Fredag var journalist Vilas Holst Jensen en af de 1.742 borgere, der modtog et brev fra Københavns kommunes Kultur- og Fritidsforvaltning om, at en studentermedhjælper havde brudt reglerne og slået hans CPR-nummer op i kommunens register.

Brevet var tre sider langt, og det udløste flere spørgsmål end svar, fortæller Vilas Holst Jensen.

Det meste af brevet var nemlig en lang, knudret sagsfremstilling.

Han beskriver brevet som ”mystisk” og ganske enkelt ”dårligt formuleret”.

Det gav nemlig ikke Vilas Holst Jensen svar på, hvad han skulle gøre med oplysningerne.

”Kommunen overlader det til mig at afgøre, om jeg skal være bekymret. Det har jeg ikke nogen forudsætninger for at vide, om jeg skal være,” siger Vilas Holst Jensen, der er journalistvikar på Fredericia Dagblad.

Databeskyttelsesforordningens artikel 34

Vilas Holst Jensen har over for TV 2 og Avisen Danmark kritiserer brevet for at være alt for afsenderorienteret.

Men nu har han selv skrevet en ny version af brevet, der er sprogligt klarere og tager udgangspunkt i borgernes behov for information.

Brevet er lige så langt, men der er for eksempel en ny indledning.

Indledningen i Københavns kommunes oprindelige brev var:

”Underretning om brud på persondatasikkerheden. Der er sket et databrud i Københavns Kommune, som du hermed oplyses om i henhold til databeskyttelsesforordningens artikel 34.”

Vilas Holst Jensens version henvender sig direkte til borgeren:

”Som du måske har læst i medierne, er en tidligere studentermedhjælper i Københavns Kommune blevet anholdt og sigtet for uberettiget at have foretaget opslag i CPR-registret.

Københavns Kommune beklager at måtte meddele dig, at du er blandt de borgere, hvis oplysninger er blevet slået op i CPR-registret, uden at den pågældende studentermedhjælper har haft et arbejdsrelateret formål med det.”

Vilas Holst Jensen understreger, at hans brev er skrevet med det forbehold, at der kan være juridiske begrænsninger for, hvor meget en kommune kan dele.

Københavns kommune og forvaltningens presseafdeling har ingen kommentarer til Vilas Holst Jensens brev.

(Se kommunens brev og Vilas Holst Jensens bud på et forbedret brev nederst i artiklen.)

Flere spørgsmål end svar

Vilas Holst Jensens største kritikpunkt er, at brevet fra kommunen handler for meget om, hvad kommunen har gjort og for lidt om, hvordan han skal forholde sig.

”Hvad er mit ansvar i det her? Skal jeg orientere mine forældre og mine gamle bofæller? Jeg bliver efterladt med flere spørgsmål end svar.”

Han har fx behov for at vide, hvor mange opslag der er lavet om ham.

”Har de slået mig op otte gange på et halvt år eller det bare en enkelt gang. Jeg ved simpelthen ikke, hvor alvorligt det her er.”

Han mener, at kommunen burde give borgere indsigt i hvilke data, der er blevet søgt i.

”Kommunen har jo adgang til informationerne, så de kunne måske givet mig adgang til at logge ind og se, hvad der er blevet slået op. Jeg savner simpelthen noget kontekst.”

CPR brugt til afpresning

Sagen om kommunens 27-årige studentermedhjælper er så alvorlig, at NSK, Den Nationale enhed for Særlig Kriminalitet, er inddraget i efterforskningen.

Manden er nu sigtet for uberettiget at have skaffet sig adgang til borgernes personlige oplysninger med det formål at dele dem mod betaling. Han er blandt andet mistænkt for at have delt 66 personers oplysninger, der ifølge sigtelsen skulle bruges til afpresning.

Hvis man er en af de 66 personer, vil man blive kontaktet af NSK, står der i brevet.

”Jeg er ikke blevet kontaktet af politiet endnu, så jeg går ud fra, at jeg ikke er en af de 66 personer. Men hvor længe skal jeg vente på, at det sker,” spørger Vilas Holst Jensen.

Fortæller for lidt

I en mail til Journalisten oplyser Københavns Kultur- og Fritidsforvaltning, at forvaltningen følger Datatilsynets vejledning for, hvordan berørte borgere skal underrettes ved databrud.

"Vi forstår godt, at det kan være utrygt eller bekymrende at få at vide, at ens personoplysninger er blevet slået uberettiget op."

Forvaltningen tilføjer, at det har været en prioritet at informere de berørte borgere så hurtigt som muligt.

Vilas Holst Jensen mener, at kommunen sendte brevet ud, før man kunne give borgerne ordentlig information.

”Man må spørge sig selv for, hvis skyld det er, man gør det for. Jeg ved stadig ikke, hvad jeg får ud af at få den information,” forklarer Vilas Holst Jensen.

Han mener, at kommunen burde havde vedlagt en vejledning til de berørte borgere med en anbefaling om, hvordan de bør forholde dig.

”Måske kunne man skrive, at hvis man ikke har oplevet noget mistænkeligt, så bør man ikke være bekymret,” siger han.

Vilas Holst Jensens bud på et brev: 

Kære [Navn]

Som du måske har læst i medierne, er en tidligere studentermedhjælper i Københavns Kommune blevet anholdt og sigtet for uberettiget at have foretaget opslag i CPR-registret.

Københavns Kommune beklager at måtte meddele dig, at du er blandt de borgere, hvis oplysninger er blevet slået op i CPR-registret, uden at den pågældende studentermedhjælper har haft et arbejdsrelateret formål med det.

De uberettigede opslag i CPR-registeret er foregået i perioden [dd.mm.yyyy.  – dd.mm.yyyy]. Begge dage inklusiv.

Sådan skal du forholde dig

Du bør i forbindelse med hændelsen være særligt opmærksom på eventuelle mistænkelige henvendelser, der f.eks. kan være forsøg på svindel.


Hvis du har mistanke om, at du er offer for forsøg på kriminalitet, bør du kontakte politiet på telefon 114.

I CPR-registret fremgår der oplysninger om navn, adresse, CPR-nummer, bofæller og familieforhold (forældre, evt. børn og evt. ægtefælle).

Hvis du har nulevende forældre, børn, søskende, ægtefælle og/eller bofæller, anbefaler Københavns Kommune, at du orienterer dem om, at også deres adresse og CPR-numre kan være blevet tilgået uden en arbejdsrelateret grund.

Vi opfordrer ligeledes dine pårørende til at være særligt opmærksomme på mistænkelige forhold samt at kontakte politiet, hvis de har mistanke om, at de er ofre for forsøg på kriminalitet.

Mulige konsekvenser for dig

Københavns Kommune er bekendt med, at oplysninger fra de uberettigede opslag i CPR-registret er blevet videregivet til udefrakommende.

Det er kommunens vurdering, at omfanget heraf er begrænset.

Oplysningerne kan i tilfælde med videregivelse undtagelsesvist være blevet anvendt til forsøg på kriminalitet.

National Enhed for Særlig Kriminalitet (NSK) har oplyst, at det på nuværende tidspunkt er deres opfattelse, at det alene er en meget lille andel af de ulovligt tilgåede oplysninger, som har været anvendt til forsøg på personfarlig kriminalitet.

Københavns Kommune samarbejder med National Enhed for Særlig Kriminalitet om at opklare omfanget af den ulovlige videregivelse.

Hvis dine oplysninger har været anvendt til forsøg på personfarlig kriminalitet, vil du blive kontaktet af NSK, der fortæller om, hvordan du skal forholde dig.

Hvis dine oplysninger er blevet videregivet til udefrakommende, men ikke vurderes anvendt til forsøg på personfarlig kriminalitet, vil du blive kontaktet af Københavns Kommune, der ligeledes vil fortælle dig, hvordan du skal forholde dig.

Vi forventer at have kontaktet de berørte borgere senest [dd.mm.yyyy].

Hvis du ikke efter denne dato er blevet kontaktet af enten Københavns Kommune eller NSK, og ikke i øvrigt har oplevet mistænkelige forhold eller henvendelser, er det vores vurdering, at du ikke har grund til at bekymre dig.

Sådan kan du kontakte os

Vi forstår, at dette brev kan give anledning til tvivl og uro.

Hvis du har brug for at tale med Københavns Kommune om, hvordan du skal forholde dig, kan du ringe til os på telefonnummer [xx xx xx xx].

Vi gør opmærksom på, at sagen involverer 1.746 borgere. Vi har kaldt ekstra personale ind, men du må forvente ventetid på telefonen.

Du kan også skrive til os her i Digital Post ved at besvare denne mail, så vil vi vende tilbage til dig indenfor [x arbejdsdage].

Hvordan håndterer vi sagen?

Københavns Kommune tager sagen meget alvorligt og understreger, at handlingerne er både kriminelle og uforenelige med at arbejde for Københavns Kommune.

Der pågår en efterforskning og strafferetlig proces. Denne varetages af National Enhed for Særlig Kriminalitet (NSK).

Københavns Kommune har bragt den pågældende medarbejders systemadgange til ophør umiddelbart efter, at kommunen blev bekendt med hændelsen på baggrund af en henvendelse fra politiet. Det skete den [dd.mm.yyyy].

Vi har også anmeldt hændelsen til Datatilsynet.

Kommunen har endvidere bidraget til politiets efterforskning i behørigt omfang, herunder ved at bistå med kortlægningen af uberettigede opslag.

Kommunen har desuden gennemgået og drøftet interne retningslinjer og kontrolmekanismer for systemadgange med henblik på at identificere muligheder for forbedring.


Det bemærkes, at den konkrete hændelse skyldes adfærd i åbenlys strid med kommunens instruks af medarbejdere.


Alle ansatte skal i forbindelse med deres ansættelse i Københavns Kommune gennemføre obligatoriske kurser om databeskyttelse og sagsbehandling.


Ansatte gennemgår desuden en manuel oplæring, hvor det gøres klart, hvordan man administrerer arbejdet og systemadgange m.v. i overensstemmelse med lovgivningen og interne retningslinjer.


Alle medarbejdere har adgang til kommunens gældende retningslinjer vedrørende sagsbehandling og databeskyttelse.

Medarbejdere i Københavns Kommune er desuden underlagt tavshedspligt i forbindelse med deres ansættelse.


Generelle spørgsmål vedrørende behandling af personoplysninger

Hvis du har generelle spørgsmål til, hvordan Københavns Kommune behandler dine personoplysninger, er du velkommen til at kontakte kommunens databeskyttelsesrådgiver på telefon [xx xx] eller mail [xx xx].

Du kan også læse mere om kommunens arbejde med databeskyttelse på [hjemmeside].

Københavns kommunes brev til borgerne:

Underretning om brud på persondatasikkerheden

Der er sket et databrud i Københavns Kommune, som du hermed oplyses om i henhold til databeskyttelsesforordningens artikel 34. Du er blandt de personer, der har været genstand for opslag i Det Centrale Personregister (CPR), der potentielt er blevet foretaget uden arbejdsbetinget behov. Derfor modtager du dette brev.

Hændelsesforløb

En medarbejder i Københavns Kommune har foretaget en række uberettigede opslag i CPR og er i den forbindelse blevet bekendt med personoplysninger, som vedkommende ikke havde et arbejdsbetinget behov for at tilgå.

I en mindre andel af tilfældene har medarbejderen videregivet oplysninger til andre uvedkommende modtagere. I CPR fremgår der oplysninger om navn, adresse, CPR-nummer, bofæller og familieforhold (forældre, evt. børn og evt. ægtefælle).

Københavns Kommune blev opmærksom på hændelsen på baggrund af en henvendelse fra politiet. Der pågår en efterforskning og strafferetlig proces. Denne varetages af National Enhed for Særlig Kriminalitet (NSK).

Sandsynlige konsekvenser af bruddet på persondatasikkerheden

Hændelsen betyder, at uvedkommende kan have fået kendskab til dine personoplysninger, som fremgår af CPR. Oplysningerne kan i tilfælde med videregivelse undtagelsesvist være blevet anvendt til forsøg på kriminalitet. National Enhed for Særlig Kriminalitet (NSK)har oplyst, at det på nuværende tidspunkt er deres opfattelse, at det alene er en meget lille andel af de ulovligt tilgåede oplysninger, som har været anvendt til forsøg på personfarlig kriminalitet.

De personer, hvis oplysninger har været anvendt til forsøg på personfarlig kriminalitet, vil blive orienteret af NSK.

Du bør i forbindelse med hændelsen være særligt opmærksom på eventuelle mistænkelige henvendelser, der f.eks. kan være forsøg på svindel. Hvis du har mistanke om, at du er offer for forsøg på kriminalitet, bør du kontakte politiet.

Hvordan har Københavns Kommune håndteret bruddet?

Københavns Kommune har bragt den pågældende medarbejders systemadgange til ophør umiddelbart efter, at kommunen blev bekendt med hændelsen på baggrund af en henvendelse fra politiet. Kommunen har endvidere bidraget til politiets efterforskning i behørigt omfang, herunder ved at bistå med kortlægningen af uberettigede opslag.

Kommunen har desuden gennemgået og drøftet interne retningslinjer og kontrolmekanismer for systemadgange med henblik på at identificere muligheder for forbedring. Det bemærkes, at den konkrete hændelse skyldes adfærd i åbenlys strid med kommunens instruks af medarbejdere.

Alle ansatte skal i forbindelse med deres ansættelse i Københavns Kommune gennemføre obligatoriske kurser om databeskyttelse og sagsbehandling. Ansatte gennemgår desuden en manuel oplæring, hvor det gøres klart, hvordan man administrerer arbejdet og systemadgange m.v. i overensstemmelse med lovgivningen og interne retningslinjer.

Alle medarbejdere har adgang til kommunens gældende retningslinjer vedrørende sagsbehandling og databeskyttelse. Medarbejdere i Københavns Kommune er desuden underlagt tavshedspligt i forbindelse med deres ansættelse. Det kan endelig oplyses, at hændelsen er anmeldt til Datatilsynet.

Spørgsmål til den konkrete hændelses betydning for dig

Hvis du har konkrete spørgsmål til hændelsens betydning for dine personoplysninger, kan du kontakte Kultur- og Fritidsforvaltningens GDPR-enhed på følgende e-mailadresse: [xx xx]

Generelle spørgsmål vedrørende behandling af personoplysninger

Hvis du har generelle spørgsmål til behandling af dine personoplysninger, er du velkommen til at kontakte kommunens databeskyttelsesrådgiver. Du finder kontaktoplysninger til databeskyttelsesrådgiveren i Københavns Kommune her: Databeskyttelsesrådgiveren | Københavns Kommunes hjemmeside (kk.dk)

Databeskyttelsesrådgiveren kan kun besvare generelle spørgsmål omkring behandlingen af personoplysninger. Du kan læse mere om kommunens arbejde med databeskyttelse her