Det er ok at nægte aktindsigt i it-risikovurderinger

LEMVIG: Det er i orden at give afslag på aktindsigt i kommunens risikovurderinger og konsekvensanalyser. Det afgør Ankestyrelsen i en sag fra Lemvig, hvor en borger havde klaget over et afslag fra kommunen.

Det er et GDPR-krav, at kommunerne skal lave risikovurderinger for alle deres behandlinger og it-systemer. Hvis risikoen vurderes at være høj, skal der følges op med en konsekvensanalyse, en såkaldt DPIA (Data Protection Impact Assessment). 

Lemvig Kommune afslog i november og december aktindsigt med den begrundelse, at der var tale om interne dokumenter, og at de både indeholdt oplysninger om de sårbarheder, man havde fundet, og hvad man havde tænkt sig at gøre ved dem.

Skade borgernes sikkerhed

Hvis man gav aktindsigt, ville det potentielt skade muligheden for at beskytte borgernes personoplysninger og dermed deres sikkerhed, argumenterede kommunen.

Det ville også være for risikabelt at nøjes med at udlevere navnene på alle kommunens systemer, fordi det ville kunne udnyttes til at identificere, hvor der kan ledes efter sårbarheder, har kommunen efterfølgende argumenteret over for Ankestyrelsen.

Og Ankestyrelsen er enig i, at oplysningerne har en karakter, som gør, at en offentliggørelse vil udgøre en konkret og væsentlig it-sikkerhedsrisiko. Derfor rejser styrelsen ikke tilsynssag mod Lemvig, har den meddelt borgeren.

Det fremgår i øvrigt af afgørelsen, at borgeren har klaget over manglende aktindsigt i de samme oplysninger i flere kommuner. 

Afgørelsen kan læses her.

ak