Databeskyttelsesrådgiverens årsberetning for 2025

Indstilling

Direktøren for Arbejdsmarked og Borgerservice indstiller, at Organisations- og
Beredskabsudvalget over for Kommunalbestyrelsen anbefaler, at

orienteringen tages til efterretning.

Sagsfremstilling

Haderslev Kommune har modtaget årsberetningen fra organisationens databeskyttelsesrådgiver (DPO) hos advokatvirksomheden Bech-Bruun.
I årsberetningen har DPO’en fokus på Haderslev Kommunes:
opfølgende tiltag på baggrund af sidste års årsberetning
anvendelse af kunstig intelligens (AI)
implementering og brug af velfærdsteknologi

De overordnede konklusioner fra årsberetningen er, at kommunen følger op på den foregående
årsberetning, der omhandlede adgangskontrol og -begrænsninger samt kommunens
håndtering af indsigtsanmodninger. Det bemærkes, at kommunens konkrete implementering
endnu udestår, men at den indgår i puljen af opgaver inden for informationssikkerhedsarbejdet, som kommunen skal prioritere.
Årsberetningen viser, at kommunen generelt og på et tilfredsstillende niveau er opmærksom på
de databeskyttelsesretlige problemstillinger, der kan opstå, når kommunen bruger henholdsvis
AI-systemer og velfærdsteknologi til behandling af personoplysninger.
DPO’en anbefaler følgende i relation til anvendelse af kunstig intelligens (citat):

At kommunen sikrer, at alle medarbejdere er blevet oplyst om, at deres eventuelle brug
af offentligt tilgængelige AI-tjenester, fx ChatGPT, i forbindelse med arbejdsopgaver
forudsætter, at der på ingen måde må anvendes personoplysninger i disse tjenester.
At kommunen sikrer en robust procedure for vurdering af databeskyttelsesretlige forhold,
før kommunen tager det pågældende AI-system i brug, herunder stillingtagen til risiko
for, at der utilsigtet (i strid med Kommunens retningslinjer) kan ske behandling af
personoplysninger i en AI-løsning, fx fordi den betjenes i et chat-lignende interface, hvor
der uhindret kan indtastes eller indlæses personoplysninger.
At kommunen sikrer sig, at borgerne bliver orienteret om den konkrete brug af AI til
behandling af personoplysninger, fx ved fremsendelse af en supplerende
oplysningsskrivelse til borgeren sammen med en mødeindkaldelse.
At kommunen er særligt opmærksom på, at generative AI-systemer risikerer at påvirke
medarbejdernes faglige vurderinger, hvorfor det generelt er afgørende, at
medarbejderne bliver undervist i udøvelse af kritisk stillingtagen til sådanne AIsystemers output.
At kommunen fører løbende kontrol med medarbejdernes anvendelse af AI-systemer
med henblik på at sikre, at risikovurderinger og eventuelle konsekvensanalyser samt
retningslinjer, undervisningsmateriale og awareness-tiltag er tilstrækkeligt opdaterede.

DPO’en anbefaler følgende i relation til kommunens brug af velfærdsteknologi, der indebærer
behandling af personoplysninger (citat):

At kommunen sikrer en robust procedure for vurdering af databeskyttelsesretlige forhold,
før kommunen tager velfærdsteknologi i brug, der indebærer behandling af
personoplysninger, herunder at der bliver udarbejdet konsekvensanalyse, hvis
kriterierne herfor er opfyldt.
At det i den forbindelse skal sikres, at der sker fastlæggelse af
behandlingsgrundlaget/behandlingsgrundlagene for behandling af personoplysninger,
herunder med fornøden henvisning til særlovgivningen.
At det i den forbindelse skal sikres, at den databeskyttelsesretlige oplysningspligt bliver
efterlevet overfor såvel medarbejdere som borgere.

DPO’en inddeler sine konkrete bemærkninger i tre niveauer, baseret på den potentielle
databeskyttelsesretlige konsekvens for Haderslev Kommune. To af bemærkningerne i
årsberetningen er på højeste niveau og indebærer derfor en høj risiko for bøde, påbud og/eller
offentliggørelse på Datatilsynets hjemmeside i tilfælde af tilsyn på området. Disse
bemærkninger relaterer sig til hhv. Haderslev Kommunes manglende kontrol med brugen af AIsystemer, herunder vurderingen af deres lovlighed, samt det specifikke behandlingsgrundlag
for behandling af personoplysninger efter artikel 9 i et af de tre AI-systemer kommunen har
udvalgt.

Styregruppen for Digital Fremtid har behandlet rapporten, med henblik på at imødekomme
bemærkningerne fra DPO’en, ny lovgivning som f.eks. NIS2 og resultaterne fra KL Baseline.
Behandlingen har medført, at de eksisterende indsatsområder fastholdes, med prioritering af
hurtigst muligt at imødekomme bemærkningerne på højeste niveau i DPO’ens årsberetning.
Haderslev Kommunes Databeskyttelsesrådgiver gennemgår rapporten på mødet.
Databeskyttelsesrådgiverens årsberetning er vedlagt i Bilag 1.

Procedure
Organisations- og Beredskabsudvalget 2. juni 2026
Kommunalbestyrelsen 23. juni 2026

Behandling i Organisations- og Beredskabsudvalget 2. juni 2026

Taget til efterretning

Beslutning

Godkendt.