Kommune idømt bøde på 50.000 kr. for utilstrækkelig IT-sikkerhed i tandpleje-system, der risikerede at afsløre beskyttede adresser

1.3Retsgrundlag og overtrædelse

Anklagemyndigheden stødte påstanden på Databeskyttelsesforordningens artikel 32, stk. 1, jf. Databeskyttelsesloven § 41, stk. 1, nr. 1, om kravet til tekniske og organisatoriske sikkerhedsforanstaltninger, der passer til risikoen.

Ved strafudmålingen anvendte retten Databeskyttelsesforordningens artikel 83, stk. 2 og stk. 4, litra a, jf. stk. 9, om kravene til effektive og forholdsmæssige bøder, samt Straffeloven § 89 om tillægsstraffe.

1.4Landsrettens og byrettens begrundelse

Både byretten og landsretten lagde vægt på de kriterier, der er opstillet i Databeskyttelsesforordningens artikel 83, stk. 2, ved fastsættelsen af bødens størrelse. Retterne foretog en samlet vurdering af sagens omstændigheder, hvor følgende momenter var centrale:

• Overtrædelsen skyldtes simpel uagtsomhed og strakte sig over en uafbrudt periode på knap tre år.
• Sikkerhedshullene medførte risiko for maksimalt 56 registrerede personer med navne- og adressebeskyttelse, men ingen uberettigede personer har faktisk tilgået oplysningerne.
• Kommunen indberettede overtrædelsen selv til Datatilsynet, samarbejdede fuldt ud i sagen og rettede fejlen hurtigst muligt efter opdagelsen.
• Kommunen har foretaget forudgående risikovurderinger, som dog ikke specifikt identificerede dette problem, og som offentlig myndighed har kommunen hverken opnået økonomiske fordele eller undgået tab.
• Bøden pålægges som tillægsstraf til et tidligere bødeforelæg på 200.000 kr., jf. Straffeloven § 89.

Ved vedtagelsen af databeskyttelsesloven er tilsigtet en væsentlig skærpelse af det hidtidige bødeniveau efter den tidligere gældende persondatalov, og det fremgår bl.a. af lovens forarbejder, at bodeloftet for offentlige myndigheder er lavere end for private, hvorfor det også er forudsat, at forhøjelsen af bødeniveauet for offentlige myndigheder skal være lavere henset til offentlige myndigheders særlige situation.

Landsretten fandt ikke grundlag for at afvige fra byrettens vurdering eller at lade sagen afgøre med en advarsel. Det anførte om sagsbehandlingstiden kunne ikke føre til et andet resultat henset til sagens karakter og kompleksitet.

1.5Afgørelsen og domfældelsen

Landsretten stadfæster hermed byrettens dom.

• Kommunen dømmes til at betale en bøde på 50.000 kr. som tillægsstraf.
• Kommunen skal betale sagens omkostninger til anklagemyndigheden.