Datatilsynet har utfärdat en sanktionsavgift på 250 000 norska kronor mot Grue kommun för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att Datatilsynet i februari 2024 tagit emot en anmälan om personuppgiftsincident från Grue kommun. Enligt anmälan har kommunen fått kännedom om att det fanns två poster i den allmänna postjournalen som innehöll känsliga personuppgifter. Det visade sig vara information om så kallade 9A-beslut enligt skollagen, vilket är enskilda beslut om elevers rätt till en trygg skolmiljö. Av dessa handlingar framgick elevernas namn, födelsedatum, personnummer samt information om och skälen till 9A-besluten. Därutöver publicerades föräldrarnas telefonnummer och adresser.
Efter en mer detaljerad genomgång av postjournalerna från 2020 upptäcktes ytterligare åtta avvikelser. Grue kommun har informerat Datatilsynet om att dessa avvikelser rör personnummer eller kontonummer som förekommer i olika ansökningshandlingar. I ett fall har Grue kommun fått ett brev från polisen där ett namn förekommer i ett brottmål. Totalt rör det sig om 14 elever och deras föräldrar samt åtta andra registrerade.
Datatilsynet välkomnar att Grue kommun rapporterade överträdelsen till Datatilsynet snabbt efter att ha fått kännedom om den och att de informerade de berörda personerna om överträdelserna. Datatilsynet konstaterar dock att Grue kommun underlåtit att vidta lämpliga säkerhetsåtgärder i enlighet med artikel 32 GDPR, vilket lett till personuppgiftsincidenten. Vidare konstaterar Datatilsynet att Grue kommun brutit mot kraven på rättslig grund enligt artikel 6.1 GDPR genom att publicera sekretessbelagda uppgifter i e-postjournalen.
Sanktionsavgiften ska enligt Datatilsynet vara effektiva, proportionerliga i förhållande till överträdelsen och avskräckande. I september skickade Datatilsynet ett beslutsmeddelande till Grue kommun. I det slutliga beslutet har Datatilsynet tagit hänsyn till kommunens synpunkter och anser att kommunens storlek och ekonomiska situation motiverar en nedjustering av den anmälda sanktionsavgiften.