Anklager: GDPR-bøde på 0,01 procent af omsætningen kan danne præcedens

Illustration: Rasmus Meisler
Databeskyttelsesloven lægger op til en ”væsentlig forøgelse” af bødeniveauet, men de 100.000 kroner, som ILVA blev idømt i bøde, er kun krummer i regnskabet. Men selvom sagen er særegen, kommer den til at danne præcedens på visse områder, mener specialanklager Jan Østergaard, der har ført sagen i retten.

Danmarks første GDPR-bøde til møbelkæden ILVA på 100.000 kroner udgør blot 0,01 procent af virksomhedens omsætning på 1,7 milliarder kroner i det regnskabsår, som bøden tager sit udgangspunkt i.

Dermed er der langt til loftet på de fire procent af omsætningen, der er sat som det, der maksimalt kan gives for en overtrædelse af reglerne.

»Vi er ikke i nærheden af de fire procent,« siger specialanklager Jan Østergaard, der har ført sagen for Anklagemyndigheden ved Retten i Aarhus og fortsætter:

»Her skal man huske, at det er uagtsomt. Det gør en væsentlig forskel, at det bliver vurderet, at det er noget, ILVA burde vide og ikke noget, man kan lægge til grund at selskabet vidste. Det er min vurdering, at det isoleret set betyder en bødenedsættelse på nogle hundrede tusinde kroner.«

Anklagemyndigheden havde lagt op til, at sagen skulle resultere i den første af de af erhvervslivet frygtede millionbøder. For mens der i tidligere sager under de gamle regler er givet op til 25.000 kroner i bøde, så skulle debutsagen under de ny regler ifølge Datatilsynet og Anklagemyndighedens koste ILVA halvanden million kroner i bøde.

Dermed var der lagt op til, at man nu ville se legemliggørelsen af den ‘væsentlige forøgelse’ af bødestørrelsen for overtrædelser reglerne, som der i forordningen er lagt op til.

Læs også: Ilva får Danmarks første GDPR-bøde: Halvanden million blev til 100.000 kroner

Et spørgsmål om omsætning

Anklagemyndigheden og Datatilsynet udkast til en millionbøde tog udgangspunkt i Jysk-koncernens samlede omsætning på 6,7 milliarder kroner. Her lagde man desuden til grund, at virksomheden forsætligt havde undladt at slette kundeoplysningerne på de 350.000 danske kunder.

Men den fremstilling mødte ikke opbakning i retten.

Retten i Aarhus var ganske enkelt ikke enig med Anklagemyndigheden i, at bøden skulle udmåles ud fra moderkoncernens omsætningstal.

I stedet mente retten, at man skulle tage udgangspunkt i ILVA’s egen omsætning, der svarer til en femtedel af JYSK-koncernens. Derudover mente retten, at overtrædelsen er begået uagtsomt.

Dermed smuldrede grundlaget for den påståede millionbøde.

Læs også: Med ILVA-bøden risikerer Danmark at blive et europæisk bødely: »100.000 kroner i bøde til en større virksomhed er peanuts«

Retten lagde desuden vægt på, at der i sagen var tale om en »førstegangsovertrædelse af databeskyttelsesforordningen, at de omhandlede oplysninger var af en almindelig og ikke personfølsom karakter, at de befandt sig i et ældre og til dels udfaset system, der kun blev tilgået lejlighedsvist, og at ingen registrerede havde lidt nogen skade,« står der i materiale fra retten.

Så hvis virksomheden decideret havde spekuleret i at bryde loven, havde det været en skærpende omstændighed?

»Så var det blevet en væsentlig højere bøde,« vurderer Jan Østergaard.

Man kan du forstå, at der er nogen, der sidder og tænker, at 100.000 kroner er småpenge for en virksomhed af ILVA’s kaliber?

»Både ja og nej. Der er også en klar signalværdi. ILVA bliver faktisk dømt, selvom man ikke lægger til grund, at det var bevidst.«

Men hos Anklagemyndigheden kan man faktisk godt forstå, at bødestørrelsen endte, hvor den gjorde.

»Følger man dommerens præmisser fra A til Z, så er 100.000 kroner sådan set en fair bøde. Der er bare nogle parametre, som vi sidder og tygger på. Det er en flot ligning, og en flot argumentation, men uagtsomheden, sammenligningen med de gamle sager og om omsætningen fra moderselskabet kan lægges til grund, er en del af begrundelsen, hvor forsvarerens argumentation overvejende er blevet fulgt. Derfor overvejer vi at anke dommen,« forklarer han.

Læs også: Justitsministeriet dumper forslag om påbud og forhåndsgodkendelser fra Datatilsynet

Skaber præcedens

Uanset om dommen ankes, eller om 100.000 kroner bliver tallet på det endelige girokort, der lander hos møbelvirksomheden, så får sagen nærmest retshistorisk betydning.

Sagen er nemlig den første sag mod en privat aktør om overtrædelse af de ‘nye’ regler, der trådte i kraft i maj 2018.

Derfor hviler der også mange interesserede øjne på, om sagen fåt et efterspil og i givet fald hvilket.

For det er afgørelserne, der træffes nu, der lægger linjen fremadrettet. Det har professor i it-ret ved Københavns Universitet Henrik Udsen tidligere forklaret her på Version2.

Og sagens betydning er specialanklager Jan Østergaard helt bevidst om.

»Det bliver en sag, der danner præcedens i forhold til, hvilken omsætning man lægger til grund for bøden. Det er jeg slet ikke i tvivl om. Og så bliver det nok også en sag, der danner præcedens i forhold til uagtsomhed. For sager, der på parametre ligner den her, bliver den et pejlemærke for, om vi taler hundrede tusinder eller millioner. Men der er ikke to sager, der fuldstændigt ligner hinanden på det her område,« understreger han.

Men hvad betyder den her bøde i forhold til de frygtede millionbøder, som man i erhvervslivet gik og bekymrede sig om for nogle år siden?

»Bøderne lukker i hvert fald ikke virksomhederne, og det er heller ikke meningen. Det fremgår også af bødemodellen. Hvis man er der, hvor virksomheden er lukningstruet, så skal man tage hensyn til det ved bødefastsættelsen. I sidste ende kan det være grund til bødenedsættelse. Vi er ikke i nærheden af det her. Hvis ILVA lukker, så er det af helt andre grunde,« siger Jan Østergaard og fortsætter:

»Den her sag peger i retning af, at der skal være nogle andre betingelser opfyldt, før vi kommer op på millionbøderne.«

En af dem, der har været overrasket over bødens størrelse er Henning Mortensen, der er formand for Rådet for Digital Sikkerhed.

Han har tidligere på ugen her på Version2 kaldt en bøde på 100.000 kroner til en virksomhed af ILVA’s størrelse for ‘peanuts’ og udtrykt bekymring for, om det her bliver starten på et uhensigtsmæssigt lavt bødeniveau.

»Bøden er overraskende lav,« konstaterede Henning Mortensen, der også er medlem af Datarådet, der forholder sig til sager af mere principiel karakter.

Anklagemyndigheden overvejer fortsat, om ILVA-dommen fra Retten i Aarhus skal ankes.

Læs også: Justitsministeriet dumper forslag om påbud og forhåndsgodkendelser fra Datatilsynet

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (4)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Claus Bobjerg Juul

»Her skal man huske, at det er uagtsomt. Det gør en væsentlig forskel, at det bliver vurderet, at det er noget, ILVA burde vide og ikke noget, man kan lægge til grund at selskabet vidste. Det er min vurdering, at det isoleret set betyder en bødenedsættelse på nogle hundrede tusinde kroner.«

Så har man ikke gjort sit hjemmearbejde i at undersøge hvor man behandler persondata så vil bøden første gang blive en lille bøde, da virksomeheden altid første gang kan sige.

Det viste vi ikke

  • 4
  • 4
#2 Henrik Morell

Jeg kan godt undre mig lidt over, at der er tale om uagtsomhed, hvor der i dommen bliver lagt vægt på

at de befandt sig i et ældre og til dels udfaset system, der kun blev tilgået lejlighedsvist

.

Et af kravene er, at man skal slette gamle oplysninger, og man skal have styr på de data, man har liggende. Ligner det ikke en fødevarevirksomhed, der ikke har fået gjort ordentlig rent, og siger, at det ikke var bevidst, at alt snavset ikke er fjernet, og det er desuden et sted, man ikke gør noget ved tit, og det derfor er uagtsomt?

  • 12
  • 1
#4 Jacob Larsen

Det er et gennemgående retsprincip at man skal kende loven og at man aldrig kan undskylde sig med at vidste man ikke. Og siden det er et lovkrav at man skal have styr på data så burde man aldrig kunne undskylde sig med at man ikke vidste det. Her kan jeg faktisk godt lide analogien med en fødevarevirksomhed der ikke har gjort ordentligt rent.

  • 2
  • 0
Log ind eller Opret konto for at kommentere