EU-Domstolen har fastslået, at beregning af bøder efter GDPR kan ske på koncernniveau. Begrebet “virksomhed” i GDPR skal forstås som den økonomiske enhed kendt fra konkurrenceretten, så alle enheder i koncernen, der direkte eller indirekte er involveret i overtrædelsen, kan indgå i vurderingen. Domstolen bekræfter samtidig, at bøder skal være proportionale og have en reel afskrækkende virkning, mens den konkrete bødestørrelse i den underliggende sag afklares nationalt.