen må erkende, at der i det konkrete forløb utilsigtet kan være videregivet personhenførbare oplysninger vedrørende (A) til en anden skatteyder, hvilket styrelsen finder særdeles beklageligt.

Det vil imidlertid ikke være muligt at rekonstruere forløbet og dermed ikke muligt for styrelsen at svare på, til hvem eventuel videregivelse kan have fundet sted.

Det er Told- og Skattestyrelsens opfattelse, at graden af sikkerhed omkring behandling af personoplysninger i ToldSkats regi under normale omstændigheder er særdeles høj.

Der er fra såvel styrelsens som dataleverandørens side truffet de foranstaltninger, der er mulige, til beskyttelse af personhenførbare oplysninger.

Told- og Skattestyrelsen betragter det nævnte forløb som dybt beklageligt.

Det er dog samtidig styrelsens opfattelse, at det ikke på forhånd har været muligt at gardere sig mod den opståede fejl.”

I brev af 10. juni 2004 bad A bl.a.

Datatilsynet oplyse om tilsynet havde modtaget svar fra Told- og Skattestyrelsen.

Den 24. juni 2004 sendte Datatilsynet A en kopi af Told- og Skattestyrelsens udtalelse af 19. maj 2004.

Datatilsynet bad samtidig om at modtage hans eventuelle kommentarer til udtalelsen inden 4 uger.

A kommenterede Told- og Skattestyrelsens udtalelse i et brev af 15. juli 2004 til Datatilsynet.

I brevet skrev han bl.a. følgende

”Med hensyn til hvilke oplysninger der indberettes til ToldSkat er henvist til skattekontrolloven og dertil hørende bekendtgørelse.

Heraf kan udledes, at indberetningerne blandt andet omfatter oplysninger om saldi på skatteydernes konti hos pengeinstitutter med nøjagtige angivelser af pengeinstitut og kontonummer.

Der er altså tale om absolut personfølsomme data, som modtageren

ToldSkat efter sagens natur til det yderste må bestræbe sig på at sikre ikke kommer uvedkommende til kendskab, hverken som isolerede oplysninger eller, hvilket må anses for langt alvorligere, i form af en kombination af oplysninger, således som det har været tilfældet i den foreliggende sag, hvor navn og personnummer er kombineret med oplysning om pengeinstitut og kontonummer.

…

Med hensyn til det aktuelle forløb anfører ToldSkat, at Styrelsen den 19. marts 2004 blev bekendt med at der var opstået en fejl ved udskrivning af selvangivelser og årsopgørelser for en personkreds på Fyn.

Hertil bemærkes, at det må undre, at fejlen blev opdaget så sent.

Den 19. marts var nemlig den dag, hvor jeg modtog min selvangivelse og årsopgørelse for 2003.

Tilsyneladende er fejlen derfor først konstateret efter indberetning fra skatteyderne og ikke på basis af ToldSkats egen kontrol.

Såfremt dette er rigtigt, finder jeg forholdet ekstra bemærkelsesværdigt, eftersom jeg altid er gået ud fra, at der i forbindelse med behandling og især udsendelse af personfølsomme data, måtte være indlagt i det mindste én kontrolrutine til sikring af, at de pågældende data er korrekte og ikke kommer uvedkommende til kendskab.

Med henvisning hertil ønskes det oplyst hvornår den af (B) over for ToldSkat beskrevne fejl indtraf, hvornår (B) opdagede fejlen, hvornår denne rapporteredes til ToldSkat, til hvilken afdeling i ToldSkat indberetningen skete samt hvad den pågældende afdeling foretog sig i den anledning.

Såfremt ToldSkat måtte have en særlig edb- eller IT afdeling, ønskes det oplyst om chefen for afdelingen blev underrettet og i bekræftende fald, hvad denne derefter foretog sig.

Baggrunden for at jeg ønsker ovennævnte besvaret af ToldSkat er blandt andet, at ToldSkats udtalelser til pressen og i Danmarks Radio’s TV nyhedsudsendelser i dagene umiddelbart efter at fejlen blev opdaget af skatteyderne, kunne tyde på at ToldSkat anså det passerede for en bagatel.

Jeg skal opfordre Datatilsynet til fra Danmarks Radio at få fremskaffet en båndkopi af de pågældende nyhedsindslag.

Om selve fejlen anfører ToldSkat, at der ’på selvangivelsen til en skatteyder kunne være udskrevet årsopgørelsesoplysninger og/eller ejendomsoplysninger med personfølsomme data vedrørende en anden skatteyder’.

Hertil skal anføres, at der tillige, hvilket jeg under hele sagsbehandlingsforløbet har fremhævet, er givet oplysninger til uvedkommende også om kontonumre i navngivne pengeinstitutter.

Hvad angår fejlens art oplyser ToldSkat, at denne var af teknisk karakter og opstod i udskrivningsprocessen hos ToldSkats dataleverandør (B), der over for ToldSkat har forklaret, at fejlen opstod i forbindelse med ’afvikling af printjob med indhold af en printselvangivelse med årsopgørelse/overførsel til bank samt eventuelt ejendomsskema’.

(B)’s beskrivelse af fejlen er mere præcis, idet (B) udtrykkeligt omtaler kombinationen af selvangivelse/årsopgørelse og kontonumre til brug ved bankoverførsler.

…

Derudover bedes følgende begæret oplyst

Hvilke foranstaltninger gennemførte (B), da virksomheden var blevet opmærksom på, at de to printere i ca. 20 minutter ikke havde fungeret normalt grundet papirstop/uregelmæssigheder.

Specielt ønskes det oplyst hvorvidt der blev foretaget en nøjagtig registrering af det i den pågældende periode behandlede materiale.

Endvidere ønskes det oplyst hvorvidt det fejlagtige materiale er bevaret med henblik på dokumentation af fejlens art og omfang.

Endelig ønskes ToldSkat afkrævet oplysning om hvilke fejlfindingsrutiner, der på dette område måtte være aftalt med (B) forud for fejlens indtræden, samt såfremt sådanne rutiner ikke måtte have været aftalt, da hvilke rutiner (B) på eget initiativ benyttede sig af.

Forespørgslen skal ses i lys af de ’ekstra stramme kontrolprocedurer for den videre printning’ som (B) ifølge ToldSkats redegørelse nu skulle have indført.

Karakteren af de nyindførte kontrolprocedurer bedes i øvrigt nærmere specificeret.

…

ToldSkat anfører i sine afsluttende bemærkninger i redegørelsen til Datatilsynet, at sikkerheden omkring behandling af personoplysninger under normale omstændigheder (fremhævet her) er særdeles (ligeledes fremhævet her) høj og at der er truffet de foranstaltninger, der er mulige til beskyttelse af personhenførbare oplysninger.

Det ønskes oplyst hvad der har bevirket, at der i forbindelse med det indtrufne ikke har været tale om normale omstændigheder.

Jeg går i øvrigt ud fra, at Datatilsynet ønsker meddelt en nøjagtig redegørelse for de foranstaltninger, som ToldSkat oplyser at have truffet i eget regi med hensyn til maksimering af sikkerheden omkring behandlingen af personfølsomme oplysninger.”

I brev af 20. august 2004 bad A Datatilsynet oplyse om tilsynet havde modtaget bemærkninger/svar fra ToldSkat på de spørgsmål han havde rejst i sit brev af 15. juli 2004.

Datatilsynet besvarede A’s henvendelse i et brev af 24. september 2004.

Datatilsynet oplyste A om at Told- og Skattestyrelsen ikke var blevet anmodet om en supplerende udtalelse i anledning af hans brev af 15. juli 2004, og at dette skyldtes at Datatilsynet mente at sagen var tilstrækkeligt oplyst til at der kunne træffes en afgørelse.

Datatilsynet meddelte ham samtidig at tilsynet forventede at kunne færdigbehandle hans sag inden for 3 måneder.

I brev af 2. oktober 2004 gjorde A bl.a.

Datatilsynet opmærksom på at han ikke delte Datatilsynets opfattelse af at sagen var tilstrækkeligt oplyst.

Med brev af 28. oktober 2004 bad A Datatilsynet oplyse om han kunne forvente en afgørelse inden for den tidsramme som Datatilsynet havde oplyst ham i tilsynets brev af 24. september 2004.

Datatilsynet besvarede A’s henvendelse i et brev af 24. november 2004.

Datatilsynet oplyste ham om at tilsynet nødvendigvis måtte vurdere de enkelte sager i forhold til hinanden og foretage en løbende prioritering baseret på sagernes karakter og alder.

Datatilsynet mente ikke at det var muligt at fremskynde behandlingen af A’s sag, og bad ham afvente tilsynets behandling af hans klage.

Datatilsynet oplyste endvidere A om at tilsynet – hvis hans sag ikke var færdigbehandlet inden 3 måneder – ville orientere ham om hvornår hans sag kunne forventes færdigbehandlet.

I brev af 27. november 2004 kommenterede A Datatilsynets brev.

Med brev af 23. december 2004 orienterede Datatilsynet A om at tilsynet grundet travlhed ikke havde kunnet nå at færdigbehandle hans sag, og at tilsynet nu forventede at kunne færdigbehandle sagen inden 2 måneder.

I brev af 5. januar 2005 kommenterede A Datatilsynets brev.

Han anførte bl.a. at der efter hans opfattelse havde været tale om en uforståeligt lang sagsbehandlingstid.

Han anførte endvidere at skattemyndighederne og deres underleverandører snart ville gå i gang med arbejdet med de nye årsopgørelser og selvangivelser, og at der derfor burde træffes afgørelse i hans klagesag inden månedens udgang.

Datatilsynet afgav den 9. februar 2005 en udtalelse i sagen.

Datatilsynet gav A fuldt medhold i hans klage.

Tilsynet skrev bl.a. følgende i sin udtalelse

”Datatilsynet finder, at ToldSkat, Odense ved udsendelse af selvangivelser og årsopgørelser, som indeholdt personoplysninger om andre end modtageren, har overtrådt persondatalovens § 41, stk. 3.

Datatilsynet finder dette beklageligt, hvilket tilsynet har underrettet Told- og Skattestyrelsen om i brev af dags dato.

Datatilsynet har noteret sig, at der har været tale om en enkeltstående fejl i forbindelse med et printjob, samt at ToldSkats dataleverandør (B) på baggrund af fejlen indførte ekstra stramme kontrolprocedurer ved genoptagelsen af printningen og i øvrigt som konsekvens af fejlen for fremtiden vil indføre krav om ekstra kontrol.

Datatilsynet har endvidere noteret sig, at Told- og Skattestyrelsen som konsekvens af fejlen anmodede PostDanmark om at tilbageholde eventuel post indeholdende selvangivelser og årsopgørelser, der endnu ikke var omdelt og, at Told- og Skattestyrelsen har udsendt en beskrivelse af forløbet til de berørte samt anmodet om, at eventuelt modtaget fejlagtigt materiale destrueres eller returneres til skatteforvaltningen i kommunen.

Datatilsynet finder på den baggrund ikke grundlag for at foretage sig yderligere i sagen.

…

3.

For så vidt angår Deres anmodning om at få oplyst, hvor mange personer der måtte have modtaget Deres personnummer og bankkontonummer, kan Datatilsynet henvise til Told- og Skattestyrelsens brev af 19. maj 2004.

Det fremgår heraf, at der kan være videregivet oplysninger om Dem til en anden skatteyder, men det ikke er muligt at rekonstruere det passerede forløb, og at det dermed ikke er muligt for styrelsen at oplyse, hvem der eventuelt er videregivet oplysninger til.”

Den 20. juni 2005 klagede A til mig over at Datatilsynet – efter hans opfattelse – havde ”truffet afgørelse førend sagens faktiske omstændigheder forelå belyst på en forsvarlig og relevant måde”.

A klagede endvidere over Datatilsynets sagsbehandlingstid som han mente var unødigt lang.

Som begrundelse for klagen skrev A bl.a. følgende

”Det er min opfattelse, at Datatilsynet i denne sag ikke kan siges at have opfyldt sine forpligtelser efter loven med hensyn til at påse, at behandlingen af personoplysninger hos ToldSkats databehandler, (B), finder sted efter loven.

For at kunne sikre sig, at databehandlingen hos (B) finder sted i overensstemmelse med loven eller forskrifter i medfør af loven, er det min opfattelse, at Datatilsynet ikke udelukkende kan henholde sig til de meget upræcise og ganske intetsigende oplysninger, som ToldSkat har afgivet i sit svar til tilsynet (…) .

Tilsynet må som fagkyndig på området foretage en selvstændig bedømmelse af de omstændigheder, der trods de formodentlig foreliggende sikkerhedsrutiner, alligevel førte til et lovbrud.

Tilsynet må dernæst selvstændigt bedømme, hvorvidt de efter uheldet foretagne stramninger af rutinerne kan anses for at være tilstrækkelige til at hindre gentagelser.

I denne forbindelse henledes opmærksomheden på, at der ifølge lov om behandling af personoplysninger § 41 stk. 1 skal foreligge en datainstruks udarbejdet af den dataansvarlige (ToldSkat).

…

Ifølge sikkerhedsbekendtgørelsens § 6 skal der, hvor der, som i denne sag, er tale om behandling af personoplysninger og behandlingen af personoplysninger, som i denne sag, foretages af en databehandler, foreligge en skriftlig aftale hvoraf det fremgår, at sikkerhedsbekendtgørelsens bestemmelser gælder for databehandleren.

Af sikkerhedsbekendtgørelsens § 19 fremgår endelig, at en vis maskinel registrering (logning) skal foretages.

Det er min opfattelse, at Datatilsynet som et minimum burde have sat sig i besiddelse af og gennemgået alle de dokumenter der ifølge det ovenfor refererede skulle foreligge hos såvel den dataansvarlige myndighed som hos databehandleren.

Det er ligeledes min opfattelse, at Datatilsynet burde have sat sig i besiddelse af og gennemgået de ændringer i de foreliggende dokumenter, som den dataansvarlige myndighed og databehandleren måtte have foretaget efter uheldet med henblik på at sikre, at gentagelser ikke vil være mulige.

…

Personligt er jeg i hvert fald ikke overbevist om, at der skulle være truffet de nødvendige foranstaltninger til at hindre gentagelser.

En intetsigende udtalelse herom fra en dataansvarlig myndighed, som netop har brudt med reglerne, anser jeg i sig selv for værdiløs.”

I brev af 13. oktober 2005 orienterede jeg A om at jeg samme dag havde bedt Datatilsynet om en udtalelse i anledning af hans klage.

Jeg modtog Datatilsynets udtalelse den 22. december 2005.

Datatilsynet redegjorde indledningsvis for sagens forløb og skrev derefter bl.a. følgende

” Vedrørende belysning af sagens faktiske omstændigheder

Det følger af persondatalovens § 58, stk. 1, at Datatilsynet af egen drift eller efter klage fra en registreret påser, at behandlingen finder sted i overensstemmelse med loven og regler udstedt i medfør af loven.

Af bemærkningerne til bestemmelsen fremgår bl.a., at enhver registreret kan indgive anmodning til Datatilsynet om beskyttelse af sine rettigheder efter loven.

Datatilsynets behandling af en klage fra en registreret indebærer en konkret vurdering af en dataansvarligs behandling af oplysninger om den registrerede i den påklagede situation.

Dette indebærer typisk en vurdering af en sags faktiske omstændigheder i forhold til en række bestemmelser i persondataloven, herunder særligt reglerne om behandlingshjemmel i persondatalovens kapitel 4, og reglerne om den registreredes rettigheder i kapitel 8-10.

I den konkrete sag havde (A) klaget over, at ToldSkat havde videregivet oplysninger om ham, og han ønskede oplyst, til hvem oplysningerne var videregivet.

Det var på baggrund af oplysningerne i (A)’s klage af 29. marts 2004, Told- og Skattestyrelsens udtalelse af 19. maj 2004 og (A)’s brev af 15. juli 2004 Datatilsynets vurdering, at sagens omstændigheder i forhold til ToldSkats behandling af oplysninger om (A) i den påklagede situation forelå oplyst i tilstrækkeligt omfang.

Datatilsynet lagde i den forbindelse vægt på, at Told- og Skattestyrelsen havde oplyst, at videregivelse af personoplysninger fra ToldSkats edb-systemer ikke finder sted, medmindre der er særlig lovhjemmel hertil, eller der foreligger samtykke, at der konkret var sket en fejl ved udskrivningen af selvangivelser og årsopgørelser for en personkreds på Fyn, og at fejlen var af teknisk karakter i form af ’paperjam’ i printsystemet.

Det fremgik endvidere af Told- og Skattestyrelsens udtalelse, at styrelsen som en konsekvens af fejlen havde anmodet PostDanmark om at tilbageholde eventuel post indeholdende selvangivelser og årsopgørelser, der endnu ikke var omdelt.

Told- og Skattestyrelsen havde endvidere udsendt en pressemeddelelse om den indtrufne hændelse, og de berørte skatteydere fik inden for et par dage tilsendt en beskrivelse af forløbet samt en anmodning om, at eventuelt modtaget fejlagtigt materiale blev destrueret eller returneret til skatteforvaltningen i pågældende kommune.

Told- og Skattestyrelsen erkendte samtidig, at der i det konkrete forløb utilsigtet kunne være videregivet oplysninger om (A) til en anden skatteyder, hvilket styrelsen fandt særdeles beklageligt.

Datatilsynet lagde endvidere vægt på, at der ikke ved (A)’s brev af 15. juli 2004 var fremkommet oplysninger eller i øvrigt anført omstændigheder, der gav tilsynet grundlag for at antage, at de faktiske omstændigheder i forhold til ToldSkats behandling af oplysninger om (A) i den konkrete sag ikke var tilstrækkeligt oplyst.

Det var således Datatilsynets opfattelse, at Told- og Skattestyrelsen havde erkendt det konkrete hændelsesforløb, herunder at der kunne være sket videregivelse af oplysninger om (A), uden at der var hjemmel til en sådan videregivelse i persondataloven eller i eventuel særlovgivning.

Det var herudover oplyst, at det ikke ville være muligt at rekonstruere forløbet, og at det dermed ikke var muligt for Told- og Skattestyrelsen at svare på, til hvem eventuel videregivelse kunne have fundet sted, men at styrelsen havde iværksat kompensatoriske foranstaltninger for at oplyse de registrerede om det passerede og forsøgt at sikre, at uberettiget videregivne oplysninger blev indsamlet eller destrueret.

Ved Datatilsynets afgørelse af 9. februar 2005 fik (A) herefter fuldt medhold i sin klage, idet Datatilsynet fandt, at Told- og Skattestyrelsen havde overtrådt persondatalovens § 41, stk. 3, hvorefter den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.

Det var herudover Datatilsynets opfattelse, at Told- og Skattestyrelsen i tilstrækkeligt omfang havde redegjort for de tekniske hændelser, der konkret havde forårsaget det passerede, og for, hvordan styrelsen ville søge at undgå lignende hændelser i fremtiden.

Datatilsynet kan således henholde sig til sin afgørelse af 9. februar 2005.

(A) har i sin klage bl.a. anført, at Datatilsynet har en forpligtigelse til generelt at påse lovligheden af ToldSkats behandling af personoplysninger.

Hertil skal Datatilsynet bemærke, at tilsynet ikke fandt, at det konkrete forløb gav grundlag for at foretage yderligere undersøgelser med henblik på en mere generel vurdering af behandlingssikkerheden hos Told- og Skattestyrelsen.

Tilsynet lagde herved navnlig vægt på oplysningerne fra ToldSkat om karakteren af den opståede fejl.

Vedrørende sagsbehandlingstiden

(A) har klaget over, at sagsbehandlingstiden har været unødig lang.

Han har herved navnlig henvist til, at sagen har ligget uberørt i Datatilsynet i ca. 8 måneder.

Som anført vurderede Datatilsynet efter modtagelsen af (A)’s brev af 15. juli 2004, at sagen var tilstrækkeligt oplyst.

Herefter orienterede Datatilsynet løbende (A) om den forventede sagsbehandlingstid, og som oplyst i Datatilsynets brev af 24. november 2004 til (A) har tilsynet mange sager til behandling.

Datatilsynet må derfor nødvendigvis vurdere de enkelte sager i forhold til hinanden og af ressourcemæssige årsager foretage en løbende prioritering, henset både til sagernes karakter og til, hvornår sagerne er indkommet i tilsynet.

Datatilsynet har på denne baggrund ikke fundet at kunne fremskynde behandlingen af sagen.

Da den samlede sagsbehandlingstid for sagen har været over gennemsnittet for tilsynets klagesagsbehandling, burde dette forhold have været beklaget i tilsynets brev af 9. februar 2005 til klager.

Datatilsynet beklager, at dette ikke skete.”

Den 23. december 2005 sendte jeg A en kopi af Datatilsynets udtalelse af 21. december 2005.

Jeg bad ham samtidig sende mig sine eventuelle bemærkninger til udtalelsen inden 4 uger.

I brev af 11. februar 2006 kommenterede A Datatilsynets udtalelse.

Han skrev bl.a.

”Datatilsynet giver klart udtryk for, at fordi der var tale om det, der af ToldSkat er beskrevet som en ’fejl ved udskrivningen’ med understregning af at fejlen var af teknisk karakter i form af ’paperjam’, har det ikke været nødvendigt, at foretage en kontrol af de foreliggende rutiner.

Dette kan ikke være rigtigt.

Datatilsynet kan og må ikke give op, blot fordi en klagesag har teknisk karakter.

Fejlen kunne måske have været undgået, såfremt instruktioner og rutiner havde været udformet anderledes end de da foreliggende, hvilke rutiner og instruktioner end ikke er undersøgt og vurderet.

En konkret vurdering af foreliggende rutiner og instruktioner kunne forhåbentlig have ført til en erkendelse af, hvorledes det i fremtiden kan undgås, at dokumenter, der via databehandling indholdsmæssigt er blevet i strid med persondataloven, udsendes til borgerne.”

Den 5. maj 2006 orienterede jeg A om at jeg havde besluttet at bede Datatilsynet om en supplerende udtalelse om sagen.

Jeg sendte ham samtidig en kopi af mit brev til Datatilsynet.

Det fremgik heraf at jeg havde bedt Datatilsynet oplyse om der – med Told- og Skattestyrelsens oplysning om at B fremover ville indføre krav om ekstra kontrol – efter Datatilsynets opfattelse i sig selv var tilvejebragt et tilstrækkelig fyldestgørende grundlag til at tilsynet kunne vurdere om behandlingssikkerheden hos ToldSkat og B herefter opfyldte persondatalovens krav, og at det derfor ikke ville være nødvendigt at afgive en udtalelse om behandlingssikkerheden efter persondatalovens § 60, stk. 2.

Jeg bad endvidere Datatilsynet om at redegøre mere udførligt for hvilke overvejelser tilsynet gjorde sig i den forbindelse, herunder hvilke hensyn der – ud over at der var tale om en fejl af teknisk karakter – indgik i tilsynets beslutningsgrundlag.

Endelig bad jeg Datatilsynet oplyse om det er sædvanlig praksis at undlade at iværksætte eller videreføre en undersøgelse af en dataansvarlig myndigheds behandlingssikkerhed med henblik på at afgive en udtalelse om behandlingssikkerheden hvis den dataansvarlige myndighed (eller myndighedens databehandler) oplyser at der er indført nye sikkerhedsprocedurer, uden at procedurerne er nærmere beskrevet og sat i relation til de tidligere gældende sikkerhedsprocedurer.

I brev af 3. oktober 2006 afgav Datatilsynet en supplerende udtalelse om sagen.

Tilsynet skrev bl.a. følgende

”4.1.1.

Svar på spørgsmål nr. 1

Datatilsynets behandling af en sag, hvor en myndighed ikke har levet op til persondatalovens krav om datasikkerhed, afsluttes med en udtalelse til ved­kommende myndighed, jf. § 60, stk. 2.

Det følger således af lovens § 60, stk. 1, at Datatilsynet over for vedkommen­de myndighed træffer afgørelse i sager vedrørende § 7, stk. 7, § 9, stk. 3, § 10, stk. 3, § 13, stk. 1, § 27, stk. 4, §§ 28-31, § 32, stk. 1, 2 og 4, §§ 33-37, § 39 samt § 58, stk. 2.

Af § 60, stk. 2, følger, at tilsynet i andre tilfælde afgiver udtalelser over for den dataansvarlige myndighed.

I nærværende sag er udtalelsen afgivet den 9. februar 2005 til såvel klager som den dataansvarlige myndighed.

Persondataloven indeholder ikke en bestemmelse svarende til reglen i den tidligere gældende § 26, stk. 3, i lov om offentlige myndigheders registre, hvorefter Registertilsynet afgav indberetning til den eller de for registeret an­svarlige myndigheder og vedkommende minister om konstaterede overtrædel­ser af loven eller de fastsatte forskrifter samt i øvrigt om forefundne mangler.

Ifølge bestemmelsen skulle Registertilsynet have underretning om, hvad myndigheden foretog i anledning af indberetningen.

I persondatalovens forarbejder beskrives bl.a.

Registerudvalgets overvejelser om tilsynets opgaver, beføjelser og pligter.

Af lovforslaget (lovforslag nr. L 147 af 9. december 1999, særtrykket side 70 venstre spalte) fremgår bl.a. følgende

’Udvalget finder – som nævnt ovenfor under pkt. 4.2.7.2. – at der ikke længere er et behov for en særlig politisk kontrol med oprettelse eller iværksættelse af registre/behandlinger.

På samme måde finder udvalget at der ikke er et behov for en speciel politisk kontrol med overholdelsen af loven i forbindelse med udførelsen af behandlinger.

Hertil kommer, at der i dag kun indgives indberetninger, såfremt der er tale om overtræ­delser af en vis alvor, og det må under alle omstændigheder forventes, at en kritik af sådanne overtrædelser tilsendes en person på et højere, mu­ligvis det højeste, niveau inden for myndigheden.

En væsentlig funktion af indberetningerne ligger i, at kritikken udtrykkes over for et niveau i myndigheden, som har fornøden kompetence og ansvar til at træffe pas­sende foranstaltninger til at imødegå muligheden for fremtidige over­trædelser.

Denne funktion vil således blive varetaget uanset opretholdel­sen af en regel om indberetning.

På denne baggrund foreslås der ikke bestemmelser om indberetning til dataansvarlige myndigheder (kommunalbestyrelser, amtsråd og direktø­rer m.v. for statslige styrelser) og vedkommende minister.’

I Justitsministeriets forslag, som findes i lovforslagets afsnit 4.2.8.3., side 72 i særtrykket, anføres bl.a.

’Efter Justitsministeriets opfattelse bør tilsynsmyndigheden i første række tage sigte på at kunne udøve sin virksomhed gennem generelle retningslinier og ved en serviceorienteret rådgivning og vejledning frem for en regulering primært koncentreret om afgørelse af enkeltsager i et traditionelt rekurssystem.

I praksis må det således forventes, at kun en mindre del af tilsynsmyndighedens aktiviteter vil bestå i at træffe afgø­relse i konkrete klagesager o.lign.

Navnlig dette forhold taler efter Justitsministeriets opfattelse for flertal­lets tilsynsmodel.

Det fremtidige almindelige tilsyn med behandling af personoplysninger bør derfor – i lighed med den nuværende ordning – organiseres som én myndighed, der består af henholdsvis et sekretariat og et råd (Datatilsynet).

Justitsministeriet kan tilslutte sig udvalgets forslag om, hvilke opgaver der bør henlægges til Datatilsynet.

Herved sikres, at Datatilsynet – ligesom i dag – vil kunne føre et effektivt tilsyn med overholdelsen af lovgivningen.’

4.1.2.

I forbindelse med Datatilsynets behandling af en sag, hvor en myndig­hed ikke har levet op til persondatalovens krav om datasikkerhed, vurderes det konkret, om sagen giver anledning til, at tilsynet under en eller anden form udtaler kritik eller beklagelse, og i givet fald, hvilken grad af kritik der skal gives.

I den forbindelse vurderes det desuden, om der er tale om en overtrædelse af en sådan alvor, at kritik skal udtrykkes over for et højt niveau i myndigheden, eller om der eventuelt er anledning til at orientere en overordnet myndighed.

Det overvejes samtidigt, om der er anledning til at offentliggøre Datatilsynets udtalelse på tilsynets hjemmeside.

I praksis foretager Datatilsynet kun indberetning i et fåtal af de sager, hvor der konstateres brud på persondataloven.

Orientering af en overordnet myndighed eller kommunalbestyrelsen anvendes bl.a. i sager, hvor denne har en rolle i forhold til etableringen af systemer i den berørte myndighed.

Indberetning til en overordnet myndighed eller til kommunalbestyrelsen kan medvirke til, at der findes en løsning på et sikker­hedsproblem, som eventuelt forudsætter investering i et nyt system og dermed afsættelse af de fornødne bevillinger.

Som eksempel på en sag, hvor Datatilsynet har underrettet en overordnet myndighed, kan nævnes sagen om Projekt JANUS, hvor Datatilsynet konsta­terede, at der i projektet siden opstarten var behandlet særdeles følsomme personoplysninger.

Samtidig kunne tilsynet konstatere, at persondataloven var overtrådt på en række punkter.

Oplysningernes karakter taget i betragtning fandt Datatilsynet, at der er tale om særdeles kritisable overtrædelser af per­sondataloven og sikkerheds­bekendt­gørelsen.

Med henblik på at sikre, at persondataloven generelt overholdes på Socialmi­nisteriets område, anmodede Datatilsynet ministeriet om at oplyse, om der findes andre projekter og institutioner på ministeriets område, hvor der foreta­ges lignende behandlinger af personoplysninger.

I den forbindelse anmodede Datatilsynet Socialministeriet om at oplyse, om ministeriet ville tage initiati­ver med henblik på at sikre, at persondataloven efterleves på ministeriets område.

Datatilsynets udtalelse til Projekt Janus er tilgængelig på tilsynets hjemmeside under ’Udtalelser og afgørelser fra 2005’.

I sager med meget alvorlige tilsidesættelser af persondataloven vil orientering af en overordnet myndighed under alle omstændigheder kunne komme på tale – uanset om den overordnede myndighed har en umiddelbar rolle i forhold til etableringen af de fornødne tekniske løsninger, og uanset, om der kan være tale om et mere generelt problem på institutioner på ministeriets område.

Dette var f.eks. tilfældet i sagen om undersøgelse af Rigspolitiets indberetnin­ger af uønskede udlændinge til Schengeninformationssystemet (SIS), hvor Datatilsynet konstaterede, at Rigspolitiet i et antal tilfælde havde foretaget fejlagtige indberetninger til Schengeninformationssystemet.

Indberetninger til SIS vil kunne få alvorlige konsekvenser for den pågældende person, idet en person efter Schengenkonventionens artikel 5 som hovedregel ikke vil kunne få tilladelse til at indrejse i og opholde sig i Schengen-området.

På den bag­grund var det Datatilsynets opfattelse, at der var tale om et uacceptabelt højt antal fejl, og tilsynet fandt således resultatet af undersøgelsen kritisabelt.

Da­tatilsynet orienterede Justitsministeriet om de konstaterede tilsidesættelser af Schengen-konventionen, udlændingeloven og persondataloven, og tilsynet omtalte sagen på sin hjemmeside.

Om tilsynets arbejdsgang i sager, der giver anledning til overvejelser om at udtale beklagelse eller kritik og til eventuelt at foretage indberetning, kan det oplyses, at sådanne sager altid skal nævnes for ledelsen i Datatilsynet.

Dette følger af tilsynets interne retningslinier for sagsbehandlingen og har bl.a. til formål at søge at sikre, at sager med kritik – herunder også graden af kritikken – bliver nøje overvejet.

En del sager giver desuden Datatilsynet anledning til at komme med henstil­linger i anledning af en konstateret manglende iagttagelse af lovens regler.

I forhold til datasikkerhed har tilsynets kompetence til at fremkomme med hen­stillinger særlig støtte i sikkerhedsbekendtgørelsen.

Af sikkerhedsbekendtgø­relsens § 4 fremgår følgende

’Datatilsynet fører tilsyn med overholdelsen af denne bekendtgørelse og kan i den forbindelse komme med henstillinger over for den dataansvar­lige myndighed vedrørende de trufne sikkerhedsforanstaltninger, jf. § 3.’

Henstillinger vil typisk blive givet, hvis en uoverensstemmelse med loven ikke er bragt i orden, inden tilsynets udtalelse afgives.

Et eksempel fra prak­sis er, at manglende uddybende sikkerhedsregler endnu ikke er udformet, når tilsynet afgiver sin afsluttende udtalelse efter en inspektion.

Et andet eksempel er henstillinger om at træffe foranstaltninger til at sikre, at logningskravet i § 19, stk. 1, i sikkerhedsbekendtgørelsen overholdes.

Som et yderligere eksempel på en sag, hvor der blev givet henstillinger, kan nævnes sagen om uvedkommendes adgang til netværk hos Socialministeriet.

I denne sag konstaterede Datatilsynet, at det fremgik af ministeriets redegørel­se, at der ikke havde været fastsat regler for området, og at der ikke – ud over lukning af den eksterne adgang til serveren – var foretaget yderligere foran­staltninger i form af organisatoriske ændringer e.l.

Tilsynet henstillede, at der i overensstemmelse med sikkerhedsbekendtgørelsens § 14 – og i det omfang det ikke allerede var sket – blev fastsat regler i form af en politik eller lignen­de for netværksadgang til Socialministeriets edb-systemer.

Tilsynet henstille­de endvidere, at der blev placeret et organisatorisk ansvar for, at der iværksæt­tes procedurer, som sikrer periodisk kontrol af, at reglerne på området – og de foranstaltninger, der er iværksat som følge af reglerne – er tidssvarende.

I samme sag henstillede Datatilsynet endvidere, at der blev iværksat logning, eller at det omhandlede journalsystem blev taget ud af drift, indtil forholdet var bragt i orden.

4.1.3.

I den foreliggende sag har Datatilsynet ved brev af 9. februar 2005 af­givet en udtalelse til Told- Skattestyrelsen, jf. persondatalovens § 60, stk. 2, hvori Datatilsynet bl.a. udtalte, at ToldSkat Odense havde overtrådt personda­talovens § 41, stk. 3.

Tilsynet fandt dette beklageligt.

Det fremgår endvidere af udtalelsen, at Datatilsynet havde noteret sig, at der havde været tale om en enkeltstående fejl i forbindelse med et printjob, samt at ToldSkats dataleverandør (B) på baggrund af fejlen indførte ekstra stramme kontrolprocedurer ved genoptagelsen af printningen og i øvrigt som konsekvens af fejlen for fremtiden ville indføre krav om ekstra kontrol.

Datatilsynet noterede sig endvidere, at Told- og Skattestyrelsen som konse­kvens af fejlen anmodede PostDanmark om at tilbageholde eventuel post in­deholdende selvangivelser og årsopgørelser, der endnu ikke var omdelt, og, at Told- og Skattestyrelsen havde udsendt en beskrivelse af forløbet til de berør­te samt anmodet om, at eventuelt modtaget fejlagtigt materiale destrueres eller returneres til skatteforvaltningen i kommunen.

Sagen gav således ikke Datatilsynet anledning til at udtale en stærkere kritik end ’beklagelse’ i kombination med en konstatering af, at loven var overtrådt.

Tilsynet finder ikke, at sagen giver anledning til en udtalelse om, at det skete er ’kritisabelt’.

Tilsynet finder heller ikke, at der er tale om en sag af en sådan karakter, at det må give anledning til orientering af eller indberetning til en overordnet myndighed.

Datatilsynet lægger herved vægt på hændelsens karak­ter, jf. neden for under pkt. 4.2., og på, at der var tale om en enkeltstående hændelse.

Den foreliggende sag kunne eventuelt have været offentliggjort på tilsynets hjemmeside eller omtalt i tilsynets årsberetning – bl.a. fordi sagen grundet den berørte personkreds samt tidligere presseomtale eventuelt kunne have en inte­resse for en bredere kreds.

Ved valget af, hvilke sager der skal omtales på hjemmesiden eller i årsberet­ningen, tager tilsynet imidlertid også i betragtning, om sagen kan bidrage til at højne brugernes viden om, hvordan persondataloven skal iagttages.

Tilsynet fokuserer således i høj grad på at offentliggøre de sager, som indeholder en stillingtagen til principielle spørgsmål, f eks. sager, som er behandlet i Data­rådet.

På denne baggrund har tilsynet hverken fundet anledning til at omtale sagen på tilsynets hjemmeside eller i årsberetningen.

Datatilsynet fandt endvidere ikke grundlag for at udtale sig yderligere om behandlingssikkerheden hos ToldSkat eller dennes databehandler, (B), jf. nærmere neden for under punkt 4.2. og 4.3.

4.2.

Svar på spørgsmål nr. 2

Datatilsynets behandling af sager, hvor der er sket brud på persondataloven, tager udgangspunkt i en eventuel klage (som i den foreliggende sag) eller an­det grundlag, der har givet tilsynet anledning til at tage sagen op, suppleret med de oplysninger, der indhentes ved høringer – typisk af den dataansvarli­ge.

Hvorvidt en sag anses for tilstrækkeligt belyst, eller om Datatilsynet skal fore­tage yderligere høringer/stille yderligere spørgsmål, afgøres ud fra en konkret vurdering af de indkomne oplysninger.

Denne vurdering tager udgangspunkt i sagens faktum, men indebærer tillige et vist skøn, der foretages på baggrund af Datatilsynets faglige kompetence og generelle erfaringsgrundlag.

I Datatilsynets vurdering af den foreliggende sag indgik alle de i sagen inde­holdte oplysninger, herunder arten og omfanget af sikkerhedsbristen, Told­Skat’s og (B)’s håndtering af sagen, karakteren af de oplysninger, der (even­tuelt) var kommet til uvedkommendes kendskab, og (A)’s be­mærkninger i sagen.

Datatilsynet har ved vurderingen af, om sagen kunne anses for tilstrækkeligt belyst, desuden baseret sig på tilsynets faglige kompe­tence på it-området.

Ved vurderingen er bl.a. indgået følgende elementer

– Printopgaven for ToldSkat blev udført på det daværende (B) print­center, som var en specialiseret produktionsenhed, der udelukkende udførte store print- og kuverteringsopgaver.

Centret varetog endog meget store printopgaver for bl.a. banker og ToldSkat.

Printcentret blev etableret i 2001.

Forud herfor foregik den tilsvarende produktion i (B) – og tidligere (C)’s – driftscenter.

– (B) er anmeldt til Datatilsynet som edb-servicevirksomhed, jf. per­sondatalovens § 53.

– Datatilsynet var i 2001 på besøg i printcentret, der omfattede en række forskellige produktionslinier.

Ved besøget fik tilsynet bl.a. forevist en produktionslinje med to printere i serie for udførelse af komplicerede printopgaver.

– Ud fra Datatilsynets generelle kendskab til produktioner af denne type og herunder specielt printopgavernes karakter og mængde i (B)’s printcenter, var det tilsynets vurdering, at en sådan produktion ikke la­der sig gennemføre uden særlig opmærksomhed på kvalitetssikrings­procedurer i forbindelse med formularskift, ved start og stop af en produktion og ikke mindst ved papirstop (’paperjam’).

Ved besøget blev Datatilsynet orienteret om en række overordnede sikkerhedsfor­anstaltninger i forbindelse med behandling af personoplysninger på (B)’s printcenter.

– Papirstop (’paperjam’) er ifølge Datatilsynets erfaring en ikke sjæl­dent forekom­mende hændelse i en produktion af denne art.

– Datatilsynet er imidlertid ikke tidligere blevet bekendt med fejl af den omhandlede type, selv om (B) (tidligere (C)) i en lang år­række har varetaget omfattende print- og kuverteringsopgaver med en produktion på mange millioner tryk.

– Datatilsynet vurderede derfor, at der var tale om et sjældent forekom­mende – og enkeltstående – svigt i den visuelle kontrol med printop­gaven.

Datatilsynet fandt endvidere, at det i den aktuelle sag ikke var nødvendigt nøjere at vurdere, hvorvidt den af Toldskat anførte kon­krete opstramning i kontrolproceduren kunne siges at være en udbed­ring af en mangel eller kunne siges at forbedre sikkerheden signifikant i forhold til den sikkerhed, som Datatilsynet allerede ud fra tilsynets erfaringer med ToldSkat/(B) anså som værende særdeles høj.

Sagens faktum sammenholdt med Datatilsynets kendskab til it-mæssige for­hold førte således til, at sagen vurderedes at være tilstrækkeligt belyst, herun­der i forhold til behandlingssikkerheden hos ToldSkat/(B).

Datatilsynets udtalelse til (A) kunne og burde have indeholdt oplysninger om, at tilsynet i forvejen havde kendskab til (B)’s håndtering af printopgaver, og at tilsynets generelle viden herom var en del af baggrunden for, at tilsynet ikke fandt grundlag for at foretage sig yderligere i sagen.

Dette forhold beklages.

4.3.

Svar på spørgsmål nr. 3

Som nævnt ovenfor har Datatilsynet i denne sag afgivet udtalelse til Told­Skattestyrelsen, jf. persondatalovens § 60, stk. 2, ved brev af 9. februar 2005.

Om baggrunden for, at der ikke blev foretaget yderligere undersøgelser, inden udtalelsen blev afgivet, kan følgende oplyses

Det følger af persondatalovens § 41, stk. 3, at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.

Tilsvarende gælder for databehandlere.

Reglerne om sikkerhed er nærmere uddybet i sikkerhedsbekendtgørelsen og i Datatilsynets vejledning nr. 37 af 2. april 2001 (sikkerhedsvejledningen).

Som beskrevet ovenfor har Datatilsynet efter sikkerhedsbekendtgørelsens § 4 kompetence til at fremkomme med henstillinger over for den dataansvarlige myndighed vedrørende de trufne sikkerhedsforanstaltninger.

Da den dataansvarlige havde oplyst, at man allerede havde foretaget en op­stramning af procedurer og indført ekstra kontrol, fandt Datatilsynet i denne sag ikke anledning til at komme med henstillinger over for den dataansvarlige myndighed.

Beslutningen om, hvorvidt Datatilsynet går ind i en nærmere vurdering af en myndigheds sikkerhedsforanstaltninger – og f.eks. stiller yderligere krav til myndighedens procedurer end, hvad den allerede selv har indført som konse­kvens af en sikkerhedsbrist – afhænger i hvert tilfælde af en konkret vurde­ring.

Heri indgår et fagligt skøn, som er baseret på de faktiske oplysninger, der foreligger om en dataansvarligs behandling af personoplysninger, sam­menholdt med Datatilsynets erfaringsgrundlag og it-faglige vurdering.

I en sag – hvor myndighedens initiativer som opfølgning på en sikkerhedsbrist vurderes at være tilstrækkelige – er det tilsynets sædvanlige praksis ikke at stille yderligere krav eller spørgsmål.

Navnlig i lyset af den ressourcemæssige situation er det efter Datatilsynets opfattelse nødvendigt, at spørgsmålet om, hvorvidt der skal iværksættes eller videreføres en undersøgelse af en dataansvarlig myndigheds behandlingssikkerhed, afgøres på baggrund af en konkret vurdering som beskrevet.

4.4.

Bemærkninger i anledning af det af (A) anførte

Det er korrekt, at sagen som anført af (A) ikke har givet Data­tilsynet anledning til at indhente de aftaler og instruktioner, der var indgået mellem ToldSkat og (B) på tidspunktet for hændelsen eller efterfølgende.

Om tilsynets praksis i forhold til indhentelse af denne type dokumentation kan følgende oplyses

Reglerne om krav til dokumentation for opfyldelse af lovens sikkerhedskrav findes bl.a. i sikkerhedsbekendtgørelsens § 5, hvorefter den dataansvarlige skal have såkaldte uddybende sikkerhedsregler.

Hertil kommer, at det følger af lovens § 42, stk. 1, at når en dataansvarlig overlader en behandling af oplysninger til en databehandler, skal den dataan­svarlige sikre sig, at databehandleren kan træffe de i lovens § 41, stk. 3-5, nævnte tekniske og organisatoriske sikkerhedsforanstaltninger, og påse, at dette sker.

Efter § 42, stk. 2, skal gennemførelse af en behandling ved en databehandler ske i henhold til en skriftlig aftale parterne imellem.

Af aftalen skal det frem­gå, at databehandleren alene handler efter instruks fra den dataansvarlige, og at reglerne i § 41, stk. 3-5, ligeledes gælder for behandlingen ved databehand­leren.

Det er ikke tilsynets praksis at anmode om at modtage de uddybende sikker­hedsregler eller de anvendte databehandleraftaler i forbindelse med behand­lingen af en sag om en myndigheds overholdelse af persondataloven.

Om uddybende sikkerhedsregler kan det nærmere oplyses, at det ikke er et krav, at myndighedernes uddybende sikkerhedsregler indsendes til Datatilsy­net til godken­delse.

I forbindelse med inspektioner anmoder tilsynet imidlertid ofte om at få ind­sendt de uddybende sikkerhedsregler.

Her foretager tilsynet som regel en gen­nemgang af disse og påpeger eventuelle mangler under inspektionen, hvor de uddybende regler ofte indgår som en del af grundlaget for drøftelserne på inspektionen.

For så vidt angår databehandleraftaler kræves disse normalt ikke indsendt i forbindelse med inspektioner og ej heller i praksis i andre sagstyper.

Det fore­kommer, at dataansvarlige konsulterer tilsynet om indholdet af databehandler­aftaler, som eventuelt indsendes til tilsynet.

Datatilsynet vil i sådanne sager være behjælpelig med råd og vejledning.

Ansvaret for indholdet af aftalen ligger imidlertid hos den dataansvarlige, og tilsynets rolle er heller ikke på dette punkt at give en godkendelse.

Som tilsynsmyndighed vil Datatilsynet selvsagt kunne kræve at se databe­handleraftaler og eventuelt få sådanne indsendt.

Dette vil efter tilsynets opfat­telse f.eks. være relevant, hvis tilsynet foretager en inspektion med særlig fokus på, hvordan den dataansvarlige sikrer sig, at behandlingen af personop­lysninger ved databehandlere sker i overensstemmelse med persondatalovens sikkerhedskrav.”

Den 5. oktober 2006 sendte jeg A en kopi af Datatilsynets udtalelse af 3. oktober 2006.

Jeg bad ham samtidig sende mig sine eventuelle bemærkninger til udtalelsen inden 4 uger.

I brev af 28. oktober 2006 kommenterede A Datatilsynets udtalelse.

I brevet skrev han bl.a.

”Datatilsynet anfører at spørgsmålet om, hvorvidt en sag anses for tilstrækkelig belyst, afgøres ud fra en konkret vurdering med udgangspunkt i sagens faktum, samt et vist skøn foretaget på baggrund af tilsynets faglige kompetence og generelle erfaringsgrundlag.

Begrundelsen for ikke at foretage en nærmere vurdering af de fra Told- og Skattestyrelsen fremkomne oplysninger om indførelse af skærpede sikkerhedsrutiner, er ifølge Datatilsynet baseret på at der var tale om en specialiseret produktionsenhed, at (B) er anmeldt til Datatilsynet som en edb-servicevirksomhed, at Datatilsynet i 2001 havde aflagt besøg i printcentret, at den pågældende produktion kræver særlig opmærksomhed ikke mindst ved papirstop og at tilsynet ved besøget var blevet orienteret om en række overordnede sikkerhedsforanstaltninger, at papirstop ifølge tilsynets opfattelse er en ikke sjældent forekommende hændelse i en produktion af den pågældende art, at tilsynet ikke tidligere er blevet bekendt med en fejl af omhandlede type samt at tilsynet derfor vurderede, at der var tale om et sjældent forekommende – og enkeltstående – svigt i den visuelle kontrol med printopgaven.

Det er min opfattelse at næsten alle de påberåbte forhold netop taler for at Datatilsynet burde have foretaget en nærmere kontrol.

Datatilsynet må gennem oplysningerne om, at tilsynet i 2001 havde aflagt besøg hos (B), i hvert fald på dette tidspunkt, antages at have anset, at den pågældende produktion kunne indebære faremomenter i relation til persondatasikkerheden.

Netop på denne baggrund burde tilsynet i forbindelse med et alvorligt svigt som det foreliggende, have kontrolleret rutinerne, og ikke mindst de nye rutiner som Told- og Skattestyrelsen oplyste efterfølgende var blevet indført.

Især på baggrund af Datatilsynets egne oplysninger om, at tilsynet anser, at den pågældende produktion kræver særlig opmærksomhed ikke mindst ved papirstop, må tilsynets bemærkninger om, at der ifølge tilsynet var tale om et enkeltstående svigt i den visuelle kontrol, forekomme, i det mindste som værende uholdbar.”

Den 13. november 2006 orienterede jeg A om at jeg samme dag havde sendt en kopi af hans brev af 28. oktober 2006 til Datatilsynet med anmodning om at modtage tilsynets eventuelle bemærkninger til det han havde anført i brevet.

I brev af 11. december 2006 kommenterede Datatilsynet A’s brev af 28. oktober 2006.

Datatilsynet skrev bl.a. følgende

”(A) kommer med bemærkninger om, hvorvidt Datatilsynet burde anmode om at modtage uddybende sikkerhedsregler og databehandleraftaler i en sag som den foreliggende.

Det er bl.a. anført, at når bindende tilrettevisninger ikke kan gives til offentlige myndigheder, må kræfterne koncentreres om forebyggende indsats på et konkret grundlag.

Datatilsynet skal hertil bemærke, at også på dette punkt må tilsynet prioritere sit ressourceforbrug.

Datatilsynet skal i den forbindelse understrege, at ansvaret for at overholde persondataloven påhviler de dataansvarlige myndigheder”.

Den 14. december 2006 sendte jeg A en kopi af Datatilsynets brev af 11. december 2006.

Jeg meddelte ham samtidig at jeg nu ville søge at behandle sagen på det foreliggende grundlag.

Ombudsmandens udtalelse

”1.

Afgrænsningen af min undersøgelse

Den 9. februar 2005 gav Datatilsynet Dem fuldt medhold i Deres klage af 29. marts 2004.

Datatilsynet fandt at ToldSkat, Odense, i forbindelse med udsendelsen af selvangivelser og årsopgørelser for 2003 havde overtrådt § 41, stk. 3, i persondataloven (lov nr. 429 af 31. maj 2000 om behandling af personoplysninger).

Datatilsynet mente at dette var beklageligt.

Datatilsynet meddelte Dem samtidig at tilsynet ikke mente at der var grundlag for at foretage sig yderligere i sagen.

Jeg har ikke forstået Deres henvendelse af 20. juni 2005 som en klage over den del af Datatilsynets afgørelse hvor tilsynet tog stilling til om ToldSkat, Odense, overtrådte persondatalovens regler om behandlingssikkerhed i forbindelse med udsendelsen af selvangivelser og årsopgørelse for 2003.

Jeg har derimod forstået Deres henvendelse som en klage over Datatilsynets beslutning om ikke at foretage sig yderligere over for Told- og Skattestyrelsen og navnlig grundlaget for denne beslutning som jeg forstår De mener blev truffet før sagens faktiske omstændigheder var tilstrækkeligt belyst.

Jeg har endvidere forstået Deres henvendelse som en klage over Datatilsynets sagsbehandlingstid.

2.

Datatilsynets beslutning om ikke at foretage sig yderligere over for Told- og Skattestyrelsen

Datatilsynet er en offentlig myndighed som fører tilsyn med at andre offentlige myndigheder, virksomheder, organisationer og andre private dataansvarlige overholder persondataloven og de regler der er udstedt i medfør af loven.

Datatilsynet er med andre ord en tilsynsmyndighed (og ikke en rekursmyndighed).

At Datatilsynet er en tilsynsmyndighed, fremgår udtrykkeligt af flere af persondatalovens bestemmelser og af lovens forarbejder.

Jeg henviser til bemærkningerne til forslag til lov om behandling af personoplysninger, Folketingstidende 1999-2000, tillæg A, s. 4036 ff.

Jeg henviser endvidere til s. 349 f og s. 359 i betænkning nr. 1345/1997 om behandling af personoplysninger.

Datatilsynets organisation og kompetence er nærmere beskrevet i persondatalovens kapitel 16.

Af persondatalovens § 58, stk. 1, fremgår det at Datatilsynet af egen drift eller efter klage fra en registreret påser (fører tilsyn med) at behandling af personoplysninger finder sted i overensstemmelse med persondataloven og regler udstedt i medfør af persondataloven.

Det forhold at Datatilsynets opgave er at føre tilsyn med overholdelsen af persondataloven og regler udstedt i medfør af persondataloven, indebærer at det tilsyn som Datatilsynet fører, har karakter af et legalitetstilsyn.

Det forhold at Datatilsynet ifølge persondataloven af egen drift eller efter klage fra en registreret fører tilsyn med at behandling af personoplysninger finder sted i overensstemmelse med persondataloven og regler udstedt i medfør af persondataloven, indebærer at alle kan klage til Datatilsynet – også selv om de ikke er registrerede og individuelt berørte af det forhold der klages over.

Datatilsynet er dog kun forpligtet til at realitetsbehandle en klage hvis den kommer fra en registreret som er direkte berørt af det forhold der klages over.

Jeg henviser i den anledning til det almindelige forvaltningsretlige partsbegreb ifølge hvilket det kun er personer med en væsentlig individuel interesse i sagens udfald som anses for parter.

Personer der anmelder et forhold til en tilsynsmyndighed (eller f.eks. til politiet), vil ikke – alene i kraft af anmeldelsen – få status af part i sagen.

Partsbegrebet er nærmere beskrevet i Forvaltningsret, 2. udgave (2002), af Hans Gammeltoft-Hansen mfl., s. 61 ff, og i Forvaltningsloven med kommentarer, 3. udgave (2003), af John Vogter, s. 135 ff.

Jeg henviser endvidere til sagen gengivet i Folketingets Ombudsmands beretning for 1994, s. 143*, og navnlig s. 148 f hvor jeg udtalte mig om spørgsmålet om hvem der i forvaltningslovens forstand kunne anses for parter i en sag hos de kommunale tilsynsmyndigheder.

Modtager Datatilsynet en klage/anmeldelse fra en person der ikke er registreret og direkte berørt af det forhold der klages over, kan tilsynet (af egen drift) tage det/de spørgsmål der klages over, op som en (generel) tilsynssag hvis tilsynet finder anledning til det.

Der er næppe tvivl om at der vil være tilfælde hvor Datatilsynet vil være forpligtet til at tage en sag op af egen drift på baggrund af en klage/anmeldelse fra en person der ikke er registreret og direkte berørt af det forhold der klages over.

Det er imidlertid næppe muligt præcist at angive hvornår Datatilsynet vil være forpligtet til det.

Mens det på den ene side utvivlsomt er sådan at Datatilsynet ikke er forpligtet til at behandle alle klager/anmeldelser fra personer som ikke er registrerede og direkte berørte, og som påstår at persondataloven bliver overtrådt, så vil Datatilsynet på den anden side formentlig være forpligtet til at tage en sag op af egen drift hvis der rejses en konkret begrundet mistanke om at der er sket en lovovertrædelse af nogen betydning.

Jeg henviser i den anledning til sagen gengivet i Folketingets Ombudsmands beretning for 1990, s. 83 f*, hvor jeg gav udtryk for en tilsvarende opfattelse i forhold til spørgsmålet om Monopoltilsynets pligt til at behandle klager.

Datatilsynets kompetence i forhold til dataansvarlige fremgår af persondatalovens § 59, stk. 1-3 (private dataansvarlige), og § 60 (offentlige myndigheder).

Persondatalovens § 60 har følgende ordlyd

’§ 60.

Datatilsynet træffer over for vedkommende myndighed afgørelse i sager vedrørende § 7, stk. 7, § 9, stk. 3, § 10, stk. 3, § 13, stk. 1, § 27, stk. 4, §§ 28-31, § 32, stk. 1, 2 og 4, §§ 33-37, § 39 samt § 58, stk. 2.

Stk. 2.

I andre tilfælde afgiver tilsynet udtalelser over for den dataansvarlige myndighed.’

Persondatalovens regler om behandlingssikkerhed, dvs. de regler der i Deres tilfælde blev overtrådt, findes i lovens kapitel 11 (§§ 41-42).

Reglerne om behandlingssikkerhed hører dermed til den gruppe af bestemmelser i persondataloven hvis overholdelse Datatilsynet i henhold til persondatalovens § 60, stk. 2, afgiver udtalelser om.

Justitsministeren har med hjemmel i persondatalovens § 41, stk. 5, udstedt bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger som behandles for den offentlige forvaltning.

Ifølge sikkerhedsbekendtgørelsens § 4 fører Datatilsynet tilsyn med overholdelsen af reglerne i bekendtgørelsen og kan i den forbindelse komme med henstillinger over for den dataansvarlige myndighed om de sikkerhedsforanstaltninger som myndigheden har truffet i medfør af bekendtgørelsens § 3.

Datatilsynet har i sikkerhedsvejledningen (vejledning nr. 37 af 2. april 2001) nærmere beskrevet og uddybet de tekniske og organisatoriske sikkerhedsforanstaltninger som skal træffes i den offentlige forvaltning af hensyn til behandlingssikkerheden.

Datatilsynets besvarelse af Deres klage af 29. marts 2004 indeholdt i realiteten et samlet svar på to forskellige spørgsmål som hver især udgjorde én sag.

For det første tog Datatilsynet stilling til om ToldSkat, Odense, i forhold til Dem (som registreret og direkte berørt) havde overtrådt persondataloven i forbindelse med udsendelsen af selvangivelser og årsopgørelser for 2003 i marts 2004.

For det andet tog Datatilsynet stilling til om der var grundlag for at foretage sig yderligere over for Told- og Skattestyrelsen i anledning af hændelsen i marts 2004.

Det vil sige at Datatilsynet vurderede om tilsynet – som en generel tilsynssag – skulle tage spørgsmålet om Told- og Skattestyrelsens behandlingssikkerhed op af egen drift.

Mens De utvivlsomt var part i førstnævnte sag, mener jeg ikke at De var part i sidstnævnte sag.

Jeg henviser til det jeg har anført ovenfor om det almindelige forvaltningsretlige partsbegreb.

Uanset at De i Deres klage til Datatilsynet gav udtryk for at De var interesseret i at vide hvordan det kunne sikres at tilsvarende fejl ikke opstod i fremtiden, så mener jeg ikke at Deres interesse i udfaldet af denne tilsynssag var af en sådan art og styrke (væsentlig individuel interesse) at De måtte anses for part i den generelle tilsynssag.

Datatilsynet har i sin udtalelse af 3. oktober 2006 nærmere beskrevet sin praksis og de forhold som tilsynet lægger vægt på når tilsynet vurderer om der skal foretages yderligere over for en dataansvarlig i en sag hvor der er konstateret en overtrædelse af persondataloven.

Jeg henviser til Datatilsynets udtalelse som er gengivet ovenfor (...).

Af udtalelsen fremgår det bl.a. at beslutningen om at iværksætte – eller ikke iværksætte – en nærmere undersøgelse/vurdering af en myndigheds sikkerhedsforanstaltninger for at tage stilling til om der f.eks. er behov for at stille yderligere krav til myndighedens procedurer end dem der allerede er indført som konsekvens af en sikkerhedsbrist, afhænger af en konkret vurdering i hvert enkelt tilfælde.

Det fremgår endvidere at der i denne konkrete vurdering vil indgå et fagligt skøn baseret på dels de faktiske oplysninger som foreligger om den dataansvarliges behandling af personoplysninger, dels på Datatilsynets erfaringsgrundlag og it-faglige vurdering.

Datatilsynet har desuden oplyst at det er tilsynets sædvanlige praksis ikke at stille yderligere krav eller spørgsmål i de sager hvor de initiativer som myndigheden har iværksat som opfølgning på en sikkerhedsbrist, vurderes at være tilstrækkelige.

I sin udtalelse af 9. februar 2005 begrundede Datatilsynet (bl.a.) sin beslutning om ikke at foretage sig yderligere i forhold til Told- og Skattestyrelsen med at der havde været tale om en enkeltstående fejl, at (B) havde indført ekstra stramme kontrolprocedurer da printningen blev genoptaget, og at (B) for fremtiden ville indføre krav om ekstra kontrol.

I sin udtalelse af 3. oktober 2006 oplyste Datatilsynet endvidere at samtlige oplysninger i sagen, herunder oplysningerne om arten og omfanget af sikkerhedsbristen, Told­Skats og (B)’s håndtering af sagen, karakteren af de oplysninger der eventuelt var kommet til uvedkommendes kendskab, og Deres bemærkninger, indgik i Datatilsynets vurdering af sagen.

Dette forstår jeg således at alle de nævnte oplysninger også indgik i tilsynets vurdering af om der skulle foretages yderligere over for Told- og Skattestyrelsen.

Datatilsynet har endvidere oplyst at tilsynet – ved vurderingen af om sagen kunne anses for tilstrækkeligt oplyst – også inddrog sin faglige kompe­tence på it-området, og at det bl.a. indgik i tilsynets vurdering af sagen at printopgaven blev udført på det daværende (B)-print­center, at Datatilsynet i 2001 havde været på besøg i printcentret, at Datatilsynet under dette besøg havde fået vist en produktionslinje med to printere i serie som kunne udføre komplicerede printopgaver, at Datatilsynet under besøget blev orienteret om en række overordnede sikkerhedsfor­anstaltninger i forbindelse med (B)’s behandling af personoplysninger, at det var Datatilsynets vurdering at en produktion som (B)’s ikke kunne gennemføres uden særlig opmærksomhed på kvalitetssikrings­procedurer i forbindelse med formularskift, ved start og stop af en produktion og ikke mindst ved papirstop (’paperjam’), at Datatilsynet – selvom papirstop ifølge tilsynets erfaring er en ikke sjæl­dent forekommende hændelse i forbindelse med denne type produktion, og selvom (B) i en lang år­række havde varetaget omfattende print- og kuverteringsopgaver – ikke var bekendt med tidligere fejl af tilsvarende type, og at Datatilsynet derfor vurderede at der var tale om et sjældent forekom­mende – og enkeltstående – svigt i den visuelle kontrol med printop­gaven.

Det som Datatilsynet har anført om sin generelle praksis, giver mig ikke umiddelbart anledning til bemærkninger.

Jeg henviser i den anledning til den ovenfor omtalte sag gengivet i Folketingets Ombudsmands beretning for 1990, s. 83 f*, hvor jeg (også) gav udtryk for den opfattelse at Monopoltilsynet som minimum og på baggrund af de foreliggende oplysninger skulle foretage en vurdering af om der var begrundet mistanke om en lovovertrædelse af en vis (større eller principiel) betydning.

For så vidt angår den foreliggende sag, bemærker jeg at jeg må lægge til grund at Datatilsynet vurderede om der skulle foretages yderligere over for Told- og Skattestyrelsen.

Jeg må også lægge til grund at Datatilsynet foretog denne vurdering på baggrund af alle de i sagen foreliggende oplysninger.

Datatilsynets vurdering af om tilsynet havde tilstrækkeligt med oplysninger til at kunne tage stilling til om der skulle foretages yderligere over for Told- og Skattestyrelsen, beror i vidt om­fang på vur­deringer og afvejninger af en række forskelli­ge hensyn og om­stændigheder.

I denne vurdering indgik både Datatilsynets generelle it-faglige viden, forskellige fagkyndige vurderinger og tilsynets forudgående kendskab til (B) som ikke uvæsentlige elementer.

Som ombudsmand har jeg ikke særlige forudsætninger for at afveje disse forskellige hensyn og omstændig­heder på en anden og bedre måde end Datatilsynet der beskæftiger sig med dette sagsområde i det dag­lige.

Normalt kan jeg derfor ikke gå ind i en nærmere efterprøvelse af sådanne vurderinger og afvejninger.

Jeg vil derfor kun kunne kritisere Datatilsynets vurderinger og afvejninger, hvis der er tale om ganske særlige omstændigheder.

Det kunne f.eks. være tilfældet hvis den foreliggende sag i forhold til andre lignende sager havde været undergivet en forskelsbehandling der ikke var sagligt begrundet.

Jeg har imidlertid ikke under min gennemgang af tilsynssagen fundet grundlag for at antage at det skulle være tilfældet.

I betragtning af dette mener jeg ikke jeg har grundlag for at kritisere Datatilsynets vurdering af at tilsynssagen var tilstrækkeligt oplyst til at tilsynet kunne tage stilling til om der skulle fortages yderligere over for Told- og Skattestyrelsen.

Med andre ord mener jeg ikke at jeg kan kritisere grundlaget for Datatilsynets beslutning om ikke at foretage sig yderligere.

Uanset dette (og i forlængelse af det jeg anførte i sagen gengivet i Folketingets Ombudsmands beretning for 1990, s. 83 f) giver den foreliggende sag mig dog anledning til at bemærke at der efter min opfattelse vil kunne være – men formentlig relativt sjældent er – fuldstændigt sammenfald mellem de oplysninger der er nødvendige for at kunne vurdere om persondataloven er overtrådt, og de oplysninger der er nødvendige for kunne vurdere om der skal foretages yderligere i forhold til den dataansvarlige (med henblik på at sikre at myndigheden i fremtiden overholder persondatalovens regler om behandlingssikkerhed mv.).

I relation til det førstnævnte vurderingstema vil det navnlig være relevant at tilvejebringe oplysninger om det faktiske hændelsesforløb.

I relation til det sidstnævnte vurderingstema vil det derimod navnlig være relevant at tilvejebringe oplysninger om den dataansvarliges interne retningslinjer, procedurer mv.

I de tilfælde hvor Datatilsynet konstaterer at der er sket en overtrædelse af persondataloven og/eller de regler der er udstedt i medfør af persondataloven, vil Datatilsynet med andre ord ikke altid automatisk kunne gå ud fra at tilsynet alene på baggrund af de foreliggende oplysninger (om det konkrete hændelsesforløb) vil kunne vurdere om der skal foretages yderligere over for den dataansvarlige (med henblik på at sikre at myndigheden i fremtiden overholder persondatalovens regler om behandlingssikkerhed mv.).

I en del tilfælde vil Datatilsynet således formentlig være nødt til at bede om yderligere oplysninger fra den dataansvarlige for at kunne foretage denne vurdering.

Som anført ovenfor mener jeg imidlertid ikke at jeg i den foreliggende sag har grundlag for at kritisere Datatilsynets vurdering af at tilsynet havde tilstrækkeligt med oplysninger til at kunne tage stilling til om der skulle foretages yderligere over for Told- og Skattestyrelsen.

Jeg mener derfor heller ikke at jeg har grundlag for at kritisere Datatilsynets beslutning om ikke at foretage sig yderligere over for Told- og Skattestyrelsen i anledning af den hændelse i marts 2004 som resulterede i en overtrædelse af persondatalovens regler om behandlingssikkerhed.

Afslutningsvis bemærkes at Datatilsynet i sin udtalelse af 3. oktober 2006 skrev at tilsynets udtalelse (af 9. februar 2005) kunne og burde have indeholdt oplysninger om at tilsynet i forvejen havde kendskab til (B)’s håndtering af printopgaver, og at tilsynets generelle viden herom var en del af baggrunden for at tilsynet ikke fandt grundlag for at foretage sig yderligere i tilsynssagen.

Dette forhold beklagede Datatilsynet.

Jeg har noteret mig Datatilsynets beklagelse.

3.

Datatilsynets sagsbehandlingstid

Datatilsynet har i sit brev af 21. december 2005 til mig beklaget at tilsynet ikke i sin udtalelse af 9. februar 2005 over for Dem beklagede den samlede sagsbehandlingstid, som havde været over gennemsnittet for tilsynets behandling af klagesager.

Jeg kan tilslutte mig Datatilsynets beklagelse af sagsbehandlingstidens længde og af at tilsynet ikke i sin udtalelse af 9. februar 2005 over for Dem beklagede at sagsbehandlingen havde trukket ud.

Jeg har gjort Datatilsynet bekendt med min opfattelse og foretager mig herefter ikke mere i sagen.”

NOTER: (*) FOB 1990, s. 83 , og FOB 1994, s. 143 .