En dom fra Aarhus fastslog for nylig noget, som mange virksomhedsjurister i Danmark allerede havde regnet ud: en bøde anbefalet af Datatilsynet er ikke det samme som en bøde, nogen rent faktisk betaler. I sagen mod IDdesign (ILVA) endte en indstillet bøde på 1,5 millioner kroner med at lande på 100.000 kroner i retten, et fald på 93 procent. Sagen gik hele vejen til EU-Domstolen, og resultatet kaster nyt lys over en model, som kun Danmark og Estland bruger til at håndhæve databeskyttelsesreglerne.
Mens tilsynsmyndighederne i Sverige, Norge, Finland, Tyskland og Frankrig kan udstede bøder direkte til virksomheder, må den danske myndighed nøjes med at anbefale et beløb og sende sagen videre til politiet. Herfra er det domstolene, der afgør, om der overhovedet skal betales noget, og hvor meget. Den konstruktion har eksisteret siden 2018, men det er først nu, med en ny EU-dom og en ventende rekordsag mod it-virksomheden Netcompany, at dens konsekvenser bliver tydelige for alvor.
Sådan fungerer den danske bødemodel
GDPR giver som udgangspunkt nationale tilsynsmyndigheder ret til at udstede administrative bøder direkte til virksomheder, der bryder reglerne. Sådan fungerer det i stort set hele EU. Men artikel 83, stk. 9, i forordningen åbner en undtagelse for lande, hvis retssystem ikke tillader administrative bøder fra en myndighed. Denne undtagelse, som også nævnes i forordningens betragtning 151, gælder kun for to lande: Danmark og Estland.
I praksis betyder det, at Datatilsynet ikke kan trykke på en knap og sende en bøde til en virksomhed, sådan som CNIL kan i Frankrig eller BfDI kan i Tyskland. I stedet undersøger Datatilsynet sagen, konkluderer om der er sket en overtrædelse, og “indstiller” et beløb. Sagen bliver derefter meldt til politiet, som efterforsker den strafferetligt, før den endelige afgørelse om skyld og bødestørrelse træffes af en domstol. Det er domstolen, ikke Datatilsynet, der har det sidste ord.
Denne to-trins proces tager tid. Mens en fransk eller tysk virksomhed kan modtage en bøde inden for måneder efter en afgørelse fra tilsynet, kan en dansk sag trække ud i flere år, fordi den skal gennem både politi, anklagemyndighed og domstolssystem. Og som ILVA-sagen viser, er der ingen garanti for, at retten lander på det beløb, Datatilsynet oprindeligt pegede på.
ILVA-sagen: Fra 1,5 millioner til 100.000 kroner
Sagen, der satte den danske model på prøve, handlede om møbelkæden ILVA og søsterselskabet IDdesign. Datatilsynet vurderede, at virksomhederne havde overtrådt GDPR og indstillede en bøde på 1,5 millioner kroner. Sagen blev sendt videre til domstolssystemet, hvor Retten i Aarhus endte med at idømme en bøde på blot 100.000 kroner, langt under Datatilsynets anbefaling.
Forskellen mellem de to beløb rejste et principielt spørgsmål: Hvordan skal en dansk domstol overhovedet beregne loftet for en GDPR-bøde? Forordningen kobler bødeloftet til en virksomheds globale årsomsætning, men det var uklart, om domstolen skulle se på ILVA isoleret eller på hele den koncern, selskabet indgår i. Det spørgsmål endte som en præjudiciel forelæggelse for EU-Domstolen, registreret som sag C-383/23.
EU-Domstolens afgørelse i sag C-383/23
EU-Domstolen afgjorde sagen med henvisning til sin tidligere praksis fra Deutsche Wohnen-sagen (C-807/21). Konklusionen var klar: Når man beregner bødeloftet, skal man se på, om virksomheden indgår i en “undertaking” i konkurrenceretlig forstand, altså om moderselskab og datterselskaber reelt agerer som én økonomisk enhed. Hvis det er tilfældet, er det den samlede koncernomsætning, der afgør bødeloftet, ikke kun det enkelte selskabs regnskab.
Mindst lige så vigtigt for Danmark bekræftede EU-Domstolen, at artikel 83, stk. 9, gælder på samme måde, når en bøde fastsættes af en national domstol i en straffesag, som når den fastsættes administrativt af et tilsyn. Med andre ord legitimerede dommen den danske model. Så længe bøden reelt virker afskrækkende og står mål med en administrativ bøde andre steder i EU, accepterer EU-Domstolen, at Danmark og Estland gør det på deres egen måde. Du kan læse hele afgørelsen i EU-Domstolens sagsarkiv for C-383/23.
Det er en vigtig nuance. Dommen kritiserer ikke den danske konstruktion i sig selv, men den efterlader et åbent spørgsmål om, hvorvidt en bøde, der beskæres med 93 procent i forhold til myndighedens indstilling, reelt lever op til kravet om at være effektiv, proportional og afskrækkende, som GDPR-artikel 83 foreskriver.
Netcompany og mit.dk: 15 millioner kroner i venteposition
Den næste store test af modellen kører allerede. Datatilsynet meldte i januar 2024 it-virksomheden Netcompany til politiet og indstillede en bøde på mindst 15 millioner kroner, hvilket ville være den højeste GDPR-bøde i dansk historie, hvis den bliver stadfæstet. Sagen handler om den offentlige digitale postløsning mit.dk, hvor Datatilsynet fandt, at Netcompany ikke havde indbygget tilstrækkelig sikkerhed i løsningens design, og at der manglede en fyldestgørende konsekvensanalyse før lanceringen.
Ved udgangen af 2026, godt to et halvt år senere, verserer sagen fortsat i retssystemet. Ingen domstol har endnu taget stilling til, om Netcompany skal betale, og i givet fald hvor meget. Det er præcis den slags forsinkelse, kritikere af den danske model peger på: En sag, der i et land med administrative bøder kunne have været afsluttet på under et år, trækker i Danmark ud over flere år, mens virksomheden i mellemtiden fortsætter driften uden en afklaret retlig risiko.
Med ILVA-præcedensen i baghovedet er det nærliggende at spørge, om en domstol også her vil lande markant under Datatilsynets indstilling. Hvis mønstret gentager sig, og en bøde på 15 millioner kroner ender et sted mellem 1 og 3 millioner, vil det for alvor sætte spørgsmålstegn ved, hvor meget reel afskrækkende effekt den danske model har over for store, veldrevne virksomheder.
Flere sager i kø hos Datatilsynet
ILVA og Netcompany er ikke enestående. Gennemgange af danske GDPR-sager viser en række andre eksempler på, at Datatilsynet har indstillet til bøder, som herefter er sendt videre i retssystemet. Advokatfirmaet SIRIUS Advokater blev indstillet til en bøde på 500.000 kroner for ikke at have indført to-faktor-godkendelse ved fjernadgang til it-systemer. Sundhedsvirksomheden Capio fik en indstilling på 1,5 millioner kroner, mens Taxa 4×35 blev indstillet til 1,2 millioner kroner. I den anden ende af skalaen indstillede Datatilsynet en bøde på 50.000 kroner mod rekrutteringsvirksomheden JobTeam.
Fælles for sagerne er, at de illustrerer bredden i, hvilke typer overtrædelser der udløser en indstilling, fra manglende multifaktor-godkendelse til svigtende sikkerhed i borgervendte it-løsninger. Men fælles er også, at det reelle udfald for de fleste af sagerne afhænger af en proces, der ligger uden for Datatilsynets kontrol, og som kan tage år at afslutte.
Danske GDPR-sager: Indstillet bøde mod udfald
| Sag | Indstillet bøde | Udfald | Status/år |
|---|---|---|---|
| ILVA / IDdesign | 1.500.000 kr. | 100.000 kr. (Retten i Aarhus) | Afgjort, stadfæstet af EU-Domstolen 2025 |
| Netcompany (mit.dk) | Mindst 15.000.000 kr. | Endnu ikke afgjort | Verserer siden januar 2024 |
| Capio | 1.500.000 kr. | Ikke offentliggjort | Under behandling |
| Taxa 4×35 | 1.200.000 kr. | Ikke offentliggjort | Under behandling |
| SIRIUS Advokater | 500.000 kr. | Ikke offentliggjort | Under behandling |
| JobTeam | 50.000 kr. | Ikke offentliggjort | Under behandling |
Danmark og Estland: De eneste to undtagelser i EU
Det er værd at slå fast, hvor isoleret den danske position faktisk er. Af EU’s 27 medlemslande er Danmark og Estland de eneste to, hvor den nationale tilsynsmyndighed ikke selv kan udstede en administrativ bøde efter GDPR-artikel 83. I alle andre medlemslande, fra Malta til Tyskland, ligger beføjelsen til at fastsætte og opkræve bøden hos selve tilsynsmyndigheden, med mulighed for virksomheden til at klage til en forvaltningsdomstol bagefter.
Den danske undtagelse skyldes ikke en modvilje mod at håndhæve databeskyttelse. Den bunder i, at dansk forfatningsret traditionelt har krævet, at bøder af strafferetlig karakter idømmes af en domstol, ikke af en forvaltningsmyndighed. Da GDPR blev forhandlet på plads, indså EU’s lovgivere, at et krav om rene administrative bøder ville kollidere med dansk og estisk retstradition, og byggede derfor undtagelsen ind i selve forordningen via betragtning 151.
Resultatet er alligevel en form for konkurrenceforvridning inden for det indre marked. En dansk virksomhed, der overtræder databeskyttelsesreglerne, kan i praksis regne med en langsommere proces og en højere sandsynlighed for, at det endelige beløb bliver reduceret markant i forhold til det, tilsynet oprindeligt vurderede. En tysk eller fransk konkurrent i samme situation står over for en hurtigere og mere forudsigelig sanktion.
Sådan håndhæver Sverige, Norge, Finland, Tyskland og Frankrig
Kigger man på nabolandene, er billedet markant anderledes. Det svenske Integritetsskyddsmyndigheten (IMY) udsteder administrative bøder direkte til virksomheder, som herefter kan klage til en forvaltningsdomstol, hvis de er uenige. Norge, der ikke er EU-medlem men implementerer GDPR via EØS-aftalen, giver sit eget Datatilsynet fuld administrativ bødemyndighed under den norske personoplysningslov.
Finlands Databeskyttelsesombudsmand har siden en reform fået et sanktionsråd, der kan udstede administrative bøder direkte, uden om domstolene i første omgang. Tyskland, hvor både forbunds- og delstatstilsyn opererer, bruger samme administrative model, og har historisk stået for nogle af de største enkeltbøder i EU. Frankrigs CNIL er kendt for at udstede store, offentligt omtalte bøder direkte til virksomheder, ofte inden for få måneder efter en afsluttet undersøgelse.
Denne forskel handler ikke kun om juridisk teknik. Den påvirker, hvor hurtigt en virksomhed kender sin risiko, og hvor stort incitamentet er til at investere i compliance på forhånd. Når en bøde kan komme hurtigt og med stor sikkerhed, som i Frankrig eller Tyskland, vejer den tungere i en risikovurdering end en dansk indstilling, der måske først bliver afgjort af en domstol flere år senere, og måske til en brøkdel af beløbet.
Håndhævelsesmodeller i Norden og EU sammenlignet
| Land | Model | Hvem fastsætter bøden | Typisk sagsbehandlingstid |
|---|---|---|---|
| Danmark | Strafferetlig | Domstol, efter politianmeldelse | Ofte 2-4 år |
| Estland | Strafferetlig | Domstol | Flere år |
| Sverige | Administrativ | Integritetsskyddsmyndigheten (IMY) | Måneder til et år |
| Norge | Administrativ | Datatilsynet (Norge) | Måneder til et år |
| Finland | Administrativ | Databeskyttelsesombudsmandens sanktionsråd | Måneder til et år |
| Tyskland | Administrativ | Delstats- og forbundstilsyn | Måneder til et år |
| Frankrig | Administrativ | CNIL | Måneder til et år |
Tal fra GDPR Enforcement Tracker: 6,31 milliarder euro
Det uafhængige GDPR Enforcement Tracker, der løbende samler offentligt kendte bøder fra hele EU og EØS, registrerede ved starten af september 2026 samlede bøder for omkring 6,31 milliarder euro siden 2018. Den tilhørende CMS-rapport for 2026 talte allerede pr. 1. marts 2026 i alt 2.685 registrerede bøder, en stigning på 440 sager i forhold til året før, med en samlet bødesum på cirka 6,11 milliarder euro for de sager, hvor beløbet er fuldt dokumenteret.
Tallene dækker hele EU og EØS under ét, og de tilgængelige kilder giver ikke et præcist land-for-land-regnskab for Danmark over for Sverige, Norge og Finland. Men mønsteret er tydeligt nok til at drage en konklusion: Lande med administrative bødemodeller, som Frankrig, Tyskland, Italien og Spanien, dominerer statistikken med et stort antal sager og høje enkeltbeløb, mens Danmark optræder langt sjældnere i opgørelserne, i takt med at få af de indstillede sager når frem til en endelig, offentliggjort dom.
Det betyder ikke nødvendigvis, at danske virksomheder overtræder reglerne sjældnere. Det betyder snarere, at flere danske sager sidder fast i systemet eller ender med beløb, der er for små til at blive talt med i de store internationale opgørelser over markante GDPR-bøder.
Historisk kontekst: Fra 2018 til i dag
Da GDPR trådte i kraft i maj 2018, var den danske model relativt uprøvet. De første år handlede Datatilsynets arbejde mest om vejledning og mindre sager, og det tog tid, før de første større indstillinger for alvor testede samspillet mellem tilsyn, anklagemyndighed og domstole. Sagen mod taxiselskabet Taxa 4×35 var blandt de tidlige eksempler på, at en indstilling fra Datatilsynet rent faktisk endte i en strafferetlig proces.
ILVA-sagen markerer på mange måder et vendepunkt, fordi den er den første danske GDPR-sag, der er endt hele vejen ved EU-Domstolen. Dommen fra 2025 giver nu et juridisk fundament, som fremtidige sager, inklusive Netcompany-sagen, kommer til at blive vurderet efter. Otte år efter GDPR trådte i kraft, har Danmark dermed for første gang fået en klar, EU-godkendt skabelon for, hvordan koncernomsætning skal indgå i beregningen af bødeloftet i strafferetlige sager.
Konsekvenser for danske virksomheder og investorer
For danske virksomheder betyder den nye retspraksis to ting på samme tid. På den ene side viser ILVA-sagen, at risikoen for en reelt stor bøde er lavere, end Datatilsynets indstillinger umiddelbart antyder. På den anden side har EU-Domstolen nu slået fast, at koncernens samlede globale omsætning kan lægges til grund for bødeloftet. Det åbner i teorien for markant større bøder mod danske datterselskaber af internationale koncerner, hvis en domstol vælger at følge Datatilsynets indstilling tættere end i ILVA-sagen.
For udenlandske investorer og moderselskaber med danske datterselskaber betyder usikkerheden om sagsbehandlingstid, at compliance-risiko i Danmark er sværere at prissætte end i lande med en administrativ model. En dansk sag kan trække ud i årevis, hvilket gør det svært for et selskab at afsætte den rette hensættelse i regnskabet. Det kan i sidste ende påvirke, hvordan udenlandske koncerner vurderer risikoen ved at placere følsomme databehandlingsopgaver i Danmark.
Samtidig er der en modsatrettet effekt. Så længe domstolene fortsætter med markant at reducere Datatilsynets indstillinger, som i ILVA-sagen, kan den danske model reelt fungere som en konkurrencefordel for virksomheder, der opererer i Danmark, sammenlignet med at drive tilsvarende databehandling i Frankrig eller Tyskland.
Kritikken af modellen: Svag håndhævelse eller bedre retssikkerhed?
Kritikere af den danske model peger på, at GDPR-artikel 83 kræver, at bøder skal være effektive, proportionale og afskrækkende. Et fald fra 1,5 millioner til 100.000 kroner rejser efter deres opfattelse tvivl om, hvorvidt det sidste krav reelt er opfyldt. Hvis virksomheder ved, at en dansk domstol historisk har landet langt under Datatilsynets indstilling, svækker det ifølge denne læsning hele formålet med at true med en bøde i første omgang.
Forsvarere af modellen fremhæver til gengæld, at en domstolsprøvelse giver virksomheder en stærkere retssikkerhed, end en ren administrativ afgørelse gør. Når en uafhængig dommer, og ikke kun tilsynet selv, tager stilling til beviser og proportionalitet, mindsker det risikoen for, at bøder bliver fastsat ud fra politisk pres eller ønsket om at statuere et eksempel. EU-Domstolens dom i ILVA-sagen kan læses som en bekræftelse af, at denne balance er lovlig, så længe den samlede sanktion reelt virker afskrækkende.
Ingen af de tilgængelige kilder peger på, at hverken Det Europæiske Databeskyttelsesråd eller EU-Kommissionen offentligt har kritiseret den danske model som utilstrækkelig i 2026. EU-Domstolens afgørelse tyder snarere på en form for institutionel accept, kombineret med en klar præcisering af, hvordan bødeloftet skal beregnes fremover.
Hvad sker der nu: Netcompany og fremtidige sager
Alle øjne er nu rettet mod, hvornår og hvordan Netcompany-sagen bliver afgjort. Med ILVA-dommen som juridisk skabelon skal en kommende domstol tage stilling til, om Netcompanys globale koncernomsætning skal lægges til grund for bødeloftet, og om de 15 millioner kroner, Datatilsynet indstillede i januar 2024, er et rimeligt udgangspunkt, eller om beløbet skal reduceres markant, som det skete for ILVA.
Udfaldet får betydning langt ud over den enkelte sag. Det vil vise, om ILVA-reduktionen på 93 procent var en enlig svale, eller om det er blevet den nye norm for, hvordan danske domstole forholder sig til Datatilsynets indstillinger i store, komplekse it-sager.
Fem forudsigelser for GDPR-håndhævelsen i Danmark
- Netcompany-sagen trækker ud til 2027. Med retssystemets nuværende sagsbehandlingstid for GDPR-sager er det usandsynligt, at der falder en endelig dom før tidligst engang i 2027.
- Flere sager ender under Datatilsynets indstilling. ILVA-præcedensen giver domstolene et klart eksempel at læne sig op ad, når de skal vurdere proportionalitet i fremtidige sager.
- Debatten om at ændre den danske model tager til. Jo flere store, forsinkede sager der dukker op, desto mere sandsynligt er det, at politikere og erhvervsliv rejser spørgsmålet om, hvorvidt Danmark bør give Datatilsynet administrativ bødemyndighed.
- Koncernomsætning bliver et fast stridspunkt. Efter EU-Domstolens afklaring i C-383/23 vil flere danske sager med udenlandske moderselskaber se advokater kæmpe specifikt om, hvilken del af koncernen der tæller med i bødeloftet.
- Danmark forbliver en outlier i internationale opgørelser. Så længe den strafferetlige model består, vil Danmark fortsat fylde forholdsvis lidt i globale GDPR-bødestatistikker sammenlignet med sin økonomiske størrelse.
Ofte stillede spørgsmål om GDPR-bøder i Danmark
Hvorfor kan Datatilsynet ikke selv give bøder?
Dansk retstradition kræver historisk, at bøder af strafferetlig karakter idømmes af en domstol og ikke af en forvaltningsmyndighed. GDPR-artikel 83, stk. 9, og betragtning 151 giver derfor Danmark og Estland lov til at lade domstolene fastsætte den endelige bøde efter en indstilling fra tilsynet.
Hvad var udfaldet i ILVA-sagen?
Datatilsynet indstillede en bøde på 1,5 millioner kroner mod ILVA/IDdesign. Retten i Aarhus idømte i stedet en bøde på 100.000 kroner, og EU-Domstolen bekræftede efterfølgende i sag C-383/23, at den danske model er lovlig, samtidig med at den præciserede, hvordan bødeloftet skal beregnes ud fra koncernomsætning.
Hvor stor er Netcompany-bøden, og hvornår afgøres den?
Datatilsynet indstillede i januar 2024 en bøde på mindst 15 millioner kroner mod Netcompany i forbindelse med sikkerhedsproblemer i mit.dk. Ved udgangen af 2026 verserer sagen fortsat i retssystemet, og der er endnu ikke faldet dom.
Hvilke andre EU-lande bruger en lignende model?
Estland er det eneste andet EU-land, der har samme undtagelse som Danmark. Alle øvrige 25 EU-medlemslande lader deres tilsynsmyndighed udstede administrative bøder direkte, med mulighed for at klage til en forvaltningsdomstol.
Betyder EU-Domstolens dom, at Danmark skal ændre sin model?
Nej. Dommen i sag C-383/23 bekræfter, at den danske strafferetlige model er forenelig med GDPR, så længe de fastsatte bøder reelt er effektive, proportionale og afskrækkende. Dommen ændrer ikke selve strukturen, men præciserer beregningsgrundlaget for bødeloftet.
Hvor mange GDPR-bøder er der udstedt i EU samlet set?
Ifølge GDPR Enforcement Tracker var der ved starten af september 2026 registreret bøder for omkring 6,31 milliarder euro på tværs af EU og EØS siden 2018. CMS’ rapport for 2026 talte 2.685 sager pr. 1. marts 2026, en stigning på 440 i forhold til året før.
Rammer den danske model kun store virksomheder?
Nej. Indstillingerne spænder bredt, fra 50.000 kroner mod rekrutteringsvirksomheden JobTeam til 15 millioner kroner mod Netcompany. Modellen gælder for alle virksomheder og offentlige aktører i Danmark uanset størrelse, men konsekvenserne af den lange sagsbehandlingstid mærkes typisk hårdest i store, komplekse sager.
Kan en virksomhed undgå en bøde helt ved at trække sagen i langdrag?
Ikke i praksis. Sagerne følger de almindelige strafferetlige forældelsesregler, og hverken Datatilsynet eller anklagemyndigheden lader en sag falde bort, blot fordi den tager tid. Men den lange proces betyder, at virksomheder i praksis kan operere i årevis under en uafklaret bøderisiko, før der falder endelig dom.
