Datatilsynet har sat cookies og online-sporing øverst på sin liste over indsatsområder for 2026. Meldingen kom den 19. januar 2026, og den betyder, at danske virksomheder nu står over for en koordineret kontrol fra to statslige myndigheder samtidig. Samme mønster ses i hele Norden, hvor tilsynsmyndigheder i Sverige, Norge, Finland og Island har strammet samarbejdet om grænseoverskridende sager. For danske virksomheder, techledere og udviklere, der bygger cookie-bannere og trackingløsninger, er beskeden klar: den tid, hvor et halvfærdigt samtykke-flow kunne glide under radaren, er ved at være forbi.
Denne artikel gennemgår, hvad Datatilsynets nye prioritering faktisk indeholder, hvilke tal der ligger bag den stigende håndhævelse i EU, og hvad det betyder for virksomheder, der opererer i Danmark og resten af Norden. Vi ser også på historikken, sammenligner Danmark med de øvrige nordiske lande, og runder af med konkrete bud på, hvor udviklingen bevæger sig hen frem mod 2027.
Datatilsynets nye fokus: cookies og “et reelt nej”
Da Datatilsynet offentliggjorde sin liste over indsatsområder for 2026, landede cookies og tracking helt i toppen. Kernen i meldingen er ikke ny lovgivning, men en skærpet fortolkning af noget, der allerede står i databeskyttelsesforordningen: brugeren skal have “en reel mulighed for at sige nej” til sporing. Det lyder banalt, men i praksis rammer det store dele af det danske internet, hvor cookie-bannere i årevis har været designet til at gøre accept let og afvisning besværligt.
Det særlige ved 2026-indsatsen er, at Datatilsynet ikke kontrollerer alene. Myndigheden har koblet sig sammen med Digitaliseringsstyrelsen, så to statslige aktører nu kigger på samtykkepraksis på danske hjemmesider parallelt. Det giver en bredere kontrolflade, fordi de to myndigheder dækker forskellige dele af det digitale landskab, fra offentlige selvbetjeningsløsninger til kommercielle websites. For en virksomhed betyder det i praksis dobbelt så stor risiko for at blive udtaget til kontrol, uanset om den opererer i den offentlige eller private sektor.
Konkret har Datatilsynet peget på fem praksisser, der vil være i søgelyset: mørke mønstre (dark patterns), cookie-mure der spærrer for indhold medmindre man accepterer sporing, forudafkrydsede samtykkebokse, knapper hvor “Accepter” er visuelt fremhævet mens “Afvis” er gemt væk, og manglende mulighed for granulært samtykke til forskellige formål. Det er ikke eksotiske overtrædelser. Det er den samme cookie-banner-arkitektur, som en stor del af danske virksomheder har brugt siden 2018, uden at nogen for alvor har testet den mod loven.
Tallene bag håndhævelsen: 1,1 mia. euro i bøder i 2025
Det Europæiske Databeskyttelsesråd, EDPB, offentliggjorde i 2026 sin årsrapport for 2025, og tallene viser en klar optrapning. På tværs af EU/EØS udstedte de nationale tilsynsmyndigheder bøder for i alt 1.145.760.374 euro i løbet af 2025. Det er ikke et nyt rekordår i sig selv, men det bekræfter, at GDPR-håndhævelse for længst har bevæget sig fra enkeltsager til et fast, tilbagevendende pres på virksomheder i hele EU.
De nordiske tal ser små ud ved siden af de store irske og luxembourgske sager mod techgiganter, men de fortæller en anden historie. Ifølge samme EDPB-rapport udstedte det norske Datatilsynet én bøde på 22.000 euro i 2025, mens det svenske IMY stod for tre bøder til en samlet værdi af 23.350 euro. Det er beskedne beløb sammenlignet med de hundredvis af millioner, som er faldet i sager mod globale techselskaber, men det viser, at selv de mindre nordiske myndigheder aktivt bruger deres sanktionsmuligheder, og at ingen virksomhed er for lille til at blive udtaget til kontrol.
CMS Law’s GDPR Enforcement Tracker Report, med data frem til 1. marts 2026, registrerer nu 2.685 offentliggjorte bøder i databasen på tværs af EU, en stigning på 440 sager i forhold til året før. Det underliggende mønster er entydigt: antallet af sager stiger år for år, og cookies og sporing er blevet et af de områder, hvor tilsynsmyndighederne kan handle relativt hurtigt, fordi overtrædelserne ofte er synlige direkte på en hjemmeside uden behov for dybdegående teknisk revision.
| Land | Antal bøder (2025) | Samlet bødebeløb (2025) | Status på cookie-indsats 2026 |
|---|---|---|---|
| Danmark | Ikke separat opgjort i EDPB-rapport | Op til 20 mio. euro eller 4 % af global omsætning ved grove sager | Cookies og tracking er officielt topprioritet, koordineret med Digitaliseringsstyrelsen |
| Norge | 1 | 22.000 euro | Fjernede krav om forhåndsgodkendelse af kameraovervågning fra 1. april 2025 |
| Sverige | 3 | 23.350 euro | Del af nordisk samarbejdsklynge om grænseoverskridende sager |
| EU/EØS samlet | 2.685 registrerede sager (frem til marts 2026) | 1.145.760.374 euro (2025) | Fortsat stigende sagsantal ifølge CMS Enforcement Tracker |
Sådan fungerer bødesystemet i Danmark
Danmark har en systemmæssig særhed, som mange udenlandske virksomheder overser: Datatilsynet kan ikke selv udstede bøder. I modsætning til de fleste andre europæiske tilsynsmyndigheder skal danske GDPR-sager, hvor der skal falde en bøde, sendes videre til politi og domstole. Datatilsynet fungerer i stedet primært som en instans, der udsteder offentlig kritik og bindende påbud, som i visse tilfælde kan betyde et decideret forbud mod at behandle bestemte typer data. Det så man tidligere i sagen om Google Workspace i folkeskolerne, hvor kommunernes brug af værktøjet blev stoppet efter kritik fra Datatilsynet.
Det betyder ikke, at bøder er fravær af risiko i Danmark. Maksimumrammen følger GDPR fuldt ud: op til 20 millioner euro eller 4 procent af den globale årsomsætning, alt efter hvad der er højest. To eksempler illustrerer, hvordan det ender i praksis. Datatilsynet anbefalede en bøde på 1,2 millioner kroner mod taxaselskabet Taxa 4×35 for at have opbevaret data fra 9 millioner ture længere end selskabets egen slettefrist tilsagde. I en anden sag idømte domstolene møbelkæden ILVA en bøde på 1 million kroner for overtrædelser af GDPR. Begge sager handlede om datahåndtering og sletning, ikke om cookies direkte, men de viser, at det danske domstolssystem rent faktisk følger Datatilsynets anbefalinger igennem til en reel sanktion.
Der er også en klar tidsfrist-komponent i det danske system, som virksomheder ofte glemmer. Ved sikkerhedsbrud skal en dataansvarlig anmelde hændelsen inden for 72 timer via Virk.dk’s blanket til brud på persondatasikkerheden. Datatilsynet forventer en skriftlig risikovurdering til hver eneste hændelse, og myndigheden offentliggør løbende detaljerede afgørelser om, hvordan konkrete brud er blevet håndteret. Det giver en form for gennemsigtighed, der lægger et ekstra lag af omdømmemæssigt pres oven på den juridiske risiko.
Det nordiske mønster: samarbejde på tværs af grænser
Danmarks cookie-indsats sker ikke i et vakuum. På det nordiske tilsynsmøde den 28. maj 2025 aftalte myndighederne fra Danmark, Sverige, Norge, Finland og Island at styrke samarbejdet om informationssikkerhed og grænseoverskridende sager. Baggrunden er banal, men vigtig: mange af de tjenester, nordiske forbrugere bruger dagligt, drives af selskaber, der opererer på tværs af alle fem lande samtidig, og en isoleret dansk indsats rammer kun en brøkdel af problemet, hvis samme tracking-kode kører uændret i Stockholm og Helsinki.
En analyse fra juridiske rådgivere i juni 2026 peger på, at Danmark, Finland, Norge og Sverige nu udgør en veldefineret nordisk klynge af tilsynsmyndigheder, der sammen med Irland og Nederlandene fokuserer på langvarige, højrisiko-sager mod globale techselskaber. Det er en interessant udvikling, fordi Norden traditionelt er blevet betragtet som et mindre aggressivt håndhævelsesmiljø end for eksempel Irland, hvor de fleste amerikanske techselskaber har deres europæiske hovedkvarter. Cookie-indsatsen i 2026 kan ses som et signal om, at den opfattelse er ved at ændre sig.
De enkelte lande har dog stadig deres egne særregler, som gør compliance-arbejdet mere komplekst end en simpel “følg GDPR”-tilgang. Danmark har for eksempel særlige regler for brug af CPR-numre i databeskyttelseslovens paragraf 11, som begrænser, hvornår virksomheder må bruge det danske personnummer, og stiller krav om ekstra hjemmel og sikkerhedsforanstaltninger. Sverige gik den modsatte vej på et andet område: fra 1. april 2025 fjernede landet kravet om forhåndsgodkendelse for mange typer kameraovervågning, men strammede til gengæld oplysningspligten. Norge har endnu ikke en fast dato for, hvornår NIS2 træder i kraft i EØS-retten, hvilket skaber en vis usikkerhed om, hvornår cybersikkerhedskravene fuldt ud smelter sammen med databeskyttelsesreglerne der.
Hvorfor cookies er blevet det oplagte indsatsområde
Der er en praktisk grund til, at cookie-bannere er endt øverst på Datatilsynets liste frem for mere komplekse databehandlingsspørgsmål. En cookie-banner er synlig for enhver, der besøger en hjemmeside. Det kræver ingen adgang til interne systemer, ingen dataindsigtsbegæring og ingen teknisk revision af en backend for at konstatere, om en knap er farvet grøn og fremhævet, mens den anden er grå og gemt i et undermenu. Det gør cookie-overtrædelser til lavthængende frugt for en tilsynsmyndighed, der skal vise resultater med begrænsede ressourcer.
Samtidig er cookies og tracking den del af GDPR, som almindelige forbrugere rent faktisk møder dagligt, og som derfor er lettest at forklare politisk og medievenligt. En sag om skjulte datastrømme mellem serverparker er svær at formidle. En sag om, at man ikke kunne finde “Afvis alle”-knappen uden at scrolle gennem tre undermenuer, er noget, enhver bruger genkender fra sin egen skærm. Det giver Datatilsynet en mere håndgribelig fortælling at bygge en indsats omkring, og det er sandsynligvis en del af forklaringen på, hvorfor netop dette område er valgt som topprioritet for 2026.
Der er også en økonomisk dimension. En hjemmeside, der presser besøgende til at acceptere tracking gennem et cookie-banner designet til at forvirre, opnår typisk en højere samtykkeprocent end en side med et neutralt design. Den højere samtykkeprocent oversættes direkte til mere annonceindtægt via retargeting og adfærdsbaseret annoncering. Det skaber et økonomisk incitament til at bryde reglerne, som ikke forsvinder, bare fordi Datatilsynet udsender en pressemeddelelse. Derfor er håndhævelse med reelle konsekvenser nødvendig, hvis adfærden faktisk skal ændre sig.
Historisk kontekst: fra 2018 til i dag
Da GDPR trådte i kraft i maj 2018, brugte de fleste danske virksomheder de første år på grundlæggende compliance: databehandleraftaler, privatlivspolitikker og processer for indsigtsbegæringer. Cookie-bannere blev typisk implementeret som en standardløsning fra en tredjepartsudbyder, sat op én gang og aldrig revideret siden. I den periode var Datatilsynets fokus primært rettet mod grovere overtrædelser: manglende sikkerhedsforanstaltninger, ulovlig videregivelse af data og direkte databrud.
En analyse fra 2026 peger på, at Danmark først nåede det, der beskrives som “fuld compliance” med den nødvendige regulatoriske og organisatoriske ramme for GDPR i juli 2025. Det er syv år efter forordningens ikrafttræden, og det illustrerer, hvor lang tid det reelt tager for et helt reguleringsøkosystem, inklusive domstole, myndighedssamarbejde og virksomhedspraksis, at modnes omkring en ny lovgivning. Cookie-indsatsen i 2026 kommer derfor ikke som et tilfældigt nyt fokus, men som et naturligt næste skridt, når de mere grundlæggende strukturer er på plads.
Sammenlignet med de tidlige GDPR-år er der også sket en professionalisering af selve håndhævelsesapparatet. Hvor de første sager ofte var reaktive, udløst af konkrete klager fra borgere, peger den nye 2026-prioritering på en mere proaktiv tilgang, hvor myndighederne selv opsøger og udvælger virksomheder til kontrol baseret på en forud defineret indsatsplan. Det er en markant ændring i metode, selvom den juridiske ramme er den samme, som den har været siden 2018.
Konkurrencemæssig betydning for danske virksomheder
For virksomheder, der allerede har investeret i et compliant cookie-flow med granulært samtykke og en synlig afvis-knap, kan 2026-indsatsen faktisk blive en konkurrencefordel. Hvis konkurrenter, der har brugt aggressive mørke mønstre til at presse samtykkeprocenten op, pludselig bliver ramt af påbud eller offentlig kritik, mister de både deres datagrundlag for annoncering og en del af deres omdømme på samme tid. Det skaber et marked, hvor compliance ikke længere kun er en omkostning, men også en form for risikostyring i forhold til fremtidige indtægter.
Der er samtidig en dataherredømme-dimension, som ofte overses i debatten. Virksomheder, der er afhængige af tredjepartsværktøjer til cookie-håndtering hostet uden for EU, risikerer at blive fanget i en gråzone, hvor selve den infrastruktur, der skal sikre compliance, i sig selv rejser spørgsmål om dataoverførsel til tredjelande. Det gør valget af cookie-management-platform til et strategisk spørgsmål, ikke bare et teknisk implementeringsdetalje, som en udvikler kan klare på en eftermiddag.
For B2B-selskaber, der sælger til det offentlige eller til større virksomheder med egne compliance-krav, kan en dokumenteret, revideret cookie-praksis også blive et konkret salgsargument i udbudsprocesser. Store indkøbere stiller i stigende grad krav om databeskyttelsesdokumentation som en del af leverandørvurderingen, og en virksomhed, der kan vise en ren historik uden påbud fra Datatilsynet, står stærkere i den slags forhandlinger end en konkurrent med en åben sag i systemet.
Sådan ser et compliant cookie-flow ud i praksis
Ud fra Datatilsynets offentliggjorte kriterier for 2026-indsatsen kan man udlede en relativt konkret tjekliste for, hvad der adskiller et lovligt cookie-banner fra et, der sandsynligvis vil blive udtaget til kontrol. For det første skal “Accepter” og “Afvis” fremstå visuelt ligeværdige, samme farve, samme størrelse, samme placering, uden at den ene er fremhævet på bekostning af den anden. For det andet skal brugeren kunne afvise alt ikke-nødvendigt med ét klik, uden at skulle navigere gennem undermenuer eller indstillingspaneler for at finde muligheden.
For det tredje må der ikke være forudafkrydsede bokse ved valgfrie formål som markedsføring eller analyse. Samtykket skal være en aktiv handling fra brugeren, ikke noget, der allerede er sat, og som brugeren skal huske at fravælge. For det fjerde skal indholdet på siden være tilgængeligt, uanset om brugeren accepterer eller afviser cookies, medmindre der er en snæver, sagligt begrundet undtagelse. Cookie-mure, der reelt gør adgang til indhold betinget af accept af sporing, er blandt de praksisser, Datatilsynet har fremhævet direkte.
Endelig kræver et granulært samtykke, at brugeren kan vælge formål for formål, for eksempel analyse adskilt fra markedsføring, i stedet for et enkelt “alt eller intet”-valg. Det er teknisk mere krævende at implementere, fordi det stiller krav til, hvordan cookies og tags er kategoriseret på backend-siden, men det er samtidig det punkt, hvor de fleste ældre cookie-banner-implementeringer typisk fejler, fordi de blev bygget til en enklere, todelt logik dengang løsningen først blev sat op.
Sammenligning: Danmarks tilgang versus resten af EU
Danmarks todelte håndhævelsesmodel, hvor Datatilsynet kritiserer og udsteder påbud, mens domstolene fastsætter selve bøden, adskiller sig fra de fleste andre EU-lande, hvor tilsynsmyndigheden selv kan udstede administrative bøder direkte. Det gør den danske proces langsommere i de sager, hvor der reelt skal falde en bøde, men det betyder ikke, at konsekvenserne er mildere. Et forbud mod at behandle bestemte data, som Datatilsynet kan udstede uden om domstolene, kan i praksis være langt mere ødelæggende for en forretningsmodel end en engangsbøde, fordi det stopper en indtægtsstrøm helt.
Sammenlignet med Irland og Nederlandene, som traditionelt har håndteret de største sager mod globale techselskaber på grund af, hvor selskaberne har deres europæiske hovedsæde, er de nordiske bødebeløb stadig små i absolutte tal. Men den nordiske klynge kompenserer med koordination: fordi Danmark, Sverige, Norge og Finland nu samarbejder tættere om grænseoverskridende sager, kan en virksomhed, der forsøger at undgå dansk kontrol ved at flytte fokus til det svenske marked, risikere at møde den samme opmærksomhed der i stedet.
| Kriterium | Danmark | Irland | Norden samlet (SE, NO, FI, IS) |
|---|---|---|---|
| Kan tilsynet selv udstede bøder? | Nej, kræver politi og domstol | Ja, direkte administrativ bøde | Varierer, flere kan udstede direkte |
| Maks. bøderamme | 20 mio. euro eller 4 % af global omsætning | 20 mio. euro eller 4 % af global omsætning | 20 mio. euro eller 4 % af global omsætning |
| 2026-fokusområde | Cookies, tracking og samtykke, koordineret med Digitaliseringsstyrelsen | Langvarige sager mod globale techselskaber | Grænseoverskridende samarbejde og informationssikkerhed |
| Kendte 2025-eksempler | Taxa 4×35 (1,2 mio. kr.), ILVA (1 mio. kr.) | Flere store bøder mod amerikanske techselskaber | Norge: 22.000 euro, Sverige: 23.350 euro (samlet 2025) |
Sådan forbereder virksomheder sig konkret
Det første skridt for enhver virksomhed med en dansk hjemmeside er en gennemgang af det eksisterende cookie-banner, ideelt udført af nogen udenfor det team, der oprindeligt implementerede det. Se specifikt efter, om “Afvis”-knappen kræver færre eller flere klik end “Accepter”, og om der er forudafkrydsede felter ved valgfrie kategorier. Det lyder simpelt, men i praksis er det netop disse detaljer, Datatilsynet har fremhævet som konkrete kontrolpunkter for 2026.
Dernæst bør virksomheder dokumentere deres samtykkeflow med skærmbilleder og logfiler, der viser, hvornår og hvordan samtykke er indhentet, og fra hvilken version af banneret. Hvis Datatilsynet eller Digitaliseringsstyrelsen henvender sig, er evnen til hurtigt at fremvise dokumentation for, at et compliant flow har været aktivt, ofte det, der afgør, om en sag ender med en bemærkning eller med et formelt påbud.
Endelig er det værd at revidere, hvilke tredjepartsscripts der reelt kører på siden, uafhængigt af hvad cookie-banneret selv hævder at blokere. Det er ikke ualmindeligt, at analyseværktøjer eller marketing-pixels fortsætter med at indlæse data, selv efter en bruger har afvist samtykke, simpelthen fordi den tekniske implementering ikke er koblet korrekt til samtykkeværktøjets tilstand. Det er en teknisk fejl, men den bliver juridisk relevant i det øjeblik, en kontrol afdækker den.
Fem forudsigelser for GDPR-håndhævelse frem mod 2027
Baseret på den nuværende udvikling er der fem tendenser, der sandsynligvis vil forme håndhævelsen af GDPR i Danmark og Norden det kommende år. For det første vil antallet af påbud og offentlige kritikker fra Datatilsynet stige mærkbart i løbet af 2026, drevet direkte af cookie-indsatsen, selv hvis antallet af egentlige domstolsbøder forbliver relativt lavt på grund af det danske systems langsommere sagsgang.
For det andet vil det nordiske samarbejde sandsynligvis føre til de første fælles eller koordinerede sager på tværs af to eller flere nordiske lande i løbet af 2026 eller 2027, hvor et selskab med aktivitet i flere nordiske markeder bliver undersøgt parallelt af flere myndigheder. For det tredje vil cookie-management-værktøjer, der understøtter reel granularitet og synlig ligeværdighed mellem accept og afvisning, sandsynligvis se øget efterspørgsel, efterhånden som virksomheder erstatter ældre implementeringer for at undgå at blive udtaget til kontrol.
For det fjerde vil det samlede EU-bødebeløb for 2026 med stor sandsynlighed overstige 2025-niveauet på 1,145 milliarder euro, i tråd med den stigning i antal registrerede sager, CMS Enforcement Tracker allerede har dokumenteret frem til marts 2026. For det femte vil sammenkoblingen mellem GDPR og de nyere EU-regler om cybersikkerhed, NIS2 og DORA, fortsætte med at tætne, hvilket betyder, at virksomheder i stigende grad må behandle databeskyttelse og cybersikkerhed som ét samlet compliance-projekt frem for to adskilte spor.
Hvad betyder det for udviklere og tech-teams
For udviklere, der bygger eller vedligeholder cookie-consent-løsninger, betyder 2026-indsatsen, at samtykkehåndtering ikke længere kan behandles som et engangsprojekt, der blev afsluttet i 2018. Consent management platforms (CMP’er) bør konfigureres, så de faktisk blokerer tredjepartsscripts, indtil samtykke er givet, ikke kun visuelt skjuler et banner, mens scripts kører i baggrunden. Det kræver typisk en gennemgang af, hvordan tags er kategoriseret i værktøjer som Google Tag Manager eller tilsvarende, samt en teknisk verifikation af, at blokeringen rent faktisk virker på tværs af browsere.
// Eksempel: bloker tredjepartsscript indtil samtykke er givet
function loadAnalytics(consentGiven) {
if (!consentGiven) {
return; // Ingen script indlæses uden aktivt samtykke
}
const script = document.createElement('script');
script.src = 'https://analytics.example.com/tag.js';
script.async = true;
document.head.appendChild(script);
}
// Kaldes først når brugeren aktivt har accepteret analyse-kategorien
consentManager.on('consent:analytics:granted', () => loadAnalytics(true));Testautomatisering er også værd at overveje. Et simpelt automatiseret tjek, der besøger sitet uden eksisterende cookies, verificerer, at “Afvis alle” er synlig og klikbar uden scroll, og bekræfter, at ingen tredjepartsrequests går ud før samtykke, kan opdage regressioner, før de bliver til en sag hos Datatilsynet. Det er en relativt lille investering sammenlignet med den potentielle omkostning ved et påbud, der stopper en hel marketingkanal.
Ofte stillede spørgsmål
Hvornår trådte Datatilsynets 2026-indsatsplan i kraft?
Datatilsynet offentliggjorde cookies og tracking som topprioritet for 2026-indsatsen den 19. januar 2026, i samarbejde med Digitaliseringsstyrelsen.
Kan Datatilsynet selv give en bøde?
Nej. Danmark skiller sig ud ved, at Datatilsynet ikke har administrativ bødekompetence. Sager, hvor der skal pålægges en bøde, sendes til politi og domstole, mens Datatilsynet selv kan udstede kritik og bindende påbud.
Hvor stor kan en GDPR-bøde blive i Danmark?
Rammen følger GDPR: op til 20 millioner euro eller 4 procent af virksomhedens globale årsomsætning, alt efter hvad der er højest, ved de groveste overtrædelser.
Hvilke cookie-praksisser er specifikt i søgelyset?
Datatilsynet har navngivet mørke mønstre, cookie-mure, forudafkrydsede samtykkebokse, ubalancerede “Accepter”/”Afvis”-knapper og manglende granulært samtykke som de primære fokuspunkter.
Samarbejder de nordiske lande om GDPR-håndhævelse?
Ja. På det nordiske tilsynsmøde i maj 2025 aftalte myndighederne fra Danmark, Sverige, Norge, Finland og Island at styrke samarbejdet om informationssikkerhed og grænseoverskridende sager, og en analyse fra juni 2026 beskriver de fire første som en samlet håndhævelsesklynge.
Hvor mange GDPR-bøder blev udstedt i EU i 2025?
Ifølge EDPB’s årsrapport for 2025 udstedte tilsynsmyndigheder på tværs af EU/EØS bøder for i alt 1.145.760.374 euro. CMS Law’s Enforcement Tracker registrerer samtidig 2.685 sager frem til marts 2026, en stigning på 440 i forhold til året før.
Hvad er fristen for at anmelde et databrud i Danmark?
Dataansvarlige skal anmelde sikkerhedsbrud inden for 72 timer via Virk.dk’s blanket, og Datatilsynet forventer en skriftlig risikovurdering til hver hændelse.
Gælder reglerne kun for store virksomheder?
Nej. Både Taxa 4×35-sagen og ILVA-sagen viser, at almindelige danske virksomheder af mellemstørrelse rammes af domstolsbøder, og de mindre nordiske bøder mod norske og svenske selskaber i 2025 bekræfter, at ingen virksomhedsstørrelse er automatisk undtaget fra kontrol.
Relaterede artikler
- GDPR-bøder: Datatilsynet Melder 9.849 Databrud [2026]
- Proton VPN Består 5. No-Logs Audit: 47 Anmodninger, Nul Data [2026]
- EU’s VPN-sikkerhedsstandard: 24-timers frist fra 2026
- Signal vs Matrix: 40 Mio. Brugere mod 60% af EU [2026]
- ETH Zürich Finder 25 Angreb i Bitwarden, LastPass, Dashlane
- Se flere artikler om privatliv
