To databroker-virksomheder i USA er på få uger blevet ramt af bøder fra Californiens privatlivsmyndighed, og sagerne tegner et billede af en ny type tilsyn, som Europa endnu ikke har en direkte pendant til. Den 11. august 2026 beordrede California Privacy Protection Agency (CPPA, der også kalder sig CalPrivacy) databrokeren LocateSmarter LLC til at betale 116.490 dollar. Tre uger senere, den 1. september 2026, fulgte endnu en bøde, denne gang 36.400 dollar til Virginia-baserede SalesIntel Research. Det var den ottende sag i det, myndigheden selv kalder en løbende tilsynsindsats mod registreringspligtige virksomheder, der handler med amerikanernes persondata uden at følge reglerne.
For danske og nordiske læsere er sagerne interessante af to grunde. Først fordi de samme amerikanske databrokere, der nu bliver straffet i Californien, ofte også sælger oplysninger om europæere, som rejser, handler eller arbejder i USA, eller hvis data flyder gennem internationale datapartnere. Dernæst fordi Californiens model, et offentligt register kombineret med én fælles sletteplatform for hele databroker-branchen, er markant anderledes end den måde, Datatilsynet og de øvrige europæiske tilsyn håndterer persondata på. Hvor GDPR giver borgere individuelle rettigheder over for hver enkelt dataansvarlig, har Californien bygget noget, der ligner et centralt slettekontor for en hel industri. Det rejser et oplagt spørgsmål: kan EU lære noget af det, eller er det amerikanske system i virkeligheden svagere, end det ser ud til?
Hvad er sket: to bøder, otte sager, én lov
Baggrunden for begge sager er Californiens Delete Act (Senate Bill 362), som trådte i kraft 1. januar 2026. Loven kræver, at enhver virksomhed, der handler med persondata om tredjeparter uden direkte kunderelation, altså en databroker, registrerer sig hos CalPrivacy hver januar og betaler et årligt gebyr. Registreringen fodrer et offentligt register og en fælles sletteplatform kaldet DROP (Delete Request and Opt-out Platform), som gør det muligt for en californisk borger at sende én sletteanmodning, der dækker alle registrerede brokere på én gang i stedet for at skulle kontakte hver virksomhed separat.
LocateSmarter-sagen er ifølge CalPrivacy selv den første, hvor myndigheden har brugt både CCPA (California Consumer Privacy Act) og Delete Act i samme sanktion. Ifølge den officielle kendelse fra CalPrivacy havde LocateSmarter ikke nået at registrere sig inden fristen 31. januar 2026, samtidig med at virksomheden krævede, at forbrugere oplyste dele af deres personnummer for overhovedet at kunne frabede sig videresalg af egne data, en praksis, der i sig selv er i strid med CCPA’s krav om lette fravalgsmuligheder. SalesIntel-sagen, som kom tre uger senere, handlede isoleret om, at virksomheden drev databroker-forretning i hele 2025 uden at være registreret overhovedet.
Begge sager er dokumenteret direkte af myndigheden selv. CalPrivacy skriver i sin egen pressemeddelelse, at “CalPrivacy har bragt sin første håndhævelsessag mod en databroker under både CCPA og Delete Act”, og den fulde kendelse ligger offentligt tilgængelig som underskrevet aftale mellem agenturet og LocateSmarter.
Bødebeløbene i detaljer: sådan er de 116.490 dollar sat sammen
Det samlede beløb i LocateSmarter-sagen er ikke én bøde, men tre separate poster, der tilsammen udgør 116.490 dollar. Det er en vigtig detalje, fordi den viser, hvordan de to love supplerer hinanden i praksis frem for at overlappe. CCPA-delen straffer den ulovlige fravalgspraksis, Delete Act-delen straffer den sene registrering, og registreringsgebyret er simpelthen den betaling, virksomheden skulle have lagt fra starten.
| Post | Beløb (dollar) | Juridisk grundlag |
|---|---|---|
| CCPA-administrativ bøde (ulovlig fravalgspraksis) | 79.890 | California Consumer Privacy Act |
| Delete Act-administrativ bøde (sen registrering) | 30.600 | Civil Code § 1798.99.82(c) |
| Årligt registreringsgebyr for 2026 | 6.000 | Delete Act registreringskrav |
| Samlet beløb, LocateSmarter LLC | 116.490 |
Til sammenligning var SalesIntels bøde på 36.400 dollar mere enkel i sin opbygning, fordi den alene handlede om den udeblevne registrering for 2025, uden den skærpende omstændighed om ulovlig fravalgspraksis, som gjorde LocateSmarter-sagen dyrere. Ifølge et sammendrag fra juridiske rådgivere hos Dechert, offentliggjort 3. september 2026, er netop kombinationen af to lovgrundlag i samme sag det, der gør LocateSmarter til en principiel afgørelse, mens SalesIntel-sagen primært fungerer som endnu et eksempel på, at CalPrivacy nu håndhæver registreringspligten systematisk.
De to virksomheder: hvad data handler de med
LocateSmarter er en mindre, Iowa-baseret databroker, der ifølge kendelsen solgte persondata indsamlet fra tredjeparter, heriblandt navne, kontaktoplysninger, fødselsdatoer og personnumre, altså nogle af de mest følsomme identitetsoplysninger, der findes. SalesIntel Research fra Virginia opererer i en helt anden skala. Virksomhedens egen markedsføring beskriver en database med over 200 millioner professionelle kontakter og 54 millioner amerikanske mobilnumre, solgt til annoncører, der ønsker at målrette budskaber mod mennesker i det øjeblik, de skifter job, bliver forfremmet, eller flytter mellem brancher. Den type data kaldes i branchen “career-change inferences”, altså afledte data, der aldrig er indtastet af brugeren selv, men udledt af LinkedIn-aktivitet, arbejdsmail-domæner og spor efterladt på jobportaler.
Det er netop den skalaforskel, der gør sagerne interessante som par. LocateSmarter er lille og håndterer følsomme identitetsdata i bund. SalesIntel er stor og håndterer afledte, adfærdsbaserede data om karriereflow. At CalPrivacy har valgt at sanktionere begge typer inden for samme tre uger, signalerer, at myndigheden ikke kun går efter de mest følsomme oplysninger, men efter selve registreringsdisciplinen i branchen som princip.
Sammenligning af de to sager
| Parameter | LocateSmarter LLC | SalesIntel Research |
|---|---|---|
| Delstat | Iowa | Virginia |
| Dato for sanktion | 11. august 2026 | 1. september 2026 |
| Samlet bøde | 116.490 dollar | 36.400 dollar |
| Overtrædelse | Sen registrering og ulovlig fravalgspraksis (krav om delvist personnummer) | Udeblevet registrering for hele 2025 |
| Datatype i databasen | Navne, kontaktdata, fødselsdato, personnummer | 200 mio. professionelle kontakter, 54 mio. mobilnumre |
| Placering i håndhævelsesrækken | Første kombinerede CCPA/Delete Act-sag | Ottende sag i den igangværende indsats |
Hvad er DROP, og hvorfor ændrer det ikke så meget, som det lyder
DROP, Delete Request and Opt-out Platform, er kernen i Delete Act. Fra 1. januar 2026 kunne californiske borgere for første gang sende én samlet sletteanmodning, der dækker samtlige registrerede databrokere i staten, i stedet for at skulle finde og kontakte hver enkelt virksomhed manuelt. Fra 1. august 2026 blev det juridisk bindende for registrerede brokere at behandle disse anmodninger. På papiret er det en markant forenkling af en proces, der tidligere krævede research og tålmodighed fra forbrugeren selv.
Men mekanismen har en indbygget begrænsning, som også fremgår tydeligt af SalesIntel-sagen: en bøde for udeblevet registrering fjerner ikke de data, der allerede ligger i databasen. Selv efter SalesIntel er koblet på DROP, forbliver de 54 millioner mobilnumre i systemet, indtil enkeltpersoner aktivt sender sletteanmodninger. Og DROP dækker kun de omkring 500 brokere, der reelt har registreret sig i Californien, ikke de virksomheder, der fortsat opererer uregistreret, og slet ikke brokere uden for USA. En borger i Texas, Ohio eller Florida har ingen tilsvarende ret, fordi Delete Act kun gælder for californiske residenter. Det samme gælder i endnu højere grad for danskere og andre europæere, hvis data måtte befinde sig i samme databaser via internationale samarbejder eller rejseaktivitet i USA.
Det nye håndhævelsesvarsel: 200 dollar om dagen
Parallelt med de to bøder udsendte CalPrivacy den 3. september 2026 et formelt håndhævelsesvarsel, Enforcement Advisory No. 2026-01, der retter sig mod virksomheder, som indgiver forkerte eller mangelfulde oplysninger i deres registrering. Varslet gentager en bestemmelse, der allerede findes i lovteksten: en administrativ bøde på 200 dollar for hver dag, en databroker undlader at registrere sig korrekt. For en virksomhed, der er tre måneder forsinket, svarer det til et sted i omegnen af 18.000 dollar alene i forsinkelsesbøde, før selve sagsbehandlingen om de underliggende overtrædelser overhovedet begynder.
Myndighedens egne repræsentanter har ifølge Gizmodos dækning af SalesIntel-sagen fra 21. september 2026 været tydelige om, at indsatsen er systematisk snarere end enkeltstående. CalPrivacys administrerende direktør har udtalt, at den løbende håndhævelse viser, at agenturet tager fristoverskridelser seriøst, mens lederen af håndhævelsesafdelingen har beskrevet sagerne som en påmindelse til branchen om at gennemgå, hvorvidt man driver databroker-aktivitet og har registreret sig korrekt. Begge udtalelser peger i samme retning: dette er ikke en afsluttet sag, men begyndelsen på en løbende kontrolcyklus, hvor flere virksomheder må forvente at blive ramt i de kommende måneder.
Gebyret, der kan stige fra 6.000 til 9.500 dollar
Et detalje, der er værd at følge, er, at CalPrivacys bestyrelse ifølge brancherapportering skal have stemt for at hæve det årlige registreringsgebyr fra 6.000 til 9.500 dollar. Den endelige ikrafttrædelsesdato og det præcise anvendelsesområde for denne forhøjelse er endnu ikke entydigt bekræftet i de offentliggjorte regeltekster, men selv en stigning på 58 procent i det grundgebyr, hver eneste registreret broker skal betale hvert år, vil lægge et markant større finansielt pres på branchens mindre aktører. Med omkring 500 registrerede brokere i staten, og sandsynligvis flere hundrede, der endnu ikke er fanget af systemet, er der tale om en potentiel samlet gebyrindtægt i størrelsesordenen flere millioner dollar årligt til at finansiere netop den registerdrift og DROP-platform, som sagerne mod LocateSmarter og SalesIntel handler om at holde ved magt.
Markedet for databrokere: hvorfor det er så stort en forretning
Databroker-branchen lever af et simpelt princip: data, der indsamles et sted, kan sælges et andet sted, uden at den oprindelige person nogensinde bliver spurgt. En webshop registrerer et køb, en app registrerer en lokation, en jobportal registrerer en profilopdatering, og alle disse datapunkter kan i teorien videresælges til aggregatorer, der kombinerer dem til detaljerede profiler. SalesIntels forretningsmodel, hvor jobskifte og karriereudvikling omdannes til et annonceringsprodukt, er et typisk eksempel på, hvordan afledte data bliver en selvstændig vare, helt uafhængigt af, om den oprindelige bruger overhovedet er klar over, at informationen eksisterer et sted uden for den platform, de brugte.
Californiens svar har været at kræve fuld gennemsigtighed om, hvem der driver denne forretning, frem for at forbyde den. Registeret fungerer som et kort over branchen, og DROP fungerer som en fælles indgang til at kræve sig slettet fra kortet. Det er en pragmatisk model, der anerkender, at databroker-markedet ikke forsvinder, men forsøger at gøre det synligt og sporbart. Om det er en stærkere eller svagere tilgang end den europæiske, afhænger af, hvad man måler på.
Den europæiske model: ingen DROP, men et andet værn
GDPR har ikke noget, der direkte modsvarer DROP. Europæiske borgere udøver deres ret til indsigt, indsigelse og sletning direkte mod den enkelte dataansvarlige, typisk gennem virksomhedens eget kontaktpunkt for databeskyttelse. Der findes ingen central, EU-dækkende platform, hvor man kan sende én anmodning, der automatisk rammer samtlige databrokere på kontinentet. I stedet bygger EU-systemet på det, der kaldes one-stop-shop-mekanismen, hvor en virksomheds ledende tilsynsmyndighed koordinerer håndhævelsen med de øvrige landes tilsyn. Det er en institutionel samarbejdsmodel mellem myndigheder, ikke et forbrugervendt værktøj som DROP.
Datatilsynet i Danmark arbejder efter samme logik: klager behandles sag for sag, vejledning udstikkes løbende, og håndhævelse sker gennem konkrete afgørelser, som man kan følge på myndighedens egen side under datatilsynet.dk. EU’s databeskyttelsesråd, EDPB, beskriver selv tilsynsmyndighedernes rolle og håndhævelsesbeføjelser på deres officielle side om GDPR-håndhævelse. Der findes altså en koordineret tilsynsstruktur, men ingen samlet “slet mig fra alle brokere”-knap, som den californiske lovgiver har bygget specifikt til databroker-industrien.
Hvad betyder det for danske forbrugere og virksomheder
For den enkelte dansker er den mest direkte konsekvens, at man ikke har samme redskab som en californisk borger, hvis egne data skulle befinde sig hos en amerikansk databroker. GDPR giver i princippet lige så stærke individuelle rettigheder, faktisk stærkere på papiret, fordi retten til sletning gælder uafhængigt af, om virksomheden kalder sig databroker eller noget andet. Men retten skal udøves aktivt mod hver enkelt virksomhed, og uden et register, der fortæller, hvem der overhovedet har dine data, er det svært at vide, hvem man skal rette sin anmodning til. Californiens register løser netop dét problem for sine egne borgere, mens europæere fortsat må gætte sig til, hvilke aktører der kan have indsamlet deres oplysninger via tredjepartsintegrationer, rejseaktivitet eller globale annonceplatforme.
For danske virksomheder, der samarbejder med amerikanske marketingbureauer, dataanalysefirmaer eller leadgenererings-platforme, er sagerne en påmindelse om, at en del af den kædeleverandør-risiko, som også kendetegner GDPR-complianceomtalen af leverandørkæder, nu også eksisterer i USA i en skærpet form. Hvis en dansk virksomhed køber adresselister, kontaktdata eller leadlister fra en amerikansk partner, der selv kan være en uregistreret databroker under californisk lov, kan det i teorien skabe et dokumentationsproblem, hvis man senere skal bevise lovligheden af databehandlingsgrundlaget over for Datatilsynet.
Historisk kontekst: fra CCPA i 2020 til Delete Act i 2026
California Consumer Privacy Act trådte i kraft i 2020 og gav californiske borgere grundlæggende rettigheder til indsigt, sletning og fravalg af videresalg af data. Men loven havde en kendt svaghed: den krævede, at borgeren selv fandt ud af, hvilke virksomheder der havde deres data, og kontaktede dem individuelt. Delete Act, formelt Senate Bill 362, blev underskrevet i 2023 og fik fuld effekt 1. januar 2026 netop for at rette denne svaghed ved at tilføje et register og en fælles sletteplatform. LocateSmarter- og SalesIntel-sagerne er dermed de første konkrete håndhævelsesbeviser på, at den nye lov rent faktisk bider, og ikke blot er endnu en registreringspligt, virksomhederne kan ignorere uden konsekvens.
Det er samme type udviklingskurve, man har set i Europa, hvor GDPR fra 2018 først for alvor fik hård håndhævelseskraft, da de første store bøder mod techvirksomheder begyndte at falde nogle år senere. Mønsteret er velkendt: en ny lov vedtages, der går typisk et til to år, før de første håndhævelsessager materialiserer sig, og derefter accelererer antallet af sager, når myndigheden har opbygget den nødvendige sagsbehandlingskapacitet.
Konkurrencemæssig sammenligning: USA’s registermodel versus EU’s rettighedsmodel
| Egenskab | Californien (Delete Act / CCPA) | EU (GDPR) |
|---|---|---|
| Centralt register over databrokere | Ja, offentligt tilgængeligt hos CalPrivacy | Nej, intet EU-dækkende register |
| Fælles sletteplatform for hele branchen | Ja, DROP siden 1. januar 2026 | Nej, sletning sker virksomhed for virksomhed |
| Dækning | Kun californiske residenter | Alle EU/EØS-borgere, uanset hvor virksomheden sidder |
| Håndhævelsesmekanisme | CalPrivacy, enkelt myndighed | One-stop-shop mellem nationale tilsyn, koordineret af EDPB |
| Bøde for sen registrering | 200 dollar/dag, fast beløb | Ingen tilsvarende registreringsbøde, bøder beregnes efter overtrædelsens art og omsætning |
| Antal kendte håndhævelsessager i 2026 | Mindst 8 mod databrokere specifikt | Flere hundrede GDPR-sager årligt på tværs af alle brancher |
Tabellen viser, at de to systemer løser forskellige problemer. Californien har bygget en smal, men meget konkret løsning målrettet netop databroker-branchen, med et register og en fælles knap til sletning. EU har et bredere, men mere generelt rettighedssystem, der dækker alle brancher og alle typer dataansvarlige, men uden den samme centrale synlighed over, hvem der rent faktisk opererer som databroker. Ingen af modellerne er objektivt bedre, de er bygget til at løse forskellige dele af det samme problem.
Branchens reaktion og det videre forløb
Juridiske rådgivningsfirmaer i USA har efter de to sager anbefalet deres klienter at gennemgå, om de falder ind under definitionen af databroker, selv hvis de ikke selv opfatter sig som en. Analysen fra advokatfirmaet Paul Weiss peger på, at LocateSmarter-sagen signalerer øget tilsyn i hele branchen, og at virksomheder, der sælger afledte eller tredjepartsindsamlede data uden direkte kunderelation, bør forvente flere sager i den kommende periode. Det bakkes op af CalPrivacys eget mønster: otte sager på under et år tyder på en systematisk gennemgang af registret snarere end tilfældige stikprøver.
Samtidig er der stadig uklarhed om nogle af de mere tekniske detaljer, herunder det nævnte gebyrløft til 9.500 dollar og præcis hvor mange af de omkring 500 registrerede brokere, der allerede er fuldt koblet på DROP-platformen. De spørgsmål forventes klarlagt i takt med, at CalPrivacy offentliggør flere af sine løbende afgørelser og opdaterer registeret.
Fem forudsigelser for databroker-tilsyn resten af 2026 og ind i 2027
- Antallet af håndhævelsessager mod databrokere i Californien vil sandsynligvis mindst fordobles i løbet af 2027, i takt med at CalPrivacy får flere sagsbehandlere tilknyttet registertilsynet.
- Flere delstater uden for Californien vil efter al sandsynlighed fremlægge lovforslag inspireret direkte af Delete Act-modellen, herunder et register og en fælles sletteplatform, i løbet af 2026 og 2027.
- Gebyrstigningen fra 6.000 til 9.500 dollar vil, hvis den bekræftes, formentlig presse de mindste databrokere til enten at konsolidere sig eller lukke registreringspligtig aktivitet helt ned.
- EU vil med stor sandsynlighed fortsætte med at diskutere, om one-stop-shop-mekanismen skal suppleres med et mere forbrugervendt værktøj, men en konkret DROP-lignende platform er ikke ventet vedtaget på EU-niveau inden for de næste to år.
- Flere internationale databrokere med kunder eller dataindsamling, der rækker ind over Atlanten, vil blive tvunget til at dokumentere deres amerikanske registreringsstatus som led i europæiske due diligence-processer, i takt med at sager som LocateSmarter og SalesIntel bliver kendt i compliance-miljøer.
Hvordan man selv kan undersøge, om man er registreret hos en databroker
For californiske borgere er processen relativt enkel: man logger ind via CalPrivacys offentlige databroker-register, gennemgår listen over registrerede virksomheder, og sender derefter én samlet anmodning gennem DROP-platformen. For danskere og andre europæere findes der ikke en tilsvarende genvej, men man kan stadig øve sin ret til indsigt efter GDPR artikel 15 direkte mod enkelte virksomheder, man har en formodning om besidder data om sig, typisk marketingbureauer, adresselisteudbydere eller analyseplatforme, man tidligere har haft kontakt med. Datatilsynets egen vejledning om borgerrettigheder er et naturligt startpunkt, hvis man ønsker at følge samme proces i en dansk kontekst.
Ofte stillede spørgsmål
Hvad er CalPrivacy?
CalPrivacy er det officielle kaldenavn for California Privacy Protection Agency, den statslige myndighed, der administrerer og håndhæver både CCPA og Delete Act i Californien.
Hvad er Delete Act helt konkret?
Delete Act, formelt Senate Bill 362, er en californisk lov, der trådte fuldt i kraft 1. januar 2026. Den kræver, at databrokere registrerer sig årligt og tilslutter sig den fælles sletteplatform DROP, så borgere kan sende én samlet sletteanmodning til alle registrerede brokere.
Hvorfor blev LocateSmarter straffet med 116.490 dollar?
Beløbet er sammensat af en CCPA-bøde på 79.890 dollar for ulovlig fravalgspraksis, en Delete Act-bøde på 30.600 dollar for sen registrering og et registreringsgebyr på 6.000 dollar, som virksomheden skulle have betalt fra starten.
Hvad gjorde SalesIntel Research forkert?
SalesIntel drev databroker-virksomhed gennem hele 2025 uden at registrere sig hos CalPrivacy, hvilket udløste en bøde på 36.400 dollar i den ottende sag i myndighedens løbende håndhævelsesindsats.
Gælder DROP-platformen for danske eller europæiske borgere?
Nej. DROP er forbeholdt californiske residenter. Europæere må i stedet bruge deres individuelle rettigheder under GDPR og kontakte den enkelte dataansvarlige direkte, da der ikke findes en tilsvarende fælles sletteplatform i EU.
Har EU en platform, der svarer til DROP?
Ikke i dag. GDPR bygger på individuelle rettigheder og en one-stop-shop-mekanisme mellem tilsynsmyndigheder, men der findes intet centralt EU-register eller fælles sletteplatform specifikt for databrokere.
Hvor mange databrokere er registreret i Californien?
Ifølge tilgængelig rapportering er omkring 500 virksomheder registreret i Californiens databroker-register, men tallet ændrer sig løbende, i takt med at nye virksomheder registreres eller fjernes.
Kan en dansk virksomhed blive berørt af Delete Act?
Ja, hvis virksomheden sælger eller videregiver persondata om californiske residenter uden direkte kunderelation, kan den i teorien falde ind under lovens definition af databroker, uanset hvor virksomheden selv har hovedsæde.
