Retten i Lyngby: Afgørelse om overtrædelse af Databeskyttelsesforordningen vedrørende opbevaring af personoplysninger

Rettens Afgørelse

Retten fandt, at Tiltalte A/S som dataansvarlig for behandling af personoplysninger i systemet Opera, senest i december 2017, blev opmærksom på, at personoplysninger omfattet af Databeskyttelsesforordningen artikel 6 blev opbevaret i længere tid end nødvendigt. Virksomhedens procedure for automatisk sletning af kundeprofiler var ikke indrettet til at understøtte automatisk sletning i alle relevante tilfælde.

Ved gerningsperiodens begyndelse den 25. maj 2018 valgte virksomheden forsætligt at opretholde den ulovlige opbevaring og undlod at indføre nedskrevne retningslinjer for manuel sletning, ligesom manuel sletning ikke blev iværksat på dette tidspunkt. Retten fandt det sandsynliggjort, at en fuldstændig sletning af alle kundeprofiler den 25. maj 2018 ville have været teknisk mulig, men kommercielt ødelæggende.

Selvom virksomheden fra gerningsperiodens begyndelse havde forsæt til at opretholde den ulovlige opbevaring, fandt retten det bevist, at virksomheden på dette tidspunkt ikke havde et fuldt overblik over omfanget af de ulovligt opbevarede personlige kundeprofiler. Efter vidneforklaringer blev det bevist, at omfanget af ulovligt opbevarede tidligere kundeprofiler lå på ca. 500.000. Hver profil indeholdt i al væsentlighed informationer om en identificerbar fysisk person, selvom ikke alle profiler nødvendigvis indeholdt navn, adresse, telefonnummer, e-mailadresse, besøgshistorik, pasoplysninger og præferencer for opholdet.

Retten fandt det bevist, at Tiltalte A/S først i september 2018 fik viden om det fulde omfang af ulovligt opbevarede personprofiler. Selvom virksomheden ikke indførte nedskrevne procedurer for manuel sletning, iværksatte den i september 2018 en begrænset manuel sletning, hvorefter den i november 2018 iværksatte den omfattende sletning, der medførte, at de ulovligt opbevarede kundeprofiler blev slettet (anonymiseret) i perioden efter december 2018.

Domfældelse og Strafudmåling

I dette omfang fandt retten Tiltalte A/S skyldig i overtrædelse af Databeskyttelsesforordningen artikel 83, stk. 2 og stk. 5, jf. stk. 9, jf. artikel 5, stk. 1, litra e, og stk. 2, hvilket er strafbart i dansk ret, jf. Databeskyttelsesloven § 41, stk. 1, nr. 4, jf. stk. 3 og stk. 6. Retten bemærkede, at bestemmelserne i den danske lovgivning burde have været citeret i anklageskriftet.

To dommere stemte for at tildele Tiltalte A/S en advarsel, hvorved straffen bortfalder, jf. Straffeloven § 83, 2. pkt.. En dommer stemte for at fastsætte straffen til en bøde på 175.000 kr. Dom blev afsagt efter stemmeflertallet.

Både flertallet og mindretallet tiltrådte principperne og beregningerne for udmåling, der fremgår af Datatilsynets notat af 27. januar 2022 vedrørende fastsættelse af bødeniveau. De lagde vægt på de samme skærpende og formildende forhold, som nævnt i notatet. Retten lagde i formildende retning tillige vægt på, at der var tale om en førstegangsovertrædelse af formel karakter, og at Tiltalte A/S efter opdagelsen har anvendt omfattende ressourcer på at rette op. Endelig lagde retten vægt på, at sagens behandlingstid har varet i mere end 3 år, uden at dette kunne tilskrives Tiltalte A/S' forhold.

Afgørelse

Den af Tiltalte A/S forskyldte straf bortfalder. Statskassen betaler sagens omkostninger.

Påstande

• Anklagemyndigheden nedlagde påstand om straf.
• Tiltalte ApS nægtede sig skyldig og bestred erstatningspligten.
• Forurettede nedlagde påstand om erstatning på 597.259 kr.

Sagens Forløb og Baggrund

Tiltalte ApS' forklaring

Person 1, direktør og ejer af Tiltalte ApS, forklarede, at han var medejer i januar 2020, da mailen blev sendt. Han forfattede mailen, som Person 2 sendte ud til kunder, Forurettede havde været involveret med.

Baggrunden for mailen var, at Forurettede tidligere havde begået underslæb og indgået et forlig. I 2020 blev det konstateret, at Forurettede igen havde manipuleret systemer og påført sit eget kontonummer på kundefakturaer.

Det blev anset for nødvendigt at informere kunderne om Forurettedes fratræden, da han havde optaget lån hos flere kunder, og der var risiko for, at han ville tage kunder med sig, da han startede eget revisionsfirma.

Forurettedes forklaring

Forurettede forklarede, at han blev afskediget den 20. januar 2020. Han blev dømt for forhold vedrørende virksomheden, men ikke mod kunder. Han hørte først om mailen fra en kunde i februar 2020 og anmeldte det til Datatilsynet to år senere, da han håbede på en mindelig løsning. Han følte sig dårligt behandlet og oplevede, at kunder og banker afviste at bruge ham som revisor på grund af rygter startet af Tiltalte ApS.

Vidnes forklaring

Vidne, stifter af Tiltalte ApS, forklarede, at Forurettede misbrugte selskabets dankort kort tid efter stiftelsen. Forurettede havde tidligere begået underslæb i 2018, hvilket resulterede i et forlig. I 2020 blev det igen konstateret, at Forurettede havde begået underslæb. Vidne var ikke involveret i afsendelsen af mailen.

Tidslinje

• 27. januar 2020: E-mail med oplysninger om Forurettede sendt til kunder.
• 15. februar 2022: Forurettede indsender klage til Datatilsynet.
• 2. december 2022: Datatilsynet anmelder Tiltalte ApS til politiet.
• 15. juni 2023: Anklageskrift modtaget.
• 6. december 2024: Hovedforhandling og domsafsigelse.