Kommune idømmes bøde på 100.000 kr. for utilstrækkelig IT-sikkerhed ved videregivelse af borgeres beskyttede adresseoplysninger

Stridens kerne: Manglende opmærksomhed på adressebeskyttelse i tandplejen

Tiltalen vedrører kommunens forpligtelse som dataansvarlig til at gennemføre passende tekniske og organisatoriske foranstaltninger, jf. Databeskyttelsesforordningen artikel 32, stk. 1. Konflikten opstod, da kommunens tandpleje via en automatiseret proces udsendte velkomstbreve til begge forældre, hvilket medførte, at en mors beskyttede adresse på et krisecenter blev videregivet til barnets far. Spørgsmålet var, om kommunen havde etableret tilstrækkelige kontrolmekanismer og opmærksomhedsskabende procedurer til at forebygge videregivelse, når IT-systemet allerede muliggjorde markering af beskyttede adresser.

Procesforløb og sagens oplysninger

Kommunen gennemførte efter anmeldelsen en intern undersøgelse, der afdækkede fire tidligere tilfælde af lignende breveudsendelser. Disse lå imidlertid forud for den anlagte gerningsperiode. Det er oplyst, at det kommunale IT-system på gerningstidspunktet teknisk muliggjorde markering af beskyttede adresser og familieforhold, men at disse funktioner ikke blev systematisk udnyttet eller kontrolleret før efter bruddet.

Påstande og beløb

Rettens og Landsrettens begrundelse

Byretten og Landsretten blev enige om, at kommunen havde overtrådt sikkerhedskravene. Landsretten begrænsede skyldspørgsmålet til én konkret hændelse inden for gerningsperioden (juli 2018 til 9. januar 2019), idet de øvrige fundne tilfælde lå uden for perioden.

Landsretten tiltræder af de grunde, som byretten bl.a. med henvisning til databeskyttelsesforordningens artikel 32, stk. 1, litra d, har anført, at Tiltalte Kommune ikke har sikret et passende sikkerhedsniveau med henblik på at forhindre, at beskyttede adresseoplysninger blev videregivet.

Retten lagde vægt på, at kommunen ikke havde gennemført passende kontrol af brevenes indhold, og at opmærksomhedsskabende tiltag udeblev. En tidligere henvendelse i juli 2018 om et lignende problem havde ikke nået ledelsen og havde ikke ført til ændrede procedurer, hvilket havde kunne have afværget bruddet i september 2018.

Ved strafudmålingen fremhævede Landsretten følgende vægtede forhold:

• Overtrædelsen er alvorlig på grund af oplysningernes sensitive karakter og de potentielle konsekvenser for en sårbar gruppe (barn under 18 år).
• Kommunen burde have skærpet agtpågivenheden efter de tidligere henvendelser og sikkerhedsbrud i juli og august 2018.
• Kommunen selv indberettede bruddet til Datatilsynet og gennemførte derefter betydelige rettelser af procedurer og IT-systemet.
• Der er gået en betydelig tid fra gerningen til domsafsigelsen.

Bøden skal efter forordningens art. 83, stk. 9, under alle omstændigheder være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

Landsretten henviser desuden til, at bødeniveauet for offentlige myndigheder er sat lavere end for private aktører, idet myndigheder varetager lovbestemte opgaver, som ikke kan standses frit for at afværge bøder.

Afgørelse

Vestre Landsret stadfæstede Retten i Kolding dom med skærpelse af bøden. Kommunen idømmes en bøde på 100.000 kr. for overtrædelse af Databeskyttelsesloven § 41, stk. 1, nr. 1, jf. Databeskyttelsesforordningen artikel 32, stk. 1. Kommunen bærer sagens omkostninger for begge instanser.