Datatilsynet offentliggjorde sin årsrapport for 2025 den 31. marts 2026, og tallene er ikke til at tage fejl af: 9.849 anmeldte databrud, 2.653 tilsynssager og 1.572 internationale sager landede på myndighedens bord i løbet af året (kilde: DataGuidance). Samtidig strammer nabolandene grebet om databeskyttelsen. Sveriges IMY idømte i januar 2026 en bøde på 6 millioner svenske kroner til Sportadmin efter et databrud udløst af en SQL-injektion, mens Norges Datatilsynet krævede 20 millioner norske kroner af en stor elektronikkæde for ulovlig brug af kundedata.

I Danmark fungerer bødesystemet dog anderledes end i resten af EU. Datatilsynet kan ikke selv udstede en bøde. Myndigheden anmelder sagen til politiet, og det er domstolene, der til sidst afgør beløbet. Det gjorde en klar forskel for møbelkæden ILVA, da landsretten i september 2025 firdoblede en oprindelig bøde efter en principiel dom fra EU-Domstolen. Her er, hvad tallene fra 2025 og 2026 faktisk viser om GDPR-bøder i Danmark og resten af Norden, og hvad det betyder for virksomheder, der håndterer persondata.

GDPR-bøder stiger i hele Norden: hvad viser tallene for 2026?

Væksten i antallet af bøder er ikke kun et dansk fænomen. CMS’ GDPR Enforcement Tracker Report, den syvende udgave med data frem til 1. marts 2026, tæller 2.685 bøder i hele Europa. Det er en stigning på 440 sager i forhold til året før (kilde: CMS Law). Advokatfirmaet DLA Piper når frem til et andet, men lige så markant tal i sin årlige undersøgelse: Den samlede bødesum siden GDPR trådte i kraft den 25. maj 2018 rundede 7,1 milliarder euro ved udgangen af januar 2026 (kilde: Kiteworks). Forskellen mellem de to opgørelser skyldes forskellig metode, men retningen er den samme, uanset hvilken tæller man bruger.

For danske og nordiske virksomheder betyder det pres fra flere kanter samtidig. GDPR er ikke længere den eneste lov, der holder øje med databehandling. NIS2-direktivet, DORA og Cyber Resilience Act rammer mange af de samme virksomheder inden for samme periode, og Datatilsynet har i 2026 fået udvidet sit ansvar til også at dække EU’s AI-forordning og forordningen om politisk annoncering (kilde: DataGuidance). Resultatet er en compliance-byrde, der vokser hurtigere, end de fleste virksomheder når at følge med til.

Datatilsynets årsrapport: 9.849 databrud anmeldt i 2025

Årsrapporten fra Datatilsynet tegner et billede af en myndighed, der har travlere end nogensinde. 9.849 virksomheder og offentlige instanser anmeldte et databrud i løbet af 2025. Myndigheden behandlede også 2.653 tilsynssager samt 1.572 sager med internationalt tilsnit, hvor andre europæiske datatilsyn var involveret (kilde: DataGuidance).

Tallene dækker alt fra hackede kundedatabaser til simple menneskelige fejl, som da en kommune ved en fejl delte en borgers helbredsoplysninger med en uvedkommende tredjepart. Sagen endte i landsretten, der i august 2025 tilkendte kvinden omkring 335 euro i godtgørelse efter GDPR-forordningens artikel 82 (kilde: TechGDPR). Beløbet er beskedent, men dommen har principiel betydning. Den viser, at danske domstole er villige til at tilkende erstatning for brud, selv når skaden er svær at gøre op i kroner og øre.

Datatilsynet peger selv på, at myndighedens rolle er under forandring. Ud over det klassiske tilsyn med persondata skal Datatilsynet nu også føre kontrol med, hvordan virksomheder bruger AI, og hvordan politiske partier annoncerer digitalt. Det er en udvidelse, der kommer oven i en arbejdsbyrde, som allerede var stigende, før de nye opgaver blev lagt til.

Derfor bøder danske domstole, ikke Datatilsynet

I modsætning til de fleste andre europæiske datatilsyn kan Datatilsynet i Danmark ikke selv udstede en administrativ bøde. Modellen er strafferetlig. Myndigheden undersøger sagen og anmelder den til politiet med en anbefaling om bødestørrelse. Herefter afgør anklagemyndigheden og domstolene, om der overhovedet rejses tiltale, og hvor stor bøden bliver (kilde: SecurePrivacy).

Modellen har konsekvenser for, hvor hurtigt sager bliver afgjort. Hvor en myndighed som Irlands DPC eller Frankrigs CNIL kan udstede en bøde direkte, kan en dansk sag trække ud i flere år, fordi den skal igennem både politiets efterforskning og domstolssystemet. Sagen mod Region Syddanmark er et eksempel. Byretten i Kolding afsagde dom allerede i december 2024, men det var først i marts 2026, at Vestre Landsret satte punktum og stadfæstede en bøde på 1 million kroner for to overtrædelser af artikel 32 om sikker databehandling (kilde: DataGuidance).

Til gengæld har den danske model en fordel. Når en sag først lander med en dom, har den vægten af en retsafgørelse og ikke kun en forvaltningsafgørelse, der kan ankes administrativt. Det gør præcedens som ILVA-sagen særligt tung, når andre virksomheder skal vurdere deres egen risiko.

ILVA-sagen: landsretten firdobler GDPR-bøden

Møbelkæden ILVA, en del af Jysk-koncernen, fik i september 2025 en dyr lektion i, hvad EU-Domstolens praksis kan betyde for danske sager. Landsretten idømte virksomheden en bøde på 1,5 millioner kroner, svarende til omkring 200.900 euro, for at have opbevaret kundedata længere, end GDPR-forordningens regel om opbevaringsbegrænsning tillader (kilde: Littler).

Det oprindelige bødeforlæg lød på blot 100.000 kroner. Forhøjelsen kom, efter EU-Domstolen den 13. februar 2025 fastslog, hvordan bøder skal beregnes, når en virksomhed er del af en koncern. Beregningsgrundlaget skal tage udgangspunkt i hele koncernens omsætning, ikke kun det enkelte selskabs (kilde: Littler). For ILVA betød det, at bøden blev femten gange højere, end anklagemyndigheden oprindeligt havde lagt op til.

Sagen sender et signal til andre danske kæder med udenlandske eller koncernforbundne ejere. Det er ikke længere nok at se på det enkelte selskabs regnskab, når man vurderer sin egen bøderisiko. Hele koncernens omsætning tæller med, og det kan mangedoble den økonomiske konsekvens af selv en forholdsvis begrænset overtrædelse.

Region Syddanmark dømt for brud på datasikkerheden

Den offentlige sektor er ikke fritaget. Region Syddanmark blev i marts 2026 idømt en bøde på 1 million kroner for to overtrædelser af GDPR-forordningens artikel 32 om passende sikkerhedsforanstaltninger (kilde: DataGuidance). Sagen havde kørt siden en dom i byretten i Kolding i december 2024, og Vestre Landsrets afgørelse i marts 2026 stadfæstede resultatet efter en periode med anke.

Sagen føjer sig til en række danske sager, hvor det ikke er private virksomheder, men kommuner og regioner, der ender i søgelyset. Det hænger sammen med, at offentlige myndigheder håndterer nogle af de mest følsomme data, der findes, herunder journaler, sociale sager og børneoplysninger, samtidig med at it-systemerne ofte er ældre og mere fragmenterede end i private virksomheder.

For danske kommuner og regioner betyder sagen, at Datatilsynets fokus på sikkerhedsforanstaltninger ikke kun rammer den private sektor. Offentlige it-afdelinger bør regne med samme niveau af kontrol, som gælder for børsnoterede selskaber.

Google i folkeskolen: 51 kommuner får hård kritik

En af de mest langvarige sager i dansk GDPR-historie handler om brugen af Googles Chromebooks og Workspace-værktøjer i folkeskolen. Den 2. februar 2026 udsendte Datatilsynet alvorlig kritik af 51 kommuner efter en fornyet vurdering af, hvordan kommunerne har indrettet deres brug af Googles skoleplatform (kilde: WorldWatch).

Sagen har rødder flere år tilbage og illustrerer en bredere udfordring. Når en kommune vælger en amerikansk skyudbyder til at understøtte undervisningen, følger der spørgsmål med om, hvor elevdata rent faktisk bliver opbevaret, og hvem der har adgang til dem. Selv efter at Datatilsynet tidligere har krævet ændringer, viser den nye vurdering, at problemerne ikke er løst i alle 51 kommuner.

Sagen er interessant, fordi den rammer en sektor, som mange forældre ikke tænker over som en GDPR-risiko. Skoler behandler data om mindreårige, som har et særligt beskyttelsesniveau efter forordningen, og en fejl her rammer en gruppe, der ikke selv kan give informeret samtykke.

Cookies bliver Datatilsynets store fokus i 2026

Datatilsynet offentliggjorde sine fokusområder for 2026 den 7. januar, og cookie-samtykke stod øverst på listen. Myndigheden vil undersøge, om brugere reelt har en “reel mulighed for at sige nej” til sporing, når de møder et cookie-banner (kilde: SecurePrivacy). Tilsynet koordineres med Digitaliseringsstyrelsen, som står for den tekniske side af mange offentlige hjemmesider.

Danmark er ikke alene om at stramme grebet om cookies. I Nederlandene har databeskyttelsesmyndigheden siden april 2026 udstedt formelle advarsler til over 200 hjemmesider for problemer med cookie-bannere, og myndigheden idømte kæden Kruidvat en bøde på 600.000 euro for at bruge forudkrydsede samtykkebokse (kilde: TrustArc).

For danske virksomheder betyder det, at et cookie-banner, som blot opfylder minimumskravene på papiret, ikke nødvendigvis er nok. Datatilsynet vurderer reelt, om brugeroplevelsen gør det lige så let at afvise sporing, som det er at acceptere den. En asymmetrisk knapdesign kan i sig selv udløse en sag.

Nyt tilsyn: 30 virksomheder udtaget til stikprøvekontrol i juli

Den 1. juli 2026 igangsatte Datatilsynet en runde stikprøvekontroller af 30 tilfældigt udvalgte private dataansvarlige. Kontrollerne handler specifikt om, hvordan virksomhederne opfylder deres oplysningsforpligtelser over for medarbejdere og jobansøgere. De indgår som en dansk del af en større, EU-dækkende indsats under EDPB’s Coordinated Enforcement Framework for 2026 (kilde: DataGuidance).

Modellen med koordinerede stikprøver adskiller sig fra de klassiske klagesager. Her er der ikke nødvendigvis en konkret borger, der har klaget. I stedet vælger Datatilsynet virksomheder ud efter en systematisk metode og undersøger, om de lever op til reglerne, uanset om der er indløbet en anmeldelse.

For virksomheder betyder det, at man ikke kan regne med kun at blive undersøgt, hvis nogen klager. Risikoen for at blive udtaget tilfældigt er nu en del af regnestykket, når man vurderer sin egen eksponering.

Norden under lup: Sverige, Norge og Finland går hver deres vej

Mens Danmark bøder gennem domstolene, kan de øvrige nordiske datatilsyn selv udstede administrative bøder direkte, ligesom de fleste andre europæiske myndigheder. Det gør sagsbehandlingen hurtigere, men det betyder ikke nødvendigvis flere eller større bøder. Billedet i Norden er faktisk ret forskelligt fra land til land, som tabellen herunder viser.

LandMyndighed / instansSagBødeTidspunkt
DanmarkLandsrettenILVA A/S1,5 mio. kr. (ca. 200.900 €)September 2025
DanmarkVestre LandsretRegion Syddanmark1 mio. kr.Marts 2026
SverigeIMYSportadmin i Skandinavien AB6 mio. SEKJanuar 2026
SverigeIMYApoteket AB37 mio. SEK2025
SverigeIMYApohem AB8 mio. SEK2025
NorgeDatatilsynet (Norge)Elektronikkæde (unavngivet i kilden)20 mio. NOK (1.832.094 €)2026
FinlandTietosuojavaltuutettuIngen navngiven bødesag fundet

Beløb er angivet i lokal valuta, medmindre en eurokurs er oplyst direkte af kilden.

Sportadmin-sagen: SQL-injektion afslører svag sikkerhed

Den største svenske sag i denne periode ramte Sportadmin i Skandinavien AB, som IMY idømte en bøde på 6 millioner svenske kroner den 26. januar 2026 i sag IMY-2025-7801. Baggrunden var en sårbarhed over for SQL-injektion, der førte til et databrud, og IMY vurderede, at virksomheden ikke havde et passende sikkerhedsniveau til at beskytte de persondata, den behandlede (kilde: DataGuidance).

Sagen ligner i sin kerne flere danske sager. Det er ikke selve databehandlingen, der er problemet, men de tekniske og organisatoriske foranstaltninger omkring den. IMY fulgte samme spor tidligere i 2025, da apotekskæderne Apoteket AB og Apohem AB fik bøder på henholdsvis 37 og 8 millioner svenske kroner for at bruge Metas sporingsværktøj uden tilstrækkelige sikkerhedsforanstaltninger, hvilket lækkede sundhedsrelaterede data om kunderne.

Norge har i mellemtiden idømt en bøde på 20 millioner norske kroner, svarende til 1.832.094 euro, mod en stor nordisk elektronikkæde for at behandle data fra et kundeklub-program uden gyldigt samtykke (kilde: Gibson Dunn). Det norske Datatilsynet har samtidig bekræftet en klage fra Forbrugerrådet og en privatlivsorganisation over en stor mediekoncerns “betal eller acceptér”-model, hvor brugerne skal vælge mellem at betale for adgang eller acceptere sporing.

Finland skiller sig ud ved, at landets tilsynsmyndighed for databeskyttelse ikke har offentliggjort navngivne bødesager i samme periode i de kilder, denne artikel bygger på. Det betyder ikke nødvendigvis, at finske virksomheder overholder reglerne bedre end deres naboer, kun at håndhævelsen foreløbig er mindre synlig udadtil.

EU’s GDPR-bøder runder milliarder af euro

CMS’ Enforcement Tracker Report tæller 2.685 bøder i hele Europa frem til 1. marts 2026, en stigning på 440 sager sammenlignet med året før (kilde: CMS Law). Tallet stiger, i takt med at flere datatilsyn bliver mere aktive, og i takt med at ældre sager når frem til en endelig afgørelse.

DLA Pipers årlige undersøgelse bruger en anden metode og lander på et højere tal: 7,1 milliarder euro i samlede bøder siden GDPR trådte i kraft i maj 2018, opgjort ved udgangen af januar 2026 (kilde: Kiteworks). Forskellen mellem de to opgørelser illustrerer, at der ikke findes én officiel facitliste for bødetallene. Hvert firma, der fører statistik, har sin egen definition af, hvornår en bøde tæller med, og om reducerede eller ankede bøder skal medregnes.

De største bøder i 2026

Nogle af enkeltsagerne fra 2026 viser, hvor store beløb der er tale om, når de store databehandlere rammes.

VirksomhedBødeMyndighedLandOvertrædelse
Meta390 mio. €DPCIrlandSkift af retsgrundlag fra samtykke til kontrakt uden gennemsigtighed
MLU B.V. (Yango)100 mio. €Autoriteit PersoonsgegevensNederlandeneUlovlig international dataoverførsel
Enel Energia79 mio. €GaranteItalienUopfordret telemarketing uden samtykke
Criteo40 mio. €CNILFrankrigSporing af annoncer uden gyldigt samtykke
Kruidvat600.000 €Autoriteit PersoonsgegevensNederlandeneForudkrydsede samtykkebokse

Den hollandske datatilsynsmyndighed idømte i maj 2026 en bøde på 100 millioner euro mod MLU B.V., det europæiske moderselskab for kørselstjenesten Yango, for ulovlige internationale overførsler af persondata. Bøden er ifølge analytikere hos SecurePrivacy årets mest geopolitisk betydningsfulde sag, fordi den rammer selve grundlaget for, hvordan data flyder mellem EU og lande uden for unionen (kilde: SecurePrivacy).

Hvad betyder de stigende bøder for danske virksomheder?

Den mest håndgribelige konsekvens er ikke selve bødebeløbet, men den voksende mængde af regler, der rammer de samme virksomheder på samme tid. En dansk virksomhed, der allerede skal leve op til GDPR, møder nu også NIS2-direktivet, hvis den er omfattet af kravene til væsentlige eller vigtige enheder, og finanssektoren skal samtidig håndtere DORA-forordningens krav til it-robusthed. Datatilsynets udvidede mandat til AI-forordningen betyder, at selv virksomheder, der aldrig har haft en sag om persondata, nu skal vurdere, om deres brug af kunstig intelligens rejser nye spørgsmål (kilde: DataGuidance).

ILVA-sagen viser en anden konsekvens: risikoen ved at være del af en koncern. Når bøden beregnes ud fra hele koncernens omsætning i stedet for det enkelte selskabs, bliver det langt dyrere at lade én afdeling håndtere persondata skødesløst. Det ændrer, hvordan særligt større koncerner bør organisere ansvaret for compliance internt, fordi en fejl i ét datterselskab kan ramme hele koncernens regnskab.

Sagen om Google i folkeskolen peger på en tredje konsekvens. Brug af amerikanske skytjenester er fortsat en risikofaktor, selv flere år efter at spørgsmålet første gang blev rejst. Virksomheder og myndigheder, der har valgt en global cloud-udbyder frem for en europæisk løsning, bør forvente, at Datatilsynet vender tilbage til spørgsmålet, som det skete med de 51 kommuner.

Endelig betyder Danmarks domstolsbaserede model, at compliance-afdelinger skal tænke i år, ikke måneder, når de vurderer risikoen ved en verserende sag. En sag, der starter som en anmeldelse i dag, kan først få sin endelige afgørelse to eller tre år senere, sådan som det skete i sagen mod Region Syddanmark.

Fra 2018 til 2026: sådan er GDPR-bøderne vokset

GDPR-forordningen trådte i kraft den 25. maj 2018, og siden da har flere uafhængige aktører fulgt udviklingen i bøder på tværs af EU. Tallene stemmer ikke fuldstændig overens, fordi de bygger på forskellige metoder og opgørelsestidspunkter, men retningen er entydig opadgående, som det fremgår af tabellen herunder.

KildeOpgørelsestidspunktRegistreret tal
Legit.euJanuar 2025Ca. 5,88 mia. € kumulativt siden 2018
DLA Piper-undersøgelsenJanuar 2026Ca. 7,1 mia. € kumulativt siden 2018
CMS Enforcement Tracker Report1. marts 20262.685 bøder registreret (+440 på et år)
GDPR Enforcement Tracker (løbende database)August 2026Ca. 6,31 mia. € kumulativt

Forskellen mellem trackerne handler i høj grad om, hvornår en bøde tælles med. Nogle opgørelser medregner kun endeligt stadfæstede bøder, mens andre tæller bøden med, så snart en myndighed har truffet sin første afgørelse, selv hvis sagen efterfølgende ankes, og beløbet ændres. Den danske model, hvor domstolene har det sidste ord, betyder, at danske sager ofte optræder sent i statistikken sammenlignet med lande, hvor myndigheden selv fastsætter bøden med det samme.

Uanset hvilken tæller man bruger, er billedet det samme. Håndhævelsen af GDPR er gået fra at være relativt forsigtig i de første år efter 2018 til at blive en fast del af hverdagen for enhver virksomhed, der behandler persondata i større skala.

Danmarks domstolsmodel sammenlignet med resten af EU

Danmark er ikke det eneste EU-land med en anden model end den administrative bødeudstedelse, men landet skiller sig alligevel ud. De fleste europæiske datatilsyn, herunder Irlands DPC, Frankrigs CNIL og Italiens Garante, kan udstede en bøde direkte som en forvaltningsafgørelse, der derefter kan påklages. Det er denne model, der ligger bag de store enkeltbøder til Meta, Criteo og Enel Energia, som er nævnt tidligere i denne artikel.

Sverige og Norge følger den samme administrative model som størstedelen af EU. Det forklarer, hvorfor IMY og det norske Datatilsynet kan handle relativt hurtigt, som det skete i Sportadmin-sagen. Danmark og et fåtal andre lande har i stedet valgt en model, hvor domstolene træffer den endelige afgørelse. Fordelen er en høj grad af retssikkerhed. Ulempen er hastigheden. En sag som ILVA tog over to år fra den oprindelige anmeldelse til den endelige dom i landsretten.

Det rejser et spørgsmål, som flere danske jurister har diskuteret: om den danske model reelt afskrækker lige så effektivt som en model med hurtigere administrative bøder. Når en bøde først falder flere år efter overtrædelsen, er den økonomiske smerte for virksomheden mindre akut, end hvis bøden var kommet med det samme.

Fem forudsigelser: GDPR-håndhævelse frem mod 2027

Baseret på udviklingen i 2025 og 2026 er der en række tendenser, som med stor sandsynlighed fortsætter ind i 2027:

  • Det samlede bødebeløb i Europa fortsætter med at stige. Uanset om man bruger CMS’ eller DLA Pipers tal som udgangspunkt, har kurven kun peget én vej siden 2018, og der er ikke tegn på, at den knækker foreløbig.
  • AI-tilsyn og persondatatilsyn smelter sammen. Datatilsynets nye ansvar for AI-forordningen betyder, at fremtidige sager i stigende grad vil handle om, hvordan kunstig intelligens genbruger persondata, ikke kun om klassisk databehandling.
  • Cookie-håndhævelsen rammer flere danske virksomheder. Med cookies som erklæret fokusområde for 2026 må flere virksomheder forvente henvendelser fra Datatilsynet, særligt hvis samtykkebanneret gør det nemmere at acceptere end at afvise sporing.
  • Flere sager fra den offentlige sektor. Efter Region Syddanmark og kritikken af de 51 kommuner virker det sandsynligt, at kommuner og regioner fortsat vil fylde i statistikken, i takt med at Datatilsynet retter blikket mod offentlige it-systemer.
  • Norden forbliver delt. Sverige og Norge vil sandsynligvis fortsætte som de mest aktive nordiske håndhævere, mens Finlands lavere synlighed og Danmarks langsommere domstolsmodel betyder, at billedet af sager forbliver ujævnt fordelt i regionen.

Ofte stillede spørgsmål om GDPR-bøder i Danmark

Hvem kan idømme GDPR-bøder i Danmark?
Datatilsynet kan ikke selv udstede en bøde. Myndigheden anmelder sagen til politiet med en anbefaling om størrelse, og det er domstolene, der træffer den endelige afgørelse. Det gør den danske model langsommere, men mere retssikker end i lande, hvor tilsynsmyndigheden selv fastsætter bøden.

Hvor stor kan en GDPR-bøde maksimalt blive?
GDPR-forordningen sætter loftet ved 20 millioner euro eller 4 procent af virksomhedens globale årsomsætning, alt efter hvad der er højest. I praksis lander de fleste bøder langt under loftet, men sager som Meta-bøden på 390 millioner euro viser, at loftet kan komme i spil for de allerstørste techvirksomheder.

Hvad var den største danske GDPR-sag i 2025 og 2026?
ILVA-sagen er den mest markante. Landsretten firdoblede bøden til 1,5 millioner kroner i september 2025, efter EU-Domstolen ændrede praksis for, hvordan bøder beregnes for koncernforbundne selskaber.

Hvorfor stiger antallet af databrud, der anmeldes i Danmark?
Datatilsynets årsrapport viser 9.849 anmeldte databrud i 2025. Stigningen skyldes en kombination af flere cyberangreb, bedre intern opdagelse af brud i virksomhederne og en klarere praksis for, hvornår noget skal anmeldes.

Bøder Sverige og Norge hårdere end Danmark?
Sverige og Norge kan handle hurtigere, fordi deres tilsynsmyndigheder selv udsteder bøder administrativt. Det betyder ikke nødvendigvis højere bøder, men sager som Sportadmins bøde på 6 millioner svenske kroner viser, at de nordiske naboer ikke holder sig tilbage.

Hvad betyder cookie-fokusset for 2026 for danske virksomheder?
Datatilsynet undersøger i 2026 særligt, om brugere har en reel mulighed for at sige nej til sporing. Virksomheder med et cookie-banner, der gør accept nemmere end afvisning, risikerer at blive udtaget til kontrol.

Kan jeg som borger få erstatning, hvis mine data er lækket?
Ja. GDPR-forordningens artikel 82 giver ret til godtgørelse for både økonomisk og ikke-økonomisk skade. En dansk sag fra august 2025 endte med en erstatning på omkring 335 euro til en kvinde, hvis helbredsoplysninger var delt fejlagtigt med en uvedkommende part.

Relateret dækning