Bøden lød først på 100.000 kroner. Efter en tur i landsretten blev den 1,5 million. Sagen begyndte i et gammelt IT-system uden slettefrister. Ikke fordi nogen havde besluttet det. Fordi ingen havde sat dem.
Tre butikker på et udfaset system
Efteråret 2018. Datatilsynet er på tilsynsbesøg hos en dansk møbelkæde. Tre butikker kører stadig på et ældre kundesystem, som er skiftet ud i resten af kæden og centralt udfaset allerede i 2015.
I det system ligger oplysninger om cirka 385.000 tidligere kunder. Navn, adresse, telefonnummer, e-mail og købshistorik. De ældste går tilbage til 2010.
Der er ingen slettefrister i systemet. I kædens nyere system var der fastsat en frist. I det gamle var der ingen.
En del af oplysningerne skulle fortsat opbevares efter bogføringsloven. Resten blev slettet efter tilsynet, i løbet af december 2018 og januar 2019.
Datatilsynet politianmeldte alligevel.
Danmarks første GDPR-bøde
Den 12. februar 2021 faldt dommen ved Retten i Aarhus. Danmarks første bøde efter persondataforordningen. Den lød på 100.000 kroner.
Byretten fandt overtrædelsen uagtsom, ikke forsætlig. Og den beregnede bøden ud fra det enkelte selskabs omsætning, ikke hele koncernens, som Datatilsynet ellers havde indstillet.
EU-Domstolen afgjorde beregningsgrundlaget
Sagen blev anket. Vestre Landsret spurgte EU-Domstolen, hvordan ordet “virksomhed” skal forstås, når en bøde udmåles.
Svaret kom den 13. februar 2025. Indgår selskabet i én økonomisk enhed med koncernen, skal koncernens samlede omsætning indgå, når bødeniveauet vurderes.
Den 2. september 2025 hævede Vestre Landsret bøden til 1,5 million kroner. Landsretten vurderede samtidig, modsat byretten, overtrædelsen som forsætlig. Fordi ledelsespersoner havde kendskab til forholdene.
To ting der er værd at tage med
Det gamle system talte med. Det var udfaset centralt og kun i brug få steder. Virksomheden havde selv ryddet op efter tilsynet. Det ændrede ikke ved, at reglerne var overtrådt, mens det kørte.
Og hvad ledelsen vidste, vejede tungt i vurderingen. Forskellen mellem uagtsomt og forsætligt var ikke, om nogen planlagde overtrædelsen. Det var, om nogen i ledelsen kendte til forholdene.
Tre ting at gøre nu
Lav en liste over IT-systemer, I ikke længere bruger aktivt, men heller ikke har lukket ned. Find ud af, hvilke personoplysninger der stadig ligger i dem. Hvert system, der kører uden formål, er en risiko, ingen ejer.
Find ud af, om der er sat slettefrister i selve systemet. Ikke i jeres politik. I systemet. En slettepolitik, der ikke er implementeret teknisk, er en hensigtserklæring. Ikke en kontrol.
Er I del af en koncern, få afklaret hvilken økonomisk enhed I juridisk indgår i. Efter EU-Domstolens afgørelse kan det få direkte betydning for, hvilken omsætning der lægges til grund ved en bøde.
En uafhængig cybersikkerhedsaudit kan identificere de systemer, ingen bruger, ingen ejer og ingen har slukket, og afdække om der ligger personoplysninger i dem, der burde have været slettet.
Hvor mange systemer har I, som ingen bruger, ingen ejer, og ingen har slukket?
Har du brug for en gennemgang af jeres dataopbevaring og slettefrister?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
