Byrettens dom i sag om databeskyttelsesforordningens regler om opbevaring af personoplysninger ændres således, at hotelkæde straffes med en bøde på 1.000.000 kr.
Ret: Østre Landsret (2. instans)
Faggruppe: Straffesag — Almindelig domsmandssag
Sagsemner: Efterforskning og straffeproces;

/

Hotelkæde straffet med bøde på 1 mio. kr.

Dom afsagt: 20. september 2023

Større hotelkæde straffet med en bøde på 1 mio. kr. for overtrædelse af databeskyttelsesforordningens

regler om opbevaring af personoplysninger.

Østre Landsret har den 20. september 2023 afsagt dom i en sag vedrørende en hotelkædes overtrædelse
af databeskyttelsesforordningens regler. Hotelkæden blev ved dommen ligesom i byretten fundet skyldig i
ikke at have sikret sig, at oplysninger om tidligere kunder blev slettet, når det efter hotelkædens egen
vurdering ikke længere var nødvendigt at beholde dem.

Ved landsrettens dom er hotelkæden straffet med en bøde på 1 mio. kr. I byretten havde et flertal stemt
for at lade straffen bortfalde, mens et mindretal havde stemt for at straffe hotelkæden med en bøde på
175.000 kr.

For landsretten angik sagen spørgsmålene om, hvorvidt opbevaringen af oplysningerne var en
overtrædelse af databeskyttelsesforordningens og dermed også databeskyttelseslovens regler. Sagen
angik derudover bødens niveau, herunder hvilket årsregnskab der skal tages udgangspunkt i, når der skal
fastsættes en bøde.

Hotelkæden havde selv fastsat en slettefrist, hvorefter kundeprofiler, der ikke indenfor en periode på ca. 1
år foretog en ny booking, skulle slettes. Landsretten fandt, at opbevaring af personoplysninger i længere
tid end hotelkædens egen slettefrist var en overtrædelse af databeskyttelsesforordningens art. 5, stk. 1,
litra e, der fastslår, at personoplysninger ikke må opbevares længere tid end nødvendigt.

Landsretten tog ved fastlæggelsen af bødens størrelse udgangspunkt i hotelkædens årsregnskab for
2018, der afspejler hotelkædens økonomiske situation i gerningsperioden, og som var det senest
reviderede og offentliggjorte regnskab, da Datatilsynet indgav politianmeldelse. Landsretten fandt på
denne baggrund efter en samlet vurdering og med udgangspunkt i Datatilsynets bødeindstilling, at
bødestraffen passende kunne fastsættes til 1 mio. kr.