EU-Domstolen har afgjort, at “virksomhed” i GDPR artikel 83, stk. 4–6, skal forstås som den EU-retlige økonomiske enhed kendt fra TEUF artikel 101 og 102. Konsekvensen er, at bødemaksimum ved brud på databeskyttelsesreglerne skal beregnes som en procentdel af hele koncernens globale omsætning i det forudgående regnskabsår – ikke kun den overtrædende juridiske enheds omsætning.
Domstolen understreger, at udmålingen skal afspejle bødemodtagerens faktiske økonomiske formåen for at sikre sanktioner, der er effektive, proportionale og afskrækkende. Afgørelsen skærper dermed bødeeksponeringen for koncernforbundne selskaber, hvor overtrædelsen kan henføres til den økonomiske enhed.
Sagen vender nu tilbage til Vestre Landsret, som skal fastlægge bøden i ILVA-sagen i lyset af præmisserne. Yderligere dokumenter findes hos Datatilsynet og EU-Domstolen: datatilsynet.dk. curia.europa.eu.
