LandsrettenVestre Landsret stadfæster byrettens dom om GDPR-overtrædelse begået af Tiltalte A/S, men ændrer skyldsformen fra uagtsomhed til forsæt og forhøjer bøden til 1,5 mio. kr. Afgørelsen følger en principfastsættelse fra EU-Domstolen i sag C-383/23, der fastslår, at bøder efter databeskyttelsesforordningen skal kunne baseres på en hel koncerns samlede omsætning.
Sagen drejede sig om, at Tiltalte A/S havde undladt at slette personoplysninger om ca. 350.000 tidligere kunder i et ældre IT-system (AX 2.5). Byretten fandt dette begået uagtsomt.
Under anken rejste Anklagemyndigheden to hovedpunkter:
Landsretten undersøgte beviserne om virksomhedens viden om situationen. Det blev dokumenteret gennem vidneudsagn, herunder fra medlemmer af den interne styringsgruppe, at man var bekendt med, at AX 2.5-systemet fortsat eksisterede og lejlighedsvist blev brugt til opslag uden at have implementerede slette- eller anonymiseringsprocedurer.
Eftersom det fremgik af Databeskyttelsesforordningen artikel 5, stk. 1, litra e, at opbevaringen ikke længere var nødvendig hverken lovligt eller forretningsmæssigt, fandt landsretten, at der ikke var plads for berettiget tvivl. Overtrædelsen kvalificeredes derfor som forsætlig.
For at besvare spørgsmålet om bødeberegningen forelagde landsretten sagen præjudicielt for EU-Domstolen.
I afgørelsen fra 13. februar 2025 fastslog EU-Domstolen (C-383/23), at begrebet ”virksomhed” i databeskyttelsesforordningen skal forstås i takt med EU's konkurrenceret. Dette indebærer, at når et selskab inden for en økonomisk enhed (koncern) straffes, skal maksimumsbøden beregnes ud fra koncernens samlede globale årlige omsætning.
Afgørelsen understregede dog (jf. præmis 24-29), at mens loftet er koncernbaseret, skal selve bødens størrelse altid være effektiv, stå i rimeligt forhold til overtrædelsen og være afskrækkende, med hensyn taget til de konkrete omstændigheder.
Med udgangspunkt i EU-Domstolens linje lagde landsretten Koncern 1's nettoomsætning i 2018 til grund. Med en omsætning på ca. 6,9 mia. kr. blev det dynamiske bødeloft sat til 278 mio. kr. (4 %).
Landsretten fulgte Datatilsynets indstilling og fastsatte en bøde på 1,5 mio. kr. Der blev lagt vægt på:
Landsretten afviste endvidere at nedsætte bøden på grund af lang sagsbehandlingstid, da kompleksiteten og forelæggelsen til EU-Domstolen retfærdiggjorde forløbet.
