Politianmeldelse

Danske Bank indstilles til bøde

Dato: 05-04-2022

Datatilsynet vurderer, at Danske Bank ikke har kunnet dokumentere, at de har slettet personlysninger i overensstemmelse med databeskyttelsesreglerne, og tilsynet har derfor indstillet banken til en bøde på 10 mio. kr.

Datatilsynet har anmeldt Danske Bank til politiet og indstillet banken til bøde på 10 mio. kr. Det sker i forlængelse af, at tilsynet i november 2020 indledte en sag af egen drift, efter at banken selv havde oplyst, at de havde identificeret et problem med sletning af personoplysninger, som der ikke nødvendigvis var en forretningsmæssig begrundelse for fortsat at behandle.

I forbindelse med Datatilsynets undersøgelse har det vist sig, at banken i mere end 400 systemer ikke har kunnet dokumentere, at der var fastsat regler for sletning og opbevaring af personoplysninger, eller at der er foretaget manuel sletning af personoplysninger. I disse systemer behandles der personoplysninger om flere millioner personer.

”Ét af grundprincipperne i GDPR er, at man kun må behandle oplysninger, man har brug for - og når man ikke har brug for dem længere, skal de slettes. Når det handler om en organisation af Danske Banks størrelse, der har mange og komplekse systemer, er det særlig afgørende, at man samtidig kan dokumentere, at sletningen rent faktisk sker,” siger Kenni Elm Olsen, specialkonsulent i Datatilsynet.

Hvorfor politianmeldelse?

Datatilsynet foretager altid en konkret vurdering af sagens grovhed i medfør af databeskyttelsesforordningens artikel 83, stk. 2, ved vurderingen af, hvilken sanktion der efter tilsynets opfattelse er den korrekte.

Ved vurderingen af, at der bør idømmes en bøde, har Datatilsynet lagt vægt på, at den skete overtrædelse vedrører et grundlæggende princip for behandling af personoplysninger og berører et meget stort antal registrerede.

Datatilsynet har ved sin indstilling til bødestørrelse blandt andet lagt vægt på overtrædelsens karakter og alvor og forordningens krav om, at en bøde i hver enkelt sag skal være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

Endvidere har det indgået, at Danske Bank løbende har arbejdet på at kunne dokumentere, at banken lever op til sine forpligtelser, dvs. har forsøgt at begrænse den skade, som de registrerede potentielt kan lide. Datatilsynet har samtidig lagt vægt på Danske Banks aktive medvirken til sagens oplysning.

Vil du vide mere?

Læs mere om sletning.

Pressehenvendelser kan rettes til kommunikationskonsulent Anders Due på tlf. 29 49 32 83.

Fakta

Bødestraffe for brud på GDPR

Det fremgår af GDPR, at tilsynsmyndighederne skal kunne give bøder ved brud på databeskyttelsesreglerne. En bøde skal være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

I de fleste europæiske lande kan de nationale datatilsyn selv udstede administrative bøder, men reglerne er anderledes i bl.a. Danmark. Her fungerer det på den måde, at Datatilsynet efter at have belyst og vurderet sagen politianmelder den dataansvarlige. Herefter undersøger politiet, om der er grundlag for at rejse en sigtelse mv., og endelig vil en eventuel bødestraf blive afgjort ved en domstol.

Offentlige myndigheder

Det er nationalt reguleret, om det skal være muligt at give bøder til offentlige myndigheder. I Danmark har man fastsat i databeskyttelsesloven, at offentlige myndigheder skal kunne straffes på samme måde som private aktører. Bødelofterne for alle offentlige myndigheder er dog lavere end dem, der gælder private virksomheder.

Se oversigt over GDPR-bøder her.