Med ILVA-bøden risikerer Danmark at blive et europæisk bødely: »100.000 kroner i bøde til en større virksomhed er peanuts«

47 kommentarer.  Hop til debatten
Med ILVA-bøden risikerer Danmark at blive et europæisk bødely: »100.000 kroner i bøde til en større virksomhed er peanuts«
Illustration: Rasmus Meisler.
Landets første GDPR-bøde blev kun en brøkdel af, hvad anklagemyndigheden havde krævet. Det er overraskende for en så alvorlig sag og kan bane en uheldig vej for Danmark, siger formand for Rådet Digital Sikkerhed Henning Mortensen.
Interview16. februar 2021 kl. 03:45
errorÆldre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Møbelkæden ILVA fik klækkelig bøderabat, da der i fredags blev afsagt dom i den første GDPR-sag herhjemme. Anklagemyndigheden havde krævet en bøde på 1.500.000 kroner som resultat af, at virksomheden havde gemt 385.000 danskeres oplysninger i et gammelt ERP-system uden en plan for, hvornår de skulle slettes igen.

Fredag præsenterede Retten i Aarhus sin afgørelse i sagen, og ILVA blev i dømt en bøde på 100.000 kroner, hvilket er mindre end 10 procent af det beløb, Datatilsynet havde sat næsen op efter.

Log ind og få adgang
Du kan læse indholdet ved at logge ind eller oprette dig som ny bruger.
47 kommentarer.  Hop til debatten
Debatten
Log ind for at deltage i debatten.
settingsDebatindstillinger
46
18. februar 2021 kl. 15:19

Hvis bare du er en klovn, så slipper du billigere. Det virker da helt galt

Der er også forskel på uagtsomt manddrab og mord, selv om slutresultatet er det samme for den døde.

Og det er lige præcis derfor vi har et retssystem.

Så måske det er på tide at være lidt mere nuanceret, og tørre fråden væk fra munden, ellers risikerer vi bare at en langt vigtigere debat ender i støj, fordi man er så opsat på en heksejagt.

44
18. februar 2021 kl. 10:54

Hensyn, bl.a.:</p>
<pre><code>"Uagtsomhed”
”1. gangs forseelse”
”Data befandt sig i et system, der kun blev tilgået lejlighedsvist”
”Ingen registrerede havde lidt nogen skade”
”Overtrædelsen var alene af formel karakter”
(Ligesom kun tiltaltes egen omsætning (ej koncernens) skulle lægges til grund for bødestørrelsen).
</code></pre>
<p>

Det eneste der er at gøre er at komme på fornyet tilsyn fx 3 månededr efter dommen med den 'for milde' straf.

Forholdene er jo ikke bragt i orden, og der er intet gjort for at bringe dem i orden. Og så kommer man en tur i retten igen, og der bør hammeren så falde nårdt, for nu er man i decideret ond tro!

43
18. februar 2021 kl. 10:51

Og så må man ikke glemme at uden markedsføring, bliver du aldrig opmærksom på et produkt som er bedre end det du købte i går og og i forgårs.

Er det ikke at gribe efter et halmstrå?

Vi bliver alle proppet med tusindvis af reklamer, som har absolut ingen nyhedsværdi.

Jeg køber simpelthen ikke, at denne snagen skulle betyde, at lige præcis når jeg har brug for at få en rødvinsplet bort, så dukker "supergenialt pletfjerner", som jeg aldrig før har hørt om, op i reklamerne.

Er det noget teknisk, så søger jeg aktiv efter information, og øvrige større anskaffelser, der er "Tænk" og lignende, mere afgørende, end hvad der ligger øverst i en Google-søgning.

41
17. februar 2021 kl. 16:28

I den aktuelle sag (der muligvis kandiderer som forlæg for fremtidens sager) lægger domstolen, i sin afgørelse, en del vægt på, at lovovertrædelsen er sket uagtsomt.

Men broderparten af de datasikkerhedsbrud og overtrædelser af GDPR, vi kender til, sker uagtsomt. Uforsætligt, ubevidst. I vilkårlig rækkefølge pga.:

FEJL, UVIDENHED, SJUSK, HOVEDET UNDER ARMEN eller UTILSTRÆKKELIGE SIKKERHEDSFORANSTALTNINGER.

Vi har kendskab til en lang række eksempler, alene omtalt her på V2. Jeg har halet en håndfuld blandede frem, af mit linkarkiv, fra 2018 til nu:

https://www.version2.dk/artikel/datalaek-hos-erhvervsstyrelsen-vokser-150000-cpr-numre-spredt-3000-brugere-1092042https://www.dr.dk/nyheder/indland/politisjusk-med-persondata-glemte-dokumenter-i-s-tog-og-knyttede-borger-til-876https://www.dr.dk/nyheder/penge/12-millioner-danskere-har-faaet-cpr-numre-laekkethttps://politiken.dk/indland/uddannelse/art7605113/Helsing%C3%B8r-Kommune-videregav-personlige-oplysninger-om-skoleelever-til-Googlehttps://www.version2.dk/artikel/24-kommuner-sender-boerns-persondata-google-blinde-meget-kritisabelt-1091947https://www.version2.dk/artikel/uhindret-adgang-500000-cpr-numre-sundhedsdata-region-syddanmark-1089890https://www.version2.dk/artikel/stort-sikkerhedsbrud-region-syd-skal-underrette-800000-borgere-1090855https://www.version2.dk/artikel/fagforening-efter-gdpr-broeler-vi-mente-var-ok-1089460https://skoleliv.dk/nyheder/art7506098/Aula-indeholder-alvorlig-sikkerhedsbristhttps://politiken.dk/indland/art6935409/Usb-stik-med-dybt-personlige-oplysninger-sendt-til-beboere-i-tre-ejendommehttps://www.version2.dk/artikel/ansat-gemte-filer-lokalt-paa-pc-nu-rammer-datalaek-20000-borgere-gladsaxe-kommune-1087012https://politiken.dk/indland/art6915725/Kommune-hj%C3%A6lper-med-at-udstille-l%C3%A6kage-ofre-p%C3%A5-Facebookhttps://www.dr.dk/nyheder/penge/danmarks-stoerste-terapi-portal-laekker-detaljer-om-klienters-stofmisbrug-sexliv-oghttps://www.version2.dk/artikel/mindst-500-patienters-journaler-med-foelsomme-persondata-solgt-ved-fejl-1086399

(Beklager uoverskueligheden ^^, man kan ikke lave enkelt linjeskift).

Tilbage i 2019 lød det sådan her fra Allan Frank, cand.jur og sikkerhedsspecialist hos Datatilsynet:

<strong>Det er et udbredt problem, at oplysninger bliver sendt til den forkerte person. De sager fylder cirka 80 % af brudene på databeskyttelseslovgivningen</strong>,« siger han og fortæller, at Datatilsynet modtager omkring 600 anmeldelser om måneden.

https://www.bt.dk/samfund/dansk-domstol-i-broeler-jeg-er-meget-rystet

Og senest, i sidste uge:

<strong>Siden 16. april 2020 og frem til nytår har landets kommuner indberettet omkring 1.900 sikkerhedsbrud, hvor persondata er endt i forkerte hænder</strong>. Flere end 1.600 havde kommunerne selv ansvaret for.

11.02.21: https://www.dr.dk/nyheder/seneste/kommuner-1900-gange-er-persondata-endt-i-de-forkerte-haender

Hvis uagtsomhed ligeledes vil være en formildende omstændighed i fremtidige sager, spår jeg databeskyttelsens fallit.

Bøderne vil således blive så milde, at de er uden den tiltænkte, afskrækkende effekt. Og dermed uden den påtænkte virkning – hensigten med både bøder og myndighedskontrol: At begge instanser skulle virke adfærdsændrende (til det bedre).

Tilsvarende vil databeskyttelseslovens formål – om at beskytte borgernes rettigheder – ligeledes spille fallit.

»Hele forordningen går ud på at beskytte den registreredes rettigheder.«

https://www.version2.dk/artikel/datatilsynet-gdpr-overtraedelser-saadan-afgoer-vi-du-skal-have-boede-1091186

Signalet vil således være:

Hvis bare du er en klovn, så slipper du billigere. Det virker da helt galt.

40
17. februar 2021 kl. 14:38

Jeg har heller ikke hørt om at marketing arbejder gratis, og at udgifterne til marketing tages fra firmaets overskud. Det er altid kunderne der betaler.

Når du siger "kunderne betaler", at der så firmaet, som der laves marketing for, som betaler, eller siger du, at det væltes over på deres kunder. Nok det første, for du siger jo også, at det tages af overskuddet ... og det er jo ejernes penge og ikke kundernes penge.

Antallet af brands har aldrig været højere end det er i dag, og det skyldes at prisen for at brande er faldet drastisk.

Ja, der er et betydeligt incitament til at gøre ens produkter usammenlignelige med konkurrenternes, så man derved mere eller mindre kan sætte markedsmekanismerne ud af spil, og opnå monopollignende forhold.

Trist, hvis man tror på, at markedet giver det bedste produkt til den bedste pris, for det forudsætter sammenlignelighed og deraf følgende konkurrence.

Og så kan man så undskylde sig med, at man ikke sælger læskedrikke, men derimod livsstil. Det ændrer ikke noget.

Og så må man ikke glemme at uden markedsføring, bliver du aldrig opmærksom på et produkt som er bedre end det du købte i går og og i forgårs.

Hvad? Jeg kan ikke erindre hvornår jeg sidst er blevet oplyst, eller bare opmærksom, af en reklame. Det skulle da lige være hvilken burger man nu har fundet på i denne uge i en af landets større burgerkæder, og så mange spiser jeg altså ikke af dem, så det er nok nærmest støj.

Derimod bruger jeg gerne prissammenligningssites og omtale i fagtidsskrifter eller lignende. Eller ved at rådføre mig med kyndige venner og bekendte. Og ja, det er ofte også resultat af markedsføring, men ikke af den slags som overtræder GDPR eller kalder sig "reklamer".

39
17. februar 2021 kl. 14:11

Forbrugsmønstre bruges først og fremmest af marketing. jeg har aldrig oplevet at de gør noget billigere.</p>
<p>Men jeg hører da gerne argumenter for den påstand.

Jeg har heller ikke hørt om at marketing arbejder gratis, og at udgifterne til marketing tages fra firmaets overskud. Det er altid kunderne der betaler.

Altså, hvis prisen på marketing falder, så falder slutprisen på produktet også, med mindre der er tale om et monopol.

Antallet af brands har aldrig været højere end det er i dag, og det skyldes at prisen for at brande er faldet drastisk.

Og så må man ikke glemme at uden markedsføring, bliver du aldrig opmærksom på et produkt som er bedre end det du købte i går og og i forgårs.

37
17. februar 2021 kl. 13:38

Der er ingen normale anstændige virksomheder der spekulerer i at overtræde GDPR reglerne,

Det er jo i bund og grund nogle regler, som stammer fra lang tid før GDPR.

Så når IT-chefen beder om penge til at sikre lovmedholdenheden i systemerne, men får nej. Hvad er det så ?

Jeg tror faktisk at de fleste virksomheder og myndigheder, offentlige, som private, har haft en viden om at IT-sikkerheden ikke har været helt iorden.

Men man har ikke ønsket at bruge ressourcer på at undersøge det, og til et vist niveau ment at man stod sig bedre i "uvidenhed", end med afdækkede og dokumenterede svagheder.

Andre dele af lovgivningen hylder princippet, at det ikke skal kunne betale sig at bryde loven. Det burde man også gøre her.

36
17. februar 2021 kl. 13:14

Kunne man anlægge den betragtning at samfundet er den skadelidte?

Måske vi har et mærkeligt forhold til at være skadelidt.

Samfundet tillader luftforurening som bevisligt dræber.

Omvendt er skaden ved GDPR svær at gøre op. I det konkrete tilfælde, vil man kunne se, at jeg på et tidspunkt har købt en sofa hos ILVA, hvis man kan se så meget.

Og hvilken skade lider samfundet ved at forbrugsmønstre kan analyseres. Det har jo også sine positive sider, at det billiggør slutprisen på produkter.

Det gør det lidt svært at håndtere, når det mere er et princip som skades fremfor noget konkret. WV har helt sikkert vidst da de lavede deres snydesoftware, at de reelt slog mennesker ihjel, så der er ingen undskyldninger der.

Det er noget helt andet med GDPR, her står softwareudviklerne i vildrede, for hvilke oplysninger skal man deklarere og hvilke må man slet ikke gemme o.s.v. Og hvor slemt er det at advokaten i de 32 siders samtykke har glemt at notere at man gemmer i 3 år i stedet for 2 år.

Jeg glæder mig til den dag hvor der kommer dokumentation for, at GDPR har reddet mennesker fra noget slemt.

35
17. februar 2021 kl. 13:10

Hvis man ser på afgørelsen, fra Aarhus Byret (som en var så venlig at linke til, i tråden i fredags) så lægges der en række hensyn til grund for dommen/bødestørrelsen.

https://domstol.dk/aarhus/aktuelt/2021/2/selskab-idoemt-en-boede-paa-100000-kr/

Hensyn, bl.a.:

  • "Uagtsomhed”
  • ”1. gangs forseelse”
  • ”Data befandt sig i et system, der kun blev tilgået lejlighedsvist”
  • ”Ingen registrerede havde lidt nogen skade”
  • ”Overtrædelsen var alene af formel karakter”
  • (Ligesom kun tiltaltes egen omsætning (ej koncernens) skulle lægges til grund for bødestørrelsen).

Hvis man skal iagttage disse hensyn, disse formildende omstændigheder, i fremtidige sager, så bliver det, for mig at se, nogle meget små bøder, der vil blive udskrevet fremover. Overordnet set.

Dels fordi broderparten af alle forseelser begås på størstedelen af disse vilkår ^^, navnligt uagtsomt – i hvert fald i det offentlige. Som er den sektor, vi kender for flest GDPR-brud herhjemme (uddybes i kommentaren nedenfor).

Dels skal også tages i betragtning, at rigtig mange sager end ikke indstilles til bøde. Men blot afgøres ved, at Datatilsynet udtaler alvorlig kritik (med fed) og beder pågældende rette op. Vi har set talrige eksempler, her på V2. Også med 1000vis af borgeres persondata involveret.

27.08.20: https://www.version2.dk/artikel/datatilsynet-gdpr-overtraedelser-saadan-afgoer-vi-du-skal-have-boede-1091186

Og hvor mange sager, fra det offentlige, kender vi, indtil nu, som er indstillet til en bøde? (Ingen? 2? 5?)

34
17. februar 2021 kl. 12:58

Har du belæg for at postulere at Irland skulle have en mere lempelig håndhævelse af GDPR end resten af EU?

Se f.eks. her: https://noyb.eu/en/irish-high-court-allows-judicial-review-stop-facebook-eu-us-transfers - der er en, som er mindre end uimponeret over det Irske datatilsyn.

Der er også tale om at man rundt omkring i EU er begyndt at undgå at bruger GDPR, fordi at aftalen er, at det skal gå forbi "ejerlandet", og man så tit ser at sagerne "strander" i Irland. Ved at bruge anden lovgivning, så kan man selv følge sagerne til dørs.

33
17. februar 2021 kl. 12:15

Kunne man anlægge den betragtning at samfundet er den skadelidte?

I den betragtning er 100.000 ikke meget i forhold til udgifterne til datatilsynets kontrol og retsystemets sagshåndtering.

31
17. februar 2021 kl. 11:37

Jeg vil gerne sige det ligeud. Da jeg så afgørelsen i fredags, tænkte jeg – lad være med at kommentere. Fordi du (jeg) kommer til at sige alt for mange grimme ting. I dag, flere dage senere, er min holdning/indstilling uændret.

https://www.version2.dk/artikel/ilva-faar-danmarks-foerste-gdpr-boede-halvanden-million-blev-100000-kroner-1092105

Jeg vil hævde – og det er en påstand, det medgiver jeg – at begge parter er klar over, at de ”tager én for holdet” i denne omgang. I denne sag.

Forstået således, at domstolen, på deres side, har en anelse om, at de kan være med til at spare samfund og erhvervsliv store summer fremover. Fordi denne sag vil medvirke til at danne forlæg for alle fremtidige, være en målestok.

Det er i hvert fald den smag, jeg sidder med i munden.

(Som sagt, det er en påstand. Og en hård påstand, det medgiver jeg. Jeg finder belæg i enkelte, tidligere, afgjorte sager, som jeg, i denne anledning, kommer i tanker om nu. Sager, der har haft bred samfundsmæssig indflydelse. Hvor en specifik afgørelse kan være udslagsgivende for tusindvis af andre sager. Med store økonomiske omkostninger, for fx. staten, hvis forurettede part/sagsøger fik medhold. Det har drejet sig om leje, pension, lign., mener jeg at huske. Har desværre ikke gemt disse link, det er jeg ked af nu).

Anklagemyndigheden skulle, efter dommen fredag, lige tage stilling til, om de ville anke. Dertil kan jeg kun tilføje:

Ank, Østergaard! Der er intet alternativ.

For at opretholde egen integritet. Samt standens integritet. Tilliden til anklagemyndigheden generelt, i disse anliggender.

Don’t worry. Bøden forhøjes måske en smule, men det bliver sandsynligvis ikke eksorbitant. 200.000 kroner (?) hvilket stadig er til grin, men det levner os tid.

Det køber os samtidig værdifuld tid. Tid til at tage slaget. Fordøje den bitre erkendelse, at dette er et gennemført forlorent arrangement. Jeg tænker dels på den omstændelige og langsommelige proces, med de 3 instanser, sagerne skal igennem, således de forhales igennem en årrække. Men overordnet set, har jeg ikke længere tillid til, at der hersker hverken intention eller vilje, i statsapparatet, til at sanktionere for alvor. Det er rent skin og formalia.

Det er den smag, jeg sidder med i munden, efter afgørelsen fredag.

https://domstol.dk/aarhus/aktuelt/2021/2/selskab-idoemt-en-boede-paa-100000-kr/

Der er buldret løs, siden 2018, om, at nu kommer bøderne! De store bøder! Ren teatertorden.

Vi er alle sammen så grundigt til grin. Det er hvad, jeg mener om det.

29
17. februar 2021 kl. 11:19

Hey, vi har en ny businessplan, vi flytter til Danmark, så vi kan bryde loven.

Det er ikke tilfældigt, at mange firmaer vælger Irland. Jeg er også ret sikker på, at man ved præcist, hvad man gør, når man vælger hjemsted i Schweiz, Lichtenstein eller på kanaløerne.

Så nej, det ville på ingen måde overraske mig. Man søger ikke bare derhen, hvor reglerne er gunstige, man søger sandelig også derhen, hvor håndhævelsen er lempelig.

Det er næppe et tilfælde at f.eks. Erhvervsstyrelsen er meget langmodig; det tæller givetvis som et forsøg på "erhvervsfremme".

25
17. februar 2021 kl. 09:49

Helt ærligt, mener Henning Mortensen at firmaer planlægger med at bryde loven bevidst?

Det er desværre ikke så usædvanligt, som det burde være.

Begrebet "procesrisiko" dækker også over, at man spekulerer i, at man skal opdages først, og at nogen skal være villige til at tage sagen.

Og jeg sidder f.eks. tilbage med en underlig fornemmelse, når jeg kigger tilbage på Danske Bank og hvidvask-eventyret i Baltikum - det er svært at forstå, at de ikke på et eller andet tidspunkt havde indset, at det var for alt for godt til at være lovligt.

For de mange sager om rådgiving om flytning til skattely kan det også være svært at se, at det ikke skulle være medvirken til ulovligheder, måske endda direkte opfordring.

Falck misbrugte jo også deres dominerede stilling på markedet for ambulancetjenester, og BIOS er nu gået konkurs. Vil du mene, at Falck var i god tro?

Der er nok også en grund til, at man har fartskrivere i lastbiler; hvis virksomheder aldrig brød loven, som ville det være overflødigt.

Det er næppe heller tilfældigt, at mange store firmaer har valgt Irland som hjemsted; det er tydeligt, at myndighederne der er langt mere tilgivende og langmodige end andre steder, og f.eks. Schrems peger på at det irske datatilsyn er gået ind på Facebooks side i retsagerne imod dem - og aktivt medvirker til at retsager trækkes i langdrag uden opsættende virkning.

Jeg må sige, at det virker naivt at mene, at der ikke skulle være virksomheder, som ikke er villige til bryde loven.

24
17. februar 2021 kl. 09:44

Det er flere gange nævnt, at bl.a. ^^ ovennævnte sag vil bidrage til at danne præcedens / være forlæg for bødeniveauet i fremtidige sager. Også kaldt en prøvesag.

Er der nogen, der ved noget om, hvor mange sager, der er udtaget som prøvesag?

Altså, udvælges f.eks. 5 – 10 sager, af forskellig karakter, og så lægger man et fremtidigt niveau/gennemsnit (præcedens) herefter? Eller hvordan foregår det?

Siden de nye GDPR-regler/Databeskyttelsesloven trådte i kraft, i 2018, er der talt med store bogstaver om, at visse sager kunne ende med høje sanktioner/store bøder. Både fra Datatilsynet, medierne og uafhængige eksperter, fx:

11.12.18: https://politiken.dk/indland/art6911311/%C2%BBVi-er-absolut-i-den-h%C3%B8jere-ende-af-alvorsskalaen%C2%AB

23.11.20: https://www.berlingske.dk/virksomheder/danske-bank-risikerer-millionboede-for-forkerte-data-om-inkassokunder

12.02.21: https://www.version2.dk/artikel/nu-kommer-gdpr-boederne-erhvervslivet-baade-har-frygtet-ventet-paa-1092093

Det er også pointeret, at bødestørrelsen har stor indflydelse på, hvor alvorligt virksomhederne tager datasikkerhed:

Ingen tvivl om, at bødernes størrelse har betydet noget for prioriteringen. Bødestørrelsen har gjort, at spørgsmålet har fået både bestyrelsens og direktionens bevågenhed.

Martin Jørgensen, chefkonsulent i Dansk Erhverv

25.05.19: https://www.dr.dk/nyheder/penge/saa-falder-hammeren-et-aar-efter-indfoerelse-af-persondataloven-rammer-boederne

De sager, der ender hos domstolene, er forskellige. Derfor finder jeg det også relevant, at de prøvesager, der udtages, er repræsentative for spektret.

Eksempel: I aktuelle sag lægges der, i afgørelsen/strafudmålingen, vægt på, at forseelsen er sket uagtsomt, og bøden fastsættes (bl.a.) herefter.

https://domstol.dk/aarhus/aktuelt/2021/2/selskab-idoemt-en-boede-paa-100000-kr/

Andre sager kan derimod variere, således der kan være bevis for, at forseelsen er sket forsætligt, overlagt, bevidst, hvilket kan resultere i et langt højere bødeniveau.

Tilsvarende kan der være variabler vedr. mængde/antal data, graden/mængden af følsomme data, varians i perioden data har været ubeskyttet/tilgængelige for uvedkommende (3 måneder? 5 år?), etc.

Alt sammen medvirkende til at afgøre bødens størrelse.

Derfor finder jeg det relevant, at få lidt mere at vide om prøvesagerne.

22
17. februar 2021 kl. 00:16

Der er ingen normale anstændige virksomheder der spekulerer i at overtræde GDPR reglerne, men Google, Facebook, Amazon et al, har selvfølgelig en helt anden agenda.

Se nu ligger de slet ikke i EU, så det er reelt er det vel frivilligt om de vil følge reglerne. Jeg har ikke lige kunnet google mig frem til nogle steder, hvor der stod at de var.

De reklamerer så med at de er compliante, men hvad er konsekvensen hvis de ikke er?

20
16. februar 2021 kl. 22:59

»Det er meget vigtig at følge med i, hvordan bødeniveauerne udvikler sig i på fælleseuropæisk plan, så vi ikke når ud i, at Danmark bliver det land, virksomhederne lægger sig i, fordi her giver vi de laveste bøder.«

Udsagnet er søgt, for der er ingen firmaer der spekulerer i at overtræde GDPR reglerne, og det ligger også implicit i dommen at hvis der bliver tale om gentagelser og/eller man har en kulpøs tilgang til det, så er det nogle helt andre bødestørrelser der tales om.

Men altså, at lægge er firma i Danmark er da mere eller mindre at give sig selv en skattemæssig dummebøde.

Det udsagn er så også ret søgt, for selve procentsatsen for selskabsskat betyder stort set intet for de fleste firmaer, det kan klares rent regnskabsmæssigt - der er mange andre parametre som er vigtigere for et firma, herunder niveauet af arbejdskraft, infrastruktur, almindelige omkostninger, korruption mv., og i det spil er Danmark faktisk ikke uinteressant for mange firmaer.

19
16. februar 2021 kl. 22:46

argumentet omkring dommen forstår jeg, men bøden er efter min mening for lav.

Der er jeg så uenig.

Der er ikke tale om personfølsomme data osv. som dommen også forholder sig til - og 100K er altså stadig en sjat.

Ellers så skal vi til at forholde os strafferetligt til også bruge krudt på der hvor der virkelig er problemer, nemlig i forbindelse med myndigheders stærkt sløsede omgang med personfølsomme data - hvis ikke vi tager seriøst fat i det kan ovennævnte ende med at have karakter af dummebøde, samtidig med de reelt grove sager ender i støj.

18
16. februar 2021 kl. 21:15

»Det er meget vigtig at følge med i, hvordan bødeniveauerne udvikler sig i på fælleseuropæisk plan, så vi ikke når ud i, at Danmark bliver det land, virksomhederne lægger sig i, fordi her giver vi de laveste bøder.«

Helt ærligt, mener Henning Mortensen at firmaer planlægger med at bryde loven bevidst?

Men altså, at lægge er firma i Danmark er da mere eller mindre at give sig selv en skattemæssig dummebøde.

17
16. februar 2021 kl. 21:12

Til sidst, så er det hele her jo en principsag par excellence - først bøde sætter niveauet. Præcis her skal denne afskrækkende effekt fra Artikel 83 da komme i spil - hvornår ellers? Skal vi sætte niveauet så langt nede i en sag, der skal afskrække organisationer fra fremtidige overtrædelser, så skal niveauet lang højere op. Det er for at sætte et eksempel.

Og dermed er det slået fast, at almindelige ikke følsomme kundeoplysninger, må man ikke gemme uden en plan, selvom det er et system, som er under afvikling.

Jeg tror det er en dom, som vil få flere til at tænke sig om, og kigge på deres elendige datasystemer en gang til.

16
16. februar 2021 kl. 20:47

Problemet er jo at data misbruges af folk som er stort set umulige at finde og fra lande hvor der ikke er udleverings aftaler eller samarbejde med myndighederne. Det er netop derfor man er nødt til at rette reglerne efter dem som opbevare data.

15
16. februar 2021 kl. 20:17

Afskaf dog det GDPR direktiv som gør det så bøwlet og risikabelt at drive virksomhed og forening. Det kan ikke være meningen at man skal være juridisk ekspert og betale dyre forsikringer fordi man sidder i bestyrelsen for en forening. Man burde straffe dem der misbruger personoplysninger, ikke dem der opbevarer dem til et rimeligt formål. Identitetstyveri og lignende er et stort problem, som politiet burde rette indsatsen imod, i stedet for ILVAs kartoteker.

14
16. februar 2021 kl. 19:33

Jeg kan upåagtet alle de relevante kommentarer, se Hennings bekymring i et videretænkt scenarie...store techgiganter etablerer sig i Danmark og det bliver ikke mindre attraktivt af at vores bødesatser er så lave, når man måske er lidt lemfældig med privacybeskyttelse i forvejen...well blot en tanke.. argumentet omkring dommen forstår jeg, men bøden er efter min mening for lav.

13
16. februar 2021 kl. 15:01

Stoler man ikke på domstolene eller? Det fremhæves at det er data som i en telefonbog gasnke harmløst. Det er i et gammlet system som som ikke er aktivt og derfor næppe let tilgængeligt fra hackere udefra. De gamle systemer var ikke gearet til at slette data efter aller g Skat kræver data 10 år bagud som der er tale om her. Så hvor kommer de skarpe argumenter/holdninger fra.

Først og fremmest er det naivt at tro, at nogle persondata er "ganske harmløst". Hvorfor så overhovedet beskytte dem, hvis de er så harmløse? For det er de ikke, i hvert fald hvis du spørger den person, der står bar de her personoplysninger.

For det andet, så kan det være ligemeget, hvor vidt det er en gammelt system. Jeg har et ældgammelt USB-drev med masser af ulovlige persondata på - er det så helt fint, eller hvordan? Nej, det er det ikke, det er stadig ulovligt. Husk på, at Ilva rent faktisk er blevet dømt for en forbrydelse. Og som også er blevet fremhævet af Gert Madsen her i tråden, så står der ingen steder, at hackere ikke kan få adgang til gamle systemer... husk at hackere også kan møde op fysisk, at persondata kan stjæles, evt ved at bære gamle enheder ud, osv.

For det tredje, så er det ikke en undskyldning, at systemet ikke var gearet til at slette data... de her regler findes altså siden mange årtier, så jeg vil være forundret, hvis deres systemer er mere end 30 år gammel... 2010 er ikke så lang tilbage! Og man er da heller ikke beskyttet fra loven hvis man bruger dårlig IT?

Til sidst, så er det hele her jo en principsag par excellence - først bøde sætter niveauet. Præcis her skal denne afskrækkende effekt fra Artikel 83 da komme i spil - hvornår ellers? Skal vi sætte niveauet så langt nede i en sag, der skal afskrække organisationer fra fremtidige overtrædelser, så skal niveauet lang højere op. Det er for at sætte et eksempel.

Så, der har du dine argumenter. Jeg stoler ikke på domstolen her, må jeg ærlig sige. Det ligner helt klart, at domstolen ikke har sat sig ind i det, lige som de fleste andre heller ikke har. Eller bare ikke tager det så alvorligt... måske bare dommerne i Aarhus, der er lidt for indspist i erhvervslivet, eller måske bare er for gamle til at forstå emnet og dets alvor.

Hvorfor har vi ikke et organ til at dømme den slags? En dataretlig domstol? Nogle der intensivt kender til afgørelser i andre EU lande, der kender tendenser, der kender IT, etc. Nogen der forstår at data er nutidens guld, og at den ejes af nogen, og (mis)bruges af andre.

12
16. februar 2021 kl. 14:44

Ja, man efterlades lidt med indtrykket af at man med denne sag prøver at tegne et billede af at det store problem skulle ligge hos det danske erhvervsliv (og man kan da altid finde noget hvis man leder længe nok, der er jo tale om data, backups osv.). Man kunne dog ønske sig et forbillede i den offentlige sektor, før man gik igang med at jage møbelkæderne (især hvis denne bøde danner præcedens). Jeg må dybest set erkende at jeg ikke kærer mig om min e-mail skulle ligge i et gammelt ERP system hos ILVA, men det bekymrer mig hvis SSI sender mine børns DNA og sundhedsdata i hænderne på Facebook ejede selskaber (og hvem end der ellers har fingre i den data inkl. Kinesiske “firmaer”).

10
16. februar 2021 kl. 13:51

Der hersker en underlig tendens til ikke at være nuanceret, hvorved den underliggende vigtighed udvandes - der var ikke tale om personfølsomme data, der var tale om et frakoblet system under nedlukning, og der var ikke tale om at ILVA med overlæg ikke ville slette data.

Alt i alt en rimelig tilgang til sagen - 100K er immervæk stadig væk en bøde, og det er jo pointeret at den "kun" er på den størrelse fordi der var tale om uagtsomhed, første gang, og ikke følsomme data.

Så der er intet belæg for at påstå at virksomhederne bare kan lægge sig om på den anden side og ikke foretage sig noget - der kan sagtens komme andre sager som er (langt mere) grove, og hvor der så bliver sanktioneret derefter.

På mig virker det som om at nogen nærmest har fråde om munden, bare et firma tillader sig at have et kunderegister - måske de selv samme personer burde begynde at overveje et tiltag mod den GDPR bombe de selv slæber rundt med i lommen!

9
16. februar 2021 kl. 13:18

Enig og jeg vil tilføje hvad også er meget vigtigt: "Der er ingen skadelidte." Der har ikke været nogen læk, så data er blevet misbrugt.

Der er ikke KONSTATERET nogen skadelidte.

Det er jo ikke sådan at de skadelidte ligger i sygesenge. Problemet med læk af data, er jo netop at det kan være enormt svært at konstatere.

Ved man om afslaget på livsforsikringen, eller jobansøgningen er delvis begrundet i lækkede data ?

Der kan sagtens være sket læk af data, uden at ILVA er klar over det, og iøvrigt kan de ikke siges at være sandhedsvidner i den sag.

8
16. februar 2021 kl. 13:10

Det er i et gammlet system som som ikke er aktivt og derfor næppe let tilgængeligt fra hackere udefra.

Det tror jeg ikke man kan konkludere.

Bare fordi et system er gammelt, og ikke i egentlig brug, så betyder det jo ikke at systemet er koblet af det interne net.

Og så er der tværtimod tale om usupporteret kode, evt. med masser af kendte sikkerhedsbrister. Altså kan der være meget større risiko for læk af data her, end fra det nye system.

7
16. februar 2021 kl. 12:47

Søren, hele idéen med fælleseuropæiske regler og dermed bødeniveau på området var jo netop at give befolkningerne i hele EU tillid til digitalisering.

Den idé går helt fløjten dels hvis bødeniveauet for identiske forseelser er meget lavere i Danmark end i resten af EU, dels hvis organisationer kan begynde at spekulere økonomisk i at det kan være billigere at se stort på reglerne, holdt op mod risikoen for at blive opdaget sammenholdt med størrelsen af sanktionen.

6
16. februar 2021 kl. 11:21

Jeg tænker at den kun går en gang for ILVA.

Hvis Datatilsynet så kommer igen når også Landsretten har talt - og det håber jeg de gør - og hvis de så finder forholdende uændrede, så må de mødes i retten igen.

Anden gang kan de ikke sige det vidste de ikke, og bøden var jo ikke så stor første gang.... Mon retten stadig vil gå lavt i bødeniveau?

5
16. februar 2021 kl. 11:03

Den dom kan kun gøre mig stolt over at være dansker. Vi løber ikke bare med på vognen og uddeler tosse-store bøder, men ser lige på alvorligheden i forseelsen. Så godt gået domstol.

4
16. februar 2021 kl. 11:02

jeg vil tilføje hvad også er meget vigtigt: "Der er ingen skadelidte."

Det bør ikke give rabat på straffen, at man ikke har konstateret et læk. Hele idéen med at data skal slettes, er jo netop, at så længe de bliver opbevaret, er der risiko for misbrug.

Misbrug behøver i øvrigt ikke at være i form af læk. Det kan også være i form af medarbejdere, der som led i deres arbejde tilgår oplysninger, som virksomheden ikke burde have.

3
16. februar 2021 kl. 11:00

Stoler man ikke på domstolene eller? Det fremhæves at det er data som i en telefonbog gasnke harmløst. Det er i et gammlet system som som ikke er aktivt og derfor næppe let tilgængeligt fra hackere udefra. De gamle systemer var ikke gearet til at slette data efter aller g Skat kræver data 10 år bagud som der er tale om her. Så hvor kommer de skarpe argumenter/holdninger fra.

2
16. februar 2021 kl. 09:45

Enig og jeg vil tilføje hvad også er meget vigtigt: "Der er ingen skadelidte." Der har ikke været nogen læk, så data er blevet misbrugt.

Så dilemmaet er derfor stor for pointen i artiklen er stadig valid. Incitamentet til at værne om forbrugernes data falder desværre nok.

For de fleste beslutningstagere kan ikke gennemskue kompleksiteten i deres systemlandskab og hvordan data flyder. Så de kigger på bødens størrelse og holder den op mod omkostningerne ved at rydde op i legacy systemer.

Så teknisk gæld, ifht data, kommer nok til at blive tilbagebetalt over længere tid fremover.......

1
16. februar 2021 kl. 08:34

Heldigvis bliver dommen beskrevet i bunden, og så er det vel meget forståeligt at bøden blev reduceret. Det havde jo trods alt blot data af “almindelig og ikke personfølsom karakter”, altså ligesom i vores gamle navnebøger fra teleselskaberne.

Og det kan vel ikke umiddelbart let sammenlignes med Taxa, hvor en tur til en bøssebar jo potentielt kan sige noget personfølsomt, og lokalitetsdata er vist følsomme generelt.