Vestre Landsret har den 23. marts 2026 afsagt dom i en straffesag mod Region Syddanmark. Regionen var tiltalt for to forhold vedrørende overtrædelse af databeskyttelsesforordningens artikel 32. Venstre Landsret fandt regionen skyldig i det ene af de to forhold, som regionen var tiltalt for, og idømte regionen en bøde på 500.000 kr. Landsretten frifandt regionen i det andet forhold.
Sagen er tidligere blevet afgjort i Retten i Kolding den 23. december 2024, hvor regionen blev fundet skyldig i begge forhold og idømt en samlet bøde på 1 mio. kr.
Krav om passende sikkerhed
Datatilsynet havde i den ene sag indstillet til en bøde på 500.000 kr. for overtrædelse af databeskyttelsesforordningens artikel 32 for ikke at have overholdt sin forpligtelse som dataansvarlig til at gennemføre passende sikkerhedsforanstaltninger.
Regionen havde i en periode på mere end 1,5 år haft en database til forskningsmæssige og kliniske formål, hvor regionen ikke i tilstrækkelig grad havde sikret sig imod, at uvedkommende kunne opnå uautoriseret adgang til PDF-dokumenter i databasen ved at ændre i URL-adressen. Det medførte, at borgere, der var registreret i databasen – og som i øvrigt havde et login til databasen – kunne tilgå personoplysninger om ca. 23.000 andre registrerede i databasen. I databasen lå bl.a. spørgeskemaer indeholdende helbredsoplysninger, herunder om børn tilknyttet psykiatrien. Sårbarheden i adgangen til databasen blev ikke udnyttet af andre end den pågældende borger, som blev opmærksom på forholdet.
Vestre Landsret fandt, at regionen var skyldig for så vidt angår dette forhold, og idømte regionen en bøde på 500.000 kr. for overtrædelse af databeskyttelsesforordningens artikel 32. Retten lagde bl.a. – på baggrund af Datatilsynets forklaring – vægt på, at regionen burde have været bekendt med den sårbarhed, som anvendelsen af URL-adresser indebærer og den risiko for utilsigtet adgang, som er forbundet hermed. Det skyldes bl.a., at regionen i 2018 havde anmeldt et brud på persondatasikkerheden til Datatilsynet, som vedrørte samme type sårbarhed.
Sikkerhedsforanstaltninger
I den anden sag havde Datatilsynet indstillet til en bøde på 500.000 kr. for overtrædelse af databeskyttelsesforordningens artikel 32 for ikke at have overholdt sin forpligtelse som dataansvarlig til at gennemføre passende sikkerhedsforanstaltninger.
Regionen uploadede i 2011 en PowerPoint-præsentation vedrørende cancerbehandling på regionens hjemmeside, hvor det var muligt via en graf i præsentationen at tilgå en række bagvedliggende personnumre. Regionen fik en ny hjemmeside i løbet af 2014 og 2015, og i den forbindelse blev en mængde data flyttet fra hjemmesiden til et dokumentarkiv, herunder den pågældende PowerPoint-præsentation, som dermed ikke længere var tilgængelig fra regionens hjemmeside. Præsentationen var dog i mellemtiden blevet indekseret af Google og kunne derfor fortsat fremsøges indtil den 5. februar 2020, hvor regionen blev gjort opmærksom på sikkerhedsbruddet via en henvendelse fra en borger.
Vestre Landsret frifandt regionen for så vidt angår dette forhold. Landsretten lagde vægt på, at regionen havde truffet organisatoriske foranstaltninger i form af undervisning af webredaktører, generel orientering af medarbejdere, og at der på daværende tidspunkt ikke fandtes tekniske værktøjer, som effektivt ville kunne fremsøge indlejrede data, samt at kontrol af dokumentarkivet i givet fald skulle ske manuelt.
Vestre Landsrets dom
Dommen viser, at det bl.a. tillægges vægt i vurderingen, om den dataansvarlige har taget tidligere kritik fra Datatilsynet til efterretning og indrettet sig herefter ved at træffe de relevante og nødvendige sikkerhedsforanstaltninger.
Hvis sagen ønskes indbragt for Højesteret, kræver det en tilladelse fra Procesbevillingsnævnet.
Vil du vide mere?
Læs Datatilsynets tidligere nyheder om de to sager her og her.
Retten i Koldings dom af 23. december 2024 i sagen kan læses her.
Vestre Landsrets dom af 23. marts 2026 i sagen kan læses her.