Det hollandske datatilsyn, Autoriteit Persoonsgegevens, har idømt Uber en bøde på 825 millioner euro. Afgørelsen faldt den 17. august 2026 og blev offentliggjort af The Guardian den 21. august. Bøden gør sagen til den næststørste GDPR-bøde nogensinde, kun overgået af Metas 1,2 milliarder euro fra maj 2023. For danske og nordiske virksomheder, der i stigende grad bruger automatiserede systemer til at træffe beslutninger om medarbejdere, chauffører og kunder, er sagen en tydelig advarsel: GDPR Artikel 22 om automatiserede afgørelser er ikke længere et teoretisk risikoområde. Det er der, tilsynsmyndighederne nu lægger deres største bøder.

Uber idømmes 825 millioner euro i bøde

Ifølge dokumenter, som Reuters har gennemgået, fandt det hollandske datatilsyn, at Uber deaktiverede chaufførkonti gennem automatiserede systemer uden at give chaufførerne tilstrækkelig information eller mulighed for at få en afgørelse revurderet af et menneske. Bøden på 825 millioner euro svarer til omkring 966 millioner dollar og er den hidtil største sanktion, en europæisk tilsynsmyndighed har givet en enkelt platformsvirksomhed for netop automatiserede afgørelser.

Sagen skiller sig ud fra tidligere GDPR-bøder, fordi den ikke handler om datalækager eller manglende samtykke til cookies. Den handler om, hvordan en algoritme kan fratage et menneske sin indtægt uden at et andet menneske nogensinde ser sagen. Det hollandske datatilsyn pegede specifikt på, at Uber ikke levede op til kravene om gennemsigtighed og menneskelig indgriben, når automatiserede systemer træffer afgørelser med betydelige konsekvenser for enkeltpersoner.

Uber har mulighed for at anke afgørelsen, og selskabet har endnu ikke offentliggjort en officiel reaktion på bødens fulde størrelse. Sagen føjer sig til en række tidligere opgør mellem Uber og europæiske myndigheder, herunder en bøde på 290 millioner euro fra samme tilsyn i august 2024 for overførsel af chaufførdata til USA uden tilstrækkelige garantier.

Sådan fungerede det automatiserede fyringssystem

Kernen i sagen er Ubers system til at opdage svindel og andre overtrædelser blandt chauffører. Når systemet fandt mønstre, det klassificerede som mistænkelige, kunne det suspendere eller helt lukke en chaufførkonto uden forudgående menneskelig vurdering. For den enkelte chauffør betød det, at indtægtsgrundlaget kunne forsvinde fra den ene dag til den anden, ofte uden en klar forklaring på, hvorfor kontoen var lukket, og uden en reel mulighed for at få sagen prøvet af et menneske.

Det er præcis den type beslutningsproces, GDPR Artikel 22 blev skrevet til at regulere. Loven skelner mellem systemer, der understøtter menneskelig beslutningstagning, og systemer, der reelt erstatter den. Ubers deaktiveringssystem faldt ifølge det hollandske datatilsyn i den sidste kategori, fordi konsekvenserne for den enkelte var alvorlige, og fordi der ikke var indbygget en reel klageadgang med menneskelig indgriben.

GDPR Artikel 22: Retten til ikke at blive udsat for automatiserede afgørelser

Artikel 22 i GDPR giver borgere ret til ikke at blive underlagt en afgørelse, der udelukkende er baseret på automatisk behandling, herunder profilering, når afgørelsen har retsvirkning eller på tilsvarende vis påvirker dem væsentligt. Reglen har eksisteret siden GDPR trådte i kraft i maj 2018, men den er først for alvor blevet håndhævet med store bøder de seneste to år, i takt med at virksomheder har taget AI-drevne beslutningssystemer i brug i stor skala.

Hvad kræver loven af virksomheder

Virksomheder, der bruger automatiserede systemer til at træffe afgørelser om ansatte, kunder eller samarbejdspartnere, skal give meningsfuld information om logikken bag afgørelsen, sikre en reel mulighed for menneskelig indgriben og gøre det muligt for den berørte at gøre indsigelse. Ifølge juridisk analyse fra Legiscope placerer Artikel 83, stk. 5, litra b, overtrædelser af Artikel 22 i den øverste bødekategori, hvor rammen er op til 20 millioner euro eller 4 procent af virksomhedens globale omsætning, alt efter hvad der er højest. For en virksomhed på størrelse med Uber forklarer det, hvorfor bøden kunne blive så stor.

Det hollandske datatilsyns begrundelse

Autoriteit Persoonsgegevens er ikke kendt som en af de mest bødeglade tilsynsmyndigheder i EU målt på antal sager. Til gengæld har tilsynet nu to gange på under to år givet Uber massive bøder, først 290 millioner euro i 2024 for dataoverførsler til USA og nu 825 millioner euro for automatiserede afgørelser. Mønstret peger på det, flere juridiske rådgivere kalder en “lav volumen, høj effekt”-strategi: færre sager, men til gengæld sager der rammer hårdt, når tilsynet først griber ind, og som sætter en tydelig retlig præcedens for resten af platformsøkonomien.

Det står i kontrast til det irske datatilsyn, DPC, der som lead authority for de fleste amerikanske techgiganter i EU behandler et højt antal sager mod selskaber som Meta, TikTok og LinkedIn, fordi de har deres europæiske hovedsæde i Irland. Begge modeller har givet anledning til nogle af de allerstørste bøder i GDPR’s historie, men ad forskellige veje.

GDPR-bøder i 2026: Et rekordår for håndhævelse

Ifølge CMS’ GDPR Enforcement Tracker Report er der registreret 3.206 GDPR-sager på tværs af 32 lande siden reglerne trådte i kraft i maj 2018, med samlede bøder på 6,31 milliarder euro pr. sent i august 2026. Alene i 2026 er der registreret 160 nye sager, heraf 94 inden for de seneste seks måneder. DLA Pipers årlige GDPR-undersøgelse, offentliggjort i januar 2026, opgør det kumulative beløb en anelse højere til cirka 7,1 milliarder euro og bekræfter, at der alene i 2025 blev udstedt bøder for omkring 1,2 milliarder euro.

Den mest konservative og hyppigst opdaterede kilde, GDPR Enforcement Tracker, sætter altså den samlede sum til 6,31 milliarder euro, mens CMS’ Enforcement Tracker Report med skæringsdato 1. marts 2026 opgør 2.685 registrerede bøder, en stigning på 440 sager i forhold til året før. Uanset hvilken kilde man bruger, er tendensen entydig: håndhævelsen accelererer, og de enkelte bøder bliver større.

Sådan sammenlignes de største GDPR-bøder nogensinde

Uber-bøden ændrer rangordenen over de største GDPR-sanktioner i EU’s historie. Meta beholder førstepladsen med sin bøde på 1,2 milliarder euro fra maj 2023 for ulovlig overførsel af europæiske brugerdata til USA. Men Uber springer nu forbi Amazon og lander som nummer to på listen, kun overgået af Meta.

PlaceringVirksomhedLand / MyndighedBødeÅrÅrsag
1Meta PlatformsIrland (DPC)1,2 mia. euro2023Ulovlig overførsel af EU-brugerdata til USA
2UberHolland (AP)825 mio. euro2026Automatiserede chaufførsuspenderinger uden menneskelig kontrol
3Amazon Europe CoreLuxembourg (CNPD)746 mio. euro2021Målrettet reklame uden gyldigt samtykke (under anke)
4TikTok TechnologyIrland (DPC)530 mio. euro2025Ulovlig dataoverførsel til Kina
5Meta PlatformsIrland (DPC)390 mio. euro2023Tvunget samtykke til personaliserede annoncer
6LinkedInIrland (DPC)310 mio. euro2024Manglende retsgrundlag for annoncebehandling

Kilde: GDPR Enforcement Tracker, CMS Enforcement Tracker Report 2025/2026 og Reuters. Amazons bøde på 746 millioner euro er ifølge flere trackere fortsat under anke, og status kan ændre sig.

Norden strammer også grebet

Uber-sagen sker samtidig med, at de nordiske tilsynsmyndigheder selv er blevet mere aktive. Norges Datatilsynet gav i juni 2026 en bøde på 20 millioner norske kroner, cirka 1,83 millioner euro, til en stor nordisk forbrugerelektronikkæde for ugyldigt samtykke i et kundeklubprogram, der berørte mere end seks millioner medlemmer på tværs af Norden. Det var en af de største bøder, en nordisk tilsynsmyndighed har udstedt til en enkelt virksomhed. Læs mere om den sag her.

I Sverige fik den offentlige transportoperatør SL og rederiet Waxholms Ångfartygs AB hver især en bøde på 75.000 svenske kroner i 2025 for at indsamle og opbevare data fra medarbejderes alkoholtest uden gyldigt retsgrundlag. Beløbene er langt fra Ubers 825 millioner euro, men de viser, at også mindre og mellemstore organisationer i Norden bliver holdt op på de samme principper om lovligt grundlag og gennemsigtighed.

Danmark: Vestre Landsret dømmer Region Syddanmark

I Danmark fungerer GDPR-håndhævelse anderledes end i de fleste andre EU-lande. Datatilsynet kan ikke selv udstede administrative bøder, men indstiller i stedet sager til politiet og anklagemyndigheden, hvorefter domstolene fastsætter en eventuel bøde som en strafferetlig sanktion. Den 23. marts 2026 idømte Vestre Landsret Region Syddanmark en bøde på 500.000 kroner for at have overtrådt Artikel 32 om passende sikkerhedsforanstaltninger, mens regionen blev frifundet for det andet forhold i sagen. Dommen bekræftede en tidligere afgørelse fra Retten i Kolding, ifølge DataGuidance.

Civilstyrelsen mister ukrypteret USB-nøgle

En anden dansk sag fra juli 2026 illustrerer, hvor grundlæggende mange overtrædelser stadig er. Civilstyrelsen blev pålagt en bøde på 13.450 euro efter at have mistet en ukrypteret USB-nøgle med følsomme personoplysninger. Sagen har intet med avancerede AI-systemer at gøre, men den understreger en pointe, som ofte drukner i debatten om automatiserede afgørelser og store techbøder: Grundlæggende krypteringshygiejne er stadig en af de hyppigste kilder til GDPR-sager i Danmark.

De to danske sager, Region Syddanmark og Civilstyrelsen, viser spændvidden i dansk håndhævelse: fra klassiske sikkerhedsbrist til mere principielle spørgsmål om, hvor meget sikkerhed en offentlig myndighed reelt skal levere for borgernes data.

International sammenligning: Sådan håndhæver de store lande GDPR

Ser man på tværs af EU, tegner der sig tydelige nationale mønstre i, hvordan tilsynsmyndighederne griber håndhævelsen an. Irland dominerer listen over de allerstørste bøder, fordi landet er lead authority for stort set alle amerikanske techgiganters europæiske hovedkvarterer. Holland fører få, men meget store sager. Tyskland har en decentral model med op mod 18 delstatslige tilsyn, hvilket giver mange mindre sager frem for få kæmpebøder. Frankrigs CNIL er kendt som en af de mest synlige og proaktive myndigheder i EU. Danmark skiller sig ud ved at have en af de hurtigste sagsbehandlingstider i hele unionen.

LandMyndighedHåndhævelsesstilKendetegn 2025-2026
IrlandDPCCross-border lead authority for Big TechMeta 1,2 mia. euro, TikTok 530 mio. euro, LinkedIn 310 mio. euro
HollandAutoriteit PersoonsgegevensLav volumen, høj effektUber 825 mio. euro (2026) og 290 mio. euro (2024)
Tyskland18 delstatslige tilsynDecentral, mange mindre sagerSpredt håndhævelse uden ét samlet landstal
FrankrigCNILHøjt synlig, proaktivHyppige og offentligt kommunikerede afgørelser
DanmarkDatatilsynet / domstoleneStrafferetlig model, hurtig sagsbehandlingRegion Syddanmark 500.000 kr., Civilstyrelsen 13.450 euro
NorgeDatatilsynetSelektiv, målrettetElkjøp-lignende sag: 20 mio. NOK for ugyldigt samtykke
SverigeIMYModerat volumenSL og WÅAB: 75.000 SEK hver for alkoholtestdata

Kilde: CMS GDPR Enforcement Tracker Report, Gibson Dunn Europe Data Protection (juli 2026) og DataGuidance. Se også vores dækning af Datatilsynets skærpede cookiekrav, som viser samme tendens i dansk praksis.

Markedsreaktion: Hvad betyder bøden for techsektoren

For Uber er 825 millioner euro en betydelig, men ikke virksomhedstruende sum. Bøden er alligevel et vigtigt signal til hele platformsøkonomien, fordi den viser, at tilsynsmyndighederne nu er villige til at bruge de øverste bødekategorier på systemer, der styrer arbejdsforhold snarere end klassisk databehandling. Delingsøkonomiske platforme, leveringstjenester og andre virksomheder, der bruger algoritmer til at overvåge, vurdere eller afskedige medarbejdere og samarbejdspartnere, må nu forvente, at deres automatiserede systemer bliver et prioriteret mål for tilsyn i hele EU.

Investorer og aktiemarkedet

Uber har endnu ikke offentliggjort en officiel kommentar til bødens fulde konsekvens for regnskabet, og selskabet har mulighed for at anke afgørelsen ved de hollandske domstole, hvilket kan trække sagen i flere år. Historisk har store GDPR-bøder som Metas og Amazons haft begrænset og kortvarig effekt på aktiekurserne, men de har til gengæld udløst betydelige interne investeringer i compliance og revision af automatiserede systemer. Det samme mønster er ventet hos Uber og konkurrenter som Bolt og Wolt, der begge opererer i Danmark og resten af Norden med lignende automatiserede systemer til chaufførstyring.

Konsekvenser for danske og nordiske virksomheder med AI i HR og logistik

Sagen rammer et bredere publikum end platformsøkonomien. Enhver dansk eller nordisk virksomhed, der bruger automatiserede systemer til at vurdere jobansøgere, overvåge medarbejderes præstationer, tildele bonusser eller opsige samarbejdsaftaler, bør se Uber-sagen som en direkte advarsel. Kravet er ikke, at mennesket skal træffe hver eneste afgørelse manuelt, men at der skal være en reel og meningsfuld mulighed for menneskelig indgriben, når en afgørelse har væsentlig betydning for en person.

I praksis betyder det, at virksomheder bør kortlægge, hvilke af deres automatiserede systemer der reelt træffer afgørelser frem for blot at understøtte dem, dokumentere logikken bag beslutningerne på et niveau, almindelige brugere kan forstå, og sikre en klageproces, hvor et menneske faktisk kan omgøre en algoritmisk afgørelse. Manglende dokumentation og manglende klageadgang er præcis de to elementer, det hollandske tilsyn fremhævede i Uber-sagen.

Ny GDPR-procedureforordning skal fremskynde grænseoverskridende sager

Sideløbende med de enkelte bødesager arbejder EU på at gøre selve håndhævelsesprocessen mere effektiv. Den nye GDPR-procedureforordning trådte formelt i kraft 1. januar 2026 og skal fra 2. april 2027 indføre fælles regler og klarere frister for grænseoverskridende GDPR-sager. Formålet er at rette op på de langvarige og ofte uigennemsigtige forløb, som har kendetegnet sager mod techgiganter med hovedkvarter i ét EU-land, men brugere i alle 27.

For virksomheder betyder det, at sager som Uber-bøden i fremtiden formentlig vil blive afgjort hurtigere, men også at usikkerheden om, hvornår en sag rammer et bestemt selskab, vil falde. Det gør det sværere for virksomheder at regne compliance-risiko ind som en langsigtet og diffus størrelse og tvinger i stedet en mere aktiv holdning til risikostyring frem.

AI Act og GDPR: Overlappet der former fremtidens håndhævelse

Uber-sagen kommer, mens EU’s AI Act gradvist træder i kraft. De fleste bestemmelser i forordningen gælder allerede, mens reglerne for højrisikosystemer inden for blandt andet biometri, kritisk infrastruktur, uddannelse, ansættelse, migration og grænsekontrol først får fuld virkning fra 2. december 2027. Det Europæiske Databeskyttelsesråd, EDPB, har i sit arbejdsprogram for 2026-2027 varslet fælles retningslinjer for, hvordan AI Act og GDPR skal spille sammen, netop fordi de to regelsæt i dag håndhæves af forskellige myndigheder ad forskellige spor.

For systemer som Ubers, der både behandler personoplysninger og træffer automatiserede afgørelser med betydning for menneskers job, kan det i praksis betyde dobbelt eksponering: en GDPR-bøde for selve databehandlingen og en separat sag under AI Act for selve systemets klassificering som højrisiko. Ifølge juridisk analyse fra Legiscope kan AI Act-overtrædelser lægge yderligere sanktioner oveni GDPR-bøden, med en øvre ramme på op til 35 millioner euro eller 7 procent af den globale omsætning for de groveste overtrædelser.

Fremtidsudsigter: 5 forudsigelser frem mod 2027

  • Flere bøder for automatiserede afgørelser. Artikel 22-sager ventes at blive et af de mest aktive håndhævelsesområder frem mod 2027, særligt inden for ansættelse, platformsøkonomi, kredit og forsikring.
  • Hurtigere grænseoverskridende sagsbehandling. Når GDPR-procedureforordningen får fuld virkning 2. april 2027, forventes sagsbehandlingstiden i sager med flere involverede lande at falde mærkbart.
  • Tættere kobling mellem GDPR og AI Act. EDPB’s varslede fælles retningslinjer vil sandsynligvis gøre det til standardpraksis at vurdere automatiserede systemer under begge regelsæt samtidig.
  • Flere nordiske sager mod mellemstore virksomheder. Efter Elkjøp-sagen og de danske domme ventes flere nordiske tilsyn at rette blikket mod kundeklubber, loyalitetsprogrammer og HR-systemer med automatiseret scoring.
  • Uber-sagen bliver en reference i andre landes retspraksis. Med sin størrelse og klare fokus på Artikel 22 er sagen godt på vej til at blive den mest citerede afgørelse om automatiserede afgørelser, når andre tilsyn i Europa skal vurdere lignende systemer hos konkurrenter.

Ofte stillede spørgsmål

Hvor stor er Ubers GDPR-bøde, og hvem har givet den?

Det hollandske datatilsyn, Autoriteit Persoonsgegevens, har idømt Uber en bøde på 825 millioner euro, svarende til cirka 966 millioner dollar. Afgørelsen er dateret 17. august 2026 og blev omtalt af Reuters og The Guardian den 21. august 2026.

Hvorfor fik Uber en så stor bøde?

Tilsynet fandt, at Uber deaktiverede chaufførkonti gennem automatiserede systemer uden at give tilstrækkelig information eller sikre en reel mulighed for menneskelig indgriben, hvilket er i strid med GDPR Artikel 22 om automatiserede afgørelser.

Er Ubers bøde den største GDPR-bøde nogensinde?

Nej. Meta har fortsat den største GDPR-bøde med 1,2 milliarder euro fra maj 2023 for ulovlig overførsel af europæiske brugerdata til USA. Ubers bøde på 825 millioner euro er den næststørste.

Hvad er GDPR Artikel 22, og hvem gælder den for?

Artikel 22 giver borgere ret til ikke at blive underlagt afgørelser, der udelukkende er baseret på automatisk databehandling, hvis afgørelsen har retsvirkning eller på tilsvarende vis påvirker dem væsentligt. Den gælder for alle virksomheder, der behandler personoplysninger fra EU-borgere, uanset hvor virksomheden selv har hovedsæde.

Hvordan håndhæves GDPR i Danmark sammenlignet med resten af EU?

I Danmark kan Datatilsynet ikke selv udstede administrative bøder. Tilsynet indstiller i stedet sager til politiet, hvorefter domstolene fastsætter en eventuel bøde som en strafferetlig sanktion, som det skete i sagen mod Region Syddanmark i marts 2026.

Hvilke nordiske virksomheder er blevet ramt af store GDPR-bøder for nylig?

Norges Datatilsynet gav i juni 2026 en bøde på 20 millioner norske kroner til en stor nordisk forbrugerelektronikkæde for ugyldigt samtykke i et kundeklubprogram, der berørte over seks millioner medlemmer på tværs af Norden.

Hvad betyder AI Act for GDPR-håndhævelse fremover?

AI Act’s regler for højrisikosystemer får fuld virkning fra 2. december 2027. EDPB har varslet fælles retningslinjer for samspillet mellem AI Act og GDPR, hvilket ventes at føre til, at automatiserede systemer som Ubers fremover kan blive vurderet under begge regelsæt samtidig.

Kan Uber anke bøden på 825 millioner euro?

Ja. Uber har mulighed for at anke afgørelsen ved de hollandske domstole. Tidligere store GDPR-sager, blandt andet Amazons bøde på 746 millioner euro, har vist, at appelsager kan trække ud i flere år, før det endelige beløb ligger fast.

Relateret dækning