Frederiksberg Municipality fined 50,000 kr. for GDPR data security breach in dental care system.
Denmark (DK)
Legislator summary
AI generatedThe court found Frederiksberg Municipality guilty of violating GDPR and the Data Protection Act due to inadequate security measures in its dental care system. The municipality admitted guilt, arguing for a warning, but the court imposed a fine of 50,000 kr. based on the risk to 56 individuals and the duration of the breach. The decision balanced the lack of actual unauthorized access against the systemic failure to assess data sharing risks.
Legislator headnote
AI generatedGDPR Art. 32(1); Data Protection Act § 41(1)(1): A data controller must implement appropriate technical and organizational measures; failure to do so constitutes a violation punishable by fine, where the severity depends on the risk to data subjects and the remedial actions taken.
Keywords
AI generatedCited Legislation
AI generatedRelated Decisions
AI generatedFull text
Sag om overtrædelse af databeskyttelsesforordningen artikel 32, stk. 1, jf. databeskyttelseslovens § 41, stk. 1, nr. 1, jf. stk. 3, jf. stk. 6, jf. databeskyttelsesforordningens artikel 83, stk. 2, og stk. 4, litra a, jf. stk. 9
[DOKUMENT] Dom (3 sider) Retten på Frederiksberg
Udskrift af dombogen
DOM
afsagt den 16. august 2023
Rettens nr. 3169/2023 Politiets nr. 0100-84266-00049-21
Anklagemyndigheden mod Frederiksberg Kommune CVR nr.
Anklageskrift er modtaget den 23. marts 2023.
Frederiksberg Kommune er tiltalt for overtrædelse af databeskyttelsesforordningen artikel 32, stk. 1, jf. databeskyttelseslo-vens § 41, stk. 1, nr. 1, jf. stk. 3, jf. stk. 6, jf. databeskyttelsesforordnin-gens artikel 83, stk. 2, og stk. 4, litra a, jf. stk. 9, ved i perioden fra den 25. maj 2018 til den 1. marts 2021 ikke at have overholdt sin forpligtelse som dataansvarlig til at gennemføre tekniske og organisatoriske foranstaltninger, der passede til risiciene af varierende sandsynlighed og alvor for de registreredes rettigheder, hvilket medførte et utilstrækkeligt sikkerhedsniveau og tillige havde den konsekvens, at et sikkerhedsbrud opstod, idet Frederiksberg Kommune i selvbetjeningsløsningen ”Min Tandpleje” gav begge forældremyndighedsindehavere adgang til tandplejens breve indeholdende adresser uden i det enkelte tilfælde at vurdere, hvorvidt de pågældende oplysninger måtte videregives til den anden forælder, hvilket medførte risiko for, at der blev givet uberettiget adgang til oplysninger om den ene forælders og/eller barnets adresse, uagtet at denne havde navneog adressebeskyttelse.
Påstande
Anklagemyndigheden har nedlagt påstand om bødestraf på 100.000 kr.
Tiltalte har erkendt sig skyldig og har nedlagt påstand om bødebortfald, således at tiltalte tildeles en advarsel, subsidiært om rettens mildeste dom.
Sagens oplysninger
Der er afgivet forklaring af vidnerne, Stilling 1 Vidne 1 og Stilling 2 Vidne 2. Forklaringerne gengives ikke, jf. retsplejelovens § 218 a, stk. 5, jf. § 712, stk. 1.
Std 75271
/ side 2
Der har været fremlagt Datatilsynets vurdering af sagen og indstilling til sanktion samt supplerende udtalelse fra Datatilsynet af 6. juli 2023.
Tiltalte er tidligere straffet
ved udenretligt for overtrædelse af arbejdsmiljølovgivningen den 1.
september 2020 at have vedtaget en bøde på 100.000 kr., og ved udenretligt for overtrædelse af arbejdsmiljølovgivningen den 28.
juni 2022 at have vedtaget en bøde på 200.000 kr.
Rettens begrundelse og afgørelse
Tiltalte har uden forbehold erkendt sig skyldig i det af anklagemyndigheden under hovedforhandlingen berigtigede anklageskrift. Tilståelsen støttes af de oplysninger, der i øvrigt foreligger. Det er derfor bevist, at tiltalte er skyldig
Straffen fastsættes til en bøde på 50.000 kr., jf. databeskyttelsesforordningen artikel 32, stk. 1, jf. databeskyttelseslovens § 41, stk. 1, nr. 1, jf. stk. 3, jf. stk. 6, jf. databeskyttelsesforordningens artikel 83, stk. 2, og stk. 4, litra a, jf. stk. 9, jf. straffelovens § 89.
Retten har ved fastsættelsen af bødens størrelse lagt vægt på de i databeskyttelsesforordningens art. 83, stk. 2, oplistede momenter, herunder at bruddet på persondatasikkerheden findes at have medført risiko for sikkerhedsbrud for maksimalt 56 registrerede personer, som alle af kommunen er blevet underrettet herom, og hvoraf alene tre registrerede personer har givet kommu-nen en tilbagemelding om, at de ikke fandt, at der herved var sket nogen ska-de, samt at de alle havde navneog adressebeskyttelse af andre årsager end den pågældende anden forælders forhold. Der er herved også lagt vægt på, at sagens parter er enige om, at det ved afgørelsen lægges til grund, at ingen uberettigede personer faktisk har tilgået de beskyttede personoplysninger om navneog adressebeskyttelse.
Retten har endvidere lagt vægt på, at overtrædelsen har fundet sted over en uafbrudt periode på knap 3 år, at Frederiksberg Kommune meget hurtigt rettede for sig, da sikkerhedsbruddet blev konstateret, og at Frederiksberg Kommune ikke er tidligere straffet af relevans for sagen.
Retten finder på den baggrund og efter en samlet vurdering, herunder af Frederiksberg Kommunes bevillingsmæssige forhold, at Frederiksberg Kom-mune skal betale en bøde på 50.000 kr. Retten finder ikke grundlag for at la-de sagen afgøre med en advarsel.
Thi kendes for ret:
/ side 3
Frederiksberg Kommune skal som tillægsstraf betale en bøde på 50.000 kr.
Tiltalte skal betale sagens omkostninger.
Dommer
/ /