EU-domstolen slår fast: GDPR-bøder skal tage udgangspunkt i virksomhedens koncernomsætning

EU-Domstolen har nu afsagt dom i sagen om Datatilsynets sag mod en dansk virksomhed. Sagen handlede om, hvorvidt en bøde skal beregnes ud fra virksomhedens egen eller koncernens samlede omsætning.

Hvad siger EU domstolen 
EU-Domstolen slog fast, at den maksimale bøde for brud på databeskyttelsesforordningen (GDPR) efter artikel 83 skal beregnes ud fra hele virksomhedens – og dermed koncernens -  globale omsætning.

Der skal imidlertid sondres mellem fastsættelsen af maksimumsbeløbet og selve beregningen af bøden, som tilsynsmyndigheden skal pålægge for den eller de specifikke overtrædelser af databeskyttelsesforordningen, som denne bøde sanktionerer.  
 
Afgørelsen i sagen
EU-domstolen nåede frem til, at der ved fastsættelsen af den almindelige bøde også skal tages hensyn til koncernomsætningen, idet bødemodtagerens reelle eller faktiske økonomiske formåen har betydning ved vurderingen af, hvorvidt bøden både er effektiv, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning. En mindre bøde til datterselskabet vil ikke have en tilstrækkelig afskrækkende virkning for virksomheden (koncernen), hvis moderselskabet blot kan udligne den, lyder ræsonnementet.