LandsrettenVestre Landsret behandlede ankesag om, hvorvidt Vejle Kommune havde overtrådt databeskyttelsesforordningens artikel 32 ved ikke at have sikret et passende sikkerhedsniveau, hvilket medførte videregivelse af beskyttede adresseoplysninger. Sagen var anket af både Anklagemyndigheden med påstand om skærpelse og Vejle Kommune med påstand om frifindelse, subsidiært formildelse. Landsretten stadfæstede byrettens dom med den ændring, at bøden blev forhøjet til 100.000 kr.
Vejle Kommune havde den 24. august 2018 indberettet et brud på persondatasikkerheden til Datatilsynet. Dette brud skete dog ikke i tandplejen. Den 21. maj 2021 udtalte Datatilsynet alvorlig kritik af Vejle Kommune, hvilket bl.a. vedrørte videregivelse af beskyttede adresseoplysninger.
Datatilsynet har til brug for ankesagen afgivet udtalelser af 17. januar og 27. februar 2025.
Til støtte for sit forsvar fremlagde Vejle Kommune en række nye bilag for landsretten, herunder:
Der var rejst tiltale for overtrædelse af databeskyttelseslovens § 41, stk. 1, nr. 1, jf. stk. 6, jf. stk. 3, jf. databeskyttelsesforordningens artikel 83, stk. 2, og stk. 4, litra a, jf. stk. 9, jf. artikel 32, stk. 1.
Gerningsperioden var i anklageskriftet begrænset til perioden fra juli 2018 til 9. januar 2019. Anklagemyndigheden havde for landsretten – ved alene at påstå skærpelse – tilsluttet sig denne begrænsning.
Tiltalen angik, at Vejle Kommune »i flere tilfælde« havde videregivet beskyttede adresseoplysninger. Vejle Kommunes tandpleje havde – ud over sikkerhedsbruddet den 13. september 2018 – fire gange tidligere sendt breve til borgere med oplysning om en anden borgers beskyttede adresse. Disse fire tilfælde lå imidlertid forud for gerningsperioden, og landsretten lagde derfor alene til grund, at overtrædelsen havde medført videregivelse af beskyttede adresseoplysninger af relevans for tiltalen i ét tilfælde.
Vejle Kommune havde erkendt, at der den 13. september 2018 skete et sikkerhedsbrud, men nægtede at have overtrådt databeskyttelsesforordningens artikel 32. Kommunen påberåbte sig Datatilsynets, Justitsministeriets og Digitaliseringsstyrelsens vejledning fra juni 2018 med titlen »Behandlingssikkerhed – Databeskyttelse gennem design og standardindstillinger«, hvorefter et sikkerhedsbrud ikke nødvendigvis medfører, at forordningens artikel 32 er tilsidesat, hvis der i øvrigt er opretholdt et passende sikkerhedsniveau.
Landsretten tiltrådte imidlertid byrettens vurdering:
Landsretten tiltræder af de grunde, som byretten bl.a. med henvisning til databeskyttelsesforordningens artikel 32, stk. 1, litra d, har anført, at Vejle Kommune ikke har sikret et passende sikkerhedsniveau med henblik på at forhindre, at beskyttede adresseoplysninger blev videregivet.
Databeskyttelsesforordningens artikel 32, stk. 1, litra d stiller krav om:
en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.
Med den begrænsning, at der alene kunne lægges vægt på ét tilfælde inden for gerningsperioden, fandt landsretten Vejle Kommune skyldig som sket i byretten.
Straffen blev fastsat i medfør af databeskyttelseslovens § 41, stk. 1, nr. 1, jf. stk. 6, og under hensyn til § 41, stk. 3, jf. databeskyttelsesforordningens artikel 83, stk. 2, samt de almindelige strafudmålingsprincipper i straffelovens § 80.
Landsretten lagde på den ene side vægt på:
Landsretten lagde på den anden side vægt på:
Landsretten bemærkede, at der ved vedtagelsen af databeskyttelsesloven var tilsigtet en væsentlig skærpelse af det hidtidige bødeniveau efter den tidligere persondatalov. Det fremgår af lovens forarbejder, at bødeloftet for offentlige myndigheder er lavere end for private, da offentlige myndigheder efter lovgivningen er pålagt at varetage lovbestemte opgaver, der ikke uden videre blot kan standses.
Efter databeskyttelsesforordningens artikel 83, stk. 9 skal bøden under alle omstændigheder være .
Landsretten stadfæstede byrettens dom med den ændring, at bøden blev forhøjet til 100.000 kr.
Vejle Kommune blev pålagt at betale sagens omkostninger for landsretten.
Dommen blev afsagt af dommerne Annette Nørby, Henrik Estrup og Thomas Trapp-Nielsen (kst.).
Efter en samlet vurdering af sagens omstændigheder, og under hensyn til den tid, der er forløbet, siden forholdet blev begået, kan den bøde, som Vejle Kommune skal betale, passende fastsættes til 100.000 kr.
