Ved brev af 17. oktober 2009 har X, klaget til Datatilsynet over, at Kromann Reumert på advokatvirksomhedens hjemmeside, www.kromannreumert.com, har offentliggjort Østre Landsrets dom af 1. oktober 2009.
Ved brev af 28. oktober 2008 er Kromann Reumert fremkommet med en udtalelse til sagen, som X ved brev af 22. november 2009 har kommenteret.
Det fremgår herefter af sagen, at X var part i en retssag ved Østre Landsret, hvor modparten var repræsenteret ved en advokat fra Kromann Reumert. Der blev afsagt dom i retssagen den 1. oktober 2009.
Efter domsafsigelsen blev dommen den 16. oktober 2009 offentliggjort på advokatvirksomhedens hjemmeside. Dommen var uanonymiseret og offentliggjort i sin fulde længde. Af dommen fremgik oplysninger om X' fysiske og psykiske helbred. Oplysningerne var afgivet som supplerende forklaringer for landsretten af X selv samt af hendes læge og af hendes fysioterapeut. Det fremgik herunder bl.a., at X, efter lægens udsagn, havde udviklet en kronisk sygdom, og at X, efter eget udsagn, havde gået til en psykiater og taget anti-depressiv medicin.
Efter henvendelse fra X samt henvendelse fra X' advokat tidligere samme dag blev dommen den 19. oktober 2009 fjernet fra hjemmesiden, og ved brev af 21. oktober 2009 beklagede Kromann Reumert den skete offentliggørelse over for X.
X har oplyst, at X på baggrund af en henvendelse fra en ukendt person den 17. oktober 2009 blev opmærksom på den skete offentliggørelse, og at X samme dag rettede skriftlig henvendelse til Kromann Reumert og Datatilsynet.
Kromann Reumert har oplyst, at der er tale om en beklagelig fejl, at der er offentliggjort oplysninger om X, og at advokatvirksomheden ønskede at omtale den nyligt afsagte dom, da den var den første af sin art efter en praksisændring fra Højesteret. Det var ikke hensigten at bringe oplysninger om X i forbindelse med omtalen. Omtalen blev bragt på advokatvirksomhedens hjemmeside på undersiden "nyheder", og der var under omtalen et link, der førte videre til dommen.
Kromann Reumert har videre oplyst, at omtalen på advokatvirksomhedens hjemmeside samme dag som offentliggørelsen blev udsendt som et nyhedsbrev til en afgrænset kreds af modtagere. Ved fjernelsen af indholdet på hjemmesiden den 19. oktober 2009 blev linket på nyhedsbrevet også uvirksomt.
Kromann Reumert har videre oplyst, at advokatvirksomheden for flere år siden har udarbejdet retningslinjer for interne forretningsgange i forbindelse med dokumenthåndtering og videndeling, herunder om anonymisering af domme, kendelser, afgørelser m.v. Disse retningslinjer er blevet indskærpet over for de relevante medarbejdere.
Kromann Reumert har endelig oplyst, at man har kontaktet Google og fået søgemaskinen til at fjerne et eksemplar af dommen, der lå tilgængelig via Google.
Datatilsynet skal herefter udtale følgende:
Relevante regler i persondataloven1
Lovens § 41, stk. 3, foreskriver, at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysningerne hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.
Bestemmelsen i persondatalovens § 41, stk. 3, indeholder således en forpligtelse for den dataansvarlige til at beskytte såvel følsomme oplysninger som fortrolige og almindelige ikke-følsomme oplysninger, ligesom den dataansvarlige skal sikre sig, at systemer, organisation og arbejdsgange indrettes således, at kravene i § 41, stk. 3, efterleves.
Det er Datatilsynets opfattelse, at en sikring af at personoplysninger ikke uberettiget gøres tilgængelige på internettet, er omfattet af den dataansvarliges forpligtigelse efter lovens § 41, stk. 3.
Datatilsynet finder offentliggørelsen meget beklagelig
I det konkrete tilfælde, hvor den uanonymiserede dom er blevet lagt ud på Kromann Reumerts hjemmeside, samtidig med at der er udsendt nyhedsbrev med link til dommen, finder Datatilsynet ikke, at advokatvirksomheden har udvist den fornødne omhu. Kromann Reumert har dermed ikke overholdt kravene i persondatalovens § 41, stk. 3. Datatilsynet finder offentliggørelsen meget beklagelig.
Det er efter Datatilsynets opfattelse en skærpende omstændighed, at dommen indeholder helbredsoplysninger om X.
Datatilsynet noterer sig i øvrigt, at dommen kun har været tilgængelig i et par dage og at advokatvirksomheden har reageret umiddelbart efter modtagelsen af X' henvendelse.
Datatilsynet har noteret sig Kromann Reumerts redegørelse for, hvilke tiltag der er blevet iværksat for at undgå lignende sikkerhedsbrister i fremtiden.
Sletning fra søgemaskiner
Hvis en virksomhed ved en fejl er kommet til at gøre oplysninger tilgængelige på internettet i strid med loven, skal virksomheden gøre, hvad den kan, for at begrænse skaden. Dette er efter Datatilsynets opfattelse også et led i det krav om god databehandlingsskik, der følger af persondatalovens § 5. Yderligere oplysninger findes i Datatilsynets hjemmesidetekst "Utilsigtet offentliggørelse på internettet".
Datatilsynet har noteret sig det oplyste om, at Kromann Reumert har rettet henvendelse til Google og har fået fjernet den cachede version af dommen.
Afsluttende bemærkninger
Datatilsynet foretager sig herefter ikke yderligere i sagen.
1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.