Første bødeoplæg fra Datatilsynet

Taxa 4x35 er indstillet til en bøde på 1,2 mio. kr., fordi de har gemt oplysninger om næsten 9 mio. taxature, der kan henføres til kunderne, selvom det ikke længere var nødvendigt. Oplysninger om taxaturene ”anonymiseres” efter 2 år, hvilket foregår ved at slette navnet på kunden. Imidlertid gemmes kundens telefonnummer fortsat i yderligere 3 år, fordi nummeret er nøglen til selskabets systemdatabase, og derfor ifølge virksomheden er nødvendig for virksomhedens produkt- og forretningsudvikling. Telefonnumre er i mange tilfælde en personoplysning, hvorfor der ikke er sket anonymisering.

Datatilsynet har vurderet, at der ikke var et sagligt formål at gemme oplysninger om taxature i personhenførbar stand i længere tid, end det var nødvendigt, heller ikke selvom virksomhedens system gør det besværligt at efterleve reglerne i Databeskyttelsesforordningen.

Bødens størrelse skyldes flere parametre, herunder den utilstrækkelige procedure for anonymisering og de store mængder personoplysninger, der er blevet gemt uden at det var nødvendigt for formålet, hvilket strider mod et af grundprincipperne i Databeskyttelsesforordningen om dataminimering.

Derudover udtaler Datatilsynet alvorlig kritik af, at selskabet ikke i tilstrækkelig grad har dokumenteret de sletninger, der er foretaget i systemerne og virksomhedens procedurer herfor, samt den manglende behandlingshjemmel for opbevaring af telefonnumrene i 5 år.

Datatilsynets afgørelse indeholder elementer fra deres hidtidige praksis for overtrædelse af tidligere Persondatalov, hvorefter der oftest skete offentliggørelse af afgørelse og blev udtalt kritik som sanktion, og en ny praksis efter Databeskyttelsesforordningens ikrafttræden, hvorefter der indstilles til store bøder, når lovgivningen overtrædes.