Orientering om DPO-audit 2025

Rudersdal Kommune har udpeget Bech-Bruun Advokatpartnerselskab som ekstern databeskyttelsesrådgiver (DPO).

 

Til DPO-auditten for 2025 har DPO’en haft særligt fokus på følgende temaer:

 

Auditten indeholder en række anbefalinger, der tilsammen skal sikre, at kommunen har et dokumenteret og ensartet grundlag for behandling af personoplysninger – særligt i de tilfælde, hvor behandlingen er indgribende for borgeres eller medarbejderes privatliv.

Audit omfatter 23 spørgsmål fordelt ud på temaerne angivet ovenfor, og for hvert spørgsmål er givet en beskrivelse af observationerne på baggrund af kommunens oplysninger, DPO´ens anbefalinger, samt en angivelse af compliance-niveau markeret efter trafiklys-princippet (rød, gul og grøn).

 

Opgørelsen i antallet af observationer i de enkelte niveauer (rød, gul og grøn) er tilsvarende som seneste status fra marts 2025, hvor antallet af observationer i rød-kategori var 2, antal i gul-kategori var 9, mens antallet i grøn-kategori var 13.

 

 

DPO-auditrapporten indeholder som pkt. 1 en vurdering af kommunens opfølgning på anbefalingerne fra DPO-auditten i 2024.

DPO’en vurderer, at Rudersdal Kommune har taget anbefalingerne til efterretning og igangsat en række relevante initiativer. Arbejdet er bl.a. forankret i et fælles risikostyringskoncept, som danner grundlag for en mere ensartet og systematisk tilgang til vurdering af risici. Konceptet er godkendt og under fortsat implementering som en del af kommunens ledelsessystem for informationssikkerhed (ISMS).

DPO’en noterer samtidig, at arbejdet har været forsinket i opstartsfasen, men at der nu er sket fremdrift i indsatsen.

DPO’en vurderer samlet, at kommunen er i gang med at følge op på anbefalingerne, men at der fortsat er en række udeståender, før anbefalingerne kan anses for fuldt implementeret.

Forvaltningen vurderer i den forbindelse, at den overordnede ramme for risikostyring af informationssikkerhed og databeskyttelse er fastlagt, herunder principper for styring samt rolle- og ansvarsfordeling på tværgående niveau.

Det videre arbejde med opfølgning på sidste års anbefalinger består derfor primært i at sikre lokal implementering, herunder:

 

Denne vurdering er i overensstemmelse med kommunens egne oplysninger til DPO’en om, at risikovurderinger for ikke samfunds- og forretningskritiske systemer gennemføres, når organisering og ansvar er placeret, og forvaltningen arbejder derfor videre med at styrke den ledelsesmæssige og organisatoriske forankring som led i det samlede arbejde med informationssikkerhed og databeskyttelse.

 

På baggrund af DPO-auditten har Rudersdal Kommune udarbejdet en overordnet instruks for brugen af digital tracking af borgere. Instruksen fastlægger fælles rammer og principper for lovlighed, proportionalitet og dokumentation, og sikrer, at hvert forretningsområde har ansvaret for at vurdere det juridiske grundlag og informere borgerne i overensstemmelse med gældende lovgivning. Til dette formål er der lavet en standardoplysning, som sikrer ensartet og korrekt information til borgerne på tværs af kommunen.

Digital tracking er indarbejdet i kommunens eksisterende procedurer for risikostyring og konsekvensanalyse, og der er således ikke oprettet særskilte metoder, men området er integreret i det fælles ledelsessystem for informationssikkerhed (ISMS).

Det videre arbejde fokuserer nu på lokal implementering i de relevante forretningsområder samt løbende opfølgning i takt med anskaffelse og brug af teknologierne. Særligt de områder, hvor DPO-auditten har markeret røde risici, er genstand for målrettede indsatser, som skal sikre, at DPO’ens anbefalinger og bemærkninger bliver fulgt. Det forventes, at der sker væsentlig fremdrift på disse områder inden udgangen af juni 2026.

Håndteringen af de røde risici sker i sammenhæng med kommunens arbejde for at styrke organiseringen af informationssikkerhed, herunder tydeliggørelse af roller, ansvar og systemejerskab. Den løbende implementering og ledelsesmæssige opfølgning sikrer, at både de røde risici og øvrige anbefalinger fra DPO’en bliver adresseret som en integreret del af kommunens samlede risikostyring af informationssikkerhed og databeskyttelse.

 

Der er udarbejdet et samlet styringsgrundlag for overvågning og kontrolforanstaltninger over for medarbejdere. Dette omfatter bl.a.:

 

Dokumenterne er udarbejdet med henblik på at skabe klare rammer for lovlighed, ansvarsplacering og dokumentation i forbindelse med overvågning af medarbejdere.

Styringsgrundlaget er færdigudarbejdet og afventer formel godkendelse. Sagen forelægges HovedMED den 25. juni, hvorefter styringsgrundlaget træder i kraft efter seks uger og herefter anses for organisatorisk implementeret.

 

DPO-auditten viser samlet, at Rudersdal Kommune er i gang med at følge op på anbefalingerne fra sidste års audit, og at der er etableret en overordnet ramme for risikostyring og informationssikkerhed. Arbejdet er igangsat og forankret i et fælles risikostyringskoncept, men der udestår fortsat opfølgning, før anbefalingerne kan anses for fuldt implementeret, navnlig i forhold til lokal organisering og gennemførelse.

For digital tracking af borgere er de centrale rammer og styringsdokumenter etableret. Det videre arbejde består primært i lokal implementering i de relevante forretningsområder, herunder vurdering af behandlingsgrundlag, opfyldelse af oplysningspligten samt gennemførelse af risikovurderinger og konsekvensanalyser.

Dokumentationsgrundlaget for overvågning af medarbejdere er færdigudarbejdet og indgår nu i den ledelsesmæssige beslutningsproces. Overvågning af medarbejdere og det tilhørende styringsgrundlag forelægges HovedMED til orientering den 25. juni. Seks uger efter forelæggelsen træder styringsgrundlaget i kraft og anses herefter for implementeret.