Vestre Landsret idømmer ILVA A/S en bøde på 1,5 mio. kr. for brud på GDPR

Baggrunden for sagen 

I 2018 gennemførte Datatilsynet et tilsyn hos ILVA. Her blev det konstateret, at virksomheden ikke havde fastsat slettefrister for personoplysninger i et ældre it-system med data om ca. 385.000 kunder. På den baggrund anmeldte Datatilsynet i juni 2019 ILVA til politiet med en indstilling om en bøde på 1,5 mio. kr. 

Byretten fandt i 2021 ILVA skyldig og fastsatte bøden til 100.000 kr. med udgangspunkt i ILVAs egen omsætning. Anklagemyndigheden ankede dommen, da de – ligesom Datatilsynet – mente, at bøden skulle beregnes ud fra hele koncernens omsætning.

EU-domstolens afgørelse blev afgørende

EU-domstolen fik spørgsmålet forelagt: Hvordan skal begrebet ”en virksomhed” forstås i GDPR-sammenhæng? 

EU-domstolen fastslog, at begrebet omfatter hele koncernen. Dermed skal bøden fastsættes ud fra koncernens samlede omsætning.

På den baggrund forhøjede Vestre Landsret den 2. september 2025 bøden til 1,5 mio. kr. i overensstemmelse med Datatilsynets indstilling.

Dommen har stor betydning for koncernforbundne virksomheder

Med dommen står det nu klart, at bøder for manglende overholdelse af GDPR skal beregnes ud fra koncernens samlede omsætning. For koncernforbundne virksomheder er det derfor vigtigt, at alle virksomheder i koncernen overholder reglerne om GDPR, idet manglende overholdelse af reglerne kan få vidtrækkende økonomiske konsekvenser.

I forbindelse med virksomhedsovertagelser er det derfor afgørende at have fokus på den overtagne virksomheds GDPR-forhold.

Kontakt 

Har du spørgsmål til dommen – eller ønsker du generel rådgivning om GDPR og dens betydning for din virksomhed – er du velkommen til at kontakte Roesgaard for en uforpligtende drøftelse.