ØU - Databeskyttelsesrådgiverens årsrapport 2025

Indstilling

Sagen bliver behandlet i Økonomiudvalget og Kommunalbestyrelsen.
Center for Ejendomme, Projekter og IT indstiller,

at rapporten bliver taget til efterretning

Sagsfremstilling

Årsrapporten handler om Vallensbæk Kommunes arbejde med beskyttelse af persondata i
forbindelse med EU’s forordning om databeskyttelse (GDPR). GDPR står for General Data
Protection Regulation.
Det er en del af databeskyttelsesrådgiverens (DPO’ens) opgaver at afrapportere til
kommunalbestyrelsen. DPO’en er uafhængig, og Vallensbæk Kommune indgik i 2022 et
samarbejde med Den Storkøbenhavnske Digitaliseringsforening (DSD). Det betyder, at 11
kommuner har en fælles DPO-funktion. Det er DPO-funktionen, der har udarbejdet rapporten
om Vallensbæk Kommune.
Rapporten dækker 2025, og er blevet til på baggrund af tilsyn, statistik, modenhedsmåling og
nøgletal, som kommunen har indberettet til DPO-funktionen.
Opmærksomhedspunkter i rapporten
I årsrapporten er der tre områder, hvor DPO’en har bemærkninger eller anbefalinger og er
kommet med forslag til forbedringer.
De tre områder og forvaltningens bemærkninger, om hvordan man vil arbejde videre, kan man
se herunder. Forvaltningens bemærkninger er i kursiv:

1. DPO-bemærkning: Manglende konsekvensanalyser. (Baseret på modenhedstilsyn og
nøgletal.)

Man foretager konsekvensanalyser, hvis en risikovurdering (se næste bemærkning) af
et system eller service viser, at der er høj risiko for personers rettigheder og
frihedsrettigheder, herunder beskyttelse af personoplysninger.
Konsekvensanalysen beskriver hvilken behandling, der bliver udført, behandlingens
nødvendighed og bidrager med konkrete tiltag eller foranstaltninger til at håndtere og
begrænse de risici, som behandlingen af personoplysninger medfører.
Der er i DSD-samarbejdet anvendt ressourcer på at udvikle en fælles standard for
konsekvensanalyser, så disse kan deles på tværs af kommuner for relevante systemer.
Samarbejdet har endnu ikke haft den forventede fremdrift og har primært fokuseret på få
større, komplekse systemer som fx Cura. Det er en forventning, at DSD-samarbejdet vil
bidrage med flere konsekvensanalyser fremadrettet. Samlet set forventes samarbejdet i
DSD og dialogen med DPO’en at styrke de interne kompetencer og understøtte
fremdriften i arbejdet med lokale konsekvensanalyser.

2. DPO-bemærkning: Manglende risikovurderinger (Da der fortsat mangler et fåtal
risikovurderinger, bibeholdes denne bemærkning fra foregående år).

En risikovurdering identificerer og evaluerer potentielle risici ved behandling af
persondata og konsekvens for den registrerede, hvis truslen, fx et databrud, skulle
indtræffe. Der skal udarbejdes risikovurderinger for alle systemer eller services, hvor der
bliver behandlet persondata.
I 2025 er der gennemført 45 risikovurderinger af it ‑systemer. Udarbejdelsen af
risikovurderinger er løbende blevet prioriteret og planlagt i samarbejde med centrene, og
risikovurderinger deles desuden på tværs af kommunerne via DSD-samarbejdet.
Der resterer en opgave med at få opdateret risikovurderingerne for de enkelte
behandlingsaktiviteter. I 2026 vil arbejdet med at færdiggøre manglende
risikovurderinger for både systemer og behandlingsaktiviteter være en højt prioriteret
indsats. Det forventes, at dette arbejde er afsluttet ved udgangen af 2026.

3. DPO-anbefaling: Forøget fokus på Databeskyttelse gennem design (privacy by design)
og databeskyttelse gennem standardindstillinger (privacy by default).

Privacy by design og privacy by default er centrale begreber i GDPR. Privacy by design
(indbygget databeskyttelse) handler om at integrere databeskyttelse i systemer, services
og forretningsprocesser fra starten af udviklingen, så de systemer man anskaffer, har
indbygget databeskyttelse. Det betyder, at leverandørerne skal tænke på

databeskyttelse allerede i designfasen og sikre, at standardindstillingerne i produktet
beskytter brugernes persondata.
Privacy by default (standardindstillinger for databeskyttelse) fokuserer på, at den
dataansvarlige (kommunen) indretter og planlægger sin it-mæssige og organisatoriske
forretningsunderstøttelse, så selve designet sikrer den bedst mulige beskyttelse ved
behandling af persondata. Det kan fx være pseudonymisering, kryptering af data eller
systemer, der gør opmærksom på, hvis man er ved at håndtere persondata på en
usikker måde.
Vallensbæk Kommune er opmærksom på anbefalingerne og vælger, hvor det er muligt,
produkter der lever op til dette. Hvis det ikke er muligt at vælge et produkt, der lever op
til denne standard, bliver det undersøgt, om der kan være andre tiltag, der sikrer størst
mulig beskyttelse. Det er en fast del af Vallensbæk Kommunes anskaffelsesproces at
tage stilling til privacy by design og privacy by default.
Som et eksempel på den type tiltag blev systemet Sense implementeret ved udgangen
af 2024 som et it‑værktøj, der automatisk scanner medarbejdernes mails, Teams og
lokale drev for cpr-numre og andre personfølsomme oplysninger. Medarbejderne
modtager månedligt en mail med overblik over de mails og filer, de skal tage stilling til, fx
i forhold til journalisering eller sletning.
Værktøjet understøtter dermed et vedvarende fokus på korrekt håndtering af borgernes
personoplysninger og indeholder en lederfunktion, der gør det muligt at følge op på
medarbejdernes journaliserings- og sletteprocesser.

Økonomi- og personalemæssige konsekvenser
Rapporten har i sig selv ikke økonomiske konsekvenser. Dog kan visse af anbefalingerne i
rapporten medføre behov for ressourcemæssige justeringer.

Sammenhæng til udviklingsstrategien
Persondatabeskyttelse er tæt forbundet med kommunens kommunikation og anvendelse af
persondata i øvrigt, og skal derfor ses som en integreret del af udviklingsstrategien.

Sammenhæng til FN's verdensmål
Ingen bemærkninger.

Kommunikation
Ingen bemærkninger.

Retsgrundlag
Databeskyttelsesforordningen, herunder særligt art. 38, stk. 3, databeskyttelsesloven og den
øvrige databeskyttelsesret.

Beslutning

ØKONOMIUDVALGET DEN 17-06-2026
Anbefales.

KOMMUNALBESTYRELSEN DEN 24-06-2026
Blev taget til efterretning.