Datatilsynet har anmeldt Danske Bank til politiet og indstillet banken til bøde på 10 mio. kr. Det sker i forlængelse af, at tilsynet i november 2020 indledte en sag af egen drift, efter at banken selv havde oplyst, at de havde identificeret et problem med sletning af personoplysninger, som der ikke nødvendigvis var en forretningsmæssig begrundelse for fortsat at behandle.
I forbindelse med Datatilsynets undersøgelse har det vist sig, at banken i mere end 400 systemer ikke har kunnet dokumentere, at der var fastsat regler for sletning og opbevaring af personoplysninger, eller at der er foretaget manuel sletning af personoplysninger. I disse systemer behandles der personoplysninger om flere millioner personer.
”Ét af grundprincipperne i GDPR er, at man kun må behandle oplysninger, man har brug for – og når man ikke har brug for dem længere, skal de slettes. Når det handler om en organisation af Danske Banks størrelse, der har mange og komplekse systemer, er det særlig afgørende, at man samtidig kan dokumentere, at sletningen rent faktisk sker,” siger Kenni Elm Olsen, specialkonsulent i Datatilsynet.
Hvorfor politianmeldelse?
Datatilsynet foretager altid en konkret vurdering af sagens grovhed i medfør af databeskyttelsesforordningens artikel 83, stk. 2, ved vurderingen af, hvilken sanktion der efter tilsynets opfattelse er den korrekte.
Ved vurderingen af, at der bør idømmes en bøde, har Datatilsynet lagt vægt på, at den skete overtrædelse vedrører et grundlæggende princip for behandling af personoplysninger og berører et meget stort antal registrerede.
Datatilsynet har ved sin indstilling til bødestørrelse blandt andet lagt vægt på overtrædelsens karakter og alvor og forordningens krav om, at en bøde i hver enkelt sag skal være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
Endvidere har det indgået, at Danske Bank løbende har arbejdet på at kunne dokumentere, at banken lever op til sine forpligtelser, dvs. har forsøgt at begrænse den skade, som de registrerede potentielt kan lide. Datatilsynet har samtidig lagt vægt på Danske Banks aktive medvirken til sagens oplysning.
Vil du vide mere?
Pressehenvendelser kan rettes til kommunikationskonsulent Anders Due på tlf. 29 49 32 83.
