Frederiksberg Kommune indstilles til bøde

Dato: 16-12-2021

Datatilsynet har anmeldt Frederiksberg Kommune til politiet, da tilsynet vurderer, at kommunen ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningen.

Frederiksberg Kommune er blevet indstillet til en bøde på 100.000 kr. for ikke at have etableret tilstrækkelige sikkerhedsforanstaltninger i en af kommunens selvbetjeningsløsninger.

Frederiksberg Kommune anmeldte den 1. marts 2021 et brud på persondatasikkerheden til Datatilsynet. Af sagen fremgik det, at den kommunale tandpleje havde en selvbetjeningsløsning, hvor bopælsforældre oprindeligt havde adgang til bl.a. tandplejens breve. Kommunen udvidede efterfølgende adgangen til systemet til også at omfatte samværsforældre med fælles forældremyndighed.

Dette medførte, at forældre i flere tilfælde fik adgang til oplysninger om bopælsforælderen og barnets adresse, selv om bopælsforælderen og barnet var registreret med navne- og adressebeskyttelse.

Krav om passende sikkerhed

”Når man udvider adgangen til et system for samværsforældre, hvor personoplysninger kan være særligt beskyttede, fx på grund af navne- og adressebeskyttelse, skal man gøre sig klart, hvilke oplysninger samværsforældrene får adgang til. Man skal også tage højde for, at adgangen kan udsætte bopælsforælderen og barnet for en potentiel høj risiko. Frederiksberg Kommune skulle således have sikret sig imod, at der blev givet adgang til oplysninger, der ikke burde gives adgang til,” forklarer specialkonsulent i Datatilsynet Liv Palmelund Osborg.

Hvorfor politianmeldelse?

Datatilsynet foretager altid en konkret vurdering af sagens grovhed i medfør af databeskyttelsesforordningens artikel 83, stk. 2, ved vurderingen af, hvilken sanktion der efter tilsynets opfattelse er den korrekte.

På baggrund af sagens omstændigheder har Datatilsynet besluttet at anmelde Frederiksberg Kommune til politiet og indstiller, at der nedlægges påstand om, at kommunen idømmes en bøde på 100.000 kr.

Datatilsynet har ved sin indstilling til bødestørrelse blandt andet lagt vægt på overtrædelsens karakter og alvor, og forordningens krav om at en bøde i hver enkelt sag skal være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. Datatilsynet har lagt vægt på, at adgangen til adresserne kunne medføre alvorlige konsekvenser for de registrerede, som netop havde adressebeskyttelse for at undgå, at den anden forælder fik kendskab til adressen. Ved beregningen af bøden er der endvidere lagt vægt på kommunens størrelse i forhold til til indbyggertal og den samlede driftsbevilling.

Vil du vide mere?

Læs mere om, hvordan du beskytter personoplysninger her.

Pressehenvendelser kan rettes til kommunikationskonsulent Anders Due på tlf. 29 49 32 83.

Fakta

Bødestraffe for brud på GDPR

Det fremgår af GDPR, at tilsynsmyndighederne skal kunne give bøder ved brud på databeskyttelsesreglerne. En bøde skal være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

I de fleste europæiske lande kan de nationale datatilsyn selv udstede administrative bøder, men reglerne er anderledes i bl.a. Danmark. Her fungerer det på den måde, at Datatilsynet efter at have belyst og vurderet sagen politianmelder den dataansvarlige. Herefter undersøger politiet, om der er grundlag for at rejse en sigtelse mv., og endelig vil en eventuel bødestraf blive afgjort ved en domstol.

Offentlige myndigheder

Det er nationalt reguleret, om det skal være muligt at give bøder til offentlige myndigheder. I Danmark har man fastsat i databeskyttelsesloven, at offentlige myndigheder skal kunne straffes på samme måde som private aktører. Bødelofterne for alle offentlige myndigheder er dog lavere end dem, der gælder private virksomheder.

Se oversigt over GDPR-bøder her.