Landsretten har hævet bøden i en principiel GDPR-sag om manglende sletning af taxadata fra 100.000 til 250.000 kr. Retten fastlagde et udgangspunkt på 500.000 kr., men reducerede på grund af seks års sagsbehandling. Afgørelsen hæver baren for overtrædelser af opbevaringsreglerne og sætter retlig retning.
Retlige hovedpunkter
I et kontrolbesøg i 2018 konstaterede Datatilsynet, at kundedata som telefonnumre og opsamlingssteder blev opbevaret længere end nødvendigt. Myndigheden indstillede en bøde på 1,2 mio. kr. med henvisning til mængden af data. Landsretten fandt beløbet uforholdsmæssigt, men vurderede, at et væsentligt højere niveau end byrettens 100.000 kr. var påkrævet, og fastsatte udgangspunktet til 500.000 kr., reduceret til 250.000 kr. på grund af sagsforløbet.
Sagen kredser om GDPR’s opbevaringsbegrænsning i artikel 5, som pålægger dataansvarlige at slette personoplysninger, når formålet er opfyldt. Ved bødeudmålingen lagde retten vægt på omfang, varighed og karakter af overtrædelsen samt behovet for præventiv effekt. Den ekstraordinære sagsbehandlingstid udløste en nedslag i den ellers passende bøde.
Betydning for virksomheder
Dommen afklarer sanktionsniveauet ved systematiske brud på slettefrister: Selv uden tilsigtet misbrug kan langvarig og omfattende opbevaring udløse betydelige bøder. Samtidig viser afgørelsen, at usædvanligt lang sagsbehandling kan føre til bødereduktion, men det er en undtagelse, der ikke kan indregnes som compliance-strategi.
Virksomheder bør derfor sikre klar governance for dataopbevaring, som både beskriver, hvor længe data opbevares, og hvordan sletning faktisk gennemføres og dokumenteres. Mangler i praksis, procedurer og teknisk implementering vejer tungt – ikke blot fraværet af en politik på papir. For praktisk vejledning kan man se Datatilsynets side om sletning af personoplysninger på Datatilsynets hjemmeside her.
Praktiske skridt til efterlevelse
En robust efterlevelse kræver sammenhæng mellem jura, processer og it. Følgende skridt kan hjælpe med at omsætte slettekrav til drift:
Tiltagene bør risikovurderes og forankres i ledelsen med tydelige ansvarsforhold og løbende kontrol.
- Fastlæg og dokumenter opbevaringsperioder pr. behandlingsaktivitet i fortegnelser.
- Implementer automatiseret sletning og styring af backuplivscyklus med kontroller.
- Test sletteprocedurer løbende og log handlinger for et sporbarhedssikkert audit trail.
- Træn medarbejdere og gennemfør periodiske interne audits og stikprøver.
