Databeskyttelsesrådgiverens årsrapport 2025

Indstilling

Staben for Politik, Strategi og Digitalisering indstiller,
at Databeskyttelsesrådgiverens årsrapport 2025 tages til efterretning.

Beslutning fra Økonomiudvalget, 17. juni 2026, pkt. 140:
Indstilles taget til efterretning.

Sagsfremstilling

Databeskyttelsesrådgiveren for Rødovre Kommune er delt mellem Solrød, Ishøj, Glostrup og
Herlev Kommune gennem samarbejdet i Den Storkøbenhavnske Digitaliseringsforening (DSD).
Databeskyttelsesrådgiverens rolle er at underrette, informere og rådgive kommunen om regler
og retningslinjer for at sikre overholdelse af kravene til databeskyttelse samt at overvåge
efterlevelsen af disse krav. Årsrapporten er en opsamling på dette arbejde.
Årsrapporten for 2025 bygger primært på den årlige GDPR-modenhedsmåling, som i 2025 blev
gennemført i november og omfattede 37 modenhedskriterier. Målingen er foretaget som
selvevaluering blandt udpegede respondenter i kommunen og giver et samlet billede af
kommunens niveau for overholdelse af og forudsætninger for efterlevelse af
databeskyttelsesreglerne. Set i relation til 2024 viser rapporten et mindre fald fra et samlet
modenhedsniveau på 4,0 til 3,9. Kommunen bør stræbe efter modenhedsniveau 3 eller højere.
Skalaen går fra 1 til 5, hvor scorer under 3 kan betyde manglende lovmedholdelighed. Ved et
niveau på 5 udføres der årligt tilsyn, kontrol og forbedringer, hvilket er forventelig i nogle
tilfælde og ikke proportionelt med opgaven i andre tilfælde. Et gennemsnit på 4 har været

tilstræbt i flere år og er udtryk for et godt stabilt niveau.
Databeskyttelsesrådgiveren viderefører i årsrapporten bemærkningen fra 2024 om manglende
konsekvensanalyser. Det fremhæves, at kommunen fortsat bør prioritere at identificere og
gennemføre konsekvensanalyser i overensstemmelse med GDPR, særligt for behandlinger og
systemer med høj iboende risiko for borgerne. Databeskyttelsesrådgiveren understreger, at der
er tale om en opgave, som ikke kan fraviges. Det skal understreges, at der bliver produceret
konsekvensanalyser i Rødovre Kommune, og at dette arbejde er prioriteret og systematisk
igangsat i samarbejde med Den Storkøbenhavnske Digitaliseringsforening (DSD) med henblik
på af imødekomme databeskyttelsesrådgiverens bemærkninger.
Derudover indeholder rapporten i år en ny bemærkning om, at Rødovre Kommune ikke har en
formel og nedskrevet proces for at teste effektiviteten af sikkerhedsforanstaltninger.
Databeskyttelsesrådgiveren anbefaler derfor, at der etableres en proces for løbende tests af
sikkerhedsforanstaltningernes effektivitet, herunder hvordan eventuelle afvigelser identificeres,
prioriteres og afhjælpes. Det fremgår, at sådanne tests med fordel kan prioriteres ud fra
risikoen for de registrerede og med afsæt i kommunens risikovurderinger og eventuelle
konsekvensanalyser. Test af effektiviteten af sikkerhedsforanstaltninger, herunder
formuleringen af en procedure for, hvordan vi vil teste, er planlagt og der vil blive arbejdet med
i Q3 og Q4 2026 i forbindelse med et allerede igangværende projekt om at sikre fuld
implementering af NIS2-loven. Således imødekommes Databeskyttelsesrådgiverens
bemærkninger.
Endelig indeholder rapporten en anbefaling om at etablere en dokumenteret proces for
regelmæssig test af beredskabsplanens effektivitet. Databeskyttelsesrådgiveren vurderer, at
dette ikke nødvendigvis har direkte betydning for overholdelsen af GDPR, men at det har
væsentlig betydning for kommunens samlede sikkerhedsniveau og evne til genetablering af
drift ved nedbrud eller andre driftsforstyrrelser.
Der er fra forvaltningens side opmærksomhed på at styrke arbejdet med beredskab (herunder
test og øvelser) samlet set i kommunen. Der henvises her til sag om ”Status på
beredskabsområdet og krav til kommunens beredskabskapacitet”, Økonomiudvalget, 17. juni
Rapporten indeholder desuden nøgletal for 2025. Det fremgår blandt andet, at der i 2025 har
været 9 anmodninger om indsigt i egne personoplysninger, 35 registrerede brud på
persondatasikkerheden, hvoraf 19 er anmeldt til Datatilsynet og 18 har medført underretning af
de berørte personer. Der har været anskaffet 13 nye it-løsninger til behandling af
personoplysninger, og databeskyttelsesrådgiveren har været inddraget i 12 af disse. Der er
desuden gennemført 12 risikovurderinger, 12 tærskelvurderinger og 4 konsekvensanalyser i
Det er administrationens vurdering, at årsrapporten giver et relevant billede af status på
kommunens arbejde med databeskyttelse og peger på konkrete områder, som fortsat bør
prioriteres i det videre arbejde, og hvor der allerede er igangsat tiltag for at sikre opfølgning og
efterlevelse.

Lov- og plangrundlag
Databeskyttelsesforordningen 2016/679.
Persondataloven 2018/502.

Økonomiske konsekvenser

Økonomi og personaleressourcer i relation til opfølgning på Databeskyttelsesrådgiverens
årsrapport afholdes inden for eksisterende budget.

Tidsplan
Årsrapporten fra Databeskyttelsesrådgiveren forelægges Kommunalbestyrelsen årligt. Næste
årsrapport for 2026 forventes forelagt Kommunalbestyrelsen i april-maj 2027.

Beslutning

Taget til efterretning.