Vestre Landsret har dags dato afsagt dom i en sag mod ILVA A/S om overtrædelse af databeskyttelsesforordningens regler om opbevaring af personoplysninger. ILVA A/S blev idømt en bøde på 1,5 mio. kr. Datatilsynet havde indstillet til en bøde på ikke under 1,5 mio. kr.
Principiel sag
Sagen er tidligere blevet afgjort ved Retten i Aarhus den 12. februar 2021, hvor virksomheden blev fundet skyldig og idømt en bøde på 100.000 kr. Retten tog udgangspunkt i ILVA A/S’ nettoomsætning og ikke i koncernens nettoomsætning, som Datatilsynet havde lagt op til.
Anklagemyndigheden ankede sagen til landsretten, der i forbindelse med behandlingen af sagen forelagde Vestre Landsret to præjudicielle spørgsmål for EU-Domstolen. Spørgsmålene handlede om fortolkningen af virksomhedsbegrebet i databeskyttelsesforordningen, herunder om en bøde til en virksomhed skal beregnes ud fra virksomhedens egen nettoomsætning eller ud fra hele koncernens samlede nettoomsætning.
EU-domstolens afgørelse
Den 13. februar 2025 afsagde EU-Domstolen dom i sagen.
EU-Domstolen fastslog, at begrebet ”virksomhed” i databeskyttelsesforordningen artikel 83 stk. 4-6, skal fortolkes på samme måde som i artikel 101 og 102 i Traktaten om Den Europæiske Unions Funktionsmåde. Det betyder, at når en dataansvarlig virksomhed eller en del af en virksomhed pålægges en bøde for overtrædelse af databeskyttelsesforordningen, skal bødens maksimumsbeløb beregnes ud fra en procentdel af hele virksomhedens samlede globale omsætning i det foregående regnskabsår.
EU-Domstolen understregede også, at begrebet ”virksomhed” skal indgå i vurderingen af bødemodtagerens reelle eller faktiske økonomiske formåen. Det er nødvendigt for at sikre, at bøden både er effektiv, står i et rimeligt forhold til overtrædelsen og har en afskrækkende virkning.
På den baggrund har Vestre Landsret nu afsagt dom i sagen, og har idømt ILVA A/S en bøde på 1,5 mio. kr.
"Det er en meget vigtig dom, fordi den er med til at fastlægge praksis for bødeniveauet for private virksomheder. Man vil skele til denne sag, når man fremover skal afgøre lignende sager. Vi er meget tilfredse med, at Vestre Landsret er enig i vores oprindelige vurdering af bødeniveauet tilbage fra 2019, og at Vestre Landsret ved udmålingen af bøden har taget udgangspunkt i koncernens samlede nettoomsætning. Dommen er også vigtig da den fastslår, at ledelsespersoners kendskab til faktiske omstændigheder – om behandlinger der er i strid med databeskyttelsesreglerne – gør det til en forsætlig overtrædelse af reglerne," fortæller direktør i Datatilsynet Cristina Angela Gulisano.
Kort om sagen
- I efteråret 2018 var Datatilsynet på tilsynsbesøg hos ILVA.
- Den 11. juni 2019 indgav Datatilsynet politianmeldelse for overtrædelse af reglerne om opbevaringsbegrænsning.
- Datatilsynet indstillede til en bøde på ikke under 1,5 mio. kr., beregnet på baggrund af koncernens samlede nettoomsætning.
- Overtrædelsen bestod i, at IDdesign A/S ikke havde fastsat slettefrister i et ældre it-system, der bl.a. indeholdt kundeoplysninger, og ikke havde procedurer for sletning.
Sletning af personoplysninger, der ikke længere er nødvendige at opbevare, er et af de grundlæggende principper i databeskyttelsesforordningen.
Dommen kan i udgangspunktet ikke ankes, men ILVA A/S kan søge Procesbevillingsnævnet om tilladelse til at indbringe sagen for Højesteret.
Vil du vide mere?
Læs Datatilsynets tidligere nyheder om sagen her og her.
Retten i Aarhus’ dom af 12. februar 2021 i sagen kan læses her.
EU-Domstolens dom af 13. februar 2025 i sag C-383/23 kan læses her.