I henhold til GDPR er det et krav, at offentlige myndigheder udpeger en DPO (Data Protection Officer). Organisationen har derfor siden 2018 haft en DPO, der rapporterer til Kommunalbestyrelsen. En af DPO´ens opgaver er at overvåge organisationens overholdelse af GDPR. 

Den årlige rapport er udarbejdet af DPO´en. Rapporten viser indledningsvis et tilbageblik på de største databeskyttelsesretlige begivenheder for året 2025 - både internt i organisationen, men også fra Datatilsynet og fra EU-institutionerne, som spiller en stor rolle på databeskyttelsesområdet. 

Rapporten oplister hvilke udvalgte områder og emner, som har været genstand for DPO´ens tilsyn med kommunens overholdelse af GDPR i 2025. 

Endvidere viser rapporten et overblik over udviklingen for databrud i kommunen siden forordningen fik virkning tilbage i 2018, samt en status på sagen, som tilbage i efteråret 2024 udmøntede sig i en bødeindstilling til kommunen. 

Rapporten indeholder endvidere en gennemgang af udvalgte områder og problemstillinger, der er arbejdet med i 2025 og hvilke tiltag og anbefalinger til organisationens videre arbejde med databeskyttelse. 

Rapporten skal bidrage til, at Kommunalbestyrelsen kan fokusere og prioritere arbejdet med databeskyttelse. Ved at udarbejde rapporten på årlig basis sikres det, at organisationen har et samlet overblik over niveauet, herunder hvor, og hvordan, organisationen skal foretage forbedringer og implementere nye eller anderledes tiltag, som kan sikre bedre overholdelse af de databeskyttelsesretlige regler. 

På baggrund af DPO´ens rapport for 2024 har organisationen arbejdet struktureret og systematisk med GDPR, og der er skabt bedre overblik over opgaverne, ligesom der er arbejdet med disse.

Overblikket over opgaver, arbejdet med disse samt overgang til nyt understøttende it-system (OS2-compliance) danner et godt fundament for det videre arbejde. 

Trods det gode arbejde, nåede organisationen ikke at arbejde med alle anbefalinger og områder i 2025, og det nuværende niveau efterlader derfor fortsat organisationen med en risiko for kritik og bøder. Der bør derfor arbejdes videre med at sikre et højere niveau for databeskyttelse i organisationen. Anbefalingerne i DPO-rapporten for 2025 ligner derfor i overvejende grad anbefalingerne for DPO- rapporten for 2024 dog med den forskel, at ønsket om og brugen af AI-værktøjer har en afsmittende effekt på arbejdet med databeskyttelse i flere henseender og derfor bør i organisationen tænkes ind og prioriteres som fokuspunkt i det nye år. 

DPO´ens rapport for 2025 vedlægges som bilag. 

På baggrund af DPO´ens løbende rådgivning og kendskabet til organisationen, er det DPO´ens vurdering, at nedenstående otte databeskyttelsesretlige forpligtelser, udgør de største risici i organisationen, og det er DPO´ens anbefaling, at der i 2025 afsættes dedikerede ressourcer i alle centre til at arbejde videre med disse (angivet i ikke-prioriteret rækkefølge) for at opnå et højere niveau for databeskyttelse: 

• Bruger- og adgangsstyring, herunder periodisk kontrol
• Risikovurdering af behandlingsaktiviteter
• Risikovurdering af systemer
• Vurdering af risici for den registrerede ved brugen af AI
• Konsekvensanalyser (DPIA)
• Tilsyn med databehandlere
• Procedurer for databeskyttelse samt dokumentation
• Håndtering af indsigtssager (og aktindsigtssager)

Ud fra ovenstående, bør særligt følgende områder prioriteres: 

• Risikovurderinger
• Konsekvensanalyser (DPIA)
• Bruger- og adgangsstyring med periodisk kontrol

Både under risikovurderinger og konsekvensanalyser (DPIA´er) skal der være fokus på særlige risici for den registrerede ved brugen af AI. 

Baggrunden for anbefalingerne er, at det ikke er muligt at fastsætte passende sikkerhedsforanstaltninger, hvis man ikke kender risikoen for behandlingen. Dertil er det DPO´ens vurdering, at der fortsat er et større arbejde at gøre på området for udarbejdelse af konsekvensanalyser  (DPIA´er), dels i forhold til at sikre, at der udarbejdes det nødvendige antal konsekvensanalyser (DPIA´er), men ligeledes i forhold til at sikre at konsekvensanalyserne indholdsmæssigt lever op til kravene i databeskyttelsesforordningen (GDPR). 

DPO´en anbefaler endvidere, at der prioriteres ressourcer i hvert center til det daglige arbejde med GDPR, som kan understøtte centerchefen og drive arbejdet med GDPR i tæt samarbejde med centerchefen og centrets medarbejdere og i tæt samspil med centrets GDPR-partner. DPO´en anbefaler desuden, at centrene som en del af arbejdet med GDPR i 2026 investerer tid i at bruge it-systemet OS2-compliance, som understøtter GDPR-arbejdet. 

DPO´en anbefaler også, at referencedirektørerne følger op på status på GDPR-opgaverne i centrene hvert halve år, og bidrager til prioriteringen af opgaverne i tæt samspil med centerchefen, samt at centerchefen løbende forankrer arbejdet i samspil med afdelingslederne. 

Databeskyttelsesreglerne som fastlagt i databeskyttelsesforordningen (2016/679 af 27. april) og de danske vedtagne bestemmelser om samme (Databeskyttelsesloven nr. 502 af 23. maj 2018).

Forvaltningen vil forelægge sag med opfølgende aktiviteter for Økonomiudvalget på næstkommende møde.