Et berlin-baseret firma skal betale en bøde på 525.000 euro for at overtræde bestemmelserne i databeskyttelsesforordningen – GDPR.
Bøder for overtrædelse af GDPR skal være proportionelle, men også have en afskrækkende virkning, forklarer advokat Michael Rainer, MTR Rechtsanwälte. Dette er ingen tomme ord, som datterselskabet i en Berlin-baseret handelkoncern nu har erfaret. Den Berlinske myndighed for databeskyttelse og informationsfrihed (BlnBDI) pålagde firmaet en bøde på 525.000 euro, som de meddelte den 20. september 2022. Bøden er endnu ikke stadfæstet.
Årsagen er, at virksomheden havde udpeget en databeskyttelsesrådgiver, der selvstændigt skulle kontrollere beslutninger, som han i en anden funktion selv var ansvarlig for. Dette udgør en klar interessekonflikt for databeskyttelsesrådgiveren og dermed også en overtrædelse af GDPR, ifølge BlnBDI.
Virksomhedens databeskyttelsesrådgiver har den vigtige opgave at rådgive virksomheden om den databeskyttelsesretlige forpligtelser og kontrollere overholdelsen af databeskyttelsesreglerne, forklarer den berlinske databeskyttelsesrådgiver. Derfor må denne funktion i henhold til Art. 38 stykke 6 sætning 2 GDPR kun varetages af personer, der ikke er underlagt en interessekonflikt som følge af andre opgaver. Opgaven må altså ikke varetages af personer, der overvåger sig selv.
Præcis en sådan interessekonflikt forelå her, da virksomhedens databeskyttelsesrådgiver samtidig også var direktør i to datterselskaber i koncernen, der behandlede personoplysninger for handelsvirksomheden. Det førte til, at databeskyttelsesrådgiveren også skulle kontrollere overholdelsen af databeskyttelsesreglerne af datterselskaberne, som han var direktør for. Den berlinske databeskyttelsesrådgiver ser det som en klar interessekonflikt og gav derfor først en advarsel. Da overtrædelsen stadig bestod ved en fornyet undersøgelse på trods af advarslen, pålagde hun bøden.
Omsætning og den betydelige rolle af databeskyttelsesrådgiveren i virksomheden blev taget i betragtning ved vurderingen af bøden.
Den høje bøde viser, at kravene i GDPR ikke bør tages let af virksomhederne. Erfarne advokater kan yde rådgivning.
