Frederiksberg Kommune idømt bøde på 50.000 kr. for brud på GDPR vedrørende navne- og adressebeskyttelse

Sagen omhandler Frederiksberg Kommunes overtrædelse af databeskyttelsesreglerne i perioden fra 25. maj 2018 til 1. marts 2021. Kommunen blev dømt for ikke at have sikret personoplysninger tilstrækkeligt i et IT-system for den kommunale tandpleje.

Sagens kerne: Brud på navne- og adressebeskyttelse

Frederiksberg Kommune havde udviklet en selvbetjeningsløsning, "Min Tandpleje", hvor forældre kunne booke tider og se journaloplysninger for deres børn. Systemet gav begge forældremyndighedsindehavere adgang, men det tog ikke højde for tilfælde, hvor den ene forælder eller barnet havde navne- og adressebeskyttelse. Dette skabte en risiko for, at beskyttede adresser uberettiget kunne videregives til den anden forælder.

Kommunen erkendte at have overtrådt databeskyttelsesforordningens artikel 32 ved ikke at have implementeret passende tekniske og organisatoriske foranstaltninger til at beskytte personoplysningerne.

Kommunens GDPR-indsats og opdagelse af fejlen

Kommunen havde siden 2018 arbejdet systematisk med GDPR, blandt andet ved at anvende skabeloner fra KL (Kommunernes Landsforening) til risikovurderinger. Fejlen i tandplejesystemet blev dog ikke opdaget i de indledende risikovurderinger, da fokus primært var på systemets hovedformål (booking og journaladgang) og ikke på den specifikke risiko ved navne- og adressebeskyttelse.

Fejlen blev opdaget i 2021 under en workshop i tandplejen, som var en del af kommunens løbende opfølgning på GDPR-arbejdet. Opdagelsen var således et resultat af en systematisk indsats og ikke en tilfældighed.

Forløb i retssystemet

Sagen blev først afgjort ved Retten på Frederiksberg. Anklagemyndigheden ankede byrettens dom til Østre Landsret med påstand om en skærpelse af straffen. Frederiksberg Kommune kontraankede med påstand om formildelse. Sagen i landsretten handlede derfor udelukkende om straffens størrelse, jf. Databeskyttelsesloven § 41, stk. 3.

Østre Landsret stadfæstede byrettens dom i det omfang, den var anket. Landsretten fastsatte bøden til 50.000 kr. for Frederiksberg Kommunes overtrædelse af databeskyttelsesreglerne.

Landsrettens begrundelse for strafudmålingen

Landsretten lagde ved fastsættelsen af bødens størrelse vægt på hensynene i databeskyttelsesforordningens artikel 83, stk. 2. Sagen for landsretten angik udelukkende strafudmålingen, da kommunen havde erkendt overtrædelsen.

Formildende omstændigheder

Retten fremhævede flere formildende faktorer i sin vurdering: