Region Syddanmark frikendt i en sag og idømt bøde i en anden sag om brud på GDPR-reglerne

Vestre Landsret har 23. marts 2026 idømt Region Syddanmark en bøde på 500.000 kr. for brud på GDPR-reglerne. Bøden kommer på baggrund af en sag fra 2020, som skyldes menneskelige fejl. I en anden sag er regionen blevet frikendt. Region Syddanmark har siden indført foranstaltninger, der skal medvirke til, at lignende brud ikke sker igen.

IT-direktør i Region Syddanmark Morten Lundgaard siger:

- Jeg ærgrer mig over, at vi taber den ene sag. Når vi ser på sammenlignelige sager i både det offentlige og det private, har de ofte medført kritik – men ikke noget bødeforlæg.

Sagen, som Region Syddanmark blev idømt bøde for, omhandler en database med spørgeskemasvar, der blev brugt af Børne- og Ungdomspsykiatrien Odense. Der indgik ikke CPR-numre i databasen, men blandt andet navn og fødselsdato. Region Syddanmarks undersøgelser viste efterfølgende, at sårbarheden kun er blevet udnyttet af den borger, der anmeldte sårbarheden til Region Syddanmark.

IT-direktør Morten Lundgaard siger om dommen:

- Det er en ærgerlig sag, men vi tager dommen til efterretning, og vi har siden hændelserne tilbage i 2020 iværksat mange initiativer, der skal medvirke til, at lignende datasikkerhedsbrud ikke sker igen. Det drejer sig bl.a. om mere avancerede screeningsværktøjer, øget fokus på leverandører og informationskampagner og undervisning af medarbejdere i informationssikkerhed. Men når det er sagt, så er menneskelige fejl bare enormt svære at gardere sig imod.

Region Syddanmark vil nu nærlæse dommen og i samråd med regionens advokat overveje, om sagen skal søges indbragt for Højesteret.