Tiltale for overtrædelse af Databeskyttelseslovens § 8, stk. 4, jf. stk. 3, jf. § 41, stk. 2, nr. 1, jf. stk. 6, jf. stk. 3, jf. databeskyttelsesforordningens artikel 83, stk. 2 og stk. 5, litra a, jf. stk. 9. Påstand om erstatning

RETTEN  I  HJØRRING

D O M

*) afsagt den 6. december 2024

Rettens nr. 1980/2023

Politiets nr. 5100-84266-00005-22

Anklagemyndigheden

mod

Tiltalte ApS CVR nr.

Anklageskrift er modtaget den 15. juni 2023.

Tiltalte ApS er tiltalt for overtrædelse af:

Databeskyttelseslovens § 8, stk. 4, jf. stk. 3, jf. § 41, stk. 2, nr. 1, jf. stk. 6, jf. stk. 3, jf. databeskyttelsesforordningens artikel 83, stk. 2 og stk. 5, litra a, jf. stk. 9 - ved den 27. januar 2020 som dataansvarlig uberettiget at have videregivet oplysninger om strafbare forhold om Forurettede, idet tiltalte i e-mail til virksomhedens kunder oplyste om, at Forurettede havde begået underslæb mod tiltalte, uagtet at Forurettede ikke havde givet samtykke til videregivelsen af oplysningerne, og uagtet at hensynet til tiltaltes interesser for videregivelse af de strafbare oplysninger ikke klart oversteg hensynet til Forurettedes interesse i hemmeligholdelse af oplysningerne.

Påstande

Anklagemyndigheden har nedlagt påstand om straf.

Tiltalte ApS har nægtet sig skyldig.

Forurettede har nedlagt påstand om erstatning på 597.259 kr.

Tiltalte ApS har bestridt erstatningspligten og kravets størrelse.

Sagens oplysninger

Person 1 har på vegne Tiltalte ApS forklaret blandt andet, at han i dag er direktør og

ejer af Tiltalte ApS. Han købte Vidne ud af firmaet fra januar 2023. Da mailen til kunderne blev sendt ud i januar 2020, var han en del af ejerkredsen, om end hans ejerandel var uden stemmeret. Hans titel var partner. Foreholdt at det af bilag 1,8 er registreret ved Erhvervsstyrelsen, at han på det pågældende tidspunkt havde stemmeret, har han forklaret, at det i givet fald er registreret forkert, da alt andet ville være i strid med reglerne, eftersom han på det tidspunkt ikke havde autorisation. I januar 2020 var han steget i graderne internt, men han havde ikke adgang til at godkende betalinger, da det kun var Vidne, som var tegningsberettiget.

Der havde tidligere været en tilsvarende sag med Forurettede, som derfor var udtrådt af ejerkredsen. Dengang var Forurettede ikke blevet anmeldt, idet de havde indgået et forlig. De blev igen opmærksomme på, at Forurettede havde påført sit eget kontonummer, når der blev faktureret til kunder, ligesom han havde manipuleret flere steder i systemet, således at det internt så ud til, at kunden var blevet faktureret.

Det er afhørte, som har forfattet mailen, og hans kontorassistent Person 2 sendte den efter hans instruks ud til de kunder, som Forurettede havde været involveret med. Der var flere kunder, som kontaktede dem og spurgte til Forurettede, og de havde indtil da sagt, at han var syg. Han antager, at Forurettede havde omkring 10 kunder, som han havde alene. Han mindes ikke, at der blev givet besked til andre kunder. Det blev sendt via blandt andet Gmail. Han havde i den periode en løbende dialog med Forurettede for at få opgjort størrelsen på underslæbet. Vidne hørte først om mailen, efter den var afsendt. Han spurgte Vidne, om han skulle lægge mailen på Facebook, hvilket Vidne afviste. Han husker ikke, om Vidne havde kommentarer til, at mailen var blevet sendt.

Det var nødvendigt at orientere kunderne om, at Forurettede var stoppet. I forbindelse med opgørelsen fandt de ud af, at Forurettede havde optaget lån ved flere kunder, og derfor følte de, at de havde en interesse i at orientere kunderne om, at Forurettede havde begået underslæb. Det var vigtigt, at kunderne blev advaret, så de ikke selv kunne blive udsat for noget kriminelt i fremtiden. Forurettede var endnu ikke dømt på det tidspunkt, men det tænkte han ikke over, da Forurettede allerede havde erkendt, at han havde begået underslæb.

Forurettede startede op som selvstændig konsulent efterfølgende, og der var derfor en risiko for, at han kunne tage kunder med sig. Mailen mindskede risikoen for dette. Forurettede vidste, at der ville blive sendt en mail til kunderne, men han var ikke involveret i mailens indhold. Han tror, at Forurettede blev informeret dagen forinden, så Forurettede kunne nå at fortælle det til sin familie. Der var en reception få dage efter mailen blev sendt, idet de netop havde åbnet nyt kontor. De ønskede, at kunderne inden receptionen vidste, hvorfor Forurettede ikke var der.

Forurettede har som vidne forklaret blandt andet, at han blev afskediget fra Tiltalte ApS på et møde omkring den 20. januar 2020, hvor Person 1, Vidne og Person 3 deltog. Han er blevet dømt i forhold vedrørende virksomheden men ikke for forhold begået mod kunder. På mødet aftalte de, at han skulle deltage i receptionen, hvor han selv kunne tale med kunderne. Han hørte første gang om mailen i starten af februar 2020 fra en kunde, som han senere fik fra Tiltalte ApS. Han havde efter mødet den 20. januar 2020 en løbende dialog via mail, telefonopkald og Messenger beskeder med Person 1. Han mindes ikke, at Vidne var involveret. Han var meget optaget af, om han blev politianmeldt, hvorfor han gjorde meget for at føje Tiltalte ApS.

Han anmeldte det til Datatilsynet to år senere. Han havde indtil da håbet, at det kunne løses i mindelighed. Han føler sig dårligt behandlet af fra Tiltalte ApS. Han modtog ikke selv en kopi af mailen, men han har set den fra en kunde. Kunderne havde spørgsmål til ham som følge af mailen, og de havde betænkeligheder ved at bruge ham. Da han standsede ved Tiltalte ApS havde han omkring 100-150 kunder. Der var flere kunder, som revisorerne havde sammen. Han havde ca. 25-30 kunder, som han var helt alene på. Han går ud fra, at mailen er sendt til alle kunder. Han har også hørt fra nogle kunder, som var fælleskunder, og som havde modtaget mailen. Det er blandt andet Person 4 fra Virksomhed.

Han startede efterfølgende eget revisionsfirma, og der har været flere tilfælde, hvor kunder har afvist at bruge ham, ligesom nogle banker har afvist, at deres kunder benytter ham som revisor. Der går mange vilde rygter om ham, som er startet af Tiltalte ApS.

Vidne har som vidne forklaret blandt andet, at han stiftede Tiltalte ApS med Forurettede. Forurettede var ikke autoriseret, så derfor var han heller ikke stemmeberettiget. Forurettede misbrugte kort tid efter selskabets dankort. I 2016 kom Person 1 til selskabet på Forurettedes foranledning. Forurettede og Person 1 var gamle skolekammerater. 2018 havde Forurettede for begået underslæb, men Forurettedes far skaffede 700.000 kr., og de indgik et forlig, hvor Person 1 købte Forurettedes anpart, og hvor de undgik at anmelde Forurettede til politiet. I 2020 var han stadig den eneste statsautoriserede revisor i selskabet, da Forurettede havde dumpet flere statsautorisationseksamener. Vidnet var derfor fortsat direktør og eneste tegningsberettigede. I 2020 blev det konstateret, at Forurettede igen havde begået underslæb.

Han deltog i et møde i Hjørring, men derudover havde han ikke efterfølgende en dialog med Forurettede. På mødet blev det ikke drøftet, om kunderne skulle underrettes. Afhørte havde ti gange så mange stemmer, som de andre.

Foreholdt udskrift fra CVR-registret, har han forklaret, at hans ejerandel var omkring 11,11 %, men stemmeandelen var langt højere. Han havde selv 200 stemmer, og Person 1 havde 160 stemmer.

Han vidste ikke noget om den mail, som Person 1 sendte, og Person 1 orienterede ham først efterfølgende. Person 1 overvejede at lægge mailteksten på Facebook, hvilket afhørte sagde nej til.

Oplysninger til sagen

Af mail af 27. januar 2020 fra Person 2, med emnefelt ”Vigtig info fra Tiltalte ApS” , som er underskrevet Person 1, Partner og Revisor, Cand.Merc.Aud fremgår:

”…

Kære kunde,

Vi i Tiltalte ApS har desværre konstateret, at Forurettede har begået underslæb mod Tiltalte ApS.

Forurettede er derfor omgående bortvist fra Tiltalte ApS indtil vi kender sagens omfang.

…”

Det fremgår af årsrapport for 2021/2022, at nettoomsætningen i Tiltalte ApS i 2021/2022 var 5.437.000 kr.

Tiltalte ApS har ved advokat Nikolaj Jalili-Trudslev indleveret procesindlæg af 9. september 2024.

Rettens begrundelse og afgørelse

Det lægges til grund, at Person 1 ved Person 2 den 27. januar 2020 fremsendte e-mails til flere af Tiltalte ApS' kunder med oplysning om, at Forurettede var bortvist, da han havde begået underslæb mod Tiltalte ApS. E-mailen er afsendt fra Tiltalte ApS med Person 1's signatur, hvori det er angivet, at han er partner. E-mailen indeholder personlige oplysninger om strafbare forhold omfattet af databeskyttelseslovens § 8, og det lægges efter bevisførelsen til grund, at Forurettede ikke havde samtykket til videregivelsen. Selskabet er dataansvarlig for behandlingen af personoplysningerne, jf. databeskyttelsesforordningens art. 2, stk. 1 og art. 4.

Tiltalte ApS har i retten gjort gældende, at Tiltalte ApS ikke er rette tiltalte, idet e-mailen blev afsendt fra Person 1, som ikke var direktør eller tegningsberettiget, og uden at uden Vidne havde

kendskab til e-mailen. Tiltalte ApS har samtidigt gjort gældende, at videregivelsen var nødvendig af hensynet til varetagelse af selskabets private interesser. Retten finder på denne baggrund, sammenholdt med sagens oplysninger om Person 1's rolle, at Tiltalte ApS er rette strafsubjekt.

Retten finder efter en samlet vurdering af sagen, at videregivelsen af oplysningerne om Forurettedes private forhold ikke var nødvendige for at varetage Tiltalte ApS' legitime interesse i at orientere kunderne om, at Forurettede ikke længere var ansat. Det er ikke er godtgjort, at tiltaltes videregivelse af de private oplysninger skete for at varetage private interesser som klart oversteg hensynet til Forurettedes interesse i hemmeligholdelse.

Videregivelsen er herefter sket i strid med databeskyttelseslovens § 8, stk. 4, jf. stk. 3.

Tiltalte ApS er derfor skyldig i den rejste tiltale.

Straffen fastsættes til en bøde på 120.000 kr., jf. databeskyttelseslovens § 8, stk. 4, jf. stk. 3, jf. § 41, stk. 2, nr. 1, jf. stk. 6, jf. stk. 3, jf.

databeskyttelsesforordningens artikel 83, stk. 2 og stk. 5, litra a, jf. stk. 9.

Retten har ved fastsættelsen af bøden lagt vægt på selskabets nettoomsætning ved tiltalebegæring. Retten har endvidere lagt vægt på personoplysningernes karakter, den lidte skade for Forurettede og hans arbejdsliv i branchen, at videregivelsen er sket forsætligt, og at den er sket til flere kunder, jf. databeskyttelsesforordningens art. 83 og præambel 150 og 151.

Retten har nedsat bøden fra 150.000 kr. til 120.000 kr. som følge af den lange sagsbehandlingstid, som ikke findes at kunne bebrejdes Tiltalte ApS. Retten har herved lagt vægt på, at forholdet er begået den 27. januar 2020. Forurettede har fremsendt klage til Datatilsynet den 15. februar 2022, som den 2. december 2022 har anmeldt Tiltalte ApS til politiet. Retten har modtaget anklageskrift den 15. juni 2023 og berammet til hovedforhandling den 6. december 2024.

Retten har i medfør af retsplejelovens § 991, stk. 4, henvist Forurettedes erstatningspåstand til eventuelt civilt søgsmål.

Thi kendes for ret:

Tiltalte ApS skal betale en bøde på 120.000 kr.

Tiltalte skal betale sagens omkostninger.

Dommer

*) Berigtiget i medfør af retsplejelovens § 221 således, at "12. december 2024" ændres til "6. december 2024".

Retten i Hjørring, den 13. december 2024.

Dommer