DOM afsagt den 10. september 2025 af Vestre Landsrets 5. afdeling (dommerne Henrik Estrup, Annette Nørby og Ioana Fodor (kst.)) i ankesag V.L. S – 2037 – 24 Anklagemyndigheden mod Tiltalte født Dato 1

§ 11, stk.

2. På baggrund af de foreliggende oplysninger i sagen er det endvidere Datatilsynets vurdering, at der er tale om opslag uden fornøden hjemmel, og at opslagene derfor indebærer en overtrædelse af databeskyttelsesforordningens artikel 6, stk. 1,

§ 11, stk.

2, og at ingen af behandlingsgrundlagene i databeskyttelsesforordningens artikel 6, stk.1, litra a-f, hermed var til stede i forhold til behandlingen. Datatilsynet har i den forbindelse lagt vægt på, at opslagene efter det oplyste ikke havde nogen saglig forbindelse med sigtedes arbejde i kommunen, og at sigtede derfor pådrog sig et selvstændigt dataansvar for de pågældende opslag. Det er samlet set Datatilsynets vurdering, at de nævnte opslag – og med de under afsnit 1 nævnte forudsætninger – indebærer en overtrædelse af databeskyttelsesforordningens artikel 6, stk. 1,

§ 11, stk.

2, og at der hermed kan rejses tiltale. -4- Datatilsynet skal samtidig bemærke, at tilsynet ikke hermed har taget stilling til, hvorvidt de pågældende forhold tillige udgør en overtrædelse af anden lovgivning, herunder straffelovens § 155.” Forklaringer Tiltalte har for landsretten i det væsentlige forklaret som i

1. instans. Der er endvidere afgivet forklaring af Vidne 1 og Vidne
2. Tiltalte har supplerende forklaret, at hun fik listerne med navne på børn under 15 år, der skulle slås op i SAPA-systemet og sendes tandlægebreve til, en gang om måneden. Hun føler ikke, at hun fik nok oplæring i systemet. Hun var ikke på kursus. Hun blev oplært af en kollega, der viste hende, hvordan hun skulle slå dem op, der stod på listen. Hun fik ikke at vide, at hun ikke måtte slå andre op, og hun fik ikke en uddybende beskrivelse af syste-met. Hun overvejede ikke, om det var forkert at slå en kendis op. Hun tænkte ikke, at det var et problem, når hun ikke brugte oplysningerne til noget eller havde onde hensigter. Hun blev indkaldt til en tjenstlig samtale. Hun husker, at hun var så chokeret under mødet, at hun lagde sig fladt ned og undskyldte. Det fremgik ved en fejl af referatet fra samtalen, at hun havde givet udtryk for, at hun godt havde vidst, at hun ikke måtte lave opslagene. Hun fik referatet i weekenden, men ringede hun straks mandag morgen og sagde, at det var en misforståelse. Efter den tjenstlige samtale blev hun bortvist og hendes uddannelsesaftale blev ophævet. Hun kan erkende, at hun har foretaget 241 uberettigede opslag på venner, familie, bekend-te, kolleger og kendisser. Hun slog dels navnene op af nysgerrighed, dels som selvoplæ-ring. Hun er meget perfektionistisk. Hun ville gerne forstå systemet helt. Hun slog også navne op i andre kommuner for at se, om der var en forskel på, hvordan oplysningerne var angivet. Hun har gennemgået kommunens liste over hendes opslag (byretsekstrakten side 1176 ff.) med sin advokat. Der er anført ”måske tandlægesøgning -arbejdsrelateret ” ud for de navne, der ikke siger hende noget. Hun tænker, at disse opslag må være sket i forbindelse med udsendelsen af tandlægebrevene. Foreholdt, at det fremgår af listen (side 1177), at hun den
3. december 2022 kl. 14:09:59 har slået op på ”Person 2” og der- -5næst kl. 14:10:14 har slået op på ”Person 3” har hun forklaret, at Person 3 er en bekendt. Hun kender ikke Person 2, og det er muligt, at opslaget på hende var en fejl. Det kan godt passe, at der er 52 opslag, hvor der er anført ”fejlsøgning” eller sat spørgsmålstegn. Hun lavede af og til fejlopslag på grund af sin RollerMouse. Der kan ikke være nogen af fejlopslagene, der har været uberettigede, for det er ikke nogen navne, hun ken-der. Hun kender ikke nogen, der hedder Navn 1 til efternavn. Navnene Person 4, Person 5, Person 6 og Person 7 (byretsekstrakten side 1178) siger hende ikke noget. Det må have været fejlopslag. Hun ved ikke, om 52 fejlopslag er mange. RollerMusen var livlig, og den var dagligt årsag til fejl. Hun har talt med en kollega om, at musen drillede hende. Som forklaret for byretten skulle hun også tjekke både den fysiske og elektroniske post. Alt kommunens post kom ind til hende, og så skulle hun fordele den videre. Hvis hun eksempelvis søgte på ”Navn 2” , kunne der komme mange personer frem. Som forklaret skete flere af opslagene som led i selvlæring. Hun ville øve sig i, hvilke oplysninger hun skulle kigge efter, så hun ikke lavede nogen fejl. Opslaget på hende selv (Tiltalte – byretsekstrakten side 1178) er sket som led i selvlæringsprocessen. Foreholdt, at opslaget foregik den
4. november 2022 og dermed et par måneder efter, at hun var startet, har hun forklaret, at hun på det tidspunkt næsten lige havde fået opgaven med tandlægebreve. Hun var i tre ugers praktik ved kommunen, før hun den
5. oktober 2022 blev ansat som elev. Hun have ikke adgang til ydelseskortet i SAPA-systemet. Hun skrev den
6. marts 2023 under på tro og love, at hun ikke har brugt oplysningerne på nogen måde og ikke har videregivet dem (byretsekstrakten side 89). Det er også hendes forklaring i dag. Som bekræftet af kommunens databeskyttelsesrådgiver Vidne 1 i en mail af
7. april 2023 (byretsekstrakten side 95) har hun ikke gennemført et kursus i informationssikkerhed. Tiltalte har vedrørende sine personlige forhold forklaret, at hun i dag arbejder som rengøringsassistent. Efter bortvisningen var hun ledig i en længere periode. Det har ikke været muligt at få en ny elevplads, hvor hun kunne fortsætte sin uddannelse, fordi hun var kom-met så langt i sit elevforløb ved kommunen. -6Vidne 1 har forklaret, at han er ansat i Kommune som databe-skyttelsesrådgiver. Hans opgaver er bl.a. at have kontakt til Datatilsynet og borgerne, råd-give internt i kommunen og at føre tilsyn med, om kommunen behandler dataoplysninger korrekt. Han har været ansat i Kommune siden 2021 og har været databeskyttelses-rådgiver i ca. tre år. Som databeskyttelsesrådgiver skal man informeres ved sikkerhedsbrud. Det er de systemansvarlige, der varetager stikprøvekontroller, men hvis der opstår uregelmæssigheder, bli-ver han involveret. I 2022/23 kunne man maksimalt gå seks måneder tilbage i SAPA-systemet. Det er i første omgang systemadministrator, der vurderer, om der er foregået noget mistænkeligt. Hvis det er tilfældet, går administrator enten til ham eller til en leder for at finde ud af, om det skal undersøges nærmere. I det konkrete tilfælde valgte man at gå videre med sagerne. Det er hovedsageligt systemadministrator, der har gået listen (byretsekstrakten side 1176 ff.) igennem, fundet de mistænkelige opslag og lavet de grønne og gule markeringer. Han blev først involveret, da der blev taget fat i den relevante leder. Det er første gang, han har oplevet uberettigede opslag i et sådant omfang. Han har hørt om enkelte tilsvarende sager i andre kommuner. Det var ham, der orienterede de borgere, som uberettiget var blevet slået op i systemet. Der kom mange opkald fra de berørte borgere. Kommunen satte en hotline op, og der sad tre medarbejdere på borgmesterkontoret i 2-3 dage og tog imod opkald. Det var forskelligt, hvor bekymrede de var. Det vil typisk være via henvendelser fra berørte borgere, at man finder ud af, om oplysningerne er blevet delt. Der var ikke noget i denne sag, der gav an-ledning til at forfølge dette nærmere. Ved anvendelse af SAPA-systemet logger man på som bruger og foretager opslag via en søgeside, hvor man kan søge på cpr.nr., navn eller lign. Når resultatet af søgningen er kommet frem, kan man klikke videre på nogle sider vedrørende de konkrete borgere, som søgningen har fundet frem. Der er en generel oversigt, en familieoversigt og en oversigt over, hvilke ydelser borgeren får fra kommunen. Man har ikke nødvendigvis adgang til alle tre oversigter. Den generelle oversigt indeholder basisoplysninger i form af navn og adres-se mv. Hvis personen har adressebeskyttelse, skal man ind og trykke en ekstra gang for at finde adressen. -7- Når man anvender søgefunktionen, kan der komme mange navne frem. Resultatet afhæn-ger af, hvor generisk navnet er. Hvis der er tale om personer med specifikke navne, vil søgeresultatet sjældnere ”fejle” . Hvis man kun søger på ”Navn 3” , får man i første omgang alle med navnet Navn 3 frem. Han er ikke sikker på, om der fremgår cpr. nr. af det første søgeresultat, man får. Alle ”klik” , der bliver foretaget i forbindelse med en søgning, bliver logget. Tiltalte havde både lavet opslag i den generelle oversigt og i familieoversigten. Det er en konkret vurde-ring fra den, der sidder med adgangsstyringen, om en medarbejder skal have adgang til hele eller kun dele af systemet. Han mener, at tiltalte havde adgang til ydelsesmodulet. Der kan godt ske fejl i forhold til, om man får adgang til et modul, der ikke er nødvendigt for opgavevaretagelsen. Han har tjekket inden vidneforklaringen i dag, hvilke opslag der er sket i sagen, og som han husker det, har tiltalte lavet 21 opslag i ydelsesmodulet. Han me-ner også, at dette fremgik af politianmeldelsen. ”SAPA” står for sags - og partsoverblik. Han er ikke sikker på, hvem der ejer systemet. Vidne 2 har forklaret, at hun var teamleder og dermed personaleleder for tiltalte, som var kontorelev. Hun kom ind i sagen den
8. marts 2023, hvor en medarbejder fra IT-afdelingen gjorde hende opmærksom på, at tiltalte havde lavet en række opslag på mange medarbejdere. Hun talte med sin chef, Person 8, om sagen, og det blev aftalt, at der skulle afholdes et møde med tiltale, for at finde ud af, hvad der var op og ned. Tiltalte blev forelagt oplys-ningerne, og tiltalte indvilligede i at være med til at gennemgå listen. Tiltalte sagde, at mange af opslagene var lavet af nysgerrighed og ikke var arbejdsrelevante. Tiltalte erkend-te, at hun godt vidste, at hun ikke måtte slå op i systemet, når det ikke var arbejdsrelevant. De gennemgik alle opslag på listen med navns nævnelse, og tiltalte fortalte, om det var sket i arbejdsmedfør eller af nysgerrighed. Det var forholdsvis mange opslag, der ikke var arbejdsrelaterede. Hun husker ikke, om der blev nævnt noget om fejlopslag. Hun mindes, at tiltalte var meget tydelig omkring, hvad der var arbejdsrelateret, og hvad der ikke var. Hun vil ikke mene, at fejlopslag kan forekomme ofte. Man skal være i besiddelse af nogle helt bestemte oplysninger for at få noget ud af systemet. -8Det er rigtigt, at tiltalte den
9. april 2023 sendte en mail om, at tiltalte følte sig misforstået under den tjenstlige samtale (byretsekstrakten side 94). Hun kan ikke sige, hvad tiltalte mente med misforståelse, men tiltale var på mødet meget tydelig omkring, at hun godt vid-ste, at hun ikke måtte lave opslag, der ikke var arbejdsrelaterede. Tiltalte gentog det på to forskellige møder. Hun gennemgik listen med tiltalte og ved ikke, hvordan processen har været efterfølgende, herunder om de er gået videre med de tilfælde, hvor tiltalte har sagt, at opslaget var arbejdsrelateret. Tiltalte havde også nogle opgaver med at sortere post. Hvis der kom materiale ind, hvor der manglede nogle oplysninger, har det været naturligt at slå det op. Hun mindes ikke, at tiltalte skulle have nævnt noget om, at hun havde problemer med sin RollerMouse. Hun kan ikke svare på, hvorfor politianmeldelsen (byretsekstrakten side 18) omhandlede et fær-re antal opslag end tiltalen. Landsrettens begrundelse og resultat Tiltalte har erkendt, at hun under sin ansættelse som kontorelev i Kommune i 241 tilfælde har foretaget opslag i datasystemet SAPA uden tjenstlig anledning. Hun har forkla-ret, at opslagene skete af nysgerrighed omkring venner, bekendte, kolleger og kendisser, og at de navne på kommunens opslagsliste, der ikke siger hende noget, må have været enten fejlopslag eller arbejdsrelaterede. Landsretten finder ikke grundlag for at tilsidesætte tiltal-tes forklaring, og det lægges herefter, og da der ikke er ført bevis for et højere antal, til grund, at tiltalte i tiden fra den
10. november 2022 til den
11. april 2023 foretog 241 uberet-tigede opslag i SAPA. Spørgsmålet er dernæst, om de pågældende tjenesteforseelser udgør en overtrædelse af straffelovens § 155, idet det i retspraksis er antaget, at mindre grove tilfælde af tjenestemisbrug ikke er omfattet af straffelovens § 155, men alene skal forfølges med hjemmel i en eventuel særlovgivning eller disciplinært. Landsretten lægger efter bevisførelsen, herunder udtalelsen fra Datatilsynet, til grund, at tiltalte ved opslagene fik adgang til personoplysninger i form af bl.a. personnummer, navn, adresse, alder og civilstand. -9Efter en samlet vurdering af oplysningernes karakter, tiltaltes forklaring om baggrunden for opslagene i datasystemet, og idet det er ubestridt, at tiltalte ikke har videregivet eller på anden måde behandlet de tilgåede oplysninger, tiltræder landsretten efter en samlet vurdering, at der ikke er sket en sådan krænkelse af det privates eller offentliges ret, at tiltalte har gjort sig skyldig i overtrædelse af straffelovens §
12. Landsretten stadfæster derfor dommen. T h i k e n d e s f o r r e t: Byrettens dom stadfæstes. Statskassen skal betale sagens omkostninger for landsretten. Henrik Estrup Annette Nørby Ioana Fodor (kst.)