EU-Domstolens afgørelse i ILVA-sagen: Øget risiko for højere GDPR-bøder i koncernforhold

Hvad skete der i ILVA-sagen? 

ILVA-sagen drejede sig om en GDPR-overtrædelse begået af ILVA A/S, som opbevarede personoplysninger om ca. 350.000 kunder i et forældet system uden slettefrister, hvilket er en overtrædelse af GDPRs krav om databeskyttelse. Datatilsynet indstillede til en bøde på 1,5 mio. kr., baseret på Lars Larsen Groups samlede koncernomsætning, som er langt højere end den enkelte virksomheds omsætning.

Retten i Aarhus idømte dog kun en bøde på 100.000 kr., idet retten vurderede overtrædelsen som uagtsom og baserede bøden udelukkende på ILVAs egen omsætning. Denne dom blev senere anket til Vestre Landsret, som stillede et præjudicielt spørgsmål til EU-Domstolen om, hvordan begrebet "virksomhed" i GDPR skal forstås i relation til bødeberegning.
EU-Domstolens svar, som blev afsagt den 13. februar 2025, understøttede, at bøder skal beregnes ud fra den samlede koncernomsætning. Dette betyder, at bøder for overtrædelser af GDPR kan blive væsentligt højere for virksomheder, der er en del af større koncerner.

Hvad betyder dette for koncerner og virksomhedstransaktioner? 

Dommen er især relevant for virksomheder, der er en del af en koncern, da den fastslår, at bøderne ved overtrædelse af GDPR kan blive udmålt på baggrund af koncernens samlede omsætning, og ikke kun den enkelte virksomheds omsætning. Dette kan føre til højere bødeniveauer, især i større koncerner, som har en omfattende økonomisk aktivitet.

Sagen har også stor relevans for M&A-transaktioner, hvor købere skal være opmærksomme på, hvordan GDPR-forpligtelser kan påvirke bøderisikoen for både den købte virksomhed og dens koncern. En højere bøde som følge af koncernomsætningen kan betyde, at risikoen for både køberen og sælgeren stiger, hvilket bør indgå i den samlede vurdering af M&A-risikoen.

Hvordan blev sagen behandlet? 

I ILVA-sagen krævede anklagemyndigheden, at bøden blev fastsat ud fra den samlede koncernomsætning hos Lars Larsen Group og ikke kun ILVAs egen omsætning. EU-Domstolen bekræftede denne tilgang i sin fortolkning af artikel 83 i GDPR.

Domstolen understregede, at begrebet “virksomhed” i GDPR skal fortolkes i overensstemmelse med de konkurrenceretlige regler i EU-traktaten (artikel 101 og 102), hvilket betyder, at bøderne skal baseres på en procentdel af koncernens globale omsætning i det foregående regnskabsår. Formålet med dette er at sikre, at bøderne er effektive, står i et rimeligt forhold til overtrædelsen og har en afskrækkende virkning. 

Ifølge GDPR kan bøderne være op til 4% af koncernens globale omsætning for de alvorligste overtrædelser eller €20 millioner, alt efter hvad der er højst. For mindre overtrædelser kan bøden være op til 2% af omsætningen eller €10 millioner. Denne procentvise beregning understreger vigtigheden af at have styr på databeskyttelsen, da bøderne kan blive meget høje afhængigt af virksomhedens størrelse og koncernens samlede økonomiske aktivitet.

Hvad betyder dette i praksis?

Mens resultatet af sagen ikke er overraskende, da det afspejler en streng fortolkning af GDPR, er det en påmindelse om den restriktive linje, som EU-Domstolen følger, når det gælder bødeudmåling. For koncerner og virksomheder, der deltager i M&A-transaktioner, bør dette tages i betragtning, da en sådan fortolkning kan medføre betydelige økonomiske konsekvenser, især hvis der opstår overtrædelser af GDPR.

Centrale pointer

• GDPR-bøder kan blive baseret på koncernens samlede omsætning – bødeniveauet i Danmark må nu forventes at blive væsentligt forhøjet end tidligere praksis og dermed følge øvrige EU-landes niveau).
• Dette kan medføre højere bøder for større virksomheder og koncerner.
• Risikoen for M&A-transaktioner kan øges, da køberen skal tage højde for den potentielt højere bøderisiko i koncerner.
• EU-Domstolen understøtter en stram fortolkning af GDPR, som skal sikre afskrækkende og effektive bøder.

Denne dom bør give anledning til øget opmærksomhed omkring risikovurdering og compliance både i eksisterende koncerner og ved virksomhedstransaktioner. Det er nu endnu vigtigere at have styr på GDPR-forpligtelser, især i koncernstrukturer, for at minimere bøderisikoen i tilfælde af overtrædelser.

Brug for rådgivning?

Grant Thorntons IT-revision- og rådgivningsteam står klar til at hjælpe din virksomhed, hvis du har spørgsmål til det nye bødeniveau, databeskyttelse eller GDPR-forpligtelser.