EU-Domstolen slår fast: Koncernens omsætning kan afgøre bødens størrelse efter GDPR

GDPR-bøder skal fremover vurderes på koncernniveau

Sagen udspringer af en bøde for brud på GDPR i form af manglende sletning af oplysninger om ca. 385.000 kunder.

I den forbindelse blev der rejst spørgsmål om, hvordan begrebet “virksomhed” efter GDPR skal forstås i forbindelse med udmåling af bøder. EU-Domstolen skulle derfor tage stilling til om disse bøder skal beregnes på baggrund af koncernens samlede omsætning eller udelukkende selskabets egen. EU-Domstolen slog fast, at “virksomhed” skal fortolkes efter konkurrencerettens principper: Alle enheder i en koncern, der direkte eller indirekte er involveret i GDPR-overtrædelsen, udgør én virksomhed. Selve bødens størrelse i sagen er dog endnu ikke blevet afgjort.

Det betyder, at hele koncernens økonomi kan indgå som grundlag ved fastsættelsen af en GDPR-bøde – ikke kun det enkelte selskabs omsætning.

Med afgørelsen cementerer EU-Domstolen en restriktiv linje over for store koncerner. Bøder skal fortsat stå i rimeligt forhold til overtrædelsen, men bødestørrelsen skal samtidig have en reel afskrækkende virkning.

Hvad betyder afgørelsen for danske virksomheder?

Fremover kan større koncerner risikere væsentligt højere GDPR-bøder, fordi hele koncernens omsætning kan blive inddraget i bødeberegningen.

Det skærper kravene til GDPR-compliance for virksomheder og ledere, der må forvente et større ansvar. Det er derfor vigtigt, at både hovedkontorer og datterselskaber etablerer og vedligeholder en samlet, effektiv GDPR-struktur – så eventuelle overtrædelser ikke forplanter sig og får store konsekvenser – både økonomisk og på virksomhedens brand.

Det har også betydning ved M&A-transaktioner, hvor købere i højere grad skal inddrage sælgers GDPR-forpligtelser og potentielle bøderisiko som en central del af den samlede risikovurdering.

Du kan også læse mere om sletning af personoplysninger på Datatilsynets hjemmeside.