Management Consulting

Vi får mange spørgsmål om proceduren, dersom Datatilsynet finder grundlag for at indlede en sag imod en given virksomhed, forening m.v. i tilfælde af overtrædelse af Databeskyttelsesforordningen (GDPR). Afsættet for de mange spørgsmål skal ses i lyset af dels virksomhedens risiko for påtale/påbud fra Datatilsynet og dels - ikke mindst - den potentielle risiko for idømmelse af bøde på op til 20 mio. EUR (eller 4% af virksomhedens globale omsætning, såfremt den er højere).

I forbindelse med Datatilsynets sanktionsmuligheder skal det måske bemærkes, at overtrædelse af databeskyttelseslovgivningen som udgangspunkt vil rette sig mod virksomheden. Dog kan der være forhold ved en overtrædelse, som er af en sådan beskaffenhed, at det eksempelvis kan påvises at en ledende medarbejder har handlet forsætligt eller groft uagtsomt. I sådanne tilfælde kan sagskomplekset udvides til ikke blot at omfatte virksomheden, men også pågældende ledende medarbejder.

Den 25. maj 2018 – samme dag som Databeskyttelsesforordningen trådte i kraft – udgav Rigsadvokaten en meddelelse om, hvordan overtrædelse af databeskyttelsesreglerne vil blive håndteret.

I meddelelsen fremgår det bl.a., at politikredsen, i alle straffesager om overtrædelse af databeskyttelseslovgivningen, skal indhente en redegørelse fra Datatilsynet, herunder i forhold til sanktionsspørgsmålet, inden der bliver truffet afgørelse om tiltalespørgsmålet. Datatilsynets udtalelse skal bl.a. indeholde en redegørelse om sanktionsniveauet i de øvrige EU-lande, for derigennem at tilsikre, at dansk retshåndhævelse sker på korrekt vis.

Såfremt politikredsen rejser tiltale i overensstemmelse med Datatilsynets indstilling i forbindelse med politianmeldelsen, skal Datatilsynet blot orienteres om det.

Hvis politikredsen derimod ikke er enig i Datatilsynets indstilling om tiltalespørgsmålet, skal spørgsmålet forelægges for den regionale statsadvokat. Inden dette sker, skal Datatilsynet have lejlighed til at komme med en yderligere udtalelse. Hvis der fortsat er uenighed mellem politikredsen og Datatilsynet, forelægger politikredsen spørgsmålet for statsadvokaten. Her er det værd at bemærke, at Datatilsynet i sin efterforskning er tillagt ganske vide rammer, idet tilsynet ikke blot kan indhente oplysninger hos datasubjekter, men også kræve adgang til virksomhedens lokaliteter, uden forudgående retskendelse.

Endvidere fremgår det i meddelelsen fra Rigsadvokaten, at sager om overtrædelse af databeskyttelseslovgivningen er et anklagerfagligt fokusområde i retspraksis. Dette indebærer blandt andet, at sagerne ikke må afgøres med bødeforelæg, før sanktionsniveauet er tilstrækkeligt afklaret i retspraksis. Det betyder også, at politikredsene skal drøfte ankespørgsmålet med den regionale statsadvokat i alle byretssager inden udløbet af ankefristen, hvis anklagemyndigheden ikke får fuldt medhold i strafpåstanden.

Skulle jeres virksomhed blive konfronteret med en sådan sag, da kan vi kun anbefale at man kontakter IMG. Via vore egne jurister samt samarbejde med eksterne advokater kan vi hjælpe med de juridiske aspekter og samtidig tilsikre, at virksomheden for en korrekt og reel sagsbehandling. Samtidig kan vi naturligvis være behjælpelig med forebyggende foranstaltninger, audits m.v., såfremt virksomheden på nuværende tidspunkt ikke mener at være GDPR compliant, dvs. opfylder kravene iht. databeskyttelseslovgivningen.

Er du interesseret i at læse ovennævnte meddelelse fra Rigsadvokaten i sin fulde længe, så kan du læse den her.