For tre år siden sendte Guldborgsund Kommune et brev forkert. En far med et politihold for voldelige episoder fik fat i fortrolige oplysninger. Brevet satte en familie i fare. Ekskonen valgte midlertidigt at flygte fra sit hjem med parets to børn.

Guldborgsund Kommune havde ved en fejl sendt det nye navn, cpr-nummer samt oplysninger om børnehaven for ét af det tidligere pars to børn til faderen. Kommunen opdagede dog ikke, at faderen hverken havde forældremyndighed eller orienteringsretten, eller at han lå inde med et polititilhold.

Mens konsekvenserne af et databrud som i Guldborgsund kan være umiddelbare for borgerne, så er straffen for kommunernes og virksomheders data-lovbrud stadig uklare.

Ingen virksomheder eller myndigheder er endnu blevet idømt en bøde i løbet af de 2,5 år, hvor gdpr har været i kraft.

Fortsat ingen straf

Kun to EU-lande, Danmark og Estland, har valgt, at Datatilsynet ikke kan udstede bøder. De kan kun indstille dem. Bøderne skal først igennem både politiet og dernæst en domstol. Her kan politiet vælge ikke at rejse tiltale på baggrund af tilsynets anmeldelse. Og en domstol kan desuden omstøde bødestørrelsen eller i princippet frikende en kommune.

I skrivende stund har Datatilsynet indstillet bøder til ni aktører. Fem til virksomheder og fire til kommuner, hvor Guldborgsund er en af dem. Datatilsynet har desuden oplyst, at omkring halvdelen af de danske kommuner har brudt loven ved udleveringen af Chromebooks til skoleelever. Også her kan kommunerne risikere bøder.

Datatilsynet har givet sit bud på bødestørrelse på 50.000 kr til Guldborgsund - men alle de principielle sager er endnu ikke blevet afgjort ved en domstol.

Det er et problem, mener Søren Sandfeld Jakobsen, der er juraprofessor på CBS Law.

- Vi har brug for en præcedens. Uanset om bøderne er småpenge eller ej, så er det ubehageligt for en kommune at blive indstillet til en bøde. Der er brug for at få afgjort sager, så man ved, hvad konsekvensen af et databrud er, siger han.

Søren Sandfeld Jakobsen forklarer, at det under forhandlingerne om gdpr var vigtigt for Danmark at kunne bevare vores system, hvor det kun er domstole, ikke tilsynsmyndigheder, der kan pålægge bøder. EU ønskede derimod bøder udstedt af de forskellige staters datatilsyn.

De ekstra led, som Danmark endte med, har skabt forsinkelser, mener Søren Sandfeld Jakobsen.

- Man kan risikere, at bødesager tager længere tid med det nuværende system. Og lige nu går det simpelthen for langsomt. Hele Anklagemyndigheden er i forvejen belastet, og det er ikke datasager, der er den øverste prioritet hos dem eller politiet, siger han.

Bødesager tager tid

På trods af, at Datatilsynet har vurderet, at sagerne er i strid med loven, så skal politiet også belyse sagerne. Men både eksperter og politikere har kritiseret ventetiden.

Sidste år kritiserede flere partier, heriblandt Venstre, SF og De Radikale, langsommeligheden hos politiet. Det kom på baggrund af, at to bødesager om de private virksomheder, Taxaselskabet 4x35 og møbelkæden IDdesign A/S, havde ligget hos politiet i henholdsvis ti og otte måneder. Ingen af de to selskaber er endnu dømt.

De to første kommuner, der blev indstillet til bøder, er Gladsaxe og Hørsholm. Datatilsynet politianmeldte de to kommuner i marts sidste år.

Centerchef i Rigspolitiet, Christian Wiese Svanberg, oplyser, at de syv sager stadig er verserende, og at der er rejst tiltale i flere sager.

Kommunen.dk har søgt aktindsigt i anklagskrifterne og fået indsigt i politiets anklageskrift mod Gladsaxe Kommune. Der er inden deadline ikke kommet svar i yderligere anklageskifter.

Christian Wiese Svanberg oplyser derudover, at sagerne om overtrædelse af databeskyttelsesforordningen generelt er højt prioriteret i politiet, men de er – som mange andre sager - berørt af coronanedlukningen.

- Helt generelt er det vigtigt at holde for øje, at der er tale om et komplekst område, hvor straffesager – og slet ikke bøder i den størrelse, som der nu forventes pålagt – ikke tidligere har været bredt anvendt. Og straffesager skal altid behandles grundigt, hvilket bl.a. betyder, at den tiltalte og dennes forsvarer skal have mulighed for at forholde sig til tiltalen og stille spørgsmål til sagen. Det kan politiet ikke gå på kompromis med, siger Christian Wiese Svanberg.

Ifølge ham er det også “særligt vigtigt” at være grundige, da sagerne skal danne præcedens på området. Derfor kan man “bestemt ikke sige, at sagerne er så simple, at Datatilsynets anmeldelser bare kan sendes videre til domstolen”, lyder det fra Christian Wiese Svanberg.

Bøder i venteposition

Søren Sandfeld Jakobsen vurderer, at sagerne både ville være nemmere og hurtigere at håndtere, hvis ikke bøderne skulle igennem de ekstra led.

Men alligevel er han skeptisk overfor idéen.

- Jeg er rundet af den danske tradition om, at det skal være domstole, der dømmer. Det står jo i grundloven. At blande tilsynet, som er den udøvende magt, med den dømmende magt, er jeg ret skeptisk overfor. Det rejser en del retssikkerhedsmæssige problemer på et område, hvor der potentielt kan blive uddelt meget store bøder, siger han.

Datatilsynet oplyser, at det er hensigten, at tilsynet skal udstede bøder selv, når en retslig præcedens for gdpr-bøder endeligt er fastlagt ved domstolene.