Hotelkæde straffet med bøde på 1 mio. kr.

Dom afsagt: 20. september 2023

Østre Landsret har den 20. september 2023 afsagt dom i en sag vedrørende en hotelkædes overtrædelse af databeskyttelsesforordningens regler. Hotelkæden blev ved dommen ligesom i byretten fundet skyldig i ikke at have sikret sig, at oplysninger om tidligere kunder blev slettet, når det efter hotelkædens egen vurdering ikke længere var nødvendigt at beholde dem.

Ved landsrettens dom er hotelkæden straffet med en bøde på 1 mio. kr. I byretten havde et flertal stemt for at lade straffen bortfalde, mens et mindretal havde stemt for at straffe hotelkæden med en bøde på 175.000 kr.

For landsretten angik sagen spørgsmålene om, hvorvidt opbevaringen af oplysningerne var en overtrædelse af databeskyttelsesforordningens og dermed også databeskyttelseslovens regler. Sagen angik derudover bødens niveau, herunder hvilket årsregnskab der skal tages udgangspunkt i, når der skal fastsættes en bøde.

Hotelkæden havde selv fastsat en slettefrist, hvorefter kundeprofiler, der ikke indenfor en periode på ca. 1 år foretog en ny booking, skulle slettes. Landsretten fandt, at opbevaring af personoplysninger i længere tid end hotelkædens egen slettefrist var en overtrædelse af databeskyttelsesforordningens art. 5, stk. 1, litra e, der fastslår, at personoplysninger ikke må opbevares længere tid end nødvendigt.

Landsretten tog ved fastlæggelsen af bødens størrelse udgangspunkt i hotelkædens årsregnskab for 2018, der afspejler hotelkædens økonomiske situation i gerningsperioden, og som var det senest reviderede og offentliggjorte regnskab, da Datatilsynet indgav politianmeldelse. Landsretten fandt på denne baggrund efter en samlet vurdering og med udgangspunkt i Datatilsynets bødeindstilling, at bødestraffen passende kunne fastsættes til 1 mio. kr.

Landsrettens præmisser kan læses her.

Sagen er behandlet af landsrettens 5. afdeling under sagsnummer S-494-22.