Tiltale for som dataansvarlig at have undladt at anmelde et brud på persondatasikkerheden jf. Databeskyttelsesforordningens artikel 33, jf. databeskyttelseslovens § 41, stk... Vis mere
Ret: Retten i Nykøbing Falster (1. instans)
Faggruppe: Straffesag — Bødesag
Sagsemner: Efterforskning og straffeproces;
Forurettede og vidner;

/

RETTEN I NYKØBING F.

D O M

afsagt den 8. april 2022

Rettens nr. 1-5206/2021
Politiets nr. 1900-84266-00002-18

Anklagemyndigheden
mod
Guldborgsund Komune
cvr-nummer 29188599

Anklageskrift er modtaget den 5. november 2021.

Guldborgsund Komune er tiltalt for

1.

Databeskyttelsesforordningens artikel 33, jf. databeskyttelseslovens § 41,
stk. 1, nr. 1, jf. stk. 3, jf. stk. 6, jf. databeskyttelsesforordningens artikel 83,
stk. 2, og stk. 4, litra a, jf. stk. 9,

ved som dataansvarlig at have undladt at anmelde et brud på
persondatasikkerheden, der bestod i, at en medarbejder ved Guldborgsund
Kommune den 22. juni 2018 via digital post sendte en afgørelse til Person 1 som
indeholdt oplysninger om Person 1's datters navn og cpr nummer og navn og
telefonnummer på institutionslederen i Person 1's datters daginstitution, uagtet
at Person 1 var frakendt forældremyndigheden over sin datter, og at datteren var
tildelt navne- og adressebeskyttelse, idet kommunen ikke til Datatilsynet uden
unødig forsinkelse og inden for 72 timer efter at Guldborgsund Kommune blev
bekendt med sikkerhedsbruddet, anmeldte sikkerhedsbruddet, selv om
Guldborgsund Kommune blev bekendt med sikkerhedsbruddet den 17. juli 2018
og hvorefter kommunen helt undlod at anmelde sikkerhedsbruddet.

2.

overtrædelse af databeskyttelsesforordningens artikel 34, stk. 2, jf. stk. 1, jf.
databeskyttelseslovens § 41, stk. 1, nr. 1, jf. stk. 3, jf. stk. 6, jf.
databeskyttelsesforordningens artikel 83, stk. 2, og stk. 4, litra a, jf. stk. 9,

ved som dataansvarlig ikke uden unødig forsinkelse at have foretaget behørig
underretning af den registrerede, som var berørt af det i forhold 1 beskrevne
sikkerhedsbrud, idet Guldborgsund Kommune ved sin telefoniske

Std 75271



/

side 2

underretning af den registrerede den 18. juli 2018 undlod:
- i et klart og forståeligt sprog at beskrive karakteren af bruddet,
- at angive navn og kontaktoplysninger for databeskyttelsesrådgiveren eller
andet

kontaktpunkt, hvor den registrerede kunne indhente yderligere oplysninger,
- at beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden,
samt
- at beskrive de foranstaltninger, som Guldborgsund Kommune som
dataansvarlig havde

truffet eller foreslog truffet for at håndtere bruddet på
persondatasikkerheden, herunder

foranstaltninger for at begrænse dets mulige skadevirkninger,
uagtet at bruddet på persondatasikkerheden sandsynligvis ville indebære en høj
risiko for den
registreredes rettigheder.

Påstande

Anklagemyndigheden har nedlagt påstand om bødestraf på 50.000 kr.

Tiltalte har erkendt sig skyldig i forhold 1 og delvis skyldig i forhold 2, idet
tiltalte har erkendt at have undladt - i et klart og forståeligt sprog at beskrive
karakteren af bruddet, og undladt - at angive navn og kontaktoplysninger for
databeskyttelsesrådgiveren eller andet kontaktpunkt, hvor den registrerede
kunne indhente yderligere oplysninger.

Vidne 1 har påstået, at tiltalte skal betale 90.000 kr. i tortgodtgørelse sva-rende
til 30.000 kr. til hver af de skadelidte, hende og hendes to børn Person 2 og
Person 3.

Tiltalte har bestridt erstatningspligten og erstatningskravets størrelse.

Sagens oplysninger

Der er under sagen afgivet forklaring af tiltalte ved specialkonsulent, cand. jur.
Vidne 2 og vidneforklaring af Vidne 1.

Forklaringerne er lydoptaget og gengives ikke i dommen.

Datatilsynet er den 9. december 2019 fremkommet med følgende:

Sagsfremstilling
1.1 Sagsforløb
Ved e-mail af 30. juli 2018 ...og telefonsamtaler den 31. juli 2018 og den 6. september
2018 ...har Vidne 1 klaget til Datatilsynet over Guldborgsund Kommunes mangelfulde
underretning i forbindelse med et brud på persondatasikkerheden, der bestod af en
utilsigtet videregivelse af personoplysninger. Ved email af 17. oktober 2018 ...har
Advokatfuldmægtig præciseret klagen.

Den utilsigtede videregivelse skete, da Guldborgsund Kommune den 22. juni 2018 ved



/

side 3

en fejl sendte en afgørelse om specialpædagogisk bistand til Person 1. Afgørelsen
vedrørte Person 1's og Vidne 1's fælles datter. Af afgørelsen fremgik oplysninger om
datterens navn og personnummer samt navn og telefonnummer på institutionsle-deren i
datterens daginstitution. Afgørelsen var blevet sendt til Person 1 ved en fejl, idet Person 1
på daværende tidspunkt var frataget forældre-myndigheden og orienteringsretten
vedrørende sin datter samt havde et tilhold mod at opsøge Vidne 1....

Datatilsynet har i anledning af klagen været i dialog med Guldborgsund Kommune den 31.
juli 2018...

Datatilsynet har endvidere ved brev af den 25. oktober 2018 og ved brev af den 9.
november 2018 anmodet Guldborgsund Kommune om en udtalelse til sagen...

Ved brev af den 22. november 2018 og den 7. december 2018 har Guldborgsund
Kommune udtalt sig til sagen...

Datatilsynet har ved brev af den 7. januar 2019 til Guldborgsund Kommune oplyst, at
tilsynet forventer at politianmelde Guldborgsund Kommune for overtrædelse af
databeskyttelsesforordningen, ligesom tilsynet har anmodet Guldborgsund Kommune om
at oplyse kommunens samlede driftsbevilling i 2018, og spurgt om hvorvidt kommunen
har fuld dispositionsret over hele bevillingen...

Guldborgsund Kommune har ved breve af den 21. januar 2019, den 6. februar 2019 og
den 18. februar 2019 besvaret spørgsmålet om kommunens samlede driftsbevilling... 2
Uddybende beskrivelse
2.1.1 Underretning om sikkerhedsbruddet
Vidne 1 har ved e-mail af den 30. juli 2018 klaget til Datatilsynet og anført, at hun den 18.
juli 2018 blev telefonisk kontaktet af Guldborgsund Kommune, der oplyste, at kommunen
ved en fejl havde fremsendt post til hendes datters far. Vidne 1 har endvidere anført, at
hun gentagene gange forgæves har rykket kommunen for at få det eller de dokumenter,
der ved en fejl var sendt til hendes datters far, idet indholdet af det fremsendte havde stor
betydning for hende og hendes datters sikkerhed. Indholdet af dokumenterne kunne
endvidere have betydning for, hvilke sikkerhedsforanstaltninger de skulle foretage sig som
følge af sikkerhedsbruddet, idet hun var ”gået under jorden” , havde skiftet navn og fået
navne- og adressebeskyttelse for at beskytte sig mod sin datters far. Vidne 1 har i den
forbindelse henvist til, at faren havde et tilhold mod hende og var frataget
orienteringsretten vedrørende deres fælles datter.

Person 4 fra Guldborgsund Kommune oplyste den 31. juli 2018 telefonisk til Datatilsynet,
at kommunen den 18. juli 2018 mundtligt underrettede Vidne 1 om hændelsen, hvorefter
Vidne 1 smed røret på. Efterfølgende ringende Vidne 1 til kommunen den 19. juli 2018 for
at få oplyst, hvilke oplysninger der uberettiget var delt. Vidne 1 blev herefter orienteret
mundtligt herom.

Guldborgsund Kommune har i sin udtalelse af den 22. november 2018 anført, at
kommunen blev bekendt med hændelsen den 17. juli 2018 og orienterede Vidne 1 den
18. juli 2018 telefonisk med oplysning om, at afgørelsen fejlagtigt var sendt til Vidne 1's
datters far, og at denne var identisk med den afgørelse, som var fremsendt til Vidne 1.

Guldborgsund Kommune har anført, at kommunen således har orienteret Vidne 1 om
hændelsen men beklageligvis ikke i overensstemmelse med
databeskyttelsesforordningens artikel 34, stk. 1, og stk. 2.

Advokatfuldmægtig har på Vidne 1's vegne i skrivelse af den 16. oktober 2018
supplerende til det af kommunen oplyste anført, at Vidne 1 gentagene gange spurgte til,
hvilket brev der var sendt til hendes datters far, idet hun med korte mellemrum havde
modtaget to forskellige breve, som vedrørte datterens optagelse i sproggruppen.
Kommunen kunne ikke redegøre for, hvilket af de to breve, der var tale om. Vidne 1 bad
herefter om en kopi af det dokument, der var sendt til hendes



/

side 4

datters far. Efterfølgende spurgte Vidne 1, hvad kommunen ville gøre for at hjælpe dem.
Advokatfuldmægtig har anført, at kommunen svarede, at det måtte Vidne 1 selv finde ud
af. Advokatfuldmægtig har endvidere anført, at det er korrekt, at Vidne 1 herefter opgav
og smed røret på.

2.1.2 Anmeldelse af sikkerhedsbruddet
Guldborgsund Kommune har i sin udtalelse af den 22. november 2018 anført, at
kommunen blev bekendt med hændelsen den 17. juli 2018.

Ved Datatilsynets høring af den 9. november 2018 er Guldborgsund Kommune anmodet
om en udtalelse vedrørende anmeldelse af sikkerhedsbruddet.

Guldborgsund Kommune har i sin udtalelse af den 7. december 2018 oplyst, at
kommunen beklageligvis ikke har anmeldt bruddet på persondatasikkerheden til
Datatilsynet.

Guldborgsund Kommune har hertil oplyst, at den manglende anmeldelse skyldes en
fejlvurdering på daværende tidspunkt, idet den pågældende hændelse ikke blev vurderet
som værende et brud på persondatasikkerheden, hvorfor arbejdsgangen ikke blev fulgt.
Relevante personer blev således ikke informeret om, at der var sket et brud på
persondatasikkerheden og kunne derfor ikke anmelde hændelsen til Datatilsynet.

3 Datatilsynets vurdering af sagen
3.1 Underretning om bruddet
Datatilsynet lægger til grund, at Vidne 1 er blevet underrettet om bruddet på
persondatasikkerheden dagen efter, at bruddet fandt sted. Datatilsynet lægger endvidere
til grund, at underretningen skete telefonisk, og at underretningen efterlod tvivl hos Vidne
1 om, hvilke oplysninger der var videregivet.

Det følger af databeskyttelsesforordningens artikel 34, stk. 1, at den registrerede ved brud
på persondatasikkerheden skal underrettes om bruddet, såfremt bruddet sandsynligvis vil
indebære en høj risiko for den registrerede.

Artikel 34, stk. 2 fastlægger kravene til underretningen, der i et klart og forståeligt sprog
skal beskrive karakteren af bruddet på persondatasikkerheden og mindst indeholde de
oplysninger og foranstaltninger, der er omhandlet i artikel 33, stk. 3, litra b), c) og d).

Det er Datatilsynets vurdering, at Guldborgsund Kommune ikke har underrettet Vidne 1
om sikkerhedsbruddet i overensstemmelse med databeskyttelsesforordningens artikel 34,
stk. 2.

Datatilsynet har ved sin vurdering særlig lagt vægt på den høje risiko, som bruddet på
persondatasikkerheden indebar for Vidne 1 og hendes datter, og på, at underret-ningen
ikke har indeholdt de oplysninger og foranstaltninger, der er omhandlet i artikel 33, stk. 3,
litra b), c) og d).

Allerede med den viden, at Vidne 1 havde fuld forældremyndighed over datteren, og at
datteren var navne- og adressebeskyttet, er det Datatilsynets opfattelse, at Guld-borgsund
Kommuneikke kunne udelukke, at bruddet på persondatasikkerheden ville udgøre en høj
risiko for den registrerede.

Uagtet om Vidne 1 til Guldborgsund Kommune havde oplyst, at hun var ”gået under
jorden” , og at Person 1 havde tilhold mod at opsøge hende, er det tilsynets opfat-telse, at
pligten efter databeskyttelsesforordningens artikel 34, stk. 1 og stk. 2, jf. artikel 33, stk. 3,
litra c) og d) indebærer, at den dataansvarlige - Guldborgsund Kommune – undersøger
risikoen for den registrerede.

Forpligtelsen efter artikel 34, stk. 1 og stk. 2, jf. artikel 33, stk. 3, litra c) og d) indebæ-rer,
at den dataansvarlige forholder sig til den reelle risiko som sikkerheds-bruddet udgør, og
tillige foreslår, eller selv foretager foranstaltninger for at begrænse dets mu-lige
skadevirkninger.



/

side 5

Da Guldborgsund Kommune ikke kunne udelukke, at sikkerhedsbruddet sandsynligvis
ville indebære en høj risiko for den registrerede, var Guldborgsund Kommune forpligtet til
at foretage underretning af den registrerede i overensstemmelse med artikel 34.

3.2 Anmeldelse af bruddet
Datatilsynet kan konstatere, at Guldborgsund Kommune ikke har indberettet
sikkerhedsbruddet til Datatilsynet.

Af databeskyttelsesforordningens artikel 33 fremgår, at brud på persondatasikkerheden
uden unødig forsinkelse og om muligt senest 72 timer, efter at den dataansvarlige er
blevet bekendt med bruddet skal anmelde det til Datatilsynet, medmindre at det er u-
sandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske per-
soners rettigheder eller frihedsrettigheder.

Det er Datatilsynets vurdering, at Guldborgsund Kommunes manglende indberetning
udgør en overtrædelse af databeskyttelsesforordningens artikel 33.

Datatilsynet har særlig lagt vægt på, at Guldborgsund Kommune ikke har dokumente-ret,
at det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettig-heder
eller frihedsrettigheder.

4 Sanktion
4.1 Valg af sanktion
Datatilsynet foretager altid en konkret vurdering af sagens grovhed i medfør af databe-
skyttelsesforordningens artikel 83, stk. 2, ved vurderingen af hvilken sanktion, der efter
tilsynets opfattelse er den korrekte.

Datatilsynet har på baggrund af overtrædelsernes alvor og konsekvenser for den regi-
strerede sammenholdt med Guldborgssund Kommunes passive ageren i anledning af
sikkerhedsbruddet vurderet, at der er grundlag for at idømme en bøde.

Ved vurderingen, af hvilken sanktion der er den rette for overtrædelsen af artikel 33 og
artikel 34, har Datatilsynet lagt vægt på, at bruddet reelt medførte en høj risiko for den
registrerede, og at Guldborgsund Kommune var eller burde være bekendt med den høje
risiko og ikke foretog indberetning.

Som det fremgår af artikel 33, stk. 5, tjener indberetningen det formål, at tilsynsmyn-
digheden skal kunne kontrollere, at artikel 34 er overholdt, herunder, at forpligtelserne der
fremgår af stk. 3, litra c) og d) er overholdt.

Tilsynet har herved i særdeles skærpende retning lagt vægt på, at den høje risiko for den
registrerede, sammenholdt med Guldborgsund Kommunes mangelfulde under-retning af
den registrerede, samlet indebar, at der konkret var et stort behov for til-
synsmyndighedens kontrol.

4.2 Bødestørrelse
Overtrædelse af artikel 33 og artikel 34 straffes med bøde, jf. databeskyttelseslovens §
41, stk. 1, nr. 1, jf. stk. 3, jf. stk. 6, jf. databeskyttelsesforordningens artikel 83, stk. 2, og 4,
litra a, jf. stk. 9.

I relation til bødeniveauet bemærkes indledningsvist, at lovgiver med bestemmelsen i
databeskyttelseslovens § 41, stk. 6, har besluttet, at offentlige myndigheder skal kunne
straffes på samme måde som private aktører. Databeskyttelseslovens § 41, stk. 6, ud-gør
samlet set en væsentlig udvidelse af muligheden for at straffe offentlige myndig-heder i
forhold til den tidligere gældende retstilstand under persondataloven, hvor myn-digheder
alene kunne straffes for overtrædelse af enkelte bestemmelser.

Med baggrund i databeskyttelsesforordningens artikel 83, stk. 7, hvorefter medlemssta-
terne selv kan bestemme, i hvilket omfang offentlige myndigheder skal kunne pålæg-ges
bøder, fastslås det dog i de almindelige bemærkninger til databeskyttelsesloven, at
bødelofterne for alle offentlige myndigheder skal være lavere end dem, der fremgår af
forordningens artikel 83, stk. 4-6.



/

side 6

I de almindelige bemærkninger til databeskyttelsesloven fastsættes bødelofterne såle-
des:

” For overtrædelser omfattet af forordningens artikel 83, stk. 4 (lovforslagets § 41, stk. 1,
nr. 1-3, og stk. 2, nr. 1, for så vidt angår § 26), forudsættes et bødeloft på 2 % af
myndighedens driftsbevilling, dog maksimalt 8 mio. kroner.

For overtrædelser omfattet af forordningens artikel 83, stk. 5 og 6 (lovforslagets § 41, stk.
1, nr. 4-6, og stk. 2, nr. 2-5, samt nr. 1 for så vidt angår §§ 5-13, 20 og 21), forudsættes et
bødeloft på 4 % af driftsbevillingen, dog maksimalt 16 mio. kroner.”

Samtidig med de lavere bødelofter forudsættes det også i de almindelige bemærknin-ger
til databeskyttelsesloven, at forhøjelsen af bødeniveauet bliver lavere for offentlige
myndigheder, jf. herved forordningens artikel 83, stk. 7.

Af de almindelige bemærkninger til databeskyttelsesloven følger det endvidere, at der ved
pålæggelse af bøder til offentlige myndigheder skal tages hensyn til myndigheders særlige
situation, der består i, at myndigheder – i modsætning til private aktører – efter
lovgivningen er pålagt at varetage lovbestemte opgaver, og myndigheder derfor heller ikke
uden videre i alle tilfælde blot kan standse en behandling for derved at bringe en eventuel
ulovlig tilstand til ophør. Der skal i den forbindelse endvidere lægges vægt på de offentlige
myndigheders forskellige karakter, herunder de rammevilkår, de er under-lagt. Nogle
offentlige myndigheder har således en bevilling, der er bundet tæt op på deres lovbundne
opgave, hvilket der skal tages hensyn til ved fastsættelse af bøder til offentlige
myndigheder.

På baggrund af sagens omstændigheder og overtrædelsens karakter og alvor, jf.
databeskyttelsesforordningens artikel 83, stk. 4, litra a, og forordningens krav om, at en
bøde i hver enkelt sag skal være effektiv, stå i rimeligt forhold til overtrædelsen og have
afskrækkende virkning, jf. forordningens artikel 83, stk. 9, skal Datatilsynet indstille, at der
nedlægges påstand om en samlet bøde på 50.000 kr.

Det bemærkes, at det er tilsynets opfattelse, at overtrædelserne isoleret set bør takse-res
således:

* overtrædelse af artikel 33: 20.000 kr.
* overtrædelse af artikel 34: 30.000 kr.

Datatilsynet har ved vurderingen af bødens størrelse endvidere lagt vægt på kommu-nens
størrelse henset til indbyggertal (ca. 60.000) og til den samlede driftsbevilling for 2018 på
3.954.013.000 kr.

Der er i forhold til bødens størrelse i formildende retning lagt vægt på, at der er tale om et
meget begrænset antal berørte registrerede. Der er endvidere lagt vægt på, at der er tale
om et enkelt sikkerhedsbrud, og at overtrædelserne skyldes uagtsomhed.

Der er i forhold til bødens størrelse i skærpende retning lagt vægt på, at overtrædelser-ne
havde en meget alvorlig konsekvens for de berørte registrerede. Der er endvidere lagt
vægt på, at der er tale om to overtrædelser af stor alvor, og at Guldborgsund Kom-mune
ikke foretog foranstaltninger for at begrænse skaden for de registrerede. Rettens
begrundelse og afgørelse

Forhold 1
Tiltalte har uden forbehold erkendt sig skyldig . Tilståelsen støttes af de op-
lysninger, der i øvrigt foreligger. Det er derfor bevist, at tiltalte er skyldig.

Forhold 2



/

side 7

Det lægges efter bevisførelsen til grund, at Guldborgsund Kommune efter at
man via Vidne 1's tidligere mands henvendelse til datterens daginstitutions-leder
i anledning af at der var tilgået ham uvedkommende oplysninger  som følge af
persondatabruddet den følgende dag tog telefonisk kontakt til Vidne 1 herom
ved en - tilfældig - medarbejder i kommunens familieafdeling og ikke ved den
dataansvarlige. Det lægges videre til grund, at den pågældende medarbejder ikke
på klar og forståelig vis fik beskrevet sikkerhedsbruddet for Vidne 1 og ikke
angav navn og kontaktoplysninger på databeskyttel-sesrådgiveren eller anden
kontaktperson, hvor Vidne 1 kunne indhente yderligere oplysninger, ligesom
Guldborgsund Kommune ved henvendelsen til Vidne 1 på dette tidspunkt
undlod at beskrive de sandsynlige konsek-venser af bruddet samt undlod at
beskrive de foranstaltninger, som Kommu-nen havde truffet eller foreslog truffet
for at håndtere bruddet og begrænse skadevirkninger, som Kommunen efter
omstændighederne måtte indse, at der var høj risiko for ville indtræde.
Guldborgsund Kommune er dermed skyldig efter tiltalen, idet det forhold, at
Kommunen senere traf og betalte sådanne relevante og egnede foranstaltninger
til afbødning af mulige skadevirkninger af persondatabruddet, ikke kan føre til
andet resultat.

Straffen fastsættes efter databeskyttelsesforordningens artikel 33, og  artikel 34,
stk. 2, jf. stk. 1, jf. databeskyttelseslovens § 41, stk. 1, nr. 1, jf. stk. 3, jf. stk. 6,
jf. databeskyttelsesforordningens artikel 83, stk. 2, og stk. 4, litra a, jf. stk. 9 til
en bøde.

Ved udmålingen af bødestraffen lægges i skærpende retning vægt på, at de
overtrådte bestemmelser har til formål at højne persondatasikkerhedsniveauet i
samfundet, og at overtrædelserne medførte risiko for meget alvorlige kon-
sekvenser for de berørte - Vidne 1 og hendes børn.

I formildende retning lægges vægt på, at der alene har været tale om ét en-kelt
sikkerhedsbrud, som som kun har berørt et meget begrænset antal perso-ner,
Vidne 1 og hendes 2 børn, at overtrædelserne skyldes uagtsomhed og ikke har
resulteret i angreb eller anden form for utilsigtede henvendelser eller forsøg
herpå fra personer, som persondatasikkerhedsreglerne skulle værne mod.

På denne baggrund, og ud fra de ovenfor i databeskyttelsesforordningens ar-tikel
83, omtalte økonomiske principper, fastsættes bøden til 50.000 kr.

Med hensyn til den nedlagte påstand om godtgørelse for tort bemærkes, at selv
om databeskyttelsesbruddet ubestridt har fremkaldt frygt hos Vidne 1 for, at hun
og hendes børn ville blive kontaktet af hendes tidligere mand, en frygt der
senere viste sig ubegrundet, har Vidne 1 og i særdeleshed ikke hendes børn ikke
ved det ovenfor beskrevne databeskyttelsesbrud, hvor der alene er tiltalt for
tilsidesættelse af den dataansvarlige kommunes indberet-nings- og
underretningspligt, været udsat for en krænkelse, der har nedsat hendes eller
børnenes ære og selvfølelse. Der er allerede derfor intet grundlag for at tilkende
Vidne 1 og hendes børn Person 2 og Person 3 godtgørelse for tort



/

side 8

efter erstatningsansvarslovens § 26, stk. 1.

Guldborgsund Kommune frifindes dermed for påstanden herom.

Thi kendes for ret:

Guldborgsund Komune skal betale en bøde på 50.000 kr.

Tiltalte skal betale sagens omkostninger.

Dommer



/