Oversigt: Domstolene skyder Datatilsynets bødeanbefalinger ned

Datatilsynets indstillinger til bøder for GDPR-brud er flere gange blevet hældt ned ad brættet hos domstolene. Truslen om høje bøder kombineret med lang behandlingstid er yderst problematisk for virksomhederne, lyder det fra Dansk Erhverv.  

Det er er ikke hver dag, at danske virksomheder bliver tildelt millionbøder, og derfor trak det da også store overskrifter, da Datatilsynet i marts 2019 indstillede virksomheden Taxa4x35 til en bøde på 1,2 millioner kroner for at opbevare kundedata ulovligt (for længe) og dermed bryde GDPR.   

I begyndelsen af januar – knap fire år senere – afsagde Retten på Frederiksberg dom i sagen; Det endte med en bøde på 100.000 kr. Altså en markant mindre bøde, end den som Datatilsynet anbefalede.   

Oversigt viser store forskelle 

Forskellen er iøjnefaldende, men sagen er ikke enestående.

Datatilsynets indstillinger til GDPR-bøder er nemlig flere gange blevet skudt ned af domstolene.

Det viser en oversigt, som Louise Olifent, Redaktør på ComplianceTech og journalist på V2, har lavet på baggund af de GDPR-sager, som Datatilsynet har offentligjort på sin hjemmeside. 

Oversigten indeholder seks afgjorte sager mod private virksomheder. I fire af disse har domstolene vurderet, at Datatilsynets indstillinger til bøde har været alt for høje, en virksomhed har fået en advarsel, mens en enkelt er blevet frifundet. Alle sager er anket.

Problematisk for virksomhederne 

Det er ikke usædvanligt, at anklager og domstole ikke er enige, men det er naturligvis ikke optimalt, at Datatilsynet flere gange har indstillet virksomheder til bøder, der ifølge domstolen er helt ved siden af skiven. Det mener Carsten Rose Lundberg, fagchef for Digital Handel i Dansk Erhverv. 

”GDPR er uhyre kompliceret, og derfor vil mange nok frygte, at hvis Datatilsynets eksperter vurderer, at man har overtrådt reglerne og skal betale en millionbøde, så har de ret. Det kan være noget af et chok at få, og mange vil nok frygte, at det kan resultere i en konkurs.” 

”Derfor synes jeg, at det er vigtigt at informere virksomhederne om, at det langt fra er altid, at Datatilsynet har ret. Absolut ikke for at opfodre virksomhederne til at bryde reglerne, men for at sætte tingene i perspektiv for dem, der skulle blive mødt af en bøde fra Datatilsynet,” uddyber han.  

Et passende bødeniveau skal fastlægges hurtigere  

Oversigten viser også en anden problematik: Den lange behandlingstid. I flere af sagerne – som eksempelvis sagen mod Taxa4x35 – går der flere år fra politianmeldelse til domsafsigelse. I en stor del af sagerne har politiet end ikke taget stilling til tiltalespørgsmålet. 

”Kombinationen af truslen om en stor bøde og lang behandlingstid er virkelig ikke god for virksomhederne. Det kan stoppe al udvikling, og de mange ressourcer, der bruges på en sag, kan i sidste ende koste virksomheden livet. Det så vi desværre et eksempel på i Holland,” siger Carsten Rose Lundberg. 

Han henviser til sagen om startupvirksomheden VoetbalTV, som det hollandske Datatilsyn - trods advarsler fra EU-kommissionen om, at man fortolkede reglerne for strengt - indstillede til en bøde på 575.000 euro. Virksomheden blev siden frifundet af to domstole, men gik undervejs konkurs på grund af sagsomkostningerne: 

”Det vil være umådeligt trist, hvis det skete i Danmark, og derfor ser vi meget gerne, at behandlingstiden bliver skåret gevaldigt ned.” 

Den vurdering er Erhvervsjuridisk fagchef i Dansk Erhverv, Sven Petersen, enig i. Han peger også på et andet aspekt: 

”Det handler i høj grad om, at vi skal have fastlagt et passende bødeniveau, så Datatilsynet har et bedre grundlag at komme med indstillinger på. Så vi kan kun komme med en kraftig opfordring til, at disse sager prioriteres af politi, anklagemyndighed og domstolene. Det vil forhåbentlig føre til, at vi ikke sidder tilbage med den oplevelse af, at Datatilsynet ofte skyder over mål, når det kommer til bødestørrelser.”