Nyhed

Ny afgørelse fra Datatilsynet: kritik af kommunes løbende abonnement på personoplysninger i CPR-registeret

Efter en henvendelse fra en borger har Datatilsynet vurderet, at København Kommunes løbende abonnement på den pågældendes personoplysninger i CPR-registeret var i strid med databeskyttelsesreglerne. Det blev især tillagt vægt, at der var mulighed for enkeltopslag i registeret frem for et abonnement.

Kommunens abonnement på personoplysninger i CPR-registeret

En borger anmodede i januar 2018 København Kommune om en forklaring på, hvorfor kommunen stadig abonnerede på oplysninger om ham igennem CPR-registeret, da han ikke havde haft bopæl i Københavns Kommune siden den 1. februar 1999.

Kommunen meddelte, at abonnementet igennem CPR-registeret ville blive opsagt, og at der ikke længere ville blive behandlet oplysninger om borgeren. Som følge af borgerens henvendelse i januar, var der dog i kommunens system blevet oprettet en ny sag vedrørende borgeren, som medførte en automatisk gentegning på abonnementet i CPR-registeret.

Københavns Kommune meddelte herefter, at de ikke varigt kunne slette abonnementet, og derfor ikke kunne imødekomme borgerens ønske om sletning.

Den 30. maj klagede borgeren til Datatilsynet over kommunens behandling af hans personoplysninger.

Datatilsynets afgørelse

Datatilsynet traf en afgørelse i sagen den 25. oktober 2019.

En kommune kan indhente oplysninger i CPR-registeret efter CPR-lovens § 32. Det skal dog ske i overensstemmelse med databeskyttelsesforordningens artikel 6.

Ifølge forordningens artikel 6 er en behandling lovlig, hvis den er nødvendig af hensyn til udførelse af en opgave i samfundets interesse, eller hvis behandlingen henhører under offentlig myndighedsudøvelse, som kommunen som dataansvarlig har fået pålagt.

Datatilsynet har i den pågældende sag udtalt kritik af København Kommunes abonnement på personoplysninger i den konkrete sag. Ifølge Datatilsynet har Københavns Kommune ikke haft den fornødne hjemmel til at abonnere løbende på borgerens oplysninger. Dette gælder både for tiden fra borgerens fraflytning til hans henvendelse i januar 2018, og deres behandling efter hans henvendelse i januar 2018.

I det pågældende tilfælde kunne abonnementet på oplysninger i CPR-registeret ikke anses for at være nødvendig, og behandlingen var derfor ikke i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1. Datatilsynet tillagde det især vægt, at kommuner har mulighed for at foretage enkeltopslag i CPR-registeret, som fx kan bruges i tilfælde af anmodninger om aktindsigt.

Datatilsynet kunne derfor ikke tiltræde kommunes vurdering om, at abonnementet var nødvendigt for at kunne skaffe retvisende og aktuelle identifikationsoplysninger for at understøtte kommunens myndighedsudøvelse, og kommunens indhentelse af oplysninger igennem abonnementet var derfor i strid med databeskyttelsesforordningens artikel 6, stk. 1.