Det var i strid med GDPR-reglerne, at møbelkæden Ilva A/S i et gammelt IT-system opbevarede data på flere hundrede tusinde kunder i form af navne, adresser, telefonnumre, e-mails og købshistorik. Oplysninger der ikke længere var grundlag for at opbevare, og der ikke var nogen frister og procedurer for sletning af i overensstemmelse med reglerne.

Det vurderede Retten i Aarhus, da der i fredags blev afsagt dom i den første store sag, som er rejst mod en virksomhed i kølvandet på de nye GDPR-regler, der trådte i kraft den 25. maj 2018.

- GDPR-reglerne er lavet for at beskytte den enkelte borger mod at få misbrugt sine personoplysninger, og virksomhederne har et stort ansvar for at sikre, at reglerne bliver overholdt. Det er en alvorlig sag, når der er virksomheder, der ikke lever op til det ansvar, så jeg er tilfreds med, at der nu er sket domfældelse i denne sag, selvom der alene er dømt for uagtsomhed – altså at de ikke bevidst har haft til hensigt at bryde reglerne, siger specialanklager ved Østjyllands Politi, Jan Østergaard, der har ført sagen i samarbejde med senioranklager Katrine Klausen fra Statsadvokaten i Viborg.

Bøde på 100.000 kroner
Datatilsynet havde lagt op til, at virksomheden skulle straffes med en bøde på 1,5 millioner kroner, men byretten vurderede, at overtrædelsen skulle koste virksomheden en bøde på 100.000 kroner.

- Dette er den første sag mod en virksomhed, hvor vi har skullet fastsætte bødeniveauet efter de skærpede EU-regler om udmåling. Udgangspunktet for os har været Datatilsynets bødemodel, der blandt andet er baseret på koncernens omsætning. Vi har noteret os, at byretten har vurderet, at bøden skulle være meget lavere, og det får os da til at overveje, om sagen skal prøves ved Vestre Landsret, siger Jan Østergaard.

Principiel sag
Sagen blev rejst på baggrund af en politianmeldelse fra Datatilsynet, der i efteråret 2018 var på tilsynsbesøg hos møbelkæden. Det var her, man blev opmærksom på det gamle kundekartotek, der indeholdt oplysninger på mindst 350.000 kunder i strid med databeskyttelsesforordningens krav om sletning af persondata, der ikke længere er nødvendigt at opbevare.

- Sagen her er principiel og udtaget som prøvesag, og derfor er jeg meget tilfreds med, at der nu er taget stilling til en række af vigtige spørgsmål, der har betydning for bødeudmålingen af denne og fremtidige GDPR-sager, siger specialanklager Jan Østergaard.

Både anklagemyndigheden og tiltalte har taget betænkningstid om anke af sagen til Vestre Landsret.