Artikel i forbindelse med udsendelse af nyhedsmail onsdag den 20. november 2023.

Tilbage i 2018 havde Datatilsynet været på tilsynsbesøg hos Arp-Hansen Hotel Group A/S. Her fandt tilsynet, at Arp-Hansen ikke efterlevede deres egne fastsatte slettefrister og derved havde ca. 500.000 kundeprofiler i systemerne, som burde have været slettet.

Datatilsynet politianmeldte i 2020 Arp-Hansen og indstillede hotelkæden til en bøde på 1.100.000 kr. 

I byrettens dom i februar 2022 blev Arp-Hansen godt nok kendt skyldige i brud på GDPR, men de blev ikke idømt en bødestraf, der blev blot givet en løftet pegefinger. Det var imidlertid en dom med dissens, det vil sige, at et mindretal af dommerne ville have givet en bøde. Det er noget, der giver en anklagemyndighed godt grundlag for at gå videre med sagen.

Anklagemyndigheden ankede derfor sagen til landsretten, og Østre Landsret har netop afsagt dom: Arp-Hansen får en bøde på 1.000.000 kr.

Sagen er én af de prøvesager, som er på vej igennem det danske retssystem for at få fastlagt bødestørrelsen her til lands. Hvor Retten i Lyngby var tilbageholdende, har Østre Landsret lagt sig tæt op ad Datatilsynets oprindelige bødeindstilling.

Budskabet er tydeligt: Det er ikke nok at fastsætte sine slettefrister – man er også nødt til at overholde dem. Ellers kan det blive dyrt – i Arp-Hansens tilfælde koster det dem 1.000.000 kr.

Er du i tvivl om, hvorvidt I har klart definerede slettefrister, og hvordan I kan dokumentere, at I rent faktisk også overholder dem? Tøv ikke med at tage fat i os, det er nemlig noget, det relativt nemt kan håndteres i vores portal.

Læs mere om casen her

Læs afgørelsen her