Aalborg Kommune ignorerede GDPR-krav i årevis – nu kommer regningen

Aalborg Kommune skal nu tage sig sammen. Ifølge Ingeniøren har kommunens samtlige forvaltninger i flere år ignoreret at efterkomme et centralt krav under EU's databeskyttelsesforordning, GDPR. Det drejer sig om langt mere end administrativ slendrian – det handler om borgernes rettigheder til deres egne persondata.

GDPR, som trådte i kraft i 2018, stiller meget præcise krav til, hvordan offentlige og private organisationer håndterer personoplysninger. En af kernekravene er, at organisationer skal kunne dokumentere, at de overholder reglerne – det kaldes for accountability. Aalborg Kommune har angiveligt ignoreret dette krav gennem flere år, selv efter advarsler.

Advarsler blev tilsidesat

Det mest alarmerende ved sagen er, at kommunen ikke bare har sovet på sit ansvar – den har fået advarsler uden at reagere. Ifølge Ingeniøren indikerer dette et strukturelt problem i kommunens datahåndtering, der strækker sig på tværs af alle forvaltninger. Det tyder på mangel på både bevidsthed og ressourcer til at prioritere databeskyttelse.

For borgere i Aalborg betyder det, at deres persondata potentielt har været håndteret uden tilstrækkelige garantier. Det kan dreje sig om alt fra sundhedsoplysninger til økonomiske data og børnefødselsattester.

Konsekvenser venter

Datatilsynet, som fører tilsyn med GDPR-overholdelse i Danmark, kan pålægge kommunen bøder på op til fire procent af årets globale omsætning – eller 20 millioner kroner, hvad der er størst. For en kommune betyder det reelle økonomiske konsekvenser, der skal finansieres af skatteborgerne.

Sagen understreger et generelt problem: mange danske kommuner mangler prioritering og expertise inden for databeskyttelse. Aalborg-sagen er således ikke alene en kommunal fadæse – den er en påmindelse om, at GDPR ikke er et teknologisk hjørnekontor, men en juridisk realitet med reelle omkostninger for den organisation, der ignorer det.