Dom
Retten i Glostrup
Udskrift af dombogen
D O M
afsagt den 19. december 2024
Rettens nr. S29-9747/2023
Politiets nr. 0700-84266-00697-22
Anklagemyndigheden
mod
Tiltalte P/S
CVR nr.
Anklageskrift er modtaget den 24. august 2023.
Tiltalte P/S er tiltalt for
overtrædelse af databeskyttelsesforordningens artikel 5, stk. 1, litra c, jf. databeskyttelsesloven § 41, stk. 1, nr. 4, jf. stk. 6, jf.
databeskyttelsesforordningens artikel 83, stk. 2, og stk. 5, litra a, jf. stk. 9, samt overtrædelse af Tv-overvågningslovens § 5, stk. 1, jf. § 3, stk. 1,
ved i periode mellem 2018 og 2019 og indtil marts 2022 ikke i tilstrækkelig grad at have begrænset tv-overvågningen på et opsat tv-overvågningskamera på et toiletområde i Indkøbscenter ApS, hvorved der på arealet omkring urinalet på toiletområdet blev filmet et større område end, hvad der var relevant og begrænset til, hvad der var nødvendigt i forhold til formålet med overvågningen, samt ved som privatejet virksomhed at have foretaget tv-overvågning af toilet, der benyttes til almindelig færdsel, og hvortil der var almindelig adgang og i den forbindelse direkte hermed at have undladt at skilte med, at der var tv-overvågning på toilettet
Påstande
Anklagemyndigheden har nedlagt påstand om bøde på 350.000 kr.
Tiltalte har principalt påstået sagen afvist og subsidiært påstået frifindelse.
Sagens oplysninger
Der har under sagen været afgivet forklaring af CEO fra Tiltalte P/S Vidne 1 og Vidne 2.
Vidne 1 har på vegne af tiltalte forklaret, at Tiltalte P/S ejer Indkøbscenter ApS. Denne sag startede med en klage fra en kunde. Kunden kla-
Std 75271
side 2
gede til Datatilsynet over et kamera på et dametoilet. Det er ikke det kamera denne sag handler om. Det er rigtigt, at Tiltalte P/S har sat kame-raer op på nogle toiletter i Indkøbscenter ApS på grund af hærværk. Nogle af kameraerne er rigtige. Andre er attrapkameraer. Kameraerne er nu taget ned og der er igen anmeldelser om hærværk. Det kamera denne sag handler om er et kup-pelkamera. Der er sat en sort firkant over urinalet. De har ment det var fuldt dækkende. De blev sat op i 2018 eller 2019. De har kontaktet en professio-nel, der har sat kameraerne op. Han var ikke ansat på det tidspunkt, men han vil tro, at de har bedt om at få kameraer sat op på grund af hærværk. De har overvågning i alle centre, men det er kun i Indkøbscenter ApS, at de har kameraer på toi-letterne. De har et årshjul hvorefter kameraer og skiltning skal evalueres ef-ter. Det sker minimum en gang om året. Der er skiltning om kameraer ved al-le indgange. Han kender ikke til skiltning ved toiletterne.
Vidne 2 har forklaret blandt andet, at hun var i Indkøbscenter ApS i 2021. Da hun sad på toilettet opdagede hun ved en tilfældighed et kamera i loftet. Hun sad i første kabine. Hun tænkte, at når hun kunne se kameraet, kunne kameraet også ”se” hende. Det var meget grænseoverskridende. Hun skrev først en mail til ejeren af den cafe, som hun troede stod for dette toilet. Han svarede, at det var centerets toilet. Hun klagede til Datatilsynet. Datatil-synet tog over. Det var meget ubehageligt at sidde på toilettet og opdage at hun blev filmet af et kamera. Hun har taget et foto af kameraet inde fra bå-sen.
Det fremgår af Datatilsynets politianmeldelse af 8. december 2022:
"...
Politianmeldelse af Tiltalte P/S for overtrædelse af da-tabeskyttelsesforordningens artikel 5, stk. 1, litra c
Datatilsynet skal hermed anmelde:
Tiltalte P/S
CVR nr.
Adresse
By
overtrædelse af databeskyttelsesforordningens1 artikel 5, stk. 1, litra c, jf. databeskyttelseslovens2 § 41, stk. 1, nr. 4, jf. stk. 6, jf. databeskyttel-sesforordningens artikel 83, stk. 2, og stk. 5, litra a, jf. stk. 9, ved i perioden omkring 2018/2019 til marts 2022 ikke i tilstrækkelig grad at have begrænset tv-overvågningen på et opsat tv-overvågningskamera på i hvert fald et toiletområde i indkøbscenteret Indkøbscenter ApS, hvorved der på arealet omkring urinalet på toiletområdet blev filmet et større område, end hvad der var relevant og begrænset til, hvad der var nødvendigt i forhold til formålet med overvågningen.
side 3
De for sagen relevante bestemmelser har følgende ordlyd:
Principper for behandling af personoplysninger Artikel 5.
Personoplysninger skal.
a) (...)
b) (... )
c) være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til
de formål, hvortil de behandles
En udskrift af CVR-registeret er vedlagt som bilag 1.
1. Sagsfremstilling
Datatilsynet modtog den 7. oktober 2021 en klage fra en borger over, at hun var blevet filmet af et tv-overvågningskamera på et toiletområde i forbindelse med et besøg på Café i indkøbscenteret Indkøbscenter ApS. Klager kunne se kameraet fra toilettets ene bås. Klagen er vedlagt som
bilag 2.
Foranlediget af klagen anmodede Datatilsynet den 4. november 2021 Café Indkøbscenter ApS om en udtalelse i sagen. Den 3. januar 2022 modtog Da-tatilsynet en udtalelse, hvorafdet fremgik, at Café Indkøbscenter ApS ikke var da-taansvarlig for overvågningen, men at indkøbscentret Indkøbscenter ApS var ansvarlig herfor. Datatilsynets brev af 4. november 2021 er vedlagt som bilag 3, og Cafés udtalelse af 3. januar 2022 er vedlagt som bilag 4.
Den 4. februar 2022 anmodede Datatilsynet Tiltalte P/S, som ejer bl.a. Indkøbscenter ApS, om en udtalelse i sagen. Datatilsynet spurgte bl.a. md til omfanget af tv-overvågning på øvrige toiletområder i Indkøbscenter ApS. Datatilsynets brev af 4. februar 2022 er vedlagt som bilag 5.
Den 24. februar 2022 modtog Datatilsynet Tiltalte P/S' udta-lelse i sagen, som er vedlagt som bilag 6.
Den 3. marts 2022 anmodede Datatilsynet på ny Tiltalte P/S om en udtalelse i sagen, hvor Datatilsynet bl.a. anmodede om at få tilsendt stillbilleder af de overvågede områder. Tiltalte P/S fremkom den 15. marts 2022 med en udtalelse i sagen, herunder med et stilbillede fra et herretoiletområde. På billedet ses det, at kameraet filmede toiletområdet, hvor der er en håndvask og et urinal, samt døren ind til en toiletbås. Datatil-synets brev af 3. marts 2022 er vedlagt som bilag 7, og Tiltalte P/S' udtalelse af 15. marts 2022 inkl. stillbillede er vedlagt som bilag 8.
2. Uddybende beskrivelse af sagen
Det fremgår af Tiltalte P/S' udtalelser i sagens bilag 6 og 8, at Tiltalte P/S omkring 201812019 til 2022 har haft opsat
side 4
overvågningskamera på i alt fire toiletområder i indkøbscentret Indkøbscenter ApS i form af kuppelkameraer.
Baggrunden for opsætningen af kameraerne har været, at centret I årene 2018 og 2019 oplevede gentagende episoder med hærværk på toiletmøbler samt tyveri af armatur og specialfremstillede vaske. Formålet med opsætnin-gen har været at skabe tryghed for centrets kunder og hindre hærværk og øv-rig kriminalitet på toiletterne. På tidspunktet for opsætning af overvågning på toiletområderne og henset til oplevelserne med gentagende kriminalitet, fandt Tiltalte P/S det nødvendigt med indgribende foranstaltninger i form af tv-overvågning. Tiltalte P/S har oplyst, at antallet af sager med hærværk og tyveri på toiletterne faldt markant efter kameraer-nes opsætning.
Tiltalte P/S har anført, at opsætningen er sket med hjemmel i bl.a. databeskyttelsesforordningens artikel 6, stk. 1, litra f. Tiltalte P/S har endvidere vurderet, at opsætningen har været nødvendig og I overensstemmelse med princippet om dataminimering, særlig henset til at ka-meraerne har været vinklet, så de filmede området omkring håndvaskene.
I alt har der været opsat fire kameraer, hvoraf to af dem blev nedtaget efter klagers henvendelse til centret i september 2021. Tiltalte P/S konstaterede desuden på tidspunktet for Datatilsynets høring i marts 2022, at det tredje kamera var defekt. Det fjerde kamera blev i marts 2022 nedtaget og udskiftet med en attrap for at bevare den præventive effekt. Samtlige fire kameraer er således taget ned og/eller erstattet med attrapper, og de opsatte attrapper er blevet flyttet, så de nu er umiddelbart uden for indgangen til toi-letområderne.
Tiltalte P/S har i sagens bilag 8 oplyst, at der var opsat en teknisk løsning med et sort felt ved at fjerne alle pixels fra det sted. hvor uri-nalet på det ene herretoiletområde blev filmet.
Området uden for urinalet kunne ses på overvågningsbillederne, herunder u-middelbart også, hvis der stod en person foran urinalet. Der blev således også tv-overvåget indgangene til de enkelte båse, dog således at hvis døren til bå-sen var lukket kunne kameraet ikke filme ind på eller i selve toiletbåsen.
3. Datatilsynets vurdering af sagen
Datatilsynet lægger til grund, at Tiltalte P/S har haft opsat tv-overvågning på fire toiletområder i indkøbscentret Indkøbscenter ApS i perioden 201812019 til 2021/2022. Datatilsynet lægger endvidere til grund, at Tiltalte P/S i forbindelse med tv-overvågning af i hvert fald et af toi-letområderne i centret havde indarbejdet en teknisk løsning ved at fjerne alle pixels fra det område, som omfattede urinalet på herretoiletområdet. således al selve urinalet ikke fremgik af overvågningsoptagelserne.
Det følger af databeskyttelsesforordningens artikel 5. stk. 1, litra c, at den
side 5
dataansvarlige bl.a. skal sikre, at personoplysninger er tilstrækkelige, relevan-te og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (princippet om dataminimering).
Datatilsynet finder, at der ikke er grundlag for al tilsidesætte Tiltalte P/S' vurdering af. at behandling af personoplysninger kunne ske med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra f. Datatil-synet har herved lagt vægt på, at Tiltalte P/S har oplyst, al selskabet forfulgte en legitim interesse {al opklare og forebygge kriminalitet) på baggrund af konkrete gentagende episoder med kriminalitet på toiletområ-derne i form af hærværk på bl.a. toiletmøbler og tyveri af armatur og vaske.
Datatilsynet finder imidlertid, at Tiltalte P/S' behandling af personoplysninger ved tv-overvågningen på mindst et af toiletområderne ikke har levet op til princippet om dataminimering i databeskyttelsesforordningens artikel 5, stk. 1, litra c.
Datatilsynet har herved lagt vægt på, at Tiltalte P/S ikke i tilstrækkelig grad har begrænset tv-overvågningen på kameraet, hvorved der for arealet omkring urinalet på toiletområdet blev filmet et større område, end hvad der var relevant og begrænset til, hvad der var nødvendigt i forhold til formålet med overvågningen. Efter Datatilsynets vurdering har den påsatte sorte markering på kameraet således ikke i tilstrækkelig grad sikret, at de re-gistrerede ikke blev filmet i forbindelse med benyttelse af urinalet. Selv om tv-overvågningen skete i et lokale, hvortil der var fri adgang, og hvor der og-så færdedes andre personer, så er det Datatilsynets opfattelse, at oplevelsen af at blive filmet i forbindelse med et toiletbesøg - som må anses for en privat situation - er indgribende og grænseoverskridende i forhold til den enkeltes privatsfære.
Datatilsynet bemærker, at tilsynet ikke har taget stilling til eventuelle forhold omfattet af tvovervågningsloven, herunder spørgsmålet om (særskilt) skilt-ning ved indgangen til toiletområdet, da det er forhold, som hører under poli-tiets kompetence.
Datatilsynet har endvidere ikke kompetence til at tage stilling til, om der eventuelt også måtte være tale om overtrædelse af bestemmelser i straffelo-ven. Datatilsynet henviser i den forbindelse til, at følgende fremgår af forar-bejderne til lov nr. 1016 om ændring af lov om forbud mod privates tv-over-vågning af 23. december 1998.
” ( .,) noterer udvalget sig (med tilfredshed), at justitsministeren over for udvalget har til-kendegivet, at tv-overvågning af toiletter. baderum og lignende vil være i strid med straf-felovens§ 264 a om uberettiget fotografering af personer på et ikke frit tilgængeligt sted eller § 232 om blufærdighedskrænkelse”
4.Sanktion
side 6
4.1. Valg af sanktion
Datatilsynet foretager altid en konkret vurdering af sagens grovhed i medfør af databeskyttelsesforordningens artikel 83, stk. 2, ved vurderingen af hvil-ken sanktion der efter tilsynets opfattelse er den korrekte.
Overtrædelse af databeskyttelsesforordningens artikel 5, stk. 1, litra c, straf-fes med bøde, jf. databeskyttelseslovens § 41, stk. 1, nr. 4, jf. stk. 6, jf. data-beskyttelsesforordningens artikel 83, stk. 5, litra a.
Datatilsynet har ved vurderingen af sanktion lagt vægt på, at der er tale om en overtrædelse af forordningens grundlæggende principper for behandling af personoplysninger, at der er tale om overvågning af potentielt et meget stort antal registrerede at overvågningen er foregået over en længere tidsperiode, og at det er en meget privat situation at benytte sig af et urinal.
Hertil kommer, at besøgende kun blev oplyst om overvågning i centret gene-relt ved indgangene til centeret og ikke særskilt ved indgangene til toiletom-råderne, hvorved besøgende ikke har kunnet indrette deres adfærd på at blive overvåget i en toiletsituation.
Datatilsynet henviser i den forbindelse til del Europæiske Databeskyttelses-råds (EDPB) retningslinjer 3/2019 om brug af videoudstyr til behandling af personoplysninger, hvor følgende er anført:
"36, Ifølge betragtning 47 skal der foretages en omhyggelig vurdering af om der foreligger en leg lim interesse Dette skal omfatte den registreredes rime 1ge forventninger på det på-gældende tidspunkt i sammenhæng med den behandling af vedkommendes personoplys-ninger, der foretages. Ved systematisk overvågning kan relationen mellem den registrere-de og den dataansvarlige være ret forskellig og kan have betydning for, hvilke rimelige forventninger den registrerede kan have. Fortolkningen af begrebet rimelige forventninger bør ikke alene baseres på de pågældende subjektive forventninger. Det afgørende kriterium skal snarere være, om en objektiv tredjemand med rimelighed kan forvente og konkludere at være underkastet overvågning i denne konkrete situation.
37 · F,eks forventer en arbejdstager som regel ikke at blive overvåget på arbejdsstedet af sin arbejdsgiver. Man bør heller ikke kunne forvente at blive overvåget i sin egen have, i be-boelsesområder eller i undersøgelses- og behandlingsrum. Tilsvarende er det ikke rimeligt at forvente overvågning i sanitære faciliteter eller en sauna - overvågning af så- danne om-råder er et stærkt indgreb I den registreredes rettigheder. De registreredes rimelige for-ventninger er. at der ikke er videoovervågning i sådanne omgivelser. På den anden side vil en bankkunde måske forvente at blive overvåget i banken eller ved pengeautomaten
38. Registrerede kan også forvente al være fri for overvågning på offentlige områder, navnlig på områder, der typisk anvendes til rekreative formål og fritidsaktiviteter, og på steder, hvor enkeltpersoner opholder sig og/eller kommunikerer, som f.eks. i siddeområ-der, ved borde i restauranter, i parker, biografer og fitnesscentre. Her vil den registreredes interesser eller rettigheder og frihedsrettigheder ofte gå forud for den dataansvarliges legi-time interesser.
39. Eksempel: På toiletter forventer registrerede ikke at blive overvåget. Videoovervågning for f.eks. at forebygge ulykker er ikke forholdsmæssig."
Efter Datatilsynets opfattelse kan en objektiv tredjemand ikke med rimelig-
side 7
hed forvente at blive udsat for tv-overvågning ved benyttelse af et urinal, hvor der vil være en vis grad af forventning om uforstyrret privatliv.
4.2. Bødestørrelse
4.2.1. Generelle betragtninger om bødeudmålingen
I relation til bødeniveauet bemærkes indledningsvist generelt om bødeudmå-lingen i sager om overtrædelse af databeskyttelsesreglerne, at der som følge af det betydelige maksimale bødebeløb i forordningen lægges op til en væ-sentlig forøgelse afbødeniveauet for overtrædelser af forordningens bestem-melser i forhold til, hvad overtrædelser af den nu ophævede persondatalov blev takseret til.
Det fremgår således af databeskyttelsesforordningens artikel 83, der søger at harmonisere bødeudmålingen ved at kategorisere de mulige overtrædelser ef-ter alvorlighed og fastsætte et bødemaksimum på henholdsvis 10.000.000 EUR/ 2% af den globale omsætning og 20.000.000 EUR/ 4% af den globale omsætning, at der fra EU-lovgivers side er et ønske om et bødeniveau, der er betydeligt højere end det, som tidligere har været tilfældet i dansk retspraksis efter den nu ophævede persondatalov.
Af de almindelige bemærkninger til databeskyttelsesloven6 (L68), afsnit 2.8.3.7 fremgår følgende:
"Endvidere fremgår det af forordningens artikel 83, stk. 9, at bøder under alle om-stændigheder skal være effektive og stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
Justitsministeriet finder på denne baggrund - og som følge af det betydelige maksi-male bødebeløb i forordningen - at der med lovforslaget bør lægges op til en væsent-lig forøgelse al bødeniveauet for overtrædelser af forordningens bestemmelser i for-hold til, hvad overtrædelser af persondataloven i dag takseres til, jf. herom afsnit 2.8 1.4.
I forhold til det nuværende bødeniveau efter persondataloven finder Justitsministeriet så- ledes, at bødeniveauet bør forhøjes væsentligt for overtrædelser, hvor strafsank-tioneringen beror på forordningens artikel 83, stk. 9, jf. stk. 4-6, jf. også betænknin-gen, s. 926f."
Ifølge databeskyttelsesforordningens artikel 83, stk. 5, litra a straffes over-trædelse af de grundlæggende principper for behandling, herunder artikel 5, stk. 1, litra c, med administrative bøder på op til 20.000.000 EUR, eller hvis det drejer sig om en virksomhed, med op til 4% af dens samlede globale årli-ge omsætning.
I det følgende tages der udgangspunkt i Datatilsynets bødeberegningsmodel som fremgår af Datatilsynets hjemmeside "Bødevejledning - Udmåling af bø-der til virksomheder". Vejledningen er blevet til i samarbejde med Rigsadvo-katen og Rigspolitiet og baserer sig på tilsvarende europæiske retningslinjer.
side 8
Det fremgår her, at bødeudmålingen overordnet tager hensyn til to forhold: 1) Overtrædelsens alvor, karakter og varighed, herunder andre skærpende og formildende omstændigheder, og 2) virksomhedens økonomiske forhold, som kan have en betydning for, hvornår bødens størrelse er proportional i forhold til overtrædelsens grovhed, særligt henset til den indvirkning bøden vil have på den pågældende virksomheds økonomi.
Databeskyttelsesforordningen fastsætter et bødeloft på ca. 75.000.000 kr. (artikel 83, stk. 4)/150.000.000 kr. (artikel 83, stk. 5) - det statiske bødeloft
- for virksomheder med en nettoomsætning på op til og med 3.750.000.000 kr.7 Bødeloftet for virksomheder med en nettoomsætning derover er hhv. 2% og 4% af nettoomsætningen (del dynamiske bødeloft).
I arbejdet med bødeudmålingen, tages der udgangspunkt i et grundbeløb fast-sat på baggrund af en generel vurdering af overtrædelsens alvor. Det sker ud fra en vurdering af bestemmelsens grovhed, dens plads i databeskyttelsesfor-ordningen og det underliggende mål, som bestemmelsen søger at beskylle. Grundbeløbet for en overtrædelse af artikel 5 er eksempelvis fastsat til 15.000.000 kr. - hvilket svarer til 10% af bødeloftet.
Som del er tilfældet inden for konkurrenceretten, har Datatilsynet, Rigsadvo-katen og Rigspolitiet i lyset af den ovenfor nævnte proportionalitetsbetragt-ning fundet, at bødens størrelse bør kunne justeres i forhold li1 virksomhe-dens størrelse med henblik på at imødekomme forordningens krav om, at bø-derne skal være effektive, afskrækkende og proportionelle og for samtidig at undgå en skævvridning i, hvordan bøderne rammer virksomheder af forskel-lig størrelse.
Europa-Kommissionen har udarbejdet en definition af mikro-, små og mel-lemstore virksomheder (SMV'er) 0, hvoraf det fremgår, at virksomheder med en nettoomsætning, der ikke overstiger 15.000.000 kr. defineres som mikro-virksomheder, fil virksomheder med en nettoomsætning, der ikke overstiger 75.000.000 kr. defineres som små virksomheder, og at virksomheder med en nettoomsætning, der ikke overstiger 375.000.000 kr. defineres som mellem-store virksomheder. De angivne beløb svarer til hhv. 0,4%, 2% og 10% af de 3.750.000.000 kr., som udgør skellet mellem de store virksomheder med det statiske bødeloft og de meget store virksomheder med det dynamiske bøde-loft.
Da grundbeløbet er fastsat i forhold til de store virksomheder med en netto-omsætning på op til 3.750.000.000 kr., som er udgangspunktet i forordnin-gen, vil der med den nye bødeberegning blive lagt op til, at grundbeløbet kan justeres ned til henholdsvis 0,4%, 2% og 10% for SMV'er.
Når det er angivet, at bøden kan justeres ned til et lavere beløb, og der ikke er angivet et fast lavere grundbeløb, hænger det sammen med, at der er flere ting, der indgår i vurderingen af, hvor tungt virksomhedens økonomi skal
side 9
vægte i bødeudmålingen. Det indgår således, at jo lavere en nettoomsætning, virksomheden har, desto større effekt vil en høj bøde have på virksomhedens økonomi. Endvidere indgår det, at overtrædelser generelt set kan antages at have en mindre effekt på markedet, jo mindre virksomheden er, og i særde-leshed jo mindre markedsandel virksomheden har. Begge disse forhold skal således vægtes i vurderingen af, i hvilket omfang grundbeløbet kan nedjuste-res.
Når grundbeløbet er fastlagt ud fra overtrædelsens generelle alvor og eventu-elt justeret i forhold til virksomhedens økonomiske forhold, kan der justeres for overtrædelsens konkrete alvor og øvrige formildende og skærpende om-stændigheder.
Når virksomhedens størrelse skal bestemmes, er det dermed væsentligt at kigge på virksomhedens nettoomsætning i det foregående regnskabsår.
Den 28. juli 2021 traf Det Europæiske Databeskyttelsesråd (EDPB) en bin-dende afgørelse vedrørende WhatsApp EDPB anførte i afgørelsen blandt an-det, al EU-Domstolen, for så vidt angår betegnelsen "foregående regnskabs-år", som der henvises til i databeskyttelsesforordningens artikel 83, stk. 5, på konkurrencerettens område har præciseret, at Europa-Kommissionens dele-gerede kompetencer til at pålægge virksomheder bøder, herunder fastsættelse af bødens maksimumstørrelse, skal beregnes på baggrund af nettoomsætnin-gen i det foregå- ende år forud for Europa-Kommissionens afgørelse. Data-beskyttelsesforordningen er for en stor del bygget på de samme principper som inden for konkurrenceretten, og der drages flere steder, blandt andet i præambelbetragtning 150, paralleller til konkurrenceretten. EDPB fandt såle-des, at den endelige beregning af bødens maksimumstørrelse skal ske ved at anvende nettoomsætningen i det foregående regnskabsår, der skal beregnes ud fra datoen for tilsynsmyndighedens endelige afgørelse.
Datatilsynet har drøftet denne bindende afgørelse med Rigsadvokaten med henblik på at få klarlagt, hvad dette betyder i en dansk kontekst, hvor det som bekendt ikke er tilsynsmyndigheden. der træffer endelig afgørelse om bøde.
Ud fra en betragtning om. at bøden skal være effektiv, afskrækkende og pro-portional er Datatilsynet og Rigsadvokaten umiddelbart enige om, at det se-nest reviderede regnskabsår i forhold til domsafsigelsen vil give det mest ret-visende billede af virksomhedens aktuelle økonomiske forhold, og dermed gi-ve det bedste grundlag for vurderingen af, hvilket bødeniveau, der vil være effektivt, have en afskrækkende virkning og være proportionalt.
På denne baggrund fortolkes databeskyttelsesforordningens artikel 83, stk. 5, herefter på den måde, at en bøde beregnes på baggrund af det regnskabsår, der ligger forud for den endelige dom. Dette betyder samtidig, at der kan bli-ve behov for en ny beregning, hvis der fremkommer et nyt regnskab inden sa-
side 10
gen afgøres endeligt ved dom eller en afsagt dom ankes.
4.2.2. Bødeindstilling
I nærværende sag er overtrædelsen omfattet af databeskyttelsesforordningens artikel 83. stk. 5, og er en "Kategori 5"-overtrædelse, jf. Datatilsynets Bøde-vejledning, idet der er tale om en overtrædelse af grundprincipperne i data-beskyttelsesforordningens artikel 5.
Det fremgår heraf, al standardgrundbeløbet for en kategori 5-overtrædelse er 15 mio. kroner.
Tiltalte P/S' nettoomsætning for 2021 er ifølge virksomhedens årsrapport (offentliggjort på virk.dk) på i alt 882.000.000 kr. Tiltalte P/S årsrapport fra 2021 er vedlagt som bilag 9.
Det fremgår af skema 4 i Bødevejledningen, at virksomheder med en netto-omsætning, der ligger over 375 mio. kr., men under 3,75 mia. kr., klassifice-res som store virksomheder. For overtrædelser omfattet af kategori 5, bety-der det, at standardgrundbeløbet på 15 mio. kroner ikke kan nedjusteres på baggrund af virksomhedens størrelse.
Herefter kan der foretages en justering af bødens størrelse på baggrund af en konkret vurdering af overtrædelsens karakter, alvor og varighed, jf. artikel 83, stk. 2, litra a.
Datatilsynet har på denne baggrund foretaget en vurdering af ud fra vurde-ringskriterierne i artikel 83, stk. 2, således som sagen nu er oplyst.
Ved vurderingen har Datatilsynet på den ene side lagt vægt på, fil der er tale om en overtrædelse af forordningens grundlæggende principper for behand-ling af personoplysninger, at der er tale om overvågning af potentielt et me-get stort antal registrerede, at overvågningen er foregået over en længere tidsperiode, og fil det er en meget privat situation at benytte sig af et urinal. Datatilsynet har dog samtidig også lagt vægt på, at Tiltalte P/S har gjort sig bestræbelser på at dataminimere ved at indsætte en sort markering på overvågningsoptagelserne Datatilsynet finder herefter, al en bø-de på ikke under 350.000 kr. umiddelbart vil være passende.
..."
Rettens begrundelse og afgørelse
Retten finder indledningsvist, at anklageskriftet opfylder betingelserne i rets-plejelovens § 834.
Tiltalte har erkendt at have opsat et kuppel kamera på toilettet, som anført i anklageskriftet.
På stillfotos fra kameraet ses hele området på toilettet herunder området u-middelbart foran urinalet.
side 11
Alene selve urinalet er blokeret af en sort firkant.
Tiltalte har gjort gældende, at det har været nødvendigt at sætte kameraer op på grund af hærværk og hertil fremlagt foto af hærvær og tyveri af blandings-batterierne ved håndvaskene fra 2023.
Tiltalte har ingen forklaring på, hvorfor personer der benytter urinalerne fil-mes.
Tiltalte har ingen forklaring på, hvorfor der ikke er særskilt skiltning ved toi-letterne om at disse videoovervåges.
Retten finder herved, at tiltalte har filmet et større område end, hvad der var relevant og ikke begrænset til, hvad der var nødvendigt i forhold til formålet med overvågningen, samt at have foretaget tv-overvågning af offentligt toilet men undladt af skilte med, at der var tv-overvågning på toiletterne.
Tiltalte findes herved skyldig i overensstemmelse med anklageskriftet.
Straffen fastsættes til en bøde på 350.000 kr., jf. databeskyttelsesforordnin-gens artikel 5, stk. 1, litra c, jf. databeskyttelseslovens § 41, stk. 1, nr. 4, jf. stk. 6, jf. databeskyttelsesforordningens artikel 83, stk. 2, og stk. 5, litra a, jf. stk. 9, samt Tv-overvågningslovens § 5, stk. 1, jf. § 3, stk. 1.
Retten har ved fastsættelse af bøden lagt vægt på, at der er tale om en over-trædelse af forordningens grundlæggende principper for behandling af perso-noplysninger, at der er tale om overvågning af potentielt et meget stort antale personer, at overvågningen foregået over en længere tidsperiode, og at det er en meget privat situation at benytte sig af et urinal, samt tiltaltes økonomiske forhold. Bøden er derfor fastsat i henhold til Datatilsynets indstilling.
Thi kendes for ret:
Tiltalte P/S skal betale en bøde på 350.000 kr.
Tiltalte skal betale sagens omkostninger.
Dommer
side 12