Dom og bødeudmåling
Vestre Landsret har idømt ILVA A/S en bøde på 1,5 mio. kr. for overtrædelse af GDPRs opbevaringsprincip. Landsretten lægger ved udmålingen vægt på koncernens økonomi og fastsætter bødeniveauet i tråd med Datatilsynets indstilling. Dommen forventes at få vejledende betydning.
Byretten i Aarhus fastsatte tidligere bøden til 100.000 kr. med udgangspunkt i selskabets egen omsætning. Landsretten anlægger derimod et koncernperspektiv og bemærker, at ledelsens kendskab til de faktiske forhold kan kvalificere overtrædelsen som forsætlig.
EU-retlig afklaring
Efter præjudiciel forelæggelse slog EU-Domstolen fast, at virksomhedsbegrebet i GDPR art. 83, stk. 4-6, skal forstås som i TEUF art. 101 og 102. Bødemaksimum beregnes derfor ud fra den samlede globale omsætning for den økonomiske enhed, som den dataansvarlige indgår i.
Domstolen understreger, at sanktionen skal afspejle den reelle økonomiske bæreevne for at være effektiv, proportional og afskrækkende. Afgørelsen harmoniserer bødepraksis på tværs af medlemsstater og får betydning for internationale koncerner.
Faktum og proces
Sagen udspringer af et tilsyn i 2018 og en politianmeldelse i 2019 vedrørende manglende slettefrister og procedurer i et ældre it-system med kundeoplysninger. Opbevaringsbegrænsning er et grundlæggende princip i GDPR, og fravær af slettepraksis udgør en overtrædelse.
Dommen kan som udgangspunkt ikke ankes. ILVA kan dog søge Procesbevillingsnævnet om tilladelse til at indbringe sagen for Højesteret. Læs byrettens dom i Domsdatabasen. Se EU-Domstolens dom i sag C-383/23 på Curia. Datatilsynets nyheder findes her.
