Databeskyttelsesrådgiverens statusrapport for 2023

I overensstemmelse med Københavns Kommunes Informationssikkerhedsregulativ skal Databeskyttelsesrådgiveren aflægge en årlig statusrapport til Borgerrepræsentationen om Københavns Kommunes arbejde med databeskyttelse. 

Indstilling om,

1. at Databeskyttelsesrådgiverens Statusrapport om Københavns Kommunes arbejde med databeskyttelse 11. oktober 2022 til 31. december 2023, tages til efterretning.

Økonomiudvalget noterer, at Databeskyttelsesrådgiveren ser, at der i 2023 har været fremgang i forhold til implementering af regler og retningslinjer, at forvaltningerne har arbejdet godt med fortegnelser, og at der er udarbejdet en fælles forretningsgang vedrørende tilsyn med databehandlere.

Økonomiudvalget noterer desuden, at Databeskyttelsesrådgiveren bemærker, at et manglende endeligt godkendt koncept og en plan for, hvordan forvaltningernes ansvar i forhold til at foretage risikovurderinger af behandlingsprocesser løftes, er kritisk og utilfredsstillende.

Økonomiudvalget er herved orienteret om, at Økonomiforvaltningen i 2023 fortsat har arbejdet med et nyt koncept til samlet risikovurdering af it-systemer og lovpligtig risikovurdering af kommunens behandlinger af personoplysninger. Risikovurderingskonceptet har gennemgået to afprøvninger på henholdsvis tre og fire it-systemer i efteråret 2023 og forventes implementeret i drift i maj-juni 2024.

(Revisionsudvalget)

I overensstemmelse med Københavns Kommunes Informationssikkerhedsregulativ og Forretningscirkulære for persondatabeskyttelse, dokumentation og compliance, udarbejder Databeskyttelsesrådgiveren årligt pr. 1. oktober en statusrapport. Rapporten indeholder en vurdering af databeskyttelsen samt øvrige forhold i relation til databeskyttelse i Københavns Kommune. Vi gør opmærksom på at rapporten er udarbejdet pr. 31. december 2023, da dette vil give et mere retvisende billede af kommunens arbejde med databeskyttelse.  

Rapporten fremsendes til forvaltningernes direktioner, til Revisionsudvalget og til Borgerrepræsentationen efter forudgående indhentet erklæring fra Økonomiudvalget.

Revisionsudvalget godkender Databeskyttelsesrådgiverens Statusrapport om Københavns Kommunes arbejde med databeskyttelse 1. oktober 2022 til 31. december 2023.

Der er ingen økonomi forbundet med indstillingen.

Efter Revisionsudvalgets godkendelse af Statusrapporten oversender Databeskyttelsesrådgiveren statusrapporten og den godkendte indstilling til Økonomiforvaltningen med henblik på videre behandling i Økonomiudvalget og Borgerrepræsentationen.

Databeskyttelsesrådgiveren indstiller til Revisionsudvalget

• at Revisionsudvalget godkender Databeskyttelsesrådgiverens Statusrapport om Københavns Kommunes arbejde med databeskyttelse 1. oktober 2022 til 31. december 2023
• at Revisionsudvalget anbefaler Borgerrepræsentationen – efter forudgående indhentet erklæring fra Økonomiudvalget – at tage Databeskyttelsesrådgiverens Statusrapport om Københavns Kommunes arbejde med databeskyttelse 11. oktober 2022 til 31. december 2023 til efterretning.

Revisionsudvalgets beslutning i mødet den 1. februar 2024

Indstillingen blev godkendt

Protokolbemærkninger:

Ingen

Økonomiforvaltningen indstiller, at Økonomiudvalget oversender sagen til Borgerrepræsentation med følgende erklæring:

Økonomiudvalget noterer, at Databeskyttelsesrådgiveren ser, at der i 2023 har været fremgang i forhold til implementering af regler og retningslinjer, at forvaltningerne har arbejdet godt med fortegnelser, og at der er udarbejdet en fælles forretningsgang vedrørende tilsyn med databehandlere.

Økonomiudvalget noterer desuden, at Databeskyttelsesrådgiveren bemærker, at et manglende endeligt godkendt koncept og en plan for, hvordan forvaltningernes ansvar i forhold til at foretage risikovurderinger af behandlingsprocesser løftes, er kritisk og utilfredsstillende.

Økonomiudvalget er herved orienteret om, at Økonomiforvaltningen i 2023 fortsat har arbejdet med et nyt koncept til samlet risikovurdering af it-systemer og lovpligtig risikovurdering af kommunens behandlinger af personoplysninger. Risikovurderingskonceptet har gennemgået to afprøvninger på henholdsvis tre og fire it-systemer i efteråret 2023 og forventes implementeret i drift i maj-juni 2024.

Økonomiudvalgets beslutning i mødet den 9. april 2024

Chef for Intern Revision, Jesper Andersen, var til stede under punktets behandling, af hensyn til sagens oplysning.

Økonomiudvalget besluttede at oversende indstillingen med udvalgets erklæring til behandling i Borgerrepræsentationen uden afstemning.

Borgerrepræsentationens beslutning i mødet den 18. april 2024

Indstillingen blev taget til efterretning.