Kommunens DPO har i sin tilsynsrapport udvalgt 3 temaer:

1. Opfølgning af DPO Audit anno 2024
2. Retningslinjer for brugen af sociale medier (Kommunens håndtering af forpligtelsen til at instruere medarbejdere i overensstemmelse med Datatilsynets anbefalinger og praksis ved offentliggørelse af personoplysninger på sociale medier)
3. Overvågning af medarbejdere (Kommunens anvendelse af kontrolforanstaltninger i form af overvågning af medarbejdere og håndteringen af de databeskyttelsesretlige forpligtelser i den forbindelse)

Compliance-niveauet er angivet efter trafiklysprincippet (rød, gul og grøn). Blå angiver, at DPO ikke har mulighed for at vurdere compliance-niveauet.

Resultatet af det gennemførte DPO Audit viser, at Kommunen ifølge DPO har indført en række tiltag for at sikre compliance i relation til de udvalgte behandlingsområder. Der er dog stadig mulighed for forbedringer, hvilket er afspejlet i anbefalingerne.

DPO’en har følgende overordnede konklusioner:

Ad 1. Opfølgning af DPO Audit anno 2024

Adgangskontrol- og begrænsning

Det er DPO’ens anbefaling, at Kommunen fortsat prioriterer den planlagte implementering af resterende anbefalinger fra audit 2024.

Administrationens tiltag

Efter aftale med Koncernledelsen (KCL) er der udfærdiget en politik om ”Generel systematisk Logkontrol” og afholdt workshop med udvalgte systemejere om design af kontroller, så centrene kan implementere og udføre opgaven.

Risikovurderinger

DPO’en har ikke yderligere bemærkninger.

Ad 2. Retningslinjer for Helsingør Kommunes brug af sociale medier

DPO’ens anbefalinger viser, at der bør arbejdes med forbedringer på området. Det gælder bl.a. risikovurderinger, retningslinjer for brug af sociale medier, behandlingsgrundlag, awareness-aktiviteter og slettefrister.

DPO’en har givet to røde anbefalinger og fire gule på området. Derudover er der en grøn anbefaling. Nedenfor er en gennemgang af anbefalingerne samt af administrationens forslag til tiltag på baggrund heraf.

Det bemærkes, at kommunen ikke anvender sociale medier fra kommunale telefoner, som Center for Cybersikkerhed har frarådet, jf. Byrådets beslutning fra mødet den 28. august 2023 om, at Helsingør Kommune skal følge anbefalingerne fra Center for Cybersikkerhed, link til sagen: Byrådet 2022-2025 - Byrådssalen, Rådhuset

Derudover bemærkes, at det er vigtigt at skelne mellem, hvilke sociale medier man som medarbejder bruger i arbejdsmæssig sammenhæng og hvordan – og hvad der er download og brug af apps til privat brug. I nærværende tilfælde handler det om retningslinjer for brug af sociale medier i arbejdsmæssig sammenhæng.

2.2. Overblik over anvendte sociale medier (gul)

Kommunen anbefales at foretage og dokumentere vurdering af risiko og konsekvenser for borgerne forbundet med anvendelsen af TikTok. Derudover anbefales det, at Kommunen udarbejder retningslinjer, hvor tilladte sociale medier fremgår.

TikTok anvendes på ungdomsskolen, som har oplyst, at de har unge ”TikTok ambassadører”, som producerer TikTok indhold på private TikTok telefoner.

Ungdomsskolen har en SOME redaktion, hvor ansatte mødes med unge, som selv skaber indhold. Indhold leveres til Ungdomsskolens ansatte som kvalitetschecker inden det publiceres.

2.3. Interne retningslinjer (gul)

DPO henviser til anbefalinger under pkt. 2.2, 2.4, 2.5 og 2.7.

2.4. Datatilsynets retningslinjer for offentliggørelse af billeder (gul)

Kommunen anbefales at opdatere sine retningslinjer for sociale medier.

2.5. Retsgrundlag for offentliggørelse af billeder (rød)

Kommunen skal ajourføre sine interne retningslinjer for sociale medier i relation til Kommunens behandlingsgrundlag.

2.6 Instruktion til Kommunens medarbejdere (grøn)

Kommunen bør systematisere sit fokus på korrekt anvendelse af sociale medier med aware-ness-aktiviteter.

2.7. Håndtering af registreredes rettigheder (gul)

Det anbefales, at Kommunen udarbejder generelle retningslinjer for at sikre, at anmodninger fra registrerede håndteres ensartet på tværs af Kommunen.

2.8. Sletning (rød)

Kommunen skal konkret vurdere og fastsætte en passende slettefrist for indhold på sociale medier.

____________________________

Administrationens tiltag til retningslinjer for Helsingør Kommunes anvendelse af sociale medier:

Administrationen anbefaler, at DPO’ens anbefalinger følges.

Indledningsvist vil administrationen foretage en vurdering af, hvilke sociale medier kommunen ønsker at anvende, herunder ud fra en vurdering af risiko og konsekvenser for borgerne.

Særligt for TikTok kan det bemærkes, at ungdomsskolens brug er i strid med Byrådets beslutning fra møde den 28. august 2023, hvorfor tiltaget konkret ift. TikTok vil være, at aktiviteten må ophøre. Det vurderes ikke at have betydning, at aktiviteten sker fra private telefoner, når aktiviteten kan henledes til Helsingør Kommune.

Administrationen vil desuden udarbejde en samlet politik for kommunens, herunder institutionernes, brug af sociale medier, hvor DPO’ens anbefalinger bliver håndteret (pkt. 2.4., 2.5., 2.6. og 2.7.). Af politikken vil også fremgå slettefrister for indhold på de sociale medier samt systematisering af processen for at slette data.

Ad 3. Overvågning af medarbejdere

Det skal indledningsvist bemærkes, at det er administrationens opfattelse, at kommunen ikke har iværksat foranstaltninger med kontrol og overvågning for øje. Foranstaltninger iværksættes med andre formål, fx kort-adgang til døre eller GPS i biler. I den forbindelse sker der dataindsamling. Logs kan i særlige situationer anvendes til kontrol, fx ved misbrug.

Det er som følge heraf administrationens opfattelse, at terminologierne ’overvågning’ og ’kontrolforanstaltninger’ ikke er dækkende for formålet med foranstaltningerne.

Det er alene kontrolforanstaltninger for at opdage snageri, der iværksættes med kontrol for øje.

DPO’ens anbefalinger viser, at der bør arbejdes med forbedringer på området. Det gælder bl.a., at der bør udarbejdes retningslinjer på tværs af kommunen vedrørende kontrolforanstaltninger (dataindsamling), og at kommunen skal opfylde oplysningspligten over for medarbejderne.

DPO’en har givet en rød anbefaling og fire gule på området. Derudover er der en grøn anbefaling.

Nedenfor er en gennemgang af anbefalingerne samt af administrationens forslag til tiltag på baggrund heraf.

3.2. Kommunens udpegelse af ansvarlige medarbejdere (grøn)

Det anbefales, at Kommunen så vidt muligt centraliserer beslutninger eller udarbejder skriftlige retningslinjer vedrørende håndteringen af kontrolforanstaltninger for at sikre ensartet anvendelse på tværs af Kommunen.

3.4. Kommunens interne retningslinjer (gul)

Kommunen bør udarbejde retningslinjer vedrørende kontrolforanstaltninger til anvendelse på tværs af organisationen.

3.5. Kommunens instruktion til medarbejderne (gul)

Det anbefales, at Kommunen sikrer ensartet instruktion af de medarbejdere, som skal arbejde med overvågende kontrolforanstaltninger.

3.6. Kommunens opfyldelse af oplysningspligten (rød)

Kommunen udarbejder særskilte privatlivspolitikker til medarbejdere, hvor der bl.a. fremgår oplysninger om muligheden for anvendelse af kontrolforanstaltninger.

3.7. Kommunens efterlevelse af de grundlæggende databeskyttelsesretlige principper (gul)

Kommunen anbefales at udarbejde skriftlige procedurer vedrørende efterlevelsen af de grundlæggende principper i GDPR artikel 5 i relation til anvendelsen af kontrolforanstaltninger.

Heri vil indgå de grundlæggende principper for anvendelse af kontrolforanstaltninger.

3.8. Kommunens retningslinjer for gennemgang af fratrådte medarbejderes e-mails (gul)

Det anbefales, at Kommunen udarbejder skriftlige retningslinjer for gennemgang af fratrådte medarbejderes e-mails.

_____________________________

Administrationens tiltag (pkt. 3.2. og 3.4-3.8.)

Administrationen anbefaler, at DPO’ens anbefalinger følges.

Med udgangspunkt i anbefalingerne vil administrationen udarbejde en privatlivspolitik. Her vil medarbejderne blive oplyst om, i hvilke tilfælde medarbejderens handlinger bliver logget, hvilke data der indsamles og til hvilket formål, samt i hvilke særlige tilfælde loggen kan anvendes, fx ved mistanke om misbrug. Administrationen finder ikke behov for at centralisere beslutninger om tiltag vedrørende dataindsamling, når der er udarbejdet en privatlivspolitik.

I politikken vil tillige indgå retningslinjer for adgang til medarbejderes e-mails i tilfælde af fx langtidssygdom og uventet ophør.

Administrationen vil samtidig udarbejde retningslinjer for løbende kontrolforanstaltninger med henblik på afdækning af eventuel snageri.

Såvel den overordnede privatlivspolitik som den konkrete information til medarbejderne vedrørende snageri vil blive behandlet i H-med.