Landsrettens bøde for utilstrækkelige sikkerhedsforanstaltninger efter GDPR artikel 32
Vestre Landsret har idømt Region Syddanmark en bøde på 500.000 kr. for overtrædelse af GDPR’s krav om passende sikkerhedsforanstaltninger. Dommen angik en database anvendt til forskning og kliniske formål, hvor registrerede via ændring af URL-adresser kunne tilgå andre personers data.
Sårbarheden bestod i en langvarig mulighed for uautoriseret opslag, der potentielt berørte omkring 23.000 registrerede, herunder følsomme helbredsoplysninger om børn i psykiatrien. Landsretten lagde vægt på, at regionen burde have været opmærksom på risikoen, navnlig i lyset af et tidligere lignende sikkerhedsbrud, og fandt derfor, at artikel 32 var overtrådt.
Retlig vurdering af ansvar og bevis i straffesagen
Byretten i Kolding dømte oprindeligt regionen for to forhold og udmålte en samlet bøde på 1 mio. kr. Landsretten frifandt for det ene forhold og stadfæstede skyld for det andet, hvilket førte til en lavere bøde. Forskellen afspejler en skarp afvejning af kendte risici, proportionalitet og de faktiske muligheder for forebyggelse.
Efter artikel 32 skal sikkerhedsniveauet stå mål med risikoen og den teknologiske udvikling. Når en dataansvarlig kender – eller burde kende – en konkret sårbarhed, skærpes pligten til at forebygge. Dette gælder i særlig grad ved behandling af følsomme oplysninger.
Frifindelsen for offentliggjort PowerPoint og tekniske muligheder
Det frifundne forhold vedrørte en ældre PowerPoint-præsentation, som efter at være fjernet fra hjemmesiden fortsat kunne findes via søgemaskiner. Præsentationen indeholdt en graf, der gav indirekte adgang til personnumre.
Landsretten lagde vægt på, at regionen havde iværksat relevante organisatoriske tiltag, og at der på det pågældende tidspunkt ikke fandtes effektive tekniske værktøjer til at identificere sådanne indlejrede data. Ansvar pålægges derfor ikke automatisk, hvis myndigheden har handlet rimeligt.
Praktiske implikationer for dataansvarlige myndigheder
Dommen understreger et vedvarende ansvar for at adressere kendte sårbarheder og dokumentere risikobaserede valg. Følgende tiltag kan styrke efterlevelsen:
- Stram adgangsstyring, segmentering og systematisk sårbarhedstest af bruger- og URL-flows.
- Regelmæssig penetrationstest og kodegennemgang med fokus på IDOR og lignende adgangsfejl.
- Hændelseshåndtering, læring fra tidligere brud og hurtig afhjælpning.
- Dokumentation af risikovurderinger, proportionalitet og valgte kontroller i lyset af “state of the art”.
- Løbende kortlægning af offentligt tilgængeligt materiale og deindeksering ved behov.
Samlet viser dommen, at beviskravet i straffesager om GDPR knytter sig til kendskab til risici og rimelige foranstaltninger, især hvor der behandles særligt følsomme sundhedsdata.
