Dom
UDSKRIFT
AF
ØSTRE LANDSRETS DOMBOG
____________
D O M
Afsagt den 19. februar 2025 af Østre Landsrets 18. afdeling
(landsdommerne Malou Kragh Halling, Lone Dahl Frandsen og Marta Warburg Schmidt (kst.).
18. afd. nr. S-2302-23:
Anklagemyndigheden
mod
Frederiksberg Kommune
(advokat Jakob Kamby ved advokat Martin Sønnersgaard i henhold til proceduretilladelse)
Dom afsagt af Retten på Frederiksberg den 16. august 2023 (3169/2023) er anket af ankla-gemyndigheden med påstand om skærpelse.
Frederiksberg Kommune har kontraanket med påstand om formildelse, subsidiært stadfæ-stelse.
Forklaringer
Der er for landsretten afgivet forklaring af Vidne 3.
Vidne 3 har forklaret bl.a., at hun er ansat som Stilling 3 i Frederiksberg Kommune. Hendes arbejde består i at koordinere og implementere den ind-satsplan, som kommunen har lagt på GDPR-området. Hun skal sikre, at juridiske doku-menter om persondatabeskyttelse i praksis implementeres i de enkelte afdelinger. Hun fo-retog indberetningen til Datatilsynet. Tandplejens it-system er en selvbetjeningsløsning,
- 2 -
der har til formål at give forældre adgang til at booke tid til tandlægen til deres børn og give dem adgang til journaloplysninger. Efter en afgørelse fra Ligebehandlingsnævnet æn-drede man i systemet, således at forældre, der ikke havde samme bopæl, også fik adgang dertil. De drøftede i den forbindelse forskellige risikoscenarier. De sikrede via en valide-ring med NemID, at kun forældre, der havde del i forældremyndigheden over barnet, kun-ne få adgang til systemet. I forbindelse med databruddet bad hun tandplejen om at redegøre for, hvad der var sket op til bruddet. Systemet havde eksisteret i nogle år på dette tids-punkt, og fokus havde været på systemets formål. De tænkte ikke navne- og adressebeskyt-telse ind på dette tidspunkt. Da Databeskyttelsesforordningen trådte i kraft, modtog de ska-beloner fra KL (Kommunernes Landsforening) til brug for de påkrævede risikovurderin-ger. Risikovurderingerne skulle udfyldes, således at de kunne identificere tværgående pro-blemer. Skabelonerne fra KL var generiske, så de kunne anvendes af 98 kommuner. Nav-ne- og adressebeskyttelse indgik ikke som en selvstændig del af skabelonerne, men der var en kategori vedrørende fortrolige oplysninger såsom sociale forhold. I 2019/2020 skruede de op for indsatsen, og der blev lavet nye risikovurderinger. Hun har siden 2018 undervist i de enkelte afdelinger, herunder også i tandplejen, og det er hendes opfattelse, at reglerne var svære at forstå for de enkelte medarbejdere i praksis. I 2018 begyndte kommunerne systematisk at indberette hændelser til Datatilsynet, og deres DPO (Data Protection Offi-cer) anbefalede dem at se på det kommunale risikokatalog for at identificere mulige risici. Risikokataloget indeholdt praktiske problemstillinger, som de udførende medarbejdere kunne relatere til. De har erfaring fra andre hændelser med navne- og adressebeskyttelse. De tog deres tidligere erfaringer med ind i risikovurderingerne, og det gjorde, at de opda-gede fejlen. Fejlen blev således ikke opdaget ved et tilfælde.
Kommunens DPO har siden 2018 lavet årlige tilsyn og udarbejder årligt en rapport, hvor risikovurderinger indgår. I 2018 vurderede DPO ’ en, at arbejdet var tilrettelagt tilfredsstil-lende. Året efter blev der samlet op, og der var også løbende drøftelser. De efterspurgte mere ambitiøst materiale til brug for udarbejdelse af risikovurderinger. De lavede work-shops i de enkelte afdelinger, og det var i forbindelse med en workshop i 2021 i tandplejen, at de opdagede fejlen. Opfølgning på risikovurderingerne bestod af fysiske møder med afdelingerne, hvor man italesatte risici, der byggede på egne men også andre kommuners fejl. De testede kun for kendte risici. De opdagede ikke fejlen i systemet i min tandpleje, da brevene vedrørende adressebeskyttelse ikke var en del af systemets hovedformål. Der var fokus på booking og lige adgang for forældremyndighedsindehaverne til journaloplysnin-
- 3 -
ger. Systemet blev endvidere ikke normalt anvendt til at sende breve til forældrene og in-deholdt derfor kun enkelte breve
Sagens oplysninger
Der er for landsretten dokumenteret en supplerende udtalelse fra Datatilsynet af 17. januar 2025.
Landsrettens begrundelse og resultat
Tiltalte, Frederiksberg Kommune, har erkendt overtrædelse af databeskyttelsesforordnin-gens artikel 32 ved i perioden fra den 25. maj 2018 til 1. marts 2021 at have givet adgang for begge forældremyndighedsindehavere til tandplejens breve indeholdende adresser i selvbetjeningsløsningen ”Min Tandpleje ” uden i det enkelte tilfælde at vurdere, hvorvidt de pågældende oplysninger måtte videregives til den anden forælder, hvilket medførte en risiko for, at der blev givet uberettiget adgang til oplysninger om den ene forælders og/eller barnets adresse, uagtet at denne havde navne- og adressebeskyttelse.
Sagen for landsretten angår alene strafudmålingen.
Efter databeskyttelsesforordningens artikel 83, stk. 9, skal bøder pålagt efter forordningen være effektive, stå i rimeligt forhold til overtrædelsen og have en afskrækkende virkning.
Ved pålæggelse af straf for overtrædelse af bl.a. databeskyttelsesforordningens artikel 32, skal forordningens artikel 83, stk. 2, følges, jf. databeskyttelseslovens § 41, stk. 3.
Ved vedtagelsen af databeskyttelsesloven er tilsigtet en væsentlig skærpelse af det hidtidi-ge bødeniveau efter den tidligere gældende persondatalov, og det fremgår bl.a. af lovens forarbejder, at bødeloftet for offentlige myndigheder er lavere end for private, hvorfor det også er forudsat, at forhøjelsen af bødeniveauet for offentlige myndigheder skal være lave-re henset til offentlige myndigheders særlige situation, hvorefter de efter lovgivningen er pålagt at varetage lovbestemte opgaver, der ikke uden videre i alle tilfælde blot kan stand-ses for derved at bringe en eventuel ulovlig tilstand til ophør. Det fremgår også, at der i hver enkelt sag skal tages behørigt hensyn til de oplistede hensyn i databeskyttelsesforord-ningens artikel 83, stk. 2.
- 4 -
Landsretten har – som byretten – ved fastsættelse af bødens størrelse lagt vægt på bl.a. de hensyn, der fremgår af databeskyttelsesforordningens artikel 83, stk. 2, og tiltræder det af byretten anførte herom. Landsretten har endvidere efter artikel 83, stk. 2, lagt vægt på, at overtrædelsen er begået ved simpel uagtsomhed, at Frederiksberg Kommune selv indberet-tede overtrædelsen og omfanget heraf til Datatilsynet, ligesom kommunen samarbejdede med tilsynet i den efterfølgende proces, at kommunen havde foretaget en forudgående risi-kovurdering, der imidlertid ikke identificerede overtrædelsen, og at kommunen som offent-lig myndighed ikke har opnået økonomiske fordele eller undgået tab som følge af overtræ-delsen.
Det er endvidere indgået, at bødestraffen skal fastsættes som en tillægsstraf til bødeforelæg af 2. maj 2022 pålydende 200.000 kr., jf. straffelovens § 89.
Landsretten tiltræder på denne baggrund og efter en samlet vurdering af sagens omstæn-digheder, at bøden passende kan fastsættes til 50.000 kr. Det anførte om sagsbehandlings-tiden kan ikke føre til et andet resultat henset til sagens karakter og kompleksitet.
Landsretten stadfæster herefter byrettens dom i det omfang, den er anket.
T h i k e n d e s f o r r e t :
Byrettens dom i sagen mod Frederiksberg Kommune stadfæstes.