LandsrettenØstre Landsret stadfæstede byrettens dom og fastsatte en bøde på 50.000 kr. til Frederiksberg Kommune for overtrædelse af databeskyttelsesforordningens artikel 32 i perioden 25. maj 2018 til 1. marts 2021. Kommunen havde i selvbetjeningsløsningen "Min Tandpleje" givet begge forældremyndighedsindehavere adgang til breve med adresseoplysninger uden at kontrollere for navne- og adressebeskyttelse, hvilket skabte risiko for uberettiget videregivelse af beskyttede adresser. Bøden blev fastsat som en tillægsstraf til et tidligere bødeforelæg på 200.000 kr., jf. straffelovens § 89, og landsretten lagde vægt på bl.a. simpel uagtsomhed, selvindberetning og fravær af økonomisk fordel.
Frederiksberg Kommunes tandpleje havde udviklet en selvbetjeningsløsning kaldet "Min Tandpleje", hvor forældre kunne booke tider til deres børns tandlægebesøg og få adgang til journaloplysninger. Systemet gav begge forældremyndighedsindehavere adgang — også i tilfælde hvor forældrene ikke havde samme bopæl. Dette var sket efter en afgørelse fra Ligebehandlingsnævnet, der havde foranlediget en ændring af systemet for at sikre lige adgang.
Kommunen sikrede via validering med NemID, at kun forældre med del i forældremyndigheden over barnet kunne få adgang. Men systemet tog ikke højde for tilfælde, hvor den ene forælder eller barnet havde navne- og adressebeskyttelse. Tandplejens system indeholdt enkelte breve med adresseoplysninger, og da begge forældre havde adgang, medførte det en risiko for, at beskyttede adresser uberettiget kunne videregives til den anden forælder.
Perioden for overtrædelsen strakte sig fra den 25. maj 2018 — datoen for databeskyttelsesforordningens ikrafttræden — til den 1. marts 2021, hvor fejlen blev opdaget og berigtiget.
Frederiksberg Kommune havde siden 2018 arbejdet systematisk med implementering af databeskyttelsesforordningen. Kommunens GDPR-koordinator, der var ansat til at koordinere og implementere indsatsplanen på GDPR-området, forklarede under sagen om forløbet:
Kommunen modtog skabeloner fra KL (Kommunernes Landsforening) til brug for de påkrævede risikovurderinger. Skabelonerne var generiske, så de kunne anvendes af alle 98 kommuner. Navne- og adressebeskyttelse indgik ikke som en selvstændig del af skabelonerne, men der var en kategori vedrørende fortrolige oplysninger såsom sociale forhold.
Kommunens DPO (Data Protection Officer) havde siden 2018 lavet årlige tilsyn og udarbejdede årligt en rapport, hvor risikovurderinger indgik. I 2018 vurderede DPO'en, at arbejdet var tilrettelagt tilfredsstillende. I 2019/2020 skruede kommunen op for indsatsen, og der blev lavet nye risikovurderinger.
Fejlen blev således ikke opdaget ved et tilfælde.
Opdagelsen skete i forbindelse med en workshop i tandplejen i 2021, der var en del af den løbende opfølgning på risikovurderingerne. Kommunen havde taget tidligere erfaringer med navne- og adressebeskyttelse fra andre hændelser med ind i risikovurderingerne, hvilket gjorde, at de opdagede fejlen. Årsagen til at fejlen ikke blev opdaget tidligere var, at brevene vedrørende adressebeskyttelse ikke var en del af systemets hovedformål — fokus havde været på booking og lige adgang for forældremyndighedsindehaverne til journaloplysninger. Systemet blev ikke normalt anvendt til at sende breve til forældrene.
Kommunen indberettede selv overtrædelsen og dens omfang til Datatilsynet og samarbejdede fuldt ud med tilsynet i den efterfølgende proces.
Sagen blev først afgjort ved Retten på Frederiksberg den 16. august 2023 (sagsnr. 3169/2023). Frederiksberg Kommune havde erkendt overtrædelsen af databeskyttelsesforordningens artikel 32.
Anklagemyndigheden ankede byrettens dom til Østre Landsret med påstand om skærpelse af straffen. Frederiksberg Kommune kontraankede med påstand om formildelse, subsidiært stadfæstelse.
Sagen for landsretten angik herefter udelukkende strafudmålingen. Under landsretssagen afgav kommunens GDPR-koordinator ("Vidne 3") forklaring om kommunens GDPR-arbejde og omstændighederne omkring overtrædelsen. Der blev endvidere dokumenteret en supplerende udtalelse fra Datatilsynet af 17. januar 2025.
Landsretten anvendte følgende retsgrundlag ved fastsættelsen af bøden:
Bøder pålagt efter forordningen skal være effektive, stå i rimeligt forhold til overtrædelsen og have en afskrækkende virkning.
Denne bestemmelse oplister de hensyn, der skal tages ved pålæggelse af administrative bøder — herunder overtrædelsens karakter, alvor og varighed, graden af ansvar, eventuelle tidligere overtrædelser, samarbejde med tilsynsmyndigheden m.v. Bestemmelsen skal følges ved pålæggelse af straf efter databeskyttelseslovens § 41, stk. 1, jf. § 41, stk. 3.
Landsretten bemærkede, at der ved vedtagelsen af databeskyttelsesloven var tilsigtet en væsentlig skærpelse af det hidtidige bødeniveau efter den tidligere persondatalov, men at bødeloftet for offentlige myndigheder er lavere end for private. Dette skyldes offentlige myndigheders særlige situation — de er efter lovgivningen pålagt at varetage lovbestemte opgaver, der ikke uden videre blot kan standses for at bringe en eventuel ulovlig tilstand til ophør.
Straffelovens § 89: Findes nogen, som allerede er dømt til straf, yderligere skyldig i en forud for dommen begået strafbar handling, bliver en tillægsstraf at idømme, for så vidt samtidig påkendelse ville have medført forhøjelse af straffen.
Bøden på 50.000 kr. skulle således fastsættes som en tillægsstraf til et bødeforelæg af 2. maj 2022 på 200.000 kr.
Landsretten tiltrådte byrettens vurdering og lagde — som byretten — vægt på de hensyn, der fremgår af databeskyttelsesforordningens artikel 83, stk. 2.
Landsretten lagde i skærpende eller formildende retning vægt på følgende forhold:
Landsretten bemærkede, at det anførte om sagsbehandlingstiden ikke kunne føre til et andet resultat, henset til sagens karakter og kompleksitet.
På baggrund af en samlet vurdering af sagens omstændigheder fandt landsretten, at en bøde på 50.000 kr. var passende — fastsat som en tillægsstraf til det tidligere bødeforelæg på 200.000 kr. fra maj 2022.
Østre Landsret stadfæstede byrettens dom i det omfang, den var anket. Bøden blev fastsat til 50.000 kr. som tillægsstraf til bødeforelæg af 2. maj 2022 på 200.000 kr., jf. straffelovens § 89.
Landsretten stadfæster herefter byrettens dom i det omfang, den er anket.
Dommen blev afsagt den 19. februar 2025 af Østre Landsrets 18. afdeling.
