Vigilo-saka: Datatilsynet varslar bot på 3 millionar kroner til Bergen kommune

I fjor haust sprakk saka om skuleappen Vigilo i Bergen kommune. Den nye appen skulle betre kommunikasjonen mellom foreldre og tilsette i skular og barnehagar.

Men i staden blei informasjon om barn gjort tilgjengeleg for vaksne som ikkje skulle ha informasjonen.

Saka førte til eit mistillitsforslag mot skulebyråd Linn Kristin Engø, som trakk seg etter det blei kjend at forslaget ville få fleirtal.

Bergen kommune varsla Datatilsynet om svikten. Onsdag er Datatilsynet sin konklusjon klar:

Bergen kommune har brote personvernlovgivinga. Kommunen har handla grovt aktlaust.

– Saka er veldig alvorleg. Opplysningar om barn på sperra adresse har kunne kome uvedkomande i hende. Då kan konsekvensane bli veldig store, seier Bjørn Erik Thon, direktør i Datatilsynet.

Største bota

Datatilsynet varslar eit gebyr til kommunen på 3 millionar kroner. Ifølgje Datatilsynet sjølv er det største gebyret dei nokon gong har varsla til ein kommune.

– Barn har eit spesielt behov for vern, og då er det viktig at vi varslar ein reaksjon som samsvarar med alvoret i brotet, seier Thon.

Datatilsynet har gjennomgått ti avvik knytt til innføringa av Vigilo-systemet i bergensskulen.

I vedtaket skriv tilsynet at følgjande er avdekka:

• 477 føresette som ikkje skulle hatt tilgang til informasjon om barnet har mottatt e-post med namn på skulen barnet gjekk på.
• Viss desse 477 logga seg inn i Vigilo, ville dei fått vite namn på barnet, kva klasse og skule hen gjekk på, tilsette ved skulen og namn på andre føresette.
• Tre familiar med til saman sju barn som bur på hemmeleg adresse er råka av sikten.

Éin føresett som tidlegare har hatt hemmeleg adresse har no bytta namn for å unngå at den andre forelderen får informasjon som gjer at han får vite kvar mor eller barn oppheld seg.

Bergen kommune beklagar

Kommunaldirektør Trine Samuelsberg viser til byråd Erlend Horn. Han seier Bergen kommune vil godta bota.

– Vi vil allereie no varsle at vi vil godta gebyret som Datatilsynet har varsla oss om.

Kommunen vil bruke dei neste vekene til å gå gjennom rapporten, men seier konklusjonane er i tråd med deira eigen gjennomgang av saka.

– Vi har ikkje hatt gode nok tryggleiksrutinar. Det er svært alvorleg og eg vil igjen beklage på vegner av Bergen kommune.

Signaleffekt til andre kommunar

I vedtaket skriv Datatilsynet att dei storleiken på gebyret gir eit signal til både Bergen kommune og andre kommunar. Datatilsynet meiner at eit slikt signal kan hindre at liknande svikt kan skje igjen.

– Etter denne saka blei offentleg i haust, trur eg mange norske kommunar har fått seg ein alvorleg vekkar, seier Thon.

Han rosar Bergen kommune for å ha vore opne og fortald om feila som blei gjort.

– Kommunesektoren treng å bli betre til å forstå digitalisering og vurdere risiko før ein tar i bruk ulike system. Mange kommunar har ein lang veg å gå før innbyggjarane sine opplysningar blir tatt vare på på ein god nok måte, seier han.

Før bota blir endeleg, skal Bergen svare på varselet innan 22. juni.

Grovt aktlaust

Datatilsynet har og sett på korleis svikta kunne skje. Dei trekk fram dårleg risikovurdering og dårleg internkommunikasjon som dei viktigaste faktorane til svikten.

Mellom anna peiker dei på at ni av dei ti avvika er oppdaga av dei som blei råka.

Dette meiner tilsynet viser at Bergen ikkje hadde oversikt over risikoen når dei rulla ut Vigilo-systemet.

«Vi vurderer det som hevet over tvil at Bergen kommune har hatt kunnskap om nødvendigheten av å etablere organisatoriske og tekniske tiltak i systemet. Ved å ikke ta de nødvendige skrittene, har Bergen kommune handlet grovt uaktsomt».

Kommunen har ansvaret sjølv

Datatilsynet har og sett på kva rolle Vigilo har hatt i saka.

Dei skriv i vedtaket at Vigilo kunne og burde ha informert kommunen om kritiske punkt i løysinga, og korleis opplysningar blei tatt ut frå Folkeregisteret. Likevel er det kommunen som sjølv har eit sjølvstendig ansvar for dette.

– Det er urettferdig at denne saka har blitt heitande Vigilo-saka, for vi har ingen sak mot Vigilo. I rapporten vår ligg den ingen stor kritikk av det Vigilo har gjort. Det er den som tar i bruk eit system som er ansvarleg, og i dette tilfellet er det Bergen kommune.