To databeskyttelseslove dominerer, hvordan virksomheder i Norden håndterer persondata i 2026: EU’s GDPR og Californiens CCPA/CPRA. For danske virksomheder, der sælger software, spil eller varer til amerikanske kunder, er spørgsmålet ikke længere teoretisk. Sælger du til én eneste kunde i Californien og rammer visse omsætnings- eller datagrænser, skal du overholde begge regelsæt samtidig. Denne artikel sammenligner GDPR og CCPA på bøder, samtykkemodeller, håndhævelse og reelle sager fra 2025 og 2026, så du kan vurdere, hvor din virksomhed står.
Kort fortalt: GDPR straffer hårdere på papiret (op til 20 mio. euro eller 4 procent af den globale omsætning), mens CCPA opererer med lavere bøder pr. overtrædelse, men til gengæld har en voksende californisk tilsynsmyndighed, der aktivt jager sager. Begge love trækker i samme retning, nemlig mere kontrol til borgeren og mindre skjult dataindsamling, men de bygger på to forskellige juridiske traditioner. Det gør en direkte sammenligning nyttig for enhver, der driver forretning på tværs af Atlanten.
Artiklen er skrevet til danske og nordiske virksomhedsejere, compliance-ansvarlige og udviklere, der allerede kender GDPR fra dagligdagen, men som mangler et konkret billede af, hvordan den amerikanske modpart fungerer. Vi bruger tal fra officielle håndhævelsestrackere, retssager fra 2025 og danske eksempler, du kan genkende fra nyhederne, så sammenligningen bliver praktisk anvendelig og ikke bare juridisk teori.
Vi starter med grundlaget for begge love, går derefter i dybden med bøder, håndhævelse og konkrete sager fra 2025 og 2026, og slutter af med en praktisk trin-for-trin-guide til at blive compliant med begge regelsæt på samme tid.
Hvad er GDPR? EU’s databeskyttelsesforordning kort forklaret
GDPR (General Data Protection Regulation, på dansk databeskyttelsesforordningen) trådte i kraft 25. maj 2018 og gælder direkte i alle EU- og EØS-lande, inklusive Danmark, Norge, Sverige, Finland og Island. Loven bygger ikke på samtykke alene. Den kræver et af seks lovlige grundlag, før en virksomhed må behandle persondata, hvor samtykke kun er ét af dem ved siden af kontraktopfyldelse, retlig forpligtelse og legitim interesse.
GDPR blev hurtigt et globalt referencepunkt, fordi den var den første lov af sin art med et bødeloft, der reelt kunne mærkes af selv de største techselskaber. Californien, Brasilien, Sydkorea og en lang række andre lande har siden skrevet love, der låner direkte fra GDPR’s struktur, deriblandt begreberne dataansvarlig, databehandler og konsekvensvurdering. CCPA er ikke en direkte kopi, men flere af CPRA’s 2023-tilføjelser bærer tydeligt præg af GDPR-inspiration, særligt kravet om risikovurderinger ved højrisiko-behandling.
Forordningen dækker enhver oplysning, der kan henføres til en identificeret eller identificerbar fysisk person. Det inkluderer IP-adresser, cookies, lokationsdata og adfærdsprofiler, ikke kun navn og cpr-nummer. GDPR gælder for både dataansvarlige (virksomheden, der bestemmer formålet med databehandlingen) og databehandlere (leverandører, der behandler data på vegne af andre), og begge parter kan drages til ansvar.
Loven har ekstraterritorial rækkevidde. Det betyder, at en virksomhed i Californien eller Texas skal overholde GDPR, hvis den tilbyder varer eller tjenester til EU-borgere eller overvåger deres adfærd, uanset hvor virksomheden selv har hovedsæde. Det samme princip går den anden vej for danske virksomheder over for amerikansk lovgivning, som vi kommer til nedenfor.
Når en virksomhed vil overføre persondata ud af EU/EØS, for eksempel til en amerikansk skyudbyder, kræver GDPR et overførselsgrundlag som Standard Contractual Clauses (SCC) eller en godkendt tilstrækkelighedsafgørelse. Det var netop mangler i denne type overførsel, der udløste flere af de største bøder i 2025 og 2026, fordi mange virksomheder undervurderer, hvor grundigt Datatilsynet og søstermyndighederne i EU nu gennemgår cloud-kontrakter og databehandleraftaler.
Hvad er CCPA og CPRA? Californiens privatlivslov forklaret
CCPA (California Consumer Privacy Act) trådte i kraft januar 2020 og blev udvidet markant af CPRA (California Privacy Rights Act), som californiske vælgere godkendte ved en folkeafstemning i november 2020, med fuld ikrafttræden januar 2023. CPRA byggede blandt andet det nye tilsynsorgan California Privacy Protection Agency (CPPA), som ikke fandtes under den oprindelige CCPA.
Hvor GDPR er en forordning, der gælder direkte i 30 lande, er CCPA en delstatslov, der kun beskytter indbyggere i Californien. Til gengæld er Californien verdens femtestørste økonomi målt isoleret, så loven har global betydning for enhver virksomhed med amerikanske kunder. CPRA introducerede også en ny kategori, “sensitive personal information”, med skærpede krav om at begrænse brugen af data som helbredsoplysninger, seksuel orientering og præcis geolokation.
CCPA/CPRA gælder kun for virksomheder, der driver forretning i Californien og opfylder mindst ét af tre kriterier: en årlig bruttoomsætning over 25 millioner dollar, køb, salg eller deling af persondata for et betydeligt antal californiske forbrugere eller husstande, eller at mindst halvdelen af indtægten stammer fra salg af persondata. Mindre virksomheder falder ofte helt uden for lovens rækkevidde, hvilket adskiller den markant fra GDPR, der ikke har nogen omsætningsgrænse.
Californiens delstatlige tilsyn, California Attorney General’s officielle CCPA-side, beskriver loven som et sæt af fire kernerettigheder for forbrugeren: retten til at vide, hvilke oplysninger der indsamles, retten til at slette dem, retten til at sige nej til salg eller deling, og retten til ikke at blive diskrimineret for at bruge sine rettigheder. CPRA lagde en femte ret oven i det, nemlig retten til at rette forkerte oplysninger, samt en sjette om at begrænse brugen af følsomme oplysninger.
En vigtig detalje for nordiske SaaS-selskaber er, at CCPA/CPRA definerer “salg” af data bredt. Det dækker ikke kun direkte pengetransaktioner, men også situationer, hvor persondata deles med en tredjepart som modydelse for en tjeneste, for eksempel når en annonceplatform får adgang til brugerdata til gengæld for gratis analytics. Mange virksomheder, der aldrig har opfattet sig selv som “sælgere” af data, falder derfor alligevel ind under kravet om et opt-out-link, fordi de bruger tredjeparts marketing- eller trackingværktøjer på deres hjemmeside.
GDPR vs CCPA: Nøgleforskellen på samtykke og forbrugerrettigheder
Den vigtigste praktiske forskel mellem GDPR og CCPA ligger i samtykkemodellen. GDPR bruger som udgangspunkt opt-in, hvor de fleste former for markedsføring og sporing kræver et aktivt, informeret og frivilligt samtykke, før behandlingen må starte. Det er derfor danske brugere møder cookiebannere, hvor alt er slået fra som standard, og du selv skal klikke “accepter”.
CCPA/CPRA arbejder omvendt med en opt-out-model. Virksomheden må som udgangspunkt indsamle og sælge data, men skal give forbrugeren en synlig mulighed for at sige nej via et link som “Do Not Sell or Share My Personal Information”, eller ved at respektere et globalt signal som Global Privacy Control i browseren. Det er en markant lempeligere standard end GDPR, fordi byrden ligger hos forbrugeren, der selv skal handle aktivt for at blokere salg af sine data.
Et konkret eksempel på, hvordan det tekniske opt-out-signal fungerer i praksis, er HTTP-headeren Sec-GPC, som browsere og udvidelser sender automatisk:
GET /forside HTTP/1.1
Host: eksempel-butik.com
Sec-GPC: 1
DNT: 1Under CCPA skal en amerikansk virksomhed tolke dette signal som et gyldigt opt-out fra salg og deling af data. GDPR har ikke et tilsvarende teknisk standardsignal, fordi loven i stedet kræver eksplicit samtykke, før noget overhovedet indsamles til markedsføringsformål.
Begge love giver borgere ret til indsigt, sletning og dataportabilitet, men GDPR går videre med retten til at gøre indsigelse mod automatiseret profilering og retten til at klage direkte til en tilsynsmyndighed uden beviskrav. CCPA’s stærkeste værktøj for almindelige forbrugere er derimod retten til at sagsøge en virksomhed direkte efter et databrud, hvilket vender vi tilbage til.
En anden praktisk forskel er svartiderne. GDPR kræver, at en virksomhed besvarer en indsigtsanmodning inden for en måned, med mulighed for forlængelse til tre måneder ved komplekse sager. CCPA/CPRA opererer med en frist på 45 dage, som kan forlænges med yderligere 45 dage. Begge frister lyder ens ved første øjekast, men GDPR’s udgangspunkt er kortere, og danske virksomheder, der allerede har en velfungerende proces for indsigtsanmodninger, opfylder derfor typisk CCPA’s tidskrav uden ekstra arbejde.
Hvem skal overholde hvad? Rækkevidde for danske og nordiske virksomheder
For en dansk eller nordisk virksomhed er GDPR ikke til forhandling. Loven gælder, så snart du behandler persondata om EU-borgere, uanset størrelse eller omsætning. Det eneste, der varierer, er kravet om en Data Protection Officer (DPO), som først bliver obligatorisk ved storskala-behandling af følsomme data eller systematisk overvågning.
CCPA/CPRA rammer kun danske virksomheder, der reelt sælger til eller markedsfører mod californiske forbrugere, og som samtidig opfylder en af de tre tærskler nævnt ovenfor. I praksis betyder det, at et nordisk SaaS-selskab med 30 millioner dollar i årlig omsætning og amerikanske kunder skal overveje CCPA seriøst, mens en lokal dansk webshop uden salg til USA typisk kan se bort fra loven helt.
Gaming- og app-udviklere er et særligt opmærksomhedspunkt. Mobilspil med globale spillere rammer ofte californiske brugere i tusindvis uden at have et fysisk kontor i USA, og appbutikkernes egne datakrav (Apple, Google) lægger sig oveni både GDPR og CCPA. Her er det volumen af californiske brugere, ikke virksomhedens hjemland, der afgør, om CCPA aktiveres.
Et konkret regnestykke gør forskellen håndgribelig. Forestil dig et dansk B2B-SaaS-selskab med 40 millioner kroner i årlig omsætning, hvoraf 15 procent kommer fra amerikanske kunder, deriblandt et par hundrede brugere i Californien. Selskabet ligger under CCPA’s 25 millioner dollar-grænse i ren omsætning, men skal stadig tjekke, om det rammer datamængdetærsklen for antal californiske husstande. GDPR gælder derimod fuldt ud fra dag ét, uanset at omsætningen er beskeden, fordi loven slet ikke stiller spørgsmål om selskabets størrelse.
GDPR vs CCPA: Specifikationstabel med de 12 vigtigste forskelle
Tabellen nedenfor stiller de centrale parametre op side om side, så du hurtigt kan se, hvor de to love ligner hinanden, og hvor de skiller sig markant fra hinanden.
Læg især mærke til rækken om cure period. Under den oprindelige CCPA havde virksomheder 30 dage til at rette en overtrædelse, før en bøde kunne udstedes, hvilket i praksis gjorde loven tandløs mod gentagne mindre fejl. CPRA fjernede den generelle frist, så CPPA nu kan sanktionere med det samme i de fleste sager. Det gør CCPA/CPRA markant skarpere end sit udgangspunkt fra 2020, selvom bødebeløbene stadig er lavere end GDPR’s.
| Parameter | GDPR (EU) | CCPA/CPRA (Californien) |
|---|---|---|
| Ikrafttræden | 25. maj 2018 | Jan. 2020 (CCPA), fuld CPRA jan. 2023 |
| Lovtype | Forordning, gælder direkte i 30 lande | Delstatslov, kun for Californien |
| Samtykkemodel | Opt-in som hovedregel | Opt-out af salg/deling |
| Territorial rækkevidde | Alle, der behandler EU-borgeres data | Kun virksomheder over fastsatte tærskler |
| Omsætningsgrænse | Ingen | 25 mio. USD årlig bruttoomsætning |
| Håndhævende myndighed | Nationale DPA’er + EDPB | CPPA + California Attorney General |
| Maksimal bøde, øvre niveau | 20 mio. € eller 4% af global omsætning | 7.500 USD pr. forsætlig overtrædelse |
| Maksimal bøde, nedre niveau | 10 mio. € eller 2% af global omsætning | 2.500 USD pr. utilsigtet overtrædelse |
| Privat søgsmålsret | Kun erstatning for påvist skade | Ja, ved databrud (100-750 USD pr. forbruger) |
| DPO-krav | Obligatorisk ved storskala-behandling | Intet formelt DPO-krav |
| Konsekvensvurdering (DPIA) | Krævet ved høj risiko | Risikovurdering under indfasning |
| Ret til indsigelse mod profilering | Ja, eksplicit ret | Begrænset, via opt-out af automatiserede afgørelser |
| Cure period (frist til at rette fejl) | Ingen generel frist | Fjernet under CPRA (var 30 dage under CCPA) |
Bøder og sanktioner: Sådan straffes overtrædelser i praksis
GDPR opererer med et to-lags bødesystem under artikel 83. Grove overtrædelser af kerneprincipper som samtykke, databehandleraftaler eller internationale overførsler kan udløse bøder op til 20 millioner euro eller 4 procent af koncernens globale årsomsætning, alt efter hvad der er højest. Mindre alvorlige forhold, som mangelfuld dokumentation eller sikkerhedsbrister, ligger på op til 10 millioner euro eller 2 procent af omsætningen.
CCPA/CPRA fungerer efter et helt andet princip: bøde pr. overtrædelse, ikke pr. sag. California Civil Code paragraf 1798.155 fastsætter 2.500 dollar pr. utilsigtet brud og 7.500 dollar pr. forsætligt brud eller brud, der involverer mindreårige under 16 år. CPPA justerer beløbene for inflation hvert andet år, og pr. 2026 ligger de justerede satser på cirka 2.663 dollar og 7.988 dollar pr. overtrædelse.
Fordi CCPA tæller pr. overtrædelse og ofte pr. berørt forbruger, kan de samlede beløb hurtigt overgå GDPR’s faste lofter, hvis et databrud rammer millioner af kunder. Den californiske private søgsmålsret giver desuden forbrugere ret til at kræve mellem 100 og 750 dollar (justeret til cirka 107-799 dollar) pr. person ved brud på ukrypterede persondata, uden at skulle bevise et konkret økonomisk tab.
Regn selv efter: et databrud, der rammer 50.000 californiske kunder, kan i teorien udløse statutory damages på op til 37,5 millioner dollar (750 dollar gange 50.000), hvis sagen føres som gruppesøgsmål og retten tilkender maksimumbeløbet. GDPR har intet tilsvarende automatisk multiplikationsprincip. Her fastsætter tilsynsmyndigheden i stedet én samlet bøde baseret på overtrædelsens grovhed, virksomhedens omsætning og eventuelle formildende omstændigheder, hvilket typisk giver et mere forudsigeligt, men også mere skønsbaseret resultat.
Den virksomhed, der ignorerer begge love helt, risikerer altså to parallelle sagsforløb, der ikke udelukker hinanden. Et databrud, der rammer både europæiske og californiske kunder, kan udløse en GDPR-bøde fra Datatilsynet eller en anden europæisk myndighed, en CPPA-sag i Californien og potentielt et privat gruppesøgsmål fra amerikanske forbrugere, alt sammen for samme underliggende hændelse. Det er en af de klareste grunde til at bygge compliance-arbejdet som ét samlet system frem for at reagere land for land, når skaden allerede er sket.
| Type sanktion | GDPR | CCPA/CPRA |
|---|---|---|
| Standardbøde, laveste kategori | Op til 10 mio. € / 2% omsætning | ~2.663 USD pr. brud |
| Standardbøde, højeste kategori | Op til 20 mio. € / 4% omsætning | ~7.988 USD pr. brud |
| Erstatning til forbruger (databrud) | Kræver påvist skade | 107-799 USD pr. person, ingen bevisbyrde |
| Hvem rejser sagen | National DPA eller domstol | CPPA, Attorney General eller forbruger selv |
Håndhævelse i praksis: Datatilsynet og EDPB vs CPPA
GDPR håndhæves decentralt af 30 nationale tilsynsmyndigheder, i Danmark Datatilsynet, i Sverige IMY og i Norge det norske Datatilsynet. Grænseoverskridende sager koordineres gennem European Data Protection Board (EDPB), som sikrer, at en klage over eksempelvis Meta eller Google behandles ensartet, uanset hvilket land klagen starter i. Systemet kaldes “one-stop-shop” og betyder typisk, at det land, hvor virksomhedens europæiske hovedsæde ligger, fører sagen for alle 30 lande.
CCPA/CPRA har en mere centraliseret model. California Privacy Protection Agency (CPPA) blev oprettet specifikt til formålet under CPRA og har både regeludstedende og undersøgende beføjelser, mens California Attorney General bevarer sin egen håndhævelsesret ved siden af. De to myndigheder samarbejder ofte om de samme sager, som eksemplet med Healthline Media senere i artiklen viser.
EDPB’s rolle bliver stadig vigtigere for nordiske virksomheder, fordi bestyrelsen udsteder retningslinjer, som de nationale myndigheder er forpligtet til at følge. Når Datatilsynet i Danmark vurderer en sag om cookies eller AI-baseret profilering, læner tilsynet sig typisk op ad EDPB’s fortolkning, hvilket giver en vis forudsigelighed på tværs af landegrænser, selv når selve håndhævelsen sker lokalt.
Den danske model er værd at kende, hvis du driver forretning lokalt. Datatilsynet meldte i 2026, at det havde modtaget 9.849 anmeldelser om databrud alene i Danmark, hvilket viser, hvor bredt GDPR rammer i praksis, fra kommuner til små webshops. Skærpede krav til samtykkebannere er også en fast del af tilsynets arbejde, og Datatilsynet har strammet kravene til cookie-samtykke med bøder på op til 4 procent af omsætningen som konsekvens.
Når en sag går på tværs af flere EU-lande, aktiveres GDPR’s konsistensmekanisme, hvor EDPB kan blive bedt om at afgøre uenigheder mellem de nationale myndigheder. Det skete blandt andet i flere af de store techsager, hvor irske og andre europæiske DPA’er var uenige om bødeniveauet, og hvor EDPB endte med at hæve den foreslåede bøde. Den mekanisme findes ikke i USA, hvor hver delstat kører sin egen håndhævelse fuldstændig uafhængigt af de andre.
GDPR-håndhævelse i 2025 og 2026: Tal fra EU og Norden
Tre uafhængige kilder giver et sammenhængende billede af GDPR’s håndhævelsesniveau i 2025 og starten af 2026. CMS Law’s GDPR Enforcement Tracker Report registrerede 2.685 offentliggjorte bøder pr. 1. marts 2026, en stigning på 440 sager i forhold til året før, med samlede bøder på over 6,11 milliarder euro. Enforcementtracker.com, som driver den underliggende database, bekræfter samme størrelsesorden i sin løbende opgørelse.
The Register rapporterede i januar 2026, at europæiske tilsynsmyndigheder alene uddelte omkring 1,2 milliarder euro i bøder i løbet af 2025, hvilket stort set matcher niveauet fra 2024. Den kumulative sum siden GDPR trådte i kraft i maj 2018 nærmer sig dermed 7 milliarder euro på tværs af de tre kilder.
De færreste af disse sager er milliardbøder. Langt de fleste danske og nordiske sager ligger i intervallet fra nogle få tusinde til lav sekscifrede eurobeløb, men de store overskrifter kommer fra multinationale selskaber. Uber blev i 2026 ramt af en GDPR-bøde på 825 millioner euro for ulovlig overførsel af chaufførdata ud af EU, mens den norske elektronikkæde Elkjøp fik en bøde på 20 millioner norske kroner, et eksempel på, at også nordiske detailkæder rammes hårdt, når Datatilsynet finder fejl i samtykkehåndteringen.
Et databrud kan i sig selv trigge en sag, uanset om bøden efterfølgende bliver stor eller lille. Novo Nordisk oplevede i 2026 et databrud, hvor 1,3 terabyte data blev stjålet, hvilket illustrerer, at også store, veldrevne danske selskaber kan ende i GDPR’s søgelys, når systemer bliver kompromitteret.
Sektormønsteret er værd at kende. Historisk har tech- og telekommunikationsselskaber tegnet sig for de allerstørste enkeltbøder, mens detailhandel, finanssektoren og den offentlige sektor oftere rammes af mange mindre sager, typisk relateret til mangelfuld sikkerhed, forkerte samtykker eller for lang opbevaring af data. For en dansk kommune eller regional myndighed er det derfor sjældent én kæmpebøde, der er risikoen, men snarere den kumulative effekt af gentagne mindre påtaler fra Datatilsynet.
CCPA-håndhævelse i 2025 og 2026: Konkrete sager fra Californien
CPPA og California Attorney General har for alvor skruet op for aktiviteten siden CPRA’s fulde ikrafttræden. Fire sager fra 2025 illustrerer, hvor forskelligartet håndhævelsen rammer, fra detailhandel til bilindustri og sundhedsdata.
| Virksomhed | Bøde | Dato | Sagens kerne |
|---|---|---|---|
| Tractor Supply Company | 1,35 mio. USD | September 2025 | Største CPPA-administrative bøde til dato |
| Healthline Media | 1,55 mio. USD | Juli 2025 | Forlig med California Attorney General om reklamepraksis |
| American Honda Motor Co. | 632.500 USD | Marts 2025 | Mangelfuld håndtering af opt-out-anmodninger |
| Todd Snyder (detailhandel) | 345.178 USD | 2025 | Overtrædelser af CCPA’s kerneforpligtelser |
Sagen mod Tractor Supply er særligt interessant, fordi den markerer den hidtil største rene CPPA-administrative bøde og signalerer, at agenturet er villigt til at forfølge selv detailkæder uden global tech-status. Honda-sagen er samtidig et praktisk varsel til enhver virksomhed med en “Do Not Sell or Share”-mekanisme: selve processen bag knappen skal fungere korrekt, ikke kun eksistere på papiret.
Samlet har CPPA og Attorney General ifølge brancheopgørelser rejst enforcement-sager for over 3,8 millioner dollar i administrative bøder alene i 2025, et beløb, der ser småt ud ved siden af GDPR’s milliardbøder, men som stadig rammer hårdt for mellemstore virksomheder uden et europæisk compliance-setup i forvejen.
Mønsteret i de fire sager er værd at bemærke for danske virksomheder, der overvejer det amerikanske marked. Ingen af dem involverer et globalt techselskab. Tractor Supply er en amerikansk landbrugs- og havekæde, Todd Snyder er en mellemstor modevirksomhed, og Honda blev straffet for en teknisk fejl i sin opt-out-mekanisme snarere end for bevidst datamisbrug. Signalet er klart: CPPA går efter almindelige forbrugervirksomheder, ikke kun Silicon Valley-giganter, hvilket betyder, at en nordisk detailkæde eller abonnementstjeneste med californiske kunder reelt løber en risiko, hvis compliance-arbejdet forsømmes.
Andre amerikanske delstatslove: Et voksende lappetæppe
Californien var først, men er langt fra alene. En række amerikanske delstater har siden vedtaget egne, GDPR-inspirerede privatlivslove, hvilket gør compliance mere kompleks for nordiske virksomheder med bred amerikansk kundekreds. Ingen af dem har GDPR’s flade 4 procent-model, men flere ligner CCPA’s struktur med opt-out og myndighedshåndhævelse.
Det praktiske problem for en dansk eksportvirksomhed er, at hver delstat definerer tærskler, undtagelser og frister lidt forskelligt. Én delstat kan sætte grænsen ved 100.000 forbrugere, en anden ved omsætning, en tredje ved en kombination af begge. Uden en samlet, føderal lov ender virksomheder derfor med at bygge compliance efter den strengeste delstat, de rammer, hvilket i de fleste tilfælde stadig er Californien.
| Delstat | Lov | Håndhævelse | Privat søgsmålsret |
|---|---|---|---|
| Virginia | VCDPA | Attorney General | Nej |
| Colorado | Colorado Privacy Act | Attorney General | Nej |
| Connecticut | CTDPA | Attorney General | Nej |
| Utah | UCPA | Attorney General | Nej |
| Texas | TDPSA | Attorney General | Nej |
| Californien | CCPA/CPRA | CPPA + Attorney General | Ja, ved databrud |
Mønstret er tydeligt: de fleste nye amerikanske love følger opt-out-modellen og lader kun en delstats justitsminister føre sager, uden californisk-stil privat søgsmålsret. For en dansk virksomhed betyder det i praksis, at hvis du allerede er compliant med CCPA/CPRA og GDPR, dækker du det meste af det tekniske grundlag for Virginia, Colorado, Connecticut, Utah og Texas også, men du skal stadig gennemgå hver enkelt lovs specifikke frister og undtagelser.
USA har fortsat ingen samlet, føderal privatlivslov svarende til GDPR. Kongressen har flere gange diskuteret et forslag kaldet American Data Privacy and Protection Act (ADPPA), men det er strandet i udvalgsbehandling år efter år. Det betyder, at det amerikanske marked i praksis forbliver et lappetæppe af delstatslove i hele 2026, hvor Californien stadig sætter standarden, som andre delstater kopierer eller finjusterer.
EU’s forenklingsforslag: Bliver GDPR lempet i 2026?
Selvom GDPR’s grundstruktur står fast, arbejder EU-Kommissionen på et såkaldt “digital omnibus”-forslag, der skal forenkle dele af databeskyttelsesreglerne for især små og mellemstore virksomheder. Formålet er at reducere den administrative byrde, blandt andet ved at gøre det lettere at dokumentere legitim interesse og ved at koordinere GDPR tættere med nyere regler som Data Act, Data Governance Act og AI Act, der alle rører ved persondata på tværs af sektorer.
For danske virksomheder er den vigtigste pointe, at bødeloftet på 20 millioner euro eller 4 procent af omsætningen ikke er til forhandling i de nuværende forslag. Det, der diskuteres, er administrative lettelser, ikke lavere sanktioner. Sammenlignet med CCPA, hvor CPPA løbende strammer reglerne gennem nye bekendtgørelser om automatiserede afgørelser og risikovurderinger, bevæger de to systemer sig altså i hver sin retning: EU forsøger at lette byrden uden at svække bøderne, mens Californien udvider håndhævelsen uden at røre selve bødesatserne markant.
Sådan bliver din virksomhed compliant med begge love
Hvis din virksomhed allerede efterlever GDPR og nu skal udvide til det amerikanske marked, er vejen til CCPA/CPRA-compliance overkommelig, fordi meget af grundarbejdet er lavet. Sådan griber du opgaven an trin for trin.
- Kortlæg, om du rammer CCPA’s tærskler: 25 mio. USD i omsætning, eller behandling af data for et betydeligt antal californiske forbrugere.
- Tilføj et separat “Do Not Sell or Share My Personal Information”-link i bunden af hjemmesiden, adskilt fra dit eksisterende GDPR-cookiebanner.
- Implementer support for Global Privacy Control-signalet (Sec-GPC-headeren), så automatiske opt-out-anmodninger honoreres uden manuel handling.
- Opdater privatlivspolitikken med en selvstændig sektion for californiske rettigheder, adskilt fra din GDPR-tekst, da rettighederne ikke er identiske.
- Byg en proces for “Consumer Requests” (indsigt, sletning, korrektion), som kan verificere identitet uden at kræve mere data end nødvendigt.
- Klassificer, om du behandler “sensitive personal information” under CPRA, og tilføj en “Limit the Use of My Sensitive Personal Information”-mulighed hvis relevant.
- Dokumentér databehandleraftaler med amerikanske leverandører, så de matcher både GDPR’s artikel 28 og CPRA’s krav til “service providers”.
- Gennemgå, om andre delstatslove (Virginia, Colorado, Texas) også aktiveres af din kundebase, og udvid dokumentationen tilsvarende.
Omvendt, hvis du allerede er CCPA-compliant og skal ind på det europæiske marked, er den største omstilling at skifte fra opt-out til opt-in for markedsføring og at indføre en fuld retlig-grundlag-vurdering for hver databehandlingsaktivitet, noget amerikansk lovgivning ikke kræver i samme detaljegrad.
Tidsforbruget varierer meget efter virksomhedens størrelse. Et lille SaaS-team på fem til ti ansatte kan typisk gennemføre de otte trin ovenfor på fire til seks uger, hvis persondata allerede er kortlagt fra GDPR-arbejdet. En større organisation med flere systemer, tredjepartsintegrationer og et etableret marketing-setup bør regne med tre til seks måneder, især hvis “Do Not Sell or Share”-mekanismen skal integreres med eksisterende CRM- og annonceplatforme.
Anbefalinger: Hvilken model passer til din virksomhed?
Compliance-strategien bør tilpasses forretningsmodellen, ikke kopieres blindt fra en generisk skabelon. Her er seks konkrete anbefalinger til forskellige typer af nordiske virksomheder.
- Nordisk SaaS-selskab med amerikanske kunder: Byg compliance på GDPR-niveau som fundament, og læg et separat CCPA-lag ovenpå med eget opt-out-flow. Det er billigere end at bygge to parallelle systemer fra bunden.
- Dansk webshop med lejlighedsvist salg til USA: Tjek faktisk omsætning fra californiske kunder mod 25 mio. USD-grænsen, før du investerer i fuld CCPA-compliance. Mange mindre webshops falder simpelthen uden for loven.
- Offentlig myndighed eller kommune: Fokusér udelukkende på GDPR og nationale regler fra Datatilsynet. CCPA er irrelevant, medmindre myndigheden sælger data kommercielt, hvilket typisk er udelukket.
- Sundhedsteknologi og medico: Behandl al data som “særlige kategorier” under GDPR og “sensitive personal information” under CPRA samtidig. Kravene overlapper langt hen ad vejen, så en fælles, skærpet proces er mest effektiv.
- Gaming- og app-udviklere med globale brugere: Implementer alders- og lokationsbaseret logik, der automatisk viser opt-in-samtykke til EU-brugere og opt-out-link til californiske brugere, styret af IP eller kontoland.
- Marketingbureauer og adtech: Behandl tredjepartscookies og data-delingsaftaler som højrisikoområde under begge love. Det er her de fleste bøder i praksis udspringer, både i EU og Californien.
Fælles for alle seks anbefalinger er, at compliance-arbejdet bliver markant billigere, når det bygges som ét integreret system frem for to separate spor. De virksomheder, der klarer sig bedst gennem både GDPR- og CCPA-revisioner, er typisk dem, der har investeret i en samlet dataoversigt (et “data mapping”-dokument), der viser præcis, hvilke systemer der behandler hvilke oplysninger om hvilke brugergrupper, uanset om brugeren sidder i Aarhus eller Los Angeles.
Fordele og ulemper ved GDPR og CCPA
Ingen af de to love er perfekte, og begge har markante styrker og svagheder afhængig af, om du spørger en forbruger eller en virksomhed.
Fra en dansk virksomheds synsvinkel er GDPR’s største styrke også dens største ulempe: den samme høje standard gælder for en enkeltmandsvirksomhed og en multinational koncern, hvilket kan føles urimeligt tungt for de mindste aktører. CCPA’s tærskelmodel er mere proportional, men skaber til gengæld et hul, hvor mellemstore virksomheder lige under grænsen kan indsamle data relativt frit, hvilket kritikere peger på som lovens svageste punkt.
Fra en forbrugers synsvinkel vipper vægtskålen omvendt. En europæisk borger kan klage gratis til en offentlig myndighed og forvente et svar uden selv at skulle føre sag, mens en californisk forbruger typisk skal aktivere sin egen opt-out eller i sjældnere tilfælde selv anlægge et søgsmål for at få erstatning. GDPR lægger med andre ord arbejdet hos myndigheden, mens CCPA i højere grad lægger det hos den enkelte forbruger, hvilket er den samme opt-in versus opt-out-logik, der går igen gennem hele sammenligningen.
| Fordele | Ulemper | |
|---|---|---|
| GDPR | Bred beskyttelse, høje bøder skaber reel efterlevelse, ensartet regelsæt i 30 lande | Tung administrativ byrde, uklare gråzoner om legitim interesse, dyrt for små virksomheder |
| CCPA/CPRA | Enklere for små virksomheder under tærsklerne, klar privat søgsmålsret ved databrud | Kun californiske borgere beskyttet, opt-out lægger byrden på forbrugeren, lavere bøder pr. sag |
Konklusion: Hvad vinder i 2026, GDPR eller CCPA?
Der er intet reelt “vinder” mellem GDPR og CCPA, fordi de løser forskellige problemer for forskellige jurisdiktioner. Men tallene peger på, at GDPR har den hårdeste økonomiske slagkraft: 6,11 milliarder euro i samlede bøder pr. marts 2026 ifølge CMS Law, mod CCPA’s langt yngre historik på omkring 3,8 millioner dollar i 2025 alene. Forskellen skyldes dels GDPR’s otte år længere levetid, dels den markant højere bødeloft på 4 procent af global omsætning.
For en dansk eller nordisk virksomhed er konklusionen praktisk: byg dit compliance-fundament på GDPR, fordi det er det strengeste regelsæt, du allerede er underlagt. Læg derefter et tyndere CCPA-lag ovenpå, hvis du rent faktisk sælger til californiske kunder og rammer omsætningstærsklen. Den tilgang dækker langt de fleste andre amerikanske delstatslove som en sidegevinst, og den forbereder dig samtidig på, at flere delstater med stor sandsynlighed strammer deres egne regler yderligere i 2027.
Hold øje med tre ting i resten af 2026: udfaldet af EU’s forenklingsforslag, som kan ændre den administrative byrde uden at røre bødeloftet, CPPA’s fortsatte enforcement-tempo efter Tractor Supply-sagen, og om flere amerikanske delstater vælger at indføre en privat søgsmålsret svarende til Californiens. Sker det sidste, bliver forskellen mellem GDPR og det amerikanske lappetæppe mindre, end den er i dag.
Ofte stillede spørgsmål om GDPR vs CCPA
Skal en dansk virksomhed overholde CCPA, hvis den ikke har kontor i USA?
Ja, hvis virksomheden sælger til eller markedsfører mod californiske forbrugere og opfylder mindst én af tærsklerne, typisk 25 millioner dollar i årlig omsætning eller behandling af data for et stort antal californiske husstande. Fysisk tilstedeværelse i USA er ikke et krav.
Hvilken lov har de højeste bøder, GDPR eller CCPA?
GDPR har det højeste teoretiske loft med op til 20 millioner euro eller 4 procent af global omsætning. CCPA opererer med lavere beløb pr. overtrædelse (op til cirka 7.988 dollar), men kan samlet blive dyrere ved databrud, der rammer mange forbrugere samtidig, fordi hver berørt person kan udløse et separat krav.
Kan jeg bruge det samme cookiebanner til både GDPR og CCPA?
Ikke direkte. GDPR kræver et opt-in-banner, hvor sporing er slået fra som standard. CCPA kræver i stedet et synligt opt-out-link. De fleste compliance-platforme løser det ved at vise forskellige samtykkeflows baseret på brugerens geografiske placering.
Gælder GDPR for amerikanske virksomheder uden kontor i EU?
Ja, hvis virksomheden tilbyder varer eller tjenester til personer i EU eller overvåger deres adfærd, for eksempel via en webshop, der leverer til Danmark, eller en app, der sporer EU-brugeres lokation.
Hvad er forskellen på CCPA og CPRA?
CCPA var den oprindelige lov fra 2020. CPRA er en udvidelse, godkendt ved folkeafstemning i 2020 og fuldt indfaset i 2023, som blandt andet oprettede tilsynsmyndigheden CPPA, indførte kategorien “sensitive personal information” og fjernede den tidligere 30-dages frist til at rette fejl, før en bøde kunne udstedes.
Skal jeg udpege en Data Protection Officer under CCPA ligesom under GDPR?
Nej. CCPA/CPRA har intet formelt krav om en DPO. GDPR kræver til gengæld en DPO ved storskala-behandling af følsomme data eller systematisk overvågning af personer, hvilket rammer mange tech- og adtech-virksomheder.
Hvilke andre amerikanske delstate bør jeg holde øje med efter Californien?
Virginia, Colorado, Connecticut, Utah og Texas har alle vedtaget egne privatlivslove med lighedstræk til CCPA, primært opt-out-baseret og håndhævet af den lokale justitsminister uden privat søgsmålsret. Flere delstater ventes at følge efter i de kommende år.
Findes der en samlet føderal privatlivslov i USA, der erstatter delstatslovene?
Nej. Forslaget American Data Privacy and Protection Act (ADPPA) har været behandlet i Kongressen flere gange, men er endnu ikke vedtaget. Indtil videre skal amerikanske og udenlandske virksomheder navigere efter hver enkelt delstats egen lov, med Californiens CCPA/CPRA som den mest modne og strengest håndhævede.
Related Coverage
- GDPR-bøder: Datatilsynet Melder 9.849 Databrud [2026]
- Uber Rammes af 825 Mio. Euro GDPR-Bøde [2026]
- Elkjøp Får 20 Mio. NOK GDPR-Bøde, Norden Strammer [2026]
- Datatilsynet Strammer Cookie-Krav: Bøder op til 4% [2026]
- Novo Nordisk: 1,3 TB Stjålet, $25M Løsesum Afvist [2026]
- Proton Mail vs Tutanota: 9,99 vs 8 €/md [2026]
Se også vores samlede dækning af privatliv og databeskyttelse for flere analyser af GDPR, cookies og amerikansk lovgivning.
