FAQ: Bøder for overtrædelse af GDPR
GDPR er igen på alles læber. Konkrete sager om overtrædelse af reglerne og ikke mindst bødefastsættelsen har fået os til at samle svar på en række centrale spørgsmål, såsom hvordan Datatilsynet fastsætter en bødestørrelse, og hvor meget en bøde kan løbe op i ud fra konkrete scenarier.
Datatilsynet har for nyligt offentliggjort en bødevejledning i samarbejde med Rigsadvokaten og Rigspolitiet til brug for sager vedrørende overtrædelser af databeskyttelseslovgivningen. Vejledningen indeholder overordnede retningslinjer, som har til formål at sikre gennemsigtighed og systematik i bødefastsættelsen.
Der er fortsat ikke meget praksis på området, og vejledningen vil derfor blive opdateret i takt med fremtidens bødesager.
Vi har samlet de mest forekommende spørgsmål i en FAQ, som du kan læse her.
Q: Hvad er bødens overordnede formål?
A: Det følger af GDPR, at bøderne skal være effektive, stå rimeligt i forhold til overtrædelsen og have afskrækkende virkning. Bøden skal med andre ord forhindre dels, at lovovertrædelsen gentager sig, og dels at andre begår den.
Q: Hvordan fastsætter Datatilsynet en bøde?
A: Datatilsynet fastsætter bøden efter følgende trin:
- Fastsættelse af grundbeløb
I bødevejledningen inddeler Datatilsynet et grundbeløb for bøder i 6 kategorier. Disse kategorier er inddelt efter alvorlige, mere alvorlige og mest alvorlige overtrædelser af GDPR.
Derefter beregnes grundbeløbet ud fra overtrædelsens karakter og virksomhedens størrelse. Datatilsynet har opdelt bødens grundbeløb efter virksomhedens størrelse for at undgå en skævvridning. Bødens størrelse afhænger derfor af, om der er tale om mikro, små, mellemstore eller store virksomheder.
- Justering af grundbeløb efter de konkrete omstændigheder
Her tages der hensyn til overtrædelsens karakter, omfang eller formål, antal berørte registrerede samt omfanget af den skade de registrerede har lidt. - Inddragelse af skærpende og formildende omstændigheder
Når grundbeløbet er fastsat, kan der være formidlende eller skærpende omstændinger, som justerer på grundbeløbet for bøden.
En skærpende omstændighed kan være, hvis overtrædelsen blev begået forsætligt eller uagtsomt. Modsætningsvist kan det vurderes som en formildende omstændighed, at den dataansvarlige selv har underrettet om overtrædelsen eller har begrænset de negative konsekvenser, som overtrædelsen måtte have givet anledning til. - Eventuel korrigering efter bødemaksimum og betalingsevne
Bøden kan ikke overstige det bødemaksimum, der følger af GDPR.
I helt særlige tilfælde kan bøden nedsættes eller udsættes, hvis den bødepålagte, på grund af manglende evne til at betale, anmoder herom på grund af manglende betalingsevne. Det kræver ekstraordinære omstændigheder før en bødenedsættelse eller -udsættelse kan finde sted.
Q: Hvor meget kan jeg risikere at få i bøde?
A: Bødens størrelse afhænger af den konkrete overtrædelse. Nedenfor har vi oplistet en række eksempler på, hvad små og mellemstore virksomheder kan risikere at få i bøde for overtrædelser af GDPR.
Nedenstående tabeller kan anvendes som et udgangspunkt til beregning af en virksomheds bødeloft for angivne overtrædelser af GDPR. Dog er det vigtigt at huske, at fastsættelse af grundbeløbet kun er en overordnet retningslinje, som vil justeres af en lang række elementer og omstændigheder.
Bøde for manglende sletning af personoplysninger
Når virksomheder behandler personoplysninger, gælder principperne lovlighed, gennemsigtighed, formålsbegrænsning, dataminimering, opbevaringsbegrænsning og ansvarlighed efter GDPR art. 5.
Såfremt man som virksomhed ikke overholder disse principper, kan virksomheder risikere at få en bøde for overtrædelse af principperne. Eksempelvis kan en virksomhed få en bøde for manglende sletning af personoplysninger (Princippet om opbevaringsbegrænsning).
Grundbeløbet for bødeniveauet:
En overtrædelse for manglende sletning er netop blevet behandlet i Danmarks første GDPR-bødesag afsagt af Retten i Aarhus den 12. februar 2021. IDdesign (nu Ilva) blev idømt en bøde på 100.000 kr., der er markant under de 1.500.000 mio. kr., som Datatilsynet og Anklagemyndigheden indstillede selskabet til.
Selskabet havde ulovligt opbevaret et kundekartotek, som burde have været slettet. Der var tale om ca. 350.000 personoplysninger i form af kunders navne, adresser, telefonnumre, e-mails og købshistorik. IDdesign handlede derfor i strid med princippet om opbevaringsbegrænsning.
Retten fandt, at det var selskabets egen omsætning og ikke koncernomsætningen, der skulle lægges til grund for bødens beregning. Retten fandt endvidere alene bevis for, at selskabet havde begået overtrædelsen uagtsomt og dermed ikke forsætligt, som Datatilsynet vurderede. Derudover lagde domstolene en række formildende omstændigheder til grund, eksempelvis at der var tale om en førstegangsovertrædelse, samt at de omhandlende oplysninger var af almindelig karakter og ikke af følsom karakter mv.
Den principielle sag er dermed et eksempel på en praktisk anvendelse af de ovenfor nævnte formildende omstændigheder.
Bøde for manglende anmeldelse og/eller underretning af brud på datasikkerheden
Såfremt der sker et brud på datasikkerheden, skal det anmeldes til Datatilsynet uden unødig forsinkelse, og senest 72 timer efter den dataansvarlige er blevet bekendt med bruddet. Derudover skal den dataansvarlige uden unødig forsinkelse underrette den registrerede (personen, som oplysningerne vedrører), hvis bruddet vil indebære en risiko for fysiske personers rettigheder.
Grundbeløbet for bødeniveauet:
Bøde for manglende indgåelse af gyldige databehandleraftaler
Når dataansvarlig benytter databehandlere til at behandle personoplysninger på sine vegne, skal der indgås databehandleraftaler. Der følger af GDPR en række minimumskrav til, hvad en databehandleraftale skal indeholde bl.a. oplysninger om genstanden for, varigheden af behandlingen, typer af personoplysninger, kategorierne af registrerede osv.
Grundbeløbet for bødeniveauet:
Bøde for ulovlige overførsler af personoplysninger til tredjelande
Såfremt den dataansvarlige ønsker at overføre personoplysninger uden for nogle EU/EØS-lande (”tredjelande”), gælder der en række krav til tredjelandsoverførslen.
En ulovlig overførsel af data til tredjelande/internationale organisationer hører under kategori 6 og er dermed den mest alvorlige med det højeste bødeloft i vejledningen.
Grundbeløbet for bødeniveauet:
Har du brug for kompetent rådgivning om GDPR og persondata?
Hvis du har spørgsmål til din virksomheds behandling af personoplysninger eller til persondata generelt, er du velkommen til at kontakte DAHLs persondatateam, der står klar med råd og vejledning.