BUU alm. del - svar på spm. 507 om, hvilke sanktioner og/eller straf en lærer, som har overleveret data om en tidligere elev fra Lectio til tredjepart herunder til medierne, kan blive idømt, fra justitsministeren

Slotsholmsgade 10
1216 København K.
T +45 7226 8400
F +45 3393 3510
www.justitsministeriet.dk
jm@jm.dk
Slotsholmsgade101216KøbenhavnK.T +4572268400
F +4533933510
www.justitsministeriet.dkjm@jm.dk
Hermed sendes besvarelse af spørgsmål nr. 507 (Alm. del), som Folketin-
gets Børne- og Undervisningsudvalg har stillet til justitsministeren den 24.
september 2020. Spørgsmålet er stillet efter ønske fra Ellen Trane Nørby
(V).
Nick Hækkerup
/
Mie Vinkel Sørensen
Folketinget
Børne- og Undervisningsudvalget
Christiansborg
1240 København K
DK Danmark
Dato: 22. oktober 2020
Kontor: Databeskyttelseskontoret
Sagsbeh: Abulfaz Melikov
Sagsnr.: 2020-0032/03-0010
Dok.: 1662178
Børne- og Undervisningsudvalget 2019-20
BUU Alm.del - endeligt svar på spørgsmål 507
Offentligt
2
Spørgsmål nr. 507 (Alm. del) fra Folketingets Børne- og Un-
dervisningsudvalg:
”Vil ministeren redegøre for, hvilke sanktioner og/eller straf en
lærer, som har overleveret data om en tidligere elev fra Lectio
til tredjepart herunder til medierne, kan blive idømt?”
Svar:
1. En uberettiget videregivelse af personoplysninger vil efter omstændighe-
derne bl.a. kunne udgøre en overtrædelse af databeskyttelsesreglerne, lige-
som det vil kunne udgøre en overtrædelse af straffeloven.
Justitsministeriet har til brug for besvarelsen af spørgsmålet indhentet bi-
drag fra Datatilsynet (punkt 2 nedenfor) og Rigsadvokaten (punkt 3 neden-
for).
2. Justitsministeriet har til brug for besvarelsen af spørgsmålet indhentet et
bidrag fra Datatilsynet, der har oplyst følgende:
”En dataansvarlig er forpligtet til at sikre, at enhver behandling
af personoplysninger lever op til databeskyttelsesreglerne.
Det betyder, at enhver behandling, herunder videregivelse, af
personoplysninger skal have et lovligt grundlag i databeskyttel-
sesforordningens artikel 6 samt artikel 9, hvis der er tale om føl-
somme oplysninger. Endvidere må behandlingen kun finde sted
under iagttagelse af de grundlæggende principper for behand-
ling af personoplysninger i databeskyttelsesforordningens arti-
kel 5.
Det er sædvanligvis arbejdsgiveren, der (overordnet) tilrettelæg-
ger udførelsen af det arbejde, som de ansatte skal udføre. Ar-
bejdsgiveren er derfor normalt dataansvarlig for behandlingen
af de oplysninger, der behandles af de ansatte.
Hvis behandlingen ikke foretages som led i en medarbejders an-
sættelse, vil den ansatte kunne anses for selv at være ansvarlig
for at overholde reglerne om databeskyttelse og vil efter om-
stændighederne kunne pålægges en sanktion for tilsidesættelse
af reglerne.
En eventuel sanktion for overtrædelse af de databeskyttelsesret-
lige regler vil bero på en konkret vurdering af bl.a. karakteren
og mængden af de omhandlede personoplysninger, hvem oplys-
ningerne er videregivet til, og om videregivelsen har fundet sted
flere gange.
3
Datatilsynet har en række beføjelser efter databeskyttelsesfor-
ordningen. Datatilsynet kan bl.a. udtale kritik af en dataansvar-
lig, hvis behandlingsaktiviteter har været i strid med databeskyt-
telsesreglerne eller politianmelde den dataansvarlige med hen-
blik på rettens fastsættelse af en strafferetlig sanktion.
Det er Datatilsynets vurdering, at et forhold som det omhand-
lende umiddelbart næppe ville føre til, at Datatilsynet indgav en
politianmeldelse, idet forholdet som udgangspunkt ikke kan an-
ses for at have den fornødne strafværdighed.
I det omfang, at der foreligger en overtrædelse af de databeskyt-
telsesretlige regler, som ville kunne begrunde førelse af en straf-
fesag, vil der ved fastsættelse af en bødes størrelse skulle lægges
vægt på de skærpende og lempende omstændigheder, der frem-
går af databeskyttelsesforordningens artikel 83.
Herudover fremgår følgende af de almindelige bemærkninger til
databeskyttelsesloven1
afsnit 2.8.3.7. om bødeniveauet:
”Endvidere fremgår det af forordningens artikel 83,
stk. 9, at bøder under alle omstændigheder skal være
effektive og stå i rimeligt forhold til overtrædelsen og
have afskrækkende virkning.
Justitsministeriet finder på denne baggrund – og som
følge af det betydelige maksimale bødebeløb i forord-
ningen – at der med lovforslaget bør lægges op til en
væsentlig forøgelse af bødeniveauet for overtrædelser
af forordningens bestemmelser i forhold til, hvad
overtrædelser af persondataloven i dag takseres til, jf.
herom afsnit 2.8.1.4.
I forhold til det nuværende bødeniveau efter person-
dataloven finder Justitsministeriet således, at bødeni-
veauet bør forhøjes væsentligt for overtrædelser, hvor
straf-sanktioneringen beror på forordningens artikel
83, stk. 9, jf. stk. 4-6, jf. også betænkningen, s. 926f.”
I forhold til udmåling af bøder over for enkeltpersoner forud-
sættes det i databeskyttelsesforordningen, at der skal tages højde
for det generelle indkomstniveau i medlemsstaten og personens
økonomiske situation, når bødestørrelsen fastlægges.
Udmålingen af bøden vil derfor afhænge af personens økonomi-
ske forhold, herunder indkomstforhold.
1
Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse
af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling
af sådanne oplysninger (databeskyttelsesloven).
4
For så vidt angår en eventuel strafferetlig sanktion er Datatilsy-
net ikke bekendt med praksis i lignende sager efter databeskyt-
telsesforordningen og databeskyttelsesloven.”
3. Justitsministeriet har til brug for besvarelsen af spørgsmålet endvidere
indhentet et bidrag fra Rigsadvokaten, der har oplyst følgende:
”Efter straffelovens § 152, stk. 1, er det strafbart for bl.a. offent-
ligt ansatte uberettiget at videregive eller udnytte fortrolige op-
lysninger, som de er blevet bekendt med i forbindelse med deres
arbejde.
Der vil som udgangspunkt være tale om en uberettiget videregi-
velse, når fortrolige oplysninger meddeles til uvedkommende,
herunder medierne.
Det fremgår af straffelovens § 152, stk. 3, at en oplysning er
fortrolig, når den ved lov eller anden gyldig bestemmelse er be-
tegnet som sådan, eller når det i øvrigt er nødvendigt at hemme-
ligholde den for at varetage væsentlige hensyn til offentlige eller
private interesser.
Bl.a. hensynet til enkeltpersoners private, herunder økonomi-
ske, forhold kan føre til, at en oplysning er fortrolig og dermed
omfattet af tavshedspligt efter straffelovens § 152, stk. 1. Det
følger af forvaltningslovens § 27, stk. 1, nr. 1.
Om en oplysning er fortrolig efter den nævnte bestemmelse i
forvaltningsloven beror på en vurdering af dels oplysningens ka-
rakter, dels den sammenhæng, hvori oplysningen indgår. Afgø-
rende er bl.a., om oplysningen efter den almindelige opfattelse i
samfundet bør kunne forlanges unddraget offentlighedens kund-
skab.
Bl.a. oplysninger om personnumre og helbredsmæssige forhold
er omfattet af bestemmelsen. Oplysninger om enkeltpersoners
uddannelsesmæssige forhold vil efter omstændighederne også
kunne være omfattet.
Oplysninger, som i forvejen er almindeligt kendte eller offent-
ligt tilgængelige, er omvendt ikke i sig selv fortrolige. Det
samme gælder for oplysninger, som ville skulle udleveres efter
offentlighedslovens regler om aktindsigt.
Strafansvar efter bestemmelsen i straffelovens § 152, stk. 1, for-
udsætter i øvrigt bl.a., at gerningspersonen har handlet med for-
sæt.
En overtrædelse af straffelovens § 152, stk. 1, straffes med bøde
eller fængsel indtil 6 måneder. Begås forholdet med forsæt til at
skaffe sig eller andre uberettiget vinding, eller foreligger der i
5
øvrigt særligt skærpende omstændigheder, kan straffen dog
stige til fængsel indtil 2 år, jf. straffelovens § 152, stk. 2. Som
særligt skærpende omstændighed anses efter bestemmelsen
navnlig tilfælde, hvor videregivelsen eller udnyttelsen er sket
under sådanne omstændigheder, at det påfører andre en betyde-
lig skade eller indebærer en særlig risiko herfor.
En uberettiget videregivelse af personoplysninger vil desuden –
afhængigt af de nærmere omstændigheder – også kunne udgøre
en strafbar overtrædelse af reglerne om databeskyttelse i data-
beskyttelsesforordningen og databeskyttelsesloven. En sådan
overtrædelse straffes ligeledes med bøde eller fængsel indtil 6
måneder, jf. databeskyttelseslovens § 41.”