Kommune idømt bøde på 50.000 kr. for brud på GDPR ved manglende adgangskontrol til følsomme personoplysninger

Tiltalte Kommune blev tiltalt for overtrædelse af Databeskyttelsesforordningen (GDPR), da kommunen som dataansvarlig ikke havde implementeret tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger for at beskytte personoplysninger.

Sagens kerne

I perioden fra 25. maj 2018 til november 2018 havde kommunens Center for Børn og Unge uploadet 21 indstillingsskemaer til kommunens medarbejderportal. Disse skemaer, sammen med ældre skemaer uploadet før GDPR's ikrafttræden, indeholdt følsomme personoplysninger om i alt 452 borgere, heraf 402 mindreårige. Oplysningerne omfattede:

• Personnumre
• Helbredsoplysninger (fysiske og psykiske lidelser)
• Oplysninger om strafbare forhold
• Etnicitet og seksuel orientering
• Økonomiske forhold

Sikkerhedsbristen

Problemet bestod i, at der ikke var etableret tilstrækkelig adgangskontrol til medarbejderportalen. Dette medførte, at alle kommunens medarbejdere teoretisk set kunne tilgå de følsomme oplysninger, uanset om de havde et arbejdsbetinget behov. Derudover blev der ikke ført log over, hvem der tilgik oplysningerne, hvilket skabte en unødigt høj risiko for de registrerede borgeres rettigheder.

Sikkerhedsbristen blev opdaget i november 2019, hvorefter hændelsen blev indberettet til Datatilsynet, og de pågældende dokumenter blev fjernet fra portalen.

Parternes holdning

Kommunen erkendte sig skyldig, men var uenig i bødens størrelse på 50.000 kr. Kommunen anførte, at adgangen for de fleste medarbejdere kun var teoretisk, og at der ikke var bevis for, at nogen uvedkommende rent faktisk havde tilgået oplysningerne.

Anklagemyndigheden, på vegne af Datatilsynet, fastholdt bødekravet og henviste til overtrædelsens alvorlige karakter, mængden af følsomme data og den manglende logning som en skærpende omstændighed.

Tiltalte Kommune blev fundet skyldig i overtrædelse af databeskyttelsesreglerne og idømt en bøde på 50.000 kr. samt pålagt at betale sagens omkostninger.

Rettens begrundelse

Retten lagde vægt på kommunens ubetingede tilståelse, som blev understøttet af de øvrige oplysninger i sagen. Ved strafudmålingen blev der lagt særlig vægt på flere skærpende omstændigheder:

• Omfang og karakter: Sagen involverede en stor mængde meget følsomme personoplysninger.
• Et betydeligt antal borgere, herunder mange mindreårige, fik deres oplysninger eksponeret.