Region Syddanmark idømt 500.000 kroners bøde for GDPR-brud

REGIONEN. Sagen har sin rod i 2020, hvor Region Syddanmark blev anmeldt for to brud på GDPR-reglerne. Den ene sag endte mandag med en bøde på 500.000 kroner ved Vestre Landsret. Den anden sag resulterede i frifindelse.

Det bødegivende brud handler om en database med spørgeskemasvar brugt af Børne- og Ungdomspsykiatrien Odense. Databasen indeholdt ikke CPR-numre, men oplysninger som navn og fødselsdato. Regionens egne undersøgelser har efterfølgende vist, at det kun var den borger, der anmeldte sårbarheden, som udnyttede den.

IT-direktør i Region Syddanmark Morten Lundgaard lægger ikke skjul på, at resultatet er en skuffelse. »Jeg ærgrer mig over, at vi taber den ene sag. Når vi ser på sammenlignelige sager i både det offentlige og det private, har de ofte medført kritik, men ikke noget bødeforlæg,« siger han.

Regionen understreger samtidig, at der siden 2020 er sat en række initiativer i værk for at forhindre lignende hændelser. Det drejer sig ifølge Morten Lundgaard om mere avancerede screeningsværktøjer, øget fokus på leverandører samt informationskampagner og undervisning af medarbejdere i informationssikkerhed. »Det er en ærgerlig sag, men vi tager dommen til efterretning. Men når det er sagt, så er menneskelige fejl bare enormt svære at gardere sig imod,« siger IT-direktøren.

Region Syddanmark vil nu nærlæse dommen og i samråd med regionens advokat overveje, om sagen skal ankes til Højesteret.