Bødeudmåling efter GDPR og koncernomsætning
Vestre Landsret har idømt ILVA A/S en bøde på 1,5 mio. kr. for brud på opbevaringsbegrænsning i GDPR. Retten lagde koncernens samlede nettoomsætning til grund, hvilket markant kan løfte bødeloftet i koncerner.
Afgørelsen viser, at bøder skal være effektive, proportionale og afskrækkende og afspejle den økonomiske enheds faktiske formåen. Koncernstruktur får dermed direkte betydning for sanktionsniveauet ved databeskyttelsesovertrædelser.
EU-Domstolens fortolkning af virksomhedsbegrebet i GDPR art. 83
Resultatet bygger på EU-Domstolens dom i sag C-383/23, som fastslår, at begrebet "virksomhed" i GDPR art. 83, stk. 4-6, svarer til TEUF art. 101 og 102. Bødemaksimum beregnes derfor af den samlede globale omsætning i det foregående regnskabsår.
Tilgangen skal sikre afskrækkende virkning over for store grupper og harmoniserer persondatarettens sanktioner med konkurrencerettens økonomiske enhed. Det øger forudsigeligheden for myndigheder og virksomheder ved udmåling af bøder.
Ledelsesviden, compliance og retlige risici
Landsretten lagde vægt på, at ledelsespersoners viden om ulovlige behandlinger understøttede forsæt. Når brud kan henføres til ledelsesniveau, øges risikoen for skærpet reaktion og højere bøde.
Sagen udsprang af manglende slettefrister og procedurer i et ældre it system med kundedata. Overtrædelsen rammer GDPR art. 5’s princip om opbevaringsbegrænsning og understreger behovet for robuste slettepolitikker, systemoprydning og dokumenteret efterlevelse.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Procesforløb, præjudiciel forelæggelse og ankemuligheder
Første instans ved Retten i Aarhus i 2021 udmålte 100.000 kr., fordi selskabets omsætning blev lagt til grund. Anklagemyndigheden ankede, og landsretten forelagde præjudicielle spørgsmål; EU-Domstolens dom muliggjorde herefter bøden på 1,5 mio. kr.
Dommen kan som udgangspunkt ikke ankes; indbringelse for Højesteret kræver tilladelse fra Procesbevillingsnævnet. Datatilsynets baggrund findes her og her. Retten i Aarhus’ dom er i Domsdatabasen, og EU-dommen findes her.
