Danmarks første GDPR-bøde

Byretten i Århus har for nylig idømt en privat virksomhed en bøde på kr. 100.000 for overtrædelse af persondatareglerne. Bøden er den første af sin slags i Danmark.

Den pågældende virksomhed var, i forlængelse af et tilsynsbesøg fra Datatilsynet, blevet anklaget for at have overtrådt databeskyttelsesforordningens regler ved at have opbevaret ca. 350.000 personoplysninger i længere tid, end det var nødvendigt. Anklagemyndigheden nedlagde påstand om en bøde på kr. 1.500.000, bl.a. med henvisning til, at virksomheden bevidst havde undladt at slette personoplysningerne, og at bøden i øvrigt skulle udmåles på baggrund af den samlede koncerns omsætning (Jysk-koncernen).

Byretten nåede frem til, at virksomheden, ved ikke at have styr på sin opbevaring af personoplysninger, havde overtrådt persondatareglerne i en sådan grad, at det ikke var tilstrækkeligt med formel udtalelse af kritik fra Datatilsynet. Bødens størrelse skulle imidlertid alene fastsættes på baggrund af virksomhedens egen omsætning, og endte derfor på kr. 100.000.

I sin afgørelse vurderede byretten, at den manglende sletning af oplysningerne, som i øvrigt lå i et ældre og delvist udfaset IT-system, skyldtes en forglemmelse fra virksomheden, hvis fokus havde været på virksomhedens aktive IT-systemer. Byretten tillagde det således betydelig vægt, at virksomheden havde godtgjort, at der var gjort betydelige bestræbelser på at sikre, at virksomhedens aktive IT-systemer levede op til databeskyttelsesforordningens komplicerede regler.

Herudover lagde byretten vægt på, at der var tale om en førstegangsovertrædelse, at de omhandlede oplysninger var af almindelig og ikke personfølsom karakter, at ingen registrerede havde lidt skade og at overtrædelsen alene var af formel karakter.

Anklagemyndigheden har efterfølgende anket dommen til landsretten, som særligt forventes at skulle tage stilling til, hvorvidt en eventuel bøde skal beregnes på baggrund af koncernens omsætning.

Det er således for tidligt at drage nogen endelig konklusion på baggrund af sagen, men den giver os de første fingerpeg omkring udmåling af bøder ved domstolene. AGENDA advokater følger sagens udvikling, ligesom vi i øvrigt står klar til at hjælpe med din virksomheds efterlevelse af GDPR-reglerne.

Kontakt os derfor gerne, hvis du ønsker rådgivning om håndtering af persondata.