Dom
D O M
afsagt den 10. september 2025 af Vestre Landsrets 5. afdeling (dommerne Henrik Estrup, Annette Nørby og Ioana Fodor (kst.)) i ankesag
V.L. S – 2038 – 24
Anklagemyndigheden
mod
Tiltalte
født Dato 1977
(advokat Solveig Værum Nørgaard, Nørager)
Retten i Viborg har den 14. oktober 2024 afsagt dom i 1. instans (rettens nr. 4567/2023).
Påstande
Anklagemyndigheden har påstået dom i overensstemmelse med tiltalen i 1. instans, dog således at tiltalen omhandler oplysninger om 129 personer i stedet for 130 personer.
Tiltalte har påstået stadfæstelse.
Supplerende oplysninger
Datatilsynet har den 27. oktober 2023 afgivet en udtalelse i sagen. Af udtalelsen fremgår bl.a.:
”Udtalelse i Midt- og Vestjyllands Politis sag med j.nr. 4100-70585- 00016-23
Ved brev af 19. september 2023 har Midt- og Vestjyllands Politi anmodet Datatilsynet om en udtalelse om tiltalespørgsmålet, herunder med en indstil-
- 2 -
ling om sanktionsspørgsmålet i politiets sag vedrørende en medarbejder i By Kommunes brug af sin adgang til det kommunale datasystem SAPA.
Det bemærkes, at Datatilsynet ikke har haft mulighed for at gennemgå hele det fremsendte materiale, men alene har nærlæst anmeldelse, afhøringer og andre centrale dokumenter. Datatilsynet har alene overordnet orienteret sig i de øvrige dokumenter
1. Sagsfremstilling
Det fremgår af politiets beskrivelse, at sigtede gennem sin ansættelse i By kommune har misbrugt sin adgang til SAPA ved at lave uautoriserede opslag i systemet, dog uden at have videregivet oplysningerne. Det fremgår, at den sigtede har foretaget 130 uberettigede opslag i perioden fra den 26. september 2022 til den 24. marts 2023. Datatilsynet har forstået det sådan, at det er oplysninger tilgået ved disse opslag, der er grundlag for sigtelsen.
De behandlede oplysninger omfattede ifølge beskrivelsen fra By Kom-munes databeskyttelsesrådgiver f.eks. navn, adresse, alder, dødsdato og op-lysninger om familierelationer, herunder eksempelvis navn på forældre, sø-skende og ægtefæller. Politiet oplyser endvidere, at det lægges til grund, at sigtede ikke tilgik den del af SAPA, der vedrører ydelser. Det fremgår ikke, at der skulle være sket behandling af personoplysninger.
Det fremgår herudover af sagen, at sigtede har erkendt sig skyldig i største-delen af de omkring 130 opslag, og at sigtede bl.a. har forklaret til politiet, at opslagene er sket af nysgerrighed.
2. Datatilsynets vurdering af sagen
2.1. Retligt grundlag
Datatilsynet kan generelt om databeskyttelsesforordningen oplyse, at for-ordningen ifølge artikel 2, stk. 1, finder anvendelse på behandling af per-sonoplysninger, der helt eller delvis foretages ved hjælp af automatisk be-handling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Databeskyttelsesforordningens artikel 6, stk. 1, regulerer behandlingen af personoplysninger som ikke er klassificeret som særlige kategorier af oplys-ninger (følsomme personoplysninger). Artikel 6 omfatter som udgangspunkt f.eks. identifikationsoplysninger som navn, adresse og alder, uddannelse, familieforhold, ansættelsesforhold mv.
Det fremgår af bestemmelsen, at behandling af personoplysninger kun er lovlig, hvis og i det omfang mindst ét af forholdene i litra a-f gør sig gæl-dende.
Overtrædelse af databeskyttelsesforordningens artikel 6, stk. 1, straffes med bøde, jf. databeskyttelseslovens § 41, stk. 1, nr. 4, og stk. 2, nr. 1, jf. stk. 3, jf. databeskyttelsesforordningens artikel 83, stk. 2, og stk. 5, litra a, jf. stk. 9.
2.2. Datatilsynets vurdering
Det kommunale datasystem SAPA indeholder en række personoplysninger, herunder blandt andet oplysninger om navn og bopæl samt oplysninger om familierelationer. Det fremgår ikke af det materiale, som Datatilsynet har
- 3 -
modtaget, at der ved de uberettigede opslag har været opslag i særlige kate-gorier af personoplysninger. Datatilsynet har derfor alene forholdt sig til videregivelsen af almindelige personoplysninger som nævnt under pkt. 1. Datatilsynet har lagt til grund, at der ikke er sket behandling af CPR-numre.
Efter Datatilsynets opfattelse er behandlingen af de i sagen omhandlede op-lysninger omfattet af kravet om et behandlingsgrundlag i databeskyttelses-forordningens artikel 6, stk. 1.
På baggrund af de foreliggende oplysninger finder Datatilsynet, at den af sigtede foretagne behandling af personoplysninger, ved at vedkommende har foretaget uberettigede opslag i SAPA, er sket uden fornøden hjemmel, og at opslagene derfor indebærer en overtrædelse af databeskyttelsesforord-ningens artikel 6, stk. 1.
Datatilsynet må forstå det sådan, at ingen af behandlingsgrundlagene i data-beskyttelsesforordningens artikel 6, stk. 1, litra a-f var til stede i forhold til behandlingen. Datatilsynet har i den forbindelse lagt vægt på, at sigtede ef-ter det oplyste behandlede oplysningerne som privatperson, at opslagene ik-ke havde forbindelse med sigtedes arbejde, og at der i ingen tilfælde forelå samtykke fra de pågældende, mv.
Sædvanligvis vil den dataansvarlige arbejdsplads være ansvarlig for de be-handlinger, der finder sted i forbindelse med den ansattes aktiviteter, med-mindre der er klare holdepunkter for, at den ansatte er selvstændig dataan-svarlig, eksempelvis hvis en ansat behandler personoplysninger til (egne) formål, der ligger klart uden for den ansattes arbejdsmæssige beføjelser.
Som sagen er forelagt Datatilsynet, er det tilsynets vurdering, at den sigtede uberettiget har benyttet sin adgang til SAPA ved at foretage opslag i per-sonoplysninger om en række personer og i den forbindelse er selvstændig dataansvarlig for den pågældende behandling.
Det er i den forbindelse Datatilsynets vurdering, at sigtelsen bør angå over-trædelse af databeskyttelsesforordningens artikel 6, stk. 1.
Datatilsynet skal hertil bemærke, at tilsynet ikke hermed har taget stilling til, hvorvidt det pågældende forhold tillige udgør en overtrædelse af anden lov-givning, herunder straffelovens § 155.”
Forklaringer
Tiltalte har for landsretten i det væsentlige forklaret som i 1. instans. Der er endvidere afgivet forklaring af Vidne 1 og Vidne 2.
Tiltalte har supplerende forklaret, at hun blev uddannet som Stilling 1 i By Kommune i 2002 og ikke i 2022, således som det er gengivet i hendes forklaring for byret-
- 4 -
ten. Hun har i princippet arbejdet som Stilling 2 siden ansættelsen, men hun har haft skiftende arbejdsopgaver. På et tidspunkt fik hun adgang til SAPA for at kunne vare-tage opgaver inden for ældreboligområdet. Kommunen ejede nogle ældreboliger og havde også fortrinsret til nogle ældreboliger i boligforeningerne, og der skulle bl.a. ske afstem-ning af konti i forbindelse med tilbagebetaling af boligindskud, som kommunen havde lagt ud.
Som hun husker det, fungerede SAPA-systemet sådan, at man lavede en søgning på cpr.nr., hvorefter vedkommende dukkede op med navn og adresse samt oplysninger om tidspunkt for til- og fraflytning. Hun havde ikke adgang til det ydelsesmodul, der også var i systemet.
Hun har på et eller andet tidspunkt fået undervisning i, hvordan man behandler dataoplys-ninger, herunder hvornår det er berettiget at slå op i systemet. Da hun lavede opslagene, tænkte hun ikke nærmere over, om de var berettigede. Det har ikke været hendes mening at krænke nogens privatliv. Det var slet ikke det, der var hensigten med opslagene. Nogle af opslagene, foretog hun af ren nysgerrighed. Hun kan erkende, at hun har foretaget 80 ube-rettigede opslag. Det var opslag på familie, venner og kendispersoner. Hun har også fore-taget opslag på kolleger i kommunen. Det skete på grund af dumhed og nysgerrighed. Nog-le af opslagene er sket i forbindelse med, at hun skulle bruge venners adresse til julekort. Hun kunne lige så godt havde fundet oplysningerne ved en google-søgning, men det var nemmere at slå op i systemet, fordi hun havde adgang til det. Opslaget kunne også vedrøre en kendis, som hun havde hørt om i tv, og hvor hun f.eks. var nysgerrig efter, hvor mange børn vedkommende havde, og hvor gamle de var. Sådanne oplysninger fremgik af ”fami-lie-modulet” . Det var l igegyldige oplysninger og noget, hun alligevel havde glemt dagen efter.
Som forklaret i byretten har hun gennemgået kommunens liste over formodede uberettige-de opslag (byretsekstrakten side 432 ff.) med sin forsvarer, og det er hendes bemærkninger til de enkelte opslag, der fremgår af kolonnen yderst til højre. Hun mener, at opslagene på Person 4 (side 432) og Person 2 (side 433), der begge var ansat i kom-munens Rehabiliteringscenter, må have været arbejdsbetingede. Hun var Stilling 2 for Rehabiliteringscenteret og havde månedlige økonomiopfølgninger med de ansat-te der. Hun kan ikke sige, hvad der er blevet drøftet, og som har givet anledning til et op-slag. Det havde ikke noget med ydelser at gøre. Opslagene har været på hendes foranled-ning. Opslaget på Person 5 (side 433) siger hende ikke noget. Opslaget på
- 5 -
Person 9 (side 433) må være sket i forbindelse med, at hun var med i en ar-bejdsgruppe vedrørende dennes boligsag. Når der ved Person 7 (side 435) er anført ”måske arbejdsrelateret” , hænger det sammen med, at hun ikke husker det pågældende navn. Der har måske været tale om et fejlopslag. Henset til vedkommendes alder, kan opslaget dog godt have været arbejdsrelateret. De fleste opslag er på ældre per-soner, da hun arbejdede med ældreboliger. Person 1 (side 435) er hendes datter. Hun havde glemt de sidste fire cifre i datterens personnummer og slog det op. Hun blev ikke ved det opslag bekendt med noget, hun ikke vidste i forvejen. Opslagene i for-bindelse med legeaftaler skete kun, fordi systemet var tilgængeligt, og det var nemmere at bruge dette end at slå op på Krak eller lign.
De 42 navne, som hun har anført spørgsmålstegn eller skrevet ”fejlopslag” ud for, siger hende ikke noget. Hun benægter ikke at have lavet opslagene, men hun kan ikke sige i hvilken forbindelse, det er sket. Det kan være fejlopslag. Hun kan ikke vurdere, om det er realistisk at lave 42 fejlopslag på seks måneder. Fejlopslag sker ikke så ofte.
Det er mange år siden, hun fik undervisning i databeskyttelsesreglerne. Hun skrev den 30. marts 2023 under på en tro- og loveerklæring, hvoraf det fremgår, at hun ikke har brugt oplysningerne på nogen måde og ikke har videregivet dem (byretsekstrakten side 39). Det er også hendes forklaring i dag. Hun har heller ikke gemt nogen af oplysningerne. Hun blev bortvist fra sit job ved kommunen. I dag er hun ansat som Stilling 2 ved Selskab.
Vidne 1 har forklaret, at han er ansat i By Kommune som databe-skyttelsesrådgiver. Hans opgaver er bl.a. at have kontakt til Datatilsynet og borgerne, råd-give internt i kommunen og at føre tilsyn med, om kommunen behandler dataoplysninger korrekt. Han har været ansat i By Kommune siden 2021 og har været databeskyttelses-rådgiver i ca. tre år.
Som databeskyttelsesrådgiver skal man informeres ved sikkerhedsbrud. Det er de system-ansvarlige, der varetager stikprøvekontroller, men hvis der opstår uregelmæssigheder, bli-ver han involveret. I 2022/23 kunne man maksimalt gå seks måneder tilbage i SAPA-systemet. Det er i første omgang systemadministrator, der vurderer, om der er foregået noget mistænkeligt. Hvis det er tilfældet, går administrator enten til ham eller til en leder
- 6 -
for at finde ud af, om det skal undersøges nærmere. I det konkrete tilfælde valgte man at gå videre med sagerne.
Det er hovedsageligt systemadministrator, der har gået listen (byretsekstrakten side 432 ff.) igennem, fundet de mistænkelige opslag og lavet de grønne og gule markeringer. Han blev først involveret, da der blev taget fat i den relevante leder. Det er første gang, han har ople-vet uberettigede opslag i et sådant omfang. Han har hørt om enkelte tilsvarende sager i andre kommuner.
Det var ham, der orienterede de borgere, som uberettiget var blevet slået op i systemet. Der kom mange opkald fra de berørte borgere. Kommunen satte en hotline op, og der sad tre medarbejdere på borgmesterkontoret i 2-3 dage og tog imod opkald. Det var forskelligt, hvor bekymrede de var. Det vil typisk være via henvendelser fra berørte borgere, at man finder ud af, om oplysningerne er blevet delt. Der var ikke noget i denne sag, der gav an-ledning til at forfølge dette nærmere.
Ved anvendelse af SAPA-systemet logger man på som bruger og foretager opslag via en søgeside, hvor man kan søge på cpr.nr., navn eller lign. Når resultatet af søgningen er kommet frem, kan man klikke videre på nogle sider vedrørende de konkrete borgere, som søgningen har fundet frem. Der er en generel oversigt, en familieoversigt og en oversigt over, hvilke ydelser borgeren får fra kommunen. Man har ikke nødvendigvis adgang til alle tre oversigter. Den generelle oversigt indeholder basisoplysninger i form af navn og adres-se mv. Hvis personen har adressebeskyttelse, skal man ind og trykke en ekstra gang for at finde adressen.
Når man anvender søgefunktionen, kan der komme mange navne frem. Resultatet afhæn-ger af, hvor generisk navnet er. Hvis der er tale om personer med specifikke navne, vil søgeresultatet sjældnere ”fejle” . Hvis man kun søger på ”Navn” , får man i første omgang alle med navnet Navn frem. Han er ikke sikker på, om der fremgår cpr. nr. af det første søgeresultat, man får.
Alle ”klik” , der bliver foretaget i forbindelse med en søgning, bliver logget. Tiltalte havde både lavet opslag i den generelle oversigt og i familieoversigten. Det er en konkret vurde-ring fra den, der sidder med adgangsstyringen, om en medarbejder skal have adgang til
- 7 -
hele eller kun dele af systemet. ”S APA” står for sags- og partsoverblik. Han er ikke sikker på, hvem der ejer systemet.
Vidne 2 har forklaret, at han er afdelingsleder i By Kommunes økonomistab og har ansvaret for økonomistyring på alle kommunens områder. Tiltalte var ansat som Stilling 2 under ham. Som Stilling 2 skal man understøtte de enkelte drifts-områder, men man har typisk også andre opgaver, hvilket tiltalte også havde.
Han blev orienteret om sagen sidst i marts 2023, hvor han fik forelagt en liste over opslag i SAPA, som tiltalte havde foretaget inden for de seneste seks måneder. Han blev spurgt, om han kunne indestå for, at alle opslagene var fagligt begrundede. Da han gennemgik listen, dukkede både hans eget, hans hustru og kollegers navne op. Der var også enkelte øvrige navne, som han kendte, herunder navne på kendisser. Han fik en anden af sine medarbejde-re til at undersøge, hvilke opslag der kunne være fagligt begrundede, og vedkommende vendte tilbage og sagde, at der var en del af navnene, der ikke umiddelbart var arbejdsrela-terede. Listen med de grønne og gule markeringer (byretsekstrakten side 432 ff.) er resulta-tet af denne gennemgang. De grønne navne gav mening i forhold til tiltaltes arbejde med boopgørelser. Der var 130 gule navne, der ikke umiddelbart gav mening.
Han talte tre gange med tiltalte om opslagene. Han forelagde listen for hende og spurgte ind til opslagene. Hun afviste ikke, at hun havde foretaget dem, men hun kunne ikke huske alle opslagene. Han har tænkt meget over, hvorfor tiltalte har slået arbejdskolelleger op. Da man kan se af tidsstemplerne, at en del af opslagene er foregået meget hurtigt, er han kommet frem til, at det må være foregået lige som når man scroller på sociale medier. Sa-gen gav anledning til en hel masse personalemæssigt. Kommunen havde ikke oplevet den-ne type sag før, og der blev indhentet ekstern advokatbistand.
Der var nogle af de borgere, det var gået ud over, som havde hemmelig adresse. Kommu-nen tog kontakt til datatilsynet og sendte breve ud til de berørte borgerne. Mange borgere vidste ikke, hvordan de skulle reagere. Han fik også henvendelser fra kolleger, der ikke vidste, hvad de skulle stille op med brevet.
Tiltalte blev indkaldt til en tjenstlig samtale, der mundede ud i bortvisning. Tiltalte afgav i den forbindelse et høringssvar, hvor hun erkendte, at hun havde lavet uretmæssige opslag. Der blev foretaget en teknisk undersøgelse af hendes computer for at finde ud af, om der
- 8 -
var sket videredeling. Der var ikke tegn på dette, så han tog hendes forklaring på det punkt for pålydende. Der blev desuden indgivet politianmeldelse. Det var ikke ham, der tog be-slutningen herom. Der var en del borgere, der henvendte sig til politiet i forbindelse med brevene. Politiet foreslog herefter, at kommunen indgav en anmeldelse, hvilket de valgte at gøre.
Han mener ikke umiddelbart, at der kan have været en tjenstlig forklaring på de opslag, der er sket på medarbejdere i rehabiliteringscenteret, men det er ikke noget, han har undersøgt. Han er kun blevet forespurgt på nogle af de navne, der kunne relatere sig til boopgørelser. Han kan ikke helt afvise, at det i forbindelse med en økonomikonsulentopgave ved rehabi-literingscenteret kan have været relevant at slå op i SAPA.
Han har undersøgt opslaget på Person 9 (byretsekstrakten side 433). Der var på et tidspunkt en sag med Person 9's bolig, og det var noget, som tiltalte blev ind-draget i. Han kan derfor ikke afvise, at opslaget har været arbejdsrelevant. Opslagene på Person 5 (byretsekstrakten side 433) og Person 7 (byretseks-trakten side 435) har han også undersøgt, og han kan ikke umiddelbart se, at de – som el-lers tilføjet af tiltalte på listen – skulle være arbejdsrelaterede. Der vil kunne ske fejlopslag i systemet.
Landsrettens begrundelse og resultat
Tiltalte har erkendt, at hun under sin ansættelse som Stilling 2 i By Kommu-ne i 80 tilfælde har foretaget opslag i datasystemet SAPA uden tjenstlig anledning. Hun har forklaret, at opslagene skete af nysgerrighed omkring venner, bekendte, kolleger og ken-disser, og at de navne på kommunens opslagsliste, der ikke siger hende noget, må have været enten fejlopslag eller arbejdsrelaterede. Landsretten finder ikke grundlag for at til-sidesætte tiltaltes forklaring, og det lægges herefter, og da der ikke er ført bevis for et høje-re antal, til grund, at tiltalte i tiden fra den 26. september 2022 til den 24. marts 2023 fore-tog 80 uberettigede opslag i SAPA.
Spørgsmålet er dernæst, om de pågældende tjenesteforseelser udgør en overtrædelse af straffelovens § 155, idet det i retspraksis er antaget, at mindre grove tilfælde af tjeneste-misbrug ikke er omfattet af straffelovens § 155, men alene skal forfølges med hjemmel i en eventuel særlovgivning eller disciplinært.
- 9 -
Landsretten lægger efter bevisførelsen, herunder udtalelsen fra Datatilsynet, til grund, at tiltalte ved opslagene fik adgang til personoplysninger i form af bl.a. navn, adresse, alder og civilstand.
Efter en samlet vurdering af oplysningernes karakter, tiltaltes forklaring om baggrunden for opslagene i datasystemet, og idet det er ubestridt, at tiltalte ikke har videregivet eller på anden måde behandlet de tilgåede oplysninger, tiltræder landsretten efter en samlet vurde-ring, at der ikke er sket en sådan krænkelse af det privates eller offentliges ret, at tiltalte har gjort sig skyldig i overtrædelse af straffelovens § 155.
Landsretten stadfæster derfor dommen.
T h i k e n d e s f o r r e t:
Byrettens dom stadfæstes.
Statskassen skal betale sagens omkostninger for landsretten.
Henrik Estrup Annette Nørby Ioana Fodor
(kst.)