I DPO rapporten for 2025 anbefaler kommunens DPO, at forvaltningen i 2026 arbejder med fokus nedenstående otte databeskyttelsesretlige forpligtelser, der menes at udgøre de største risici i organisationen:

• Bruger- og adgangsstyring, herunder periodisk kontrol
• Risikovurdering af behandlingsaktiviteter
• Risikovurdering af systemer
• Vurdering af risici for den registrerede ved brugen af AI
• Konsekvensanalyser (DPIA)
• Tilsyn med databehandlere
• Procedurer for databeskyttelse samt dokumentation
• Håndtering af indsigtssager (og aktindsigtssager)

Ud fra ovenstående, anbefaler DPO'en at følgende områder særligt bør prioriteres: 

• Risikovurderinger
• Konsekvensanalyser (DPIA)
• Bruger- og adgangsstyring med periodisk kontrol

Både under risikovurderinger og konsekvensanalyser (DPIA´er) skal der være fokus på særlige risici for den registrerede ved brugen af AI. 

Det seneste år (2025) har forvaltningen særligt haft fokus på netop risikovurderinger og konsekvensanalyser, hvor der er gennemført forskellige arbejdsmøder og workshops med bl.a. undervisning via ekstern advokat. Her har alle fagområder kunne deltage med nøglemedarbejdere, for at sikre, at viden om området og opgaverne blev forankret bredt i organisationen. Samtidig er det blevet prioriteret, at alle centre har kunne sende deres GDPR repræsentant (en medarbejder der sidder med opgaver på området i større eller mindre omfang) afsted på ekstern uddannelse ("Certifikat i Persondataret", som er et 5 dages kursus, med en meget grundig indføring i databeskyttelsesretten og den seneste udvikling). Medarbejderne har deltaget på samme hold på uddannelsen, for samtidig med at få den faglige opkvalificering også at understøtte, at de internt har kunne bruge hinanden til sparring og videndeling. 

På baggrund af DPO'ens anbefalinger - og det generelle arbejde på området - foreslår forvaltningen, at der i 2026 vil blive arbejdet med følgende aktiviteter, som igennem året understøttes af det centrale team, der arbejder med GDPR og Informationssikkerhed:

• Bruger- og rettighedsstyring: Der vil være fokus på at mindske antallet af de systemer hvor bruger- og rettighedsstyringen håndteres manuelt, samt at få automatiseret så mange manuelle steps som muligt i de generelle bruger- og rettighedsstyringsprocesser.
• Internt netværk blandt medarbejdere: I det tværgående GDPR-netværk, som centrenes GDPR-repræsentanter deltager i, vil der blive undervist og trænet i hvordan man skal udarbejde risikovurderinger og konsekvensanalyser. Der vil efterfølgende være workshops, hvor de centrale ressourcer på området bistår med den konkrete udarbejdelse af risikovurderinger og konsekvensanalyser.
• Fokus på AI: Forvaltningen vil sammen med DPO'en holde interne oplæg, der kommer til at have fokus på AI, og som afledt af dette, vil der i oplægget også være fokus på, at man skal sørge for at få tilpasset sine risikovurderinger, så man tager højde for brugen af AI. 
• Indsigtsretsprocessen: Der vil blive holdt arbejdet videre med at oplære relevant personale (både fra Borgerservice, der modtager henvendelserne om indsigtsret, samt centrenes tovholdere, der arbejder med at afsøge data til borgeren i eget center) ift. at understøtte indsigtsprocessen, samt introducere tilpasninger af den eksisterende arbejdsgang, på baggrund af konkrete input fra de forskellige parter..
• GDPR uddannelse (fysisk): De centrale ressourcer på området fortsætter med et par gange om året at en intern GDPR-uddannelse der er obligatorisk for nye ledere, men som også andre medarbejdere med opgaver indenfor området kan deltage i.
• E-learning indenfor GDPR og Cyber- og Informationssikkerhed: Forvaltningen vil implementere nye udgaver af e-learningskurser indenfor GDPR og Cyber- og Informationssikkerhed, der er kortere, mere målrettede, som vil blive skubbet ud til medarbejderne med en højere frekvens, hvormed awareness på området højnes. Ledelsen kan følge medarbejdernes gennemførsel af kurserne.

Derudover fortsætter de lokalt forankrede indsatser igennem året. Her arbejder centrene kontinuerligt med opgaver, der er forankret i deres årshjul, og som er indarbejdet/skal indarbejdes som en del af driften. Det kan fx handle om tilsyn med databehandleraftaler, fortegnelse over behandlingsaktiviteter, oplysningspligten etc. 

Rammerne for arbejdet med er databeskyttelsesreglerne som fastlagt i databeskyttelsesforordningen (2016/679 af 27. april 2016), samt de danske vedtagne bestemmelser om samme (Databeskyttelsesloven nr. 502 af 23. maj 2018). Dertil kommer forskellige lovgivning som fx AI Act, NSIS og NIS2, der alle - på forskellig vis - rammesætter arbejdet med digitale identiteter, sikkerhedsniveau for databehandling og brugen af AI. 

Såfremt Økonomiudvalget godkender de foreslåede aktiviteter, vil forvaltningen arbejde videre med dem henover 2026.