SS-2037/2024-VLR

.ddb-conv-doc { text-align: left; background-color: gray; color: #000000; line-height: 1; margin: 0; padding: 0; text-decoration-skip: none; text-decoration-skip-ink: none; } .ddb-conv-doc .page { background-color: white; position: relative; z-index: 0; margin: auto auto; } .ddb-conv-doc P { margin: 0; } .ddb-conv-doc UL { margin: 0; list-style: none; } .ddb-conv-doc UL LI { line-height: 1.15; } .ddb-conv-doc SUP { vertical-align: baseline; position: relative; top: -0.4em; font-size: 0.7em; line-height: 0; } .ddb-conv-doc .ddb-segment { position: relative; } .ddb-conv-doc .ddb-segment .ddb-absolute { position: absolute; z-index: 3; } .ddb-conv-doc .text, .ddb-conv-doc div.ddb-block, .ddb-conv-doc div.ddb-block-nb { position: relative; z-index: 3; opacity: inherit; text-align: left; margin-right: 40.2px; line-height: 1.15; } .ddb-conv-doc div.ddb-block-nb { white-space: nowrap; } .ddb-conv-doc .ddb-table { white-space: nowrap; width: 1024.0px; } .ddb-conv-doc .ddb-table .table-span { vertical-align: top; word-wrap: break-word; display: inline-block; } .ddb-conv-doc .ddb-table * { white-space: normal; } .ddb-conv-doc .vector, .ddb-conv-doc .image, .ddb-conv-doc .annotation, .ddb-conv-doc .annotation2, .ddb-conv-doc .control { position: absolute; line-height: 0; } .ddb-conv-doc .vector { z-index: 1; } .ddb-conv-doc .image { z-index: 2; } .ddb-conv-doc .annotation { z-index: 5; } .ddb-conv-doc .annotation2 { z-index: 7; } .ddb-conv-doc .control { z-index: 10; } .ddb-conv-doc .dummyimg { vertical-align: top; border: none; line-height: 0; } .marking .identification { border-bottom: 2px solid #000; } .additional-marking-parts { display: none } .hidden { display: none }

D O M

afsagt den 10. september 2025 af Vestre Landsrets 5. afdeling (dommerne Henrik Estrup, Annette Nørby og Ioana Fodor (kst.)) i ankesag

V.L. S – 2037 – 24

Anklagemyndigheden mod Tiltalte født Dato 1 1996 (advokat Solveig Værum Nørgaard, Nørager)

Retten i Viborg har den 14. oktober 2024 afsagt dom i 1. instans (rettens nr. 4902/2023).

Påstande

Anklagemyndigheden har påstået dom i overensstemmelse med tiltalen i 1. instans, dog således at tiltalen omhandler oplysninger om 349 personer i stedet for 350 personer.

Tiltalte har påstået stadfæstelse.

Supplerende oplysninger

Datatilsynet har den 11. december 2023 afgivet en udtalelse i sagen. Af udtalelsen fremgår bl.a.:

”Midt- og Vestjyllands Politis anmodning om en udtalelse fra Datatil-synet – politiets j.nr. 4100-70585-00198-23

Ved brev af 12. oktober 2023 har Midt- og Vestjyllands Politi forelagt oven-stående sag og anmodet Datatilsynet om en udtalelse.

- 2 -

Det fremgår af det fremsendte materiale, at sagens person er sigtet for over-trædelse af straffelovens § 155. Datatilsynet kan på den baggrund indled-ningsvis oplyse, at tilsynet ikke har bemærkninger til subsumptionen af sa-gens forhold under straffeloven, ligesom tilsynet heller ikke har bemærk-ninger til en eventuel sanktion efter straffeloven. Tilsynets udtalelse forhol-der sig alene til, om de forhold, som er beskrevet i det fremsendte materiale, kan indebære en overtrædelse af de databeskyttelsesretlige regler, og hvil-ken sanktion der i så fald vil kunne komme på tale.

…

1. Sagens faktiske omstændigheder På baggrund af politiets beskrivelse af sagen har Datatilsynet forstået det sådan, at den sigtede som ansat i Kommune i perioden fra den 9. no-vember 2022 til den 19. april 2023 har misbrugt sin adgang til et elektronisk sagsbehandlingssystem, kaldet SAPA, ved uberettiget at have foretaget op-slag i systemet, hvorved der er tilgået personoplysninger, dog uden efterfølgende at have videregivet eller på anden måde anvendt de tilgåede personoplysninger.

Det fremgår af det fremsendte materiale, at der er tale om 350 uberettigede opslag. Datatilsynet har forstået det således, at der er tale om, at den sigtede har tilgået personoplysninger om 350 individuelle personer.

Det er ikke helt klart for Datatilsynet, hvilken type af personoplysninger der er tilgået ved de nævnte registeropslag. Det fremgår af afhøringen af Kommunes DPO, at det i SAPA er muligt at tilgå en lang række type af per-sonoplysninger.

Det er dog samtidig tilsynets forståelse, at sigtedes opslag er blevet ”logget” , og at det på den baggrund kan lægges til grund, at hun har tilgået siderne ”Familie - og Bopælssamling” og ”Personover-blik” , som viser almindelige oplysninger og CPR -numre. På den baggrund har tilsynet lagt til grund, at der alene er tilgået personoplysninger i form af f.eks. personnummer, navn, adresse, alder og civilstand.

Derudover har Datatilsynet forstået det sådan, at den sigtede i det store hele har erkendt at have foretaget opslagene uden saglig grund.

Datatilsynet har ikke forholdt sig nærmere til spørgsmålet om, hvorvidt sig-tede havde fået den nødvendige oplæring, herunder om hun var bekendt med, hvilke oplysninger hun måtte tilgå i systemet. Dette forekommer såle-des at være et spørgsmål, som primært er relevant i forhold til vurderingen af tilregnelse hos sigtede.

2. Datatilsynets vurdering af sagen 2.1. Retligt grundlag Datatilsynet kan generelt om databeskyttelsesforordningen oplyse, at for-ordningen ifølge artikel 2, stk. 1, finder anvendelse på behandling af per-sonoplysninger, der helt eller delvis foretages ved hjælp af automatisk be-handling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

- 3 -

Ved personoplysninger forstås enhver form for information om en identifi-ceret eller identificerbar fysisk person; ved identificerbar fysisk person for-stås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et identifikationsnummer, jf. databeskyttel-sesforordningens artikel 4, nr. 1.

Databeskyttelsesforordningens artikel 6, stk. 1, regulerer behandlingen af personoplysninger, som ikke er klassificeret som særlige kategorier af op-lysninger (følsomme personoplysninger). Artikel 6 omfatter som udgangs-punkt f.eks. identifikationsoplysninger som navn, adresse og alder, uddannelse, familieforhold, ansættelsesforhold m.v., hvorimod be-handling af personnumre er reguleret af databeskyttelseslovens § 11.

Det fremgår af artikel 6, stk. 1, at behandling af personoplysninger kun er lovlig, hvis og i det omfang mindst ét af forholdene i litra a-f gør sig gæl-dende.

For så vidt angår behandling af oplysninger om personnummer, fremgår det af databeskyttelseslovens § 11, stk. 2, at private må behandle oplysninger om personnummer, når en eller flere af en række nærmere bestemte betin-gelser er opfyldt, herunder hvis betingelserne i lovens § 7 er opfyldt.

Det følger af databeskyttelseslovens § 7, at behandling af særlige kategorier af personoplysninger kan ske i visse situationer.

Overtrædelse af databeskyttelsesforordningens artikel 6, stk. 1, straffes med bøde, jf. databeskyttelseslovens § 41, stk. 1, nr. 4, og stk. 2, nr. 1, jf. stk. 3, jf. databeskyttelsesforordningens artikel 83, stk. 2, og stk. 5, litra a, jf. stk. 9. På samme måde straffes den, der overtræder databeskyttelseslovens § 11, jf. databeskyttelseslovens § 41, stk. 2, nr. 1.

2.2. Datatilsynets vurdering Efter Datatilsynets opfattelse udgør opslag på de nævnte oplysninger i SA-PA en behandling af personoplysninger i databeskyttelsesforordningens for-stand. Behandlingen er omfattet af kravet om et behandlingsgrundlag i data-beskyttelsesforordningens artikel 6, stk. 1, samt databeskyttelseslovens § 11, stk. 2.

På baggrund af de foreliggende oplysninger i sagen er det endvidere Datatil-synets vurdering, at der er tale om opslag uden fornøden hjemmel, og at op-slagene derfor indebærer en overtrædelse af databeskyttelsesforordningens artikel 6, stk. 1, samt databeskyttelseslovens § 11, stk. 2, og at ingen af be-handlingsgrundlagene i databeskyttelsesforordningens artikel 6, stk.1, litra a-f, hermed var til stede i forhold til behandlingen.

Datatilsynet har i den forbindelse lagt vægt på, at opslagene efter det oplyste ikke havde nogen saglig forbindelse med sigtedes arbejde i kommunen, og at sigtede derfor pådrog sig et selvstændigt dataansvar for de pågældende opslag.

Det er samlet set Datatilsynets vurdering, at de nævnte opslag – og med de under afsnit 1 nævnte forudsætninger – indebærer en overtrædelse af data-beskyttelsesforordningens artikel 6, stk. 1, samt databeskyttelseslovens § 11, stk. 2, og at der hermed kan rejses tiltale.

- 4 -

Datatilsynet skal samtidig bemærke, at tilsynet ikke hermed har taget stilling til, hvorvidt de pågældende forhold tillige udgør en overtrædelse af anden lovgivning, herunder straffelovens § 155.”

Forklaringer

Tiltalte har for landsretten i det væsentlige forklaret som i 1. instans. Der er endvidere af-givet forklaring af Vidne 1 og Vidne 2.

Tiltalte har supplerende forklaret, at hun fik listerne med navne på børn under 15 år, der skulle slås op i SAPA-systemet og sendes tandlægebreve til, en gang om måneden. Hun føler ikke, at hun fik nok oplæring i systemet. Hun var ikke på kursus. Hun blev oplært af en kollega, der viste hende, hvordan hun skulle slå dem op, der stod på listen. Hun fik ikke at vide, at hun ikke måtte slå andre op, og hun fik ikke en uddybende beskrivelse af syste-met. Hun overvejede ikke, om det var forkert at slå en kendis op. Hun tænkte ikke, at det var et problem, når hun ikke brugte oplysningerne til noget eller havde onde hensigter.

Hun blev indkaldt til en tjenstlig samtale. Hun husker, at hun var så chokeret under mødet, at hun lagde sig fladt ned og undskyldte. Det fremgik ved en fejl af referatet fra samtalen, at hun havde givet udtryk for, at hun godt havde vidst, at hun ikke måtte lave opslagene. Hun fik referatet i weekenden, men ringede hun straks mandag morgen og sagde, at det var en misforståelse. Efter den tjenstlige samtale blev hun bortvist og hendes uddannelsesaftale blev ophævet.

Hun kan erkende, at hun har foretaget 241 uberettigede opslag på venner, familie, bekend-te, kolleger og kendisser. Hun slog dels navnene op af nysgerrighed, dels som selvoplæ-ring. Hun er meget perfektionistisk. Hun ville gerne forstå systemet helt. Hun slog også navne op i andre kommuner for at se, om der var en forskel på, hvordan oplysningerne var angivet.

Hun har gennemgået kommunens liste over hendes opslag (byretsekstrakten side 1176 ff.) med sin advokat. Der er anført ”måske tandlægesøgning -arbejdsrelateret ” ud for de navne, der ikke siger hende noget. Hun tænker, at disse opslag må være sket i forbindelse med udsendelsen af tandlægebrevene. Foreholdt, at det fremgår af listen (side 1177), at hun den 6. december 2022 kl. 14:09:59 har slået op på ”Person 2” og der-

- 5 -

næst kl. 14:10:14 har slået op på ”Person 3” har hun forklaret, at Person 3 er en bekendt. Hun kender ikke Person 2, og det er muligt, at opslaget på hende var en fejl.

Det kan godt passe, at der er 52 opslag, hvor der er anført ”fejlsøgning” eller sat spørgs-målstegn. Hun lavede af og til fejlopslag på grund af sin RollerMouse. Der kan ikke være nogen af fejlopslagene, der har været uberettigede, for det er ikke nogen navne, hun ken-der. Hun kender ikke nogen, der hedder Navn 1 til efternavn. Navnene Person 4, Person 5, Person 6 og Person 7 (byretsekstrakten side 1178) siger hende ikke noget. Det må have været fejlopslag. Hun ved ikke, om 52 fejlopslag er mange. RollerMusen var livlig, og den var dagligt årsag til fejl. Hun har talt med en kollega om, at musen drillede hende.

Som forklaret for byretten skulle hun også tjekke både den fysiske og elektroniske post. Alt kommunens post kom ind til hende, og så skulle hun fordele den videre. Hvis hun ek-sempelvis søgte på ”Navn 2” , kunne der komme mange personer frem. Som forklaret skete flere af opslagene som led i selvlæring. Hun ville øve sig i, hvilke oplysninger hun skulle kigge efter, så hun ikke lavede nogen fejl.

Opslaget på hende selv (Tiltalte – byretsekstrakten side 1178) er sket som led i selvlæringsprocessen. Foreholdt, at opslaget foregik den 14. november 2022 og dermed et par måneder efter, at hun var startet, har hun forklaret, at hun på det tidspunkt næsten lige havde fået opgaven med tandlægebreve. Hun var i tre ugers praktik ved kommunen, før hun den 1. oktober 2022 blev ansat som elev.

Hun have ikke adgang til ydelseskortet i SAPA-systemet.

Hun skrev den 31. marts 2023 under på tro og love, at hun ikke har brugt oplysningerne på nogen måde og ikke har videregivet dem (byretsekstrakten side 89). Det er også hendes forklaring i dag. Som bekræftet af kommunens databeskyttelsesrådgiver Vidne 1 i en mail af 20. april 2023 (byretsekstrakten side 95) har hun ikke gennemført et kursus i informationssikkerhed.

Tiltalte har vedrørende sine personlige forhold forklaret, at hun i dag arbejder som rengø-ringsassistent. Efter bortvisningen var hun ledig i en længere periode. Det har ikke været muligt at få en ny elevplads, hvor hun kunne fortsætte sin uddannelse, fordi hun var kom-met så langt i sit elevforløb ved kommunen.

- 6 -

Vidne 1 har forklaret, at han er ansat i Kommune som databe-skyttelsesrådgiver. Hans opgaver er bl.a. at have kontakt til Datatilsynet og borgerne, råd-give internt i kommunen og at føre tilsyn med, om kommunen behandler dataoplysninger korrekt. Han har været ansat i Kommune siden 2021 og har været databeskyttelses-rådgiver i ca. tre år.

Som databeskyttelsesrådgiver skal man informeres ved sikkerhedsbrud. Det er de system-ansvarlige, der varetager stikprøvekontroller, men hvis der opstår uregelmæssigheder, bli-ver han involveret. I 2022/23 kunne man maksimalt gå seks måneder tilbage i SAPA-systemet. Det er i første omgang systemadministrator, der vurderer, om der er foregået noget mistænkeligt. Hvis det er tilfældet, går administrator enten til ham eller til en leder for at finde ud af, om det skal undersøges nærmere. I det konkrete tilfælde valgte man at gå videre med sagerne.

Det er hovedsageligt systemadministrator, der har gået listen (byretsekstrakten side 1176 ff.) igennem, fundet de mistænkelige opslag og lavet de grønne og gule markeringer. Han blev først involveret, da der blev taget fat i den relevante leder. Det er første gang, han har oplevet uberettigede opslag i et sådant omfang. Han har hørt om enkelte tilsvarende sager i andre kommuner.

Det var ham, der orienterede de borgere, som uberettiget var blevet slået op i systemet. Der kom mange opkald fra de berørte borgere. Kommunen satte en hotline op, og der sad tre medarbejdere på borgmesterkontoret i 2-3 dage og tog imod opkald. Det var forskelligt, hvor bekymrede de var. Det vil typisk være via henvendelser fra berørte borgere, at man finder ud af, om oplysningerne er blevet delt. Der var ikke noget i denne sag, der gav an-ledning til at forfølge dette nærmere.

Ved anvendelse af SAPA-systemet logger man på som bruger og foretager opslag via en søgeside, hvor man kan søge på cpr.nr., navn eller lign. Når resultatet af søgningen er kommet frem, kan man klikke videre på nogle sider vedrørende de konkrete borgere, som søgningen har fundet frem. Der er en generel oversigt, en familieoversigt og en oversigt over, hvilke ydelser borgeren får fra kommunen.

Man har ikke nødvendigvis adgang til alle tre oversigter. Den generelle oversigt indeholder basisoplysninger i form af navn og adres-se mv. Hvis personen har adressebeskyttelse, skal man ind og trykke en ekstra gang for at finde adressen.

- 7 -

Når man anvender søgefunktionen, kan der komme mange navne frem. Resultatet afhæn-ger af, hvor generisk navnet er. Hvis der er tale om personer med specifikke navne, vil søgeresultatet sjældnere ”fejle” . Hvis man kun søger på ”Navn 3” , får man i første omgang alle med navnet Navn 3 frem. Han er ikke sikker på, om der fremgår cpr. nr. af det første søgeresultat, man får.

Alle ”klik” , der bliver foretaget i forbindelse med en søgning, bliver logget. Tiltalte havde både lavet opslag i den generelle oversigt og i familieoversigten. Det er en konkret vurde-ring fra den, der sidder med adgangsstyringen, om en medarbejder skal have adgang til hele eller kun dele af systemet. Han mener, at tiltalte havde adgang til ydelsesmodulet.

Der kan godt ske fejl i forhold til, om man får adgang til et modul, der ikke er nødvendigt for opgavevaretagelsen. Han har tjekket inden vidneforklaringen i dag, hvilke opslag der er sket i sagen, og som han husker det, har tiltalte lavet 21 opslag i ydelsesmodulet. Han me-ner også, at dette fremgik af politianmeldelsen. ”SAPA” står for sags - og partsoverblik. Han er ikke sikker på, hvem der ejer systemet.

Vidne 2 har forklaret, at hun var teamleder og dermed personaleleder for tiltalte, som var kontorelev. Hun kom ind i sagen den 27. marts 2023, hvor en medarbejder fra IT-afdelingen gjorde hende opmærksom på, at tiltalte havde lavet en række opslag på mange medarbejdere.

Hun talte med sin chef, Person 8, om sagen, og det blev aftalt, at der skulle afholdes et møde med tiltale, for at finde ud af, hvad der var op og ned. Tiltalte blev forelagt oplys-ningerne, og tiltalte indvilligede i at være med til at gennemgå listen. Tiltalte sagde, at mange af opslagene var lavet af nysgerrighed og ikke var arbejdsrelevante. Tiltalte erkend-te, at hun godt vidste, at hun ikke måtte slå op i systemet, når det ikke var arbejdsrelevant.

De gennemgik alle opslag på listen med navns nævnelse, og tiltalte fortalte, om det var sket i arbejdsmedfør eller af nysgerrighed. Det var forholdsvis mange opslag, der ikke var arbejdsrelaterede. Hun husker ikke, om der blev nævnt noget om fejlopslag. Hun mindes, at tiltalte var meget tydelig omkring, hvad der var arbejdsrelateret, og hvad der ikke var. Hun vil ikke mene, at fejlopslag kan forekomme ofte. Man skal være i besiddelse af nogle helt bestemte oplysninger for at få noget ud af systemet.

- 8 -

Det er rigtigt, at tiltalte den 3. april 2023 sendte en mail om, at tiltalte følte sig misforstået under den tjenstlige samtale (byretsekstrakten side 94). Hun kan ikke sige, hvad tiltalte mente med misforståelse, men tiltale var på mødet meget tydelig omkring, at hun godt vid-ste, at hun ikke måtte lave opslag, der ikke var arbejdsrelaterede. Tiltalte gentog det på to forskellige møder. Hun gennemgik listen med tiltalte og ved ikke, hvordan processen har været efterfølgende, herunder om de er gået videre med de tilfælde, hvor tiltalte har sagt, at opslaget var arbejdsrelateret.

Tiltalte havde også nogle opgaver med at sortere post. Hvis der kom materiale ind, hvor der manglede nogle oplysninger, har det været naturligt at slå det op. Hun mindes ikke, at tiltalte skulle have nævnt noget om, at hun havde problemer med sin RollerMouse. Hun kan ikke svare på, hvorfor politianmeldelsen (byretsekstrakten side 18) omhandlede et fær-re antal opslag end tiltalen.

Landsrettens begrundelse og resultat

Tiltalte har erkendt, at hun under sin ansættelse som kontorelev i Kommune i 241 tilfælde har foretaget opslag i datasystemet SAPA uden tjenstlig anledning. Hun har forkla-ret, at opslagene skete af nysgerrighed omkring venner, bekendte, kolleger og kendisser, og at de navne på kommunens opslagsliste, der ikke siger hende noget, må have været enten fejlopslag eller arbejdsrelaterede.

Landsretten finder ikke grundlag for at tilsidesætte tiltal-tes forklaring, og det lægges herefter, og da der ikke er ført bevis for et højere antal, til grund, at tiltalte i tiden fra den 9. november 2022 til den 19. april 2023 foretog 241 uberet-tigede opslag i SAPA.

Spørgsmålet er dernæst, om de pågældende tjenesteforseelser udgør en overtrædelse af straffelovens § 155, idet det i retspraksis er antaget, at mindre grove tilfælde af tjeneste-misbrug ikke er omfattet af straffelovens § 155, men alene skal forfølges med hjemmel i en eventuel særlovgivning eller disciplinært.

Landsretten lægger efter bevisførelsen, herunder udtalelsen fra Datatilsynet, til grund, at tiltalte ved opslagene fik adgang til personoplysninger i form af bl.a. personnummer, navn, adresse, alder og civilstand.

- 9 -

Efter en samlet vurdering af oplysningernes karakter, tiltaltes forklaring om baggrunden for opslagene i datasystemet, og idet det er ubestridt, at tiltalte ikke har videregivet eller på anden måde behandlet de tilgåede oplysninger, tiltræder landsretten efter en samlet vurde-ring, at der ikke er sket en sådan krænkelse af det privates eller offentliges ret, at tiltalte har gjort sig skyldig i overtrædelse af straffelovens § 155.

Landsretten stadfæster derfor dommen.

T h i k e n d e s f o r r e t:

Byrettens dom stadfæstes.

Statskassen skal betale sagens omkostninger for landsretten.

Henrik Estrup Annette Nørby Ioana Fodor

(kst.)