Danske Bank indrømmer data-lovbrud i 250.000 gældssager - Datatilsynet vil ikke gå ind i sagen
Eksperter rejser skarp kritik af Datatilsynets rolle i gældssagen og opfordrer tilsynet til at gå ind i sagen med det samme.
I en ny delrapport indrømmer Danske Bank at have brudt GDPR-reglerne i forbindelse med gældssagen, som TV 2 og Berlingske i længere tid har afdækket.
Ifølge Danske Bank har de overtrådt reglerne, da banken i årevis har behandlet forkerte gældsoplysninger for en kvart million kunder, uden at banken har fået rettet de fejlbehæftede oplysninger.
Men Danske Banks tilståelse ser dog ikke ud til at have de store konsekvenser.
Datatilsynet afviser imidlertid at gå ind i gældssagen, der ifølge lektor ved Juridisk Institut på Syddansk Universitet Ayo Næsborg-Andersen er “den største på dansk grund”.
- Jeg forstår det helt grundlæggende ikke. Det er en stor sag, der vedrører mange mennesker, og som har haft direkte negative konsekvenser, siger Ayo Næsborg-Andersen.
Får ingen konsekvenser
GDPR-reglerne giver ellers myndighederne mulighed for at give enorme bøder, hvis virksomheder ikke retter forkerte personoplysninger med det samme, og hvis lovbruddet har været forsætligt.
Danske Bank har tidligere erkendt, at bankens ledelse siden 2004 har været bekendt med omfattende fejl i gældsinddrivelsen uden at problemerne blev løst.
Det har gjort, at tusindevis af kunder enten har betalt for meget eller skal have reduceret deres gæld. De forkerte gældsoplysninger har banken i årevis indberettet til skattemyndighederne, og tusindvis af retssager risikerer at skulle gå på grund af de massive fejl.
Eksperter retter hård kritik af tilsynet
Blandt eksperter vækker Datatilsynets håndtering af sagen nu hård kritik.
Datatilsynets manglende handling over for Danske Bank bliver kun værre af, at tilsynet ikke vil gå ind i sagen, selv efter at banken har erkendt et lovbrud, siger professor Thomas Ploug fra Aalborg Universitet.
- Datatilsynet skulle være gået ind i den her sag for længst, dels for at sikre, at en angiveligt ulovlig praksis blev stoppet, men også for at sende et klart signal til andre banker og virksomheder om, at det her bliver taget alvorligt, siger Thomas Ploug, der har speciale i databehandling.
Tilsynet har talt med banken længe
Datatilsynet afviser at stille op til interview om sagen, men skriver i en mail, at Danske Banks nylige indrømmelse af lovbrud ikke giver “anledning til at iværksætte en nærmere undersøgelse”.
Tilsynet har ellers længe været bekendt med problemerne i Danske Bank, viser et mødereferat, som TV 2 og Berlingske har fået aktindsigt i.
Allerede i november 2019 blev Datatilsynet i detaljer orienteret af banken om risikoen for grove overtrædelser af reglerne om persondata, fremgår det af mødereferatet.
I september sidste år kom det frem, at Danske Banks egne advokater fra Plesner i et notat beskrev overtrædelser af GDPR-reglerne og advarede om risikoen for en bøde på op til 7,5 millioner kroner.
Plesner-rapport: Mediedækning kan afgøre Datatilsynets ageren
I samme notat, som TV 2 og Berlingske er i besiddelse af, vurderer advokater fra Plesner også sandsynligheden for, at Datatilsynet vil gå efter banken for brud på GDPR-reglerne.
Plesner vurderer, at Datatilsynet vil være mindre tilbøjelig til at gå ind i gældssagen, hvis andre myndigheder ikke sanktionerer og uddeler bøder til Danske Bank.
Videre anslår Plesner, at Datatilsynets ageren - blandt andet - vil afhænge af mediedækningen af sagen, fremgår det af notatet.
Det har ikke været muligt at få en nærmere kommentar fra Plesner om deres vurdering af Datatilsynet, men professor Thomas Ploug fra Aalborg Universitet finder det stærkt foruroligende, hvis det er sådan, at Datatilsynet bliver betragtet udefra.
- Det er særligt bekymrende, at Plesner vurderer, at Datatilsynets ageren i sagen kan afhænge af, hvor meget omtale sagen vil få i medierne. Hvis analysen holder vand, så står det jo skidt til med Datatilsynet. Det er i sig selv en krænkelse af retsfølelsen, siger Thomas Ploug.
Den mest alvorlige sag
Datatilsynet kan selv bestemme, hvilke sager de går ind i, og i det lys kan Ayo Næsborg Andersen ikke finde et argument for, hvorfor gældsskandalen ikke er en principiel sag for Datatilsynet.
- Og når der ikke er et åbenlyst godt argument, kommer det til at se ud som om, at Datatilsynet er ligeglad. At en myndighed tilsyneladende er ligeglad med et åbenlyst lovbrud støder i den grad min retsfølelse, siger lektoren.
Gældsskandalen i Danske Bank har været håndteret på øverste niveau i Datatilsynet.
Allerede 15. november 2019 blev direktør Cristina Angela Gulisano og resten af ledelsen i Datatilsynet orienteret om sagen af Danske Bank. Det fremgår af TV 2 og Berlingskes aktindsigt.
Under mødet kom det frem, at banken siden 2004 havde beregnet forkert gæld og flere hundrede tusinde kunder kunne være berørt. De forkerte oplysninger havde banken indberettet til skattemyndighederne, fremgår det af mødereferatet.
Professor Thomas Ploug mener, at det kun gør sagen endnu mere alvorlig, eftersom den har været oppe på øverste niveau i Datatilsynet, uden der er sket noget.
- Det er en alvorlig forsømmelse af deres ansvar, når de oven i købet er gjort opmærksom på problemets omfang, siger Thomas Ploug.
Ødelæggende for retsfølelsen
Professoren undrer sig over, at Datatilsynet ikke reagerede allerede for to år siden efter første møde, da det her må have stået klart for tilsynet, at sagens omfang var enormt.
- Når Datatilsynet sidder på hænderne i en så alvorlig sag, så kan de sidde på hænderne i alle sager. Det er ikke særlig betryggende, og det er ikke særlig godt for ens retsfølelse, siger Thomas Ploug.
Forklaringen på tilsynets passivitet i sagen kan skyldes manglende hænder, vurderer Ayo Næsborg-Andersen, som også er ekspert i databeskyttelsesreglerne.
- Mit bedste bud er enten manglende ressourcer, eller at de ikke mener, at sagen er principiel? Hvis det er manglende ressourcer, burde det blive meldt klart ud, siger han.
Datatilsynet venter på Finanstilsynet
Datatilsynets direktør har ikke ønsket at stille op til interview og forholde sig til sagen og eksperternes kritik.
Men i et skriftligt svar udtaler specialkonsulent Kenni Elm Olsen fra Datatilsynet, at der er et betydeligt overlap af de forhold som Finanstilsynet undersøger og de forhold Datatilsynet i givet fald skulle kigge på, og derfor går Datatilsynet ikke ind i sagen på nuværende tidspunkt.
- Datatilsynet kan i den forbindelse oplyse, at tilsynet hverken på et tidligere tidspunkt eller på det nuværende tidspunkt har fundet det nødvendigt, det vil sige hensigtsmæssigt, at foretage sig yderligere, skriver Kenni Elm Olsen.
Afviser forsvar for manglende handling
Den forklaring stiller eksperterne sig dog ikke tilfredse med.
- Lige nu virker det som om, de (Datatilsynet, red.) bruger Finanstilsynets undersøgelse som en undskyldning for ikke selv at gøre noget. Og helt grundlæggende er det jo ikke de samme ting, de to tilsyn kigger på. Det kan godt være, at det er samme sag, men det er stadigvæk forskellige aspekter af den, siger Ayo Næsborg-Andersen.
Thomas Ploug supplerer:
- Det her er ikke et spørgsmål om, hvorvidt Datatilsynet skal gå ind i sagen eller ej. For det skal de, og jeg synes, det er stærkt kritisabelt, at tilsynet her to år efter stadigvæk ikke er gået ind i sagen.
Justitsminister, Nick Hækkerup, som i sidste ende er øverste ansvarlig for Datatilsynet, ønsker ikke at forholde sig til tilsynets rolle i gældssagen og den rejste kritik.
- Datatilsynet er uafhængigt, og jeg kan derfor ikke som justitsminister bestemme, hvordan tilsynet skal varetage sine opgaver eller udøve sine beføjelser. Jeg ønsker blandt andet derfor heller ikke at kommentere den konkrete sag eller spørgsmål om, hvordan Datatilsynet tilrettelægger sit arbejde, skriver justitsminister, Nick Hækkerup, i en mail til TV 2.