Nu starter den første GDPR-retssag: Anklagemyndigheden går efter stor bøde
Op mod 385.000 kunders navne, adresser, telefonnumre, e-mailadresser og købshistorik lå i årevis i et gammel it-system hos møbelkæden Ilva, der ikke havde taget stilling til, hvornår oplysningerne skulle slettes.
Det fik Datatilsynet til på baggrund af et tilsynsbesøg at åbne en sag mod virksomheden. Det mundede sidste år ud i en politianmeldelse af virksomheden med et krav om en bøde på halvanden million kroner. Og nu starter retssagen altså.
Det skriver TV2.
»Datatilsynet har vurderet, at der var grundlag for en politianmeldelse, og nu skal vi have retten til at afgøre, om der er sket noget strafbart,« siger specialanklager Jan Østergaard fra Østjyllands Politi ifølge TV2til Ritzau og understreger, at man går efter »klækkelig bøde.«
Sagen er den første af sin slags herhjemme efter reglerne trådte i kraft i maj 2018. Forude venter et andre sager mod private virksomheder blandt andet Taxa 4x35, der er indstillet til en bøde på 1,2 millioner kroner efter, at virksomheden havde gemt oplysninger om ni millioner ture.
En principiel sag
Den 8.oktober 2018 bankede Datatilsynet på hos møbelkæden Ilva for at gennemføre sit tilsyn.
Under tilsynet faldt det kritiske blik, ifølge tilsynets egen afgørelse, på virksomhedens tidligere ERP-system AX 2.5, der ikke længere var i brug i virksomheden.
I den første halvdel af 2015 overgik ILVA til at benytte AX 2012, men virksomheden havde ikke forholdt sig til slettefrister for de personoplysninger, der i årevis havde ligget i det gamle ERP-system. Der var således aldrig blev slettet nogle oplysninger fra systemet de ældste personoplysninger i systemet stammede fra den 1. april 2010.
Det får anklagemyndigheden til at se med stor alvor på sagen.
»Anklagemyndigheden anser dette som en både principiel og alvorlig sag. Der er tale om en prøvesag, der skal være med til at fastlægge en række principielle spørgsmål til fortolkningen af GDPR-lovgivningen,« udtalte specialanklager Jan Østergaard fra Østjyllands Politi i en pressemeddelelse.
Sagen er som nævnt den første, der skal afgøres ved domstolene, og dermed kan den danne grundlag for, hvordan man i fremtiden vil bedømme lignende overtrædelser af databeskyttelsesloven.
Virksomheden har oplyst, at man i løbet af december 2018 og januar 2019 slettede de pågældende oplysninger.
Ilva er tiltalt efter GDPR-lovgivningens artikel 5, stk. 1., underafsnit E, og stk. 2, og der ventes, at der falder dom i sagen 12. februar i år.
Du kan læse hele Datatilsynets afgørelse i sagen HER.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
