EU-domstolens afgørelse i ILVA-sagen

Baggrunden for sagen

I anledning af en straffesag rejst mod ILVA for manglende sletning af oplysninger om ca. 385.000 kunder, havde Datatilsynet beregnet bøden mod ILVA på baggrund af hele nettoomsætningen for Lars Larsen Group-koncernen, som ILVA er en del af.

I byretten var ILVA blevet pålagt en bøde på kr. 100.000 beregnet på baggrund af ILVA’s egen omsætning.

Straffesagen blev dog anket, og i den forbindelse fremlagde Vestre Landsret to spørgsmål for EU-Domstolen:

1) Hvordan defineres ”virksomhed” efter databeskyttelsesforordningen, og

2) Skal bøden ved krænkelse af databeskyttelsesforordningen beregnes efter virksomhedens egen eller koncernens samlede globale omsætning?

Afgørelsen og dens betydning

EU-Domstolen fastslog den 14. februar 2025, at begrebet ”virksomhed” i forordningens artikel 83, stk. 4-6, skal fortolkes i overensstemmelse med EU-rettens konkurrenceregler (Traktaten om Den Europæiske Unions Funktionsmåde art. 101 og 102). Dette synspunkt følger også af betragtning nr. 150 til databeskyttelsesforordningen og indebærer, at der ved fastsættelsen af en bøde for krænkelse af databeskyttelsesforordningen, skal tages udgangspunkt i den samlede globale årlige omsætning for den koncern, som virksomheden er en del af.

EU-Domstolen præciserede dog, at dette har betydning for, hvordan maksimumbeløbet skal fastsættes, men at den specifikke bøde skal fastsættes konkret i hver enkelt sag, således den er effektiv, står i rimeligt forhold til overtrædelsen og har en afskrækkende effekt, jf. art. 83, stk. 1. Herudover skal der ved beregningen tages hensyn til en række faktorer, som er angivet udtrykkeligt i art. 83, stk. 2. Samlet set skal bøden altså være proportional og afspejle de konkrete omstændigheder i sagen.

Udover EU-Domstolens afgørelse vil have betydning i ILVA-sagen, hvor bøden kan beregnes på grundlag af hele koncernens omsætning (Lars Larsen Group) og ikke blot af ILVA-kædens omsætning, har den også betydning for andre virksomheder i Danmark, som indgår i koncerner.

Herudover bør man også være særligt opmærksom på GDPR-reglerne i forbindelse med M&A-transaktioner, hvor target-selskabet indgår eller skal indgå i en koncern. I disse situationer vil der nemlig alt andet lige være højere bøder i tilfælde af, at der måtte ske et brud på GDPR-reglerne.

Vær opmærksom på at denne nyhed oprindeligt er udgivet den 08.05.2025, hvorfor der kan være kommet ændringer i lovregler, retspraksis, vejledninger mv. siden. Nyheden er en vejledning og kan ikke stå alene.

Vi anbefaler altid, at du kontakter Codex Advokater for at få konkret juridisk rådgivning omkring det pågældende område, herunder indholdet af gældende regler.