Datatilsynet kritiserer Statens Serum Institut

Datatilsynet retter kritik af Statens Serum Instituts behandling af personoplysninger i forbindelse med covid-19 modelleringsprojektet, men udtaler også forståelse for den akutte krisesituation SSI og Danmark har befundet sig i.

I afgørelsen fra Datatilsynet får SSI kritik for følgende:

• For ikke at have indgået databehandleraftaler, inden databehandlere fik
  adgang til oplysningerne.
  
  
• For ikke af have færdiggjort risikovurdering og konsekvensanalyse
  inden databehandlingen blev påbegyndt.
  
  
• For ikke at have hørt Datatilsynet, da SSI ikke kunne nå at udarbejde en
  risikovurdering og en konsekvensanalyse.

Statens Serum Institut tager Datatilsynets kritik til efterretning og beklager de anførte kritikpunkter.

Statens Serum Institut noterer, at Datatilsynet mener, det en skærpende omstændighed, at SSI på dette tidspunkt ikke havde tilstrækkelige ressourcer og træning til at løfte opgaverne, inden databehandlingen blev påbegyndt. SSI har siden episoden i foråret 2020 oprustet betydeligt på området.

Endelig noterer Statens Serum Institut, at Datatilsynet ser det som en formildende omstændighed, at SSI har udvist ansvarlighed ved at dokumentere sine overvejelser og ved at samarbejde mede Datatilsynet og bidrage til sagens oplysning. Det noteres også som formildende omstændighed, at SSI stod i en krisesituation, hvor der var brug for hurtigt at skaffe viden, og derfor var under stort pres.

Statens Serum Institut SSI har ikke registreret læk af personoplysninger.

SSI har løbende været i dialog med Datatilsynet, og denne dialog fortsætter for at sikre, at der fremadrettet er en passende sikkerhed.