Det irske datatilsyn, Data Protection Commission (DPC), offentliggjorde den 2. september 2026 en afgørelse, der pålægger landets offentlige sundhedsvæsen, Health Service Executive (HSE), en bøde på 645.000 euro. Sagen drejer sig ikke om et hackerangreb eller en lækket database, men om noget langt mere kedeligt: papirjournaler, der lå opbevaret hos eksterne lagerleverandører uden tilstrækkelig sikkerhed. Det er anden gang i 2026, at HSE bliver ramt af en GDPR-bøde, og sagen kaster lys over et problem, som også danske og nordiske sundhedsmyndigheder kæmper med, nemlig at gamle arbejdsgange sjældent følger med, når databeskyttelseskravene strammes.
Hvad afgørelsen fra DPC faktisk siger
Ifølge DPC’s pressemeddelelse af 2. september 2026 kommer bøden efter en undersøgelse af, hvordan HSE har behandlet personoplysninger i papirjournaler, der er opbevaret og opmagasineret i eksterne lagerfaciliteter. Afgørelsen, der formelt er dateret 28. august 2026, fastslår, at HSE overtrådte flere centrale bestemmelser i databeskyttelsesforordningen. Ud over den økonomiske sanktion har DPC udstedt en irettesættelse samt et påbud om at bringe behandlingen i overensstemmelse med reglerne, og et krav om, at berørte patienter informeres korrekt om bruddet.
Det centrale problem er ikke, at HSE opbevarer papirjournaler eksternt i sig selv, men at sikkerheden omkring den opbevaring ifølge tilsynet ikke levede op til kravene i forordningen. Sagen er derfor et af de tydeligste eksempler i 2026 på, at GDPR-håndhævelse ikke kun handler om digitale systemer og cloud-tjenester. Fysiske arkiver, kasser med journaler og gamle lagerhaller er stadig en del af det, tilsynsmyndighederne kigger på, og de kan koste lige så dyrt som et it-brud.
Sagens baggrund: papirjournaler i eksterne lagre
HSE er Irlands nationale sundhedsmyndighed og driver eller finansierer stort set alle offentlige hospitaler, lægeklinikker, akuttjenester og socialpsykiatriske tilbud i landet. Med et budget, der de seneste år har ligget i omegnen af 20-25 milliarder euro om året, og med ansvar for sundhedsydelser til hele Irlands befolkning på over fem millioner mennesker, håndterer organisationen enorme mængder følsomme helbredsoplysninger dagligt.
En stor del af disse oplysninger findes stadig kun på papir. Ældre patientjournaler, henvisninger og behandlingsnotater er ofte blevet arkiveret fysisk gennem årtier, og når hospitaler løber tør for plads, er løsningen typisk at flytte arkiverne til eksterne opbevaringsfirmaer. DPC’s undersøgelse konkluderer, at HSE ikke i tilstrækkelig grad sikrede sig, at disse eksterne faciliteter beskyttede journalerne mod uautoriseret adgang, tab eller ødelæggelse, hvilket i sidste ende førte til et brud på persondatasikkerheden.
De fire GDPR-artikler, HSE overtrådte
DPC’s afgørelse henviser konkret til artikel 5, 32, 33 og 34 i databeskyttelsesforordningen. Artikel 5 fastlægger de grundlæggende principper for behandling af personoplysninger, herunder krav om dataminimering og integritet. Artikel 32 handler om sikkerhed i forbindelse med behandling, og det er her, kravet om passende tekniske og organisatoriske foranstaltninger hører hjemme, uanset om data ligger i en database eller i en arkivkasse. Artikel 33 pålægger dataansvarlige at anmelde brud på persondatasikkerheden til tilsynsmyndigheden inden for 72 timer, mens artikel 34 kræver, at de registrerede selv får besked, hvis bruddet indebærer høj risiko for deres rettigheder.
At HSE ifølge DPC har overtrådt netop denne kombination af artikler, peger på et systemisk problem snarere end en enkeltstående fejl. Sagen handler både om, hvordan dataene blev opbevaret i første omgang, og om hvordan organisationen reagerede, da bruddet blev opdaget. Det er en af grundene til, at DPC ikke kun har udstedt en bøde, men også et bindende compliance-påbud, der forpligter HSE til at ændre sine sikkerhedsprocedurer for arkivering af papirjournaler fremadrettet.
Anden bøde til HSE i 2026: 300.000 euro for ransomware-sag
Det er værd at holde september-afgørelsen op mod en anden sag mod samme organisation tidligere på året. Den 15. juni 2026 offentliggjorde DPC en separat afgørelse, hvor HSE fik en bøde på 300.000 euro for sikkerhedsbrist i forbindelse med et ransomware-angreb mod laboratoriesystemet på Midlands Regional Hospital i Tullamore. Det angreb blev oprindeligt opdaget i november 2018, men sagsbehandlingen hos DPC trak ud i årevis, før den endelige afgørelse faldt.
Tilsammen betyder de to sager, at HSE i løbet af 2026 alene er blevet pålagt bøder for over 945.000 euro fra det irske datatilsyn. Det er ikke ekstreme summer sammenlignet med de største GDPR-sager mod techgiganter, men det er et markant signal om, at et offentligt sundhedsvæsen kan blive ramt gentagne gange, når både digitale systemer og fysiske arkiver ikke lever op til kravene samtidig.
Sundhedssektoren under særligt pres fra EU’s tilsynsmyndigheder
HSE-sagen er langt fra enestående. Ifølge GDPR Enforcement Tracker Report fra CMS Law har databeskyttelsesmyndigheder i 27 lande frem til 2026 udstedt 265 bøder specifikt rettet mod hospitaler, apoteker, læger og medicinalleverandører, med en samlet sum på cirka 32,3 millioner euro. Det er en stigning på 9,5 millioner euro sammenlignet med opgørelsen fra 2025, hvilket viser, at håndhævelsen i sundhedssektoren er tiltagende, ikke aftagende.
Sundhedsdata regnes som særligt følsomme oplysninger under GDPR’s artikel 9, og det betyder, at tilsynsmyndighederne generelt går hårdere til værks, når der sker fejl i denne sektor. Samtidig er sundhedsvæsenet i mange EU-lande, herunder Danmark og Irland, kendetegnet ved store, decentrale organisationer med mange forskellige it-systemer og arkiveringsformer, hvilket gør det svært at holde et ensartet sikkerhedsniveau. HSE’s to bøder i 2026 illustrerer netop den udfordring: den ene sag handler om et moderne it-system, den anden om et fysisk arkiv, der nærmest kunne være taget direkte ud af 1990’erne.
Sammenligning: sundhedsrelaterede GDPR-bøder i Europa
For at sætte HSE-bøden i perspektiv er det nyttigt at sammenligne den med andre nylige sager i sundhedssektoren, herunder en dansk sag, der ligner den irske på flere punkter.
| Sag | Land | Bøde | Årsag | Afgørelsesdato |
|---|---|---|---|---|
| HSE (papirjournaler) | Irland | 645.000 € | Utilstrækkelig sikring af papirjournaler hos ekstern lagerudbyder | 28. august 2026 |
| HSE (ransomware Tullamore) | Irland | 300.000 € | Sikkerhedsbrist der muliggjorde ransomware-angreb på laboratoriesystem | 15. juni 2026 (meddelt 11. juni) |
| Region Syddanmark | Danmark | Sag rejst af Datatilsynet | Databrud der ramte omkring 23.000 personer | 2026 |
| Samlet sundhedssektor (EU/EEA) | 27 lande | Ca. 32,3 mio. € (265 bøder) | Brud på persondatasikkerhed i hospitaler, apoteker og medicinalvirksomheder | Opgjort 2026 |
Tabellen viser, at HSE’s to sager tilsammen udgør en betydelig andel af de bøder, der er registreret mod enkeltstående sundhedsorganisationer i Europa i 2026. Samtidig ligger begge irske bøder under det, mange ville forvente af en organisation af HSE’s størrelse, hvilket afspejler, at DPC ifølge egne retningslinjer lægger vægt på proportionalitet, og på at HSE er en offentlig myndighed uden overskudsdrift.
Region Syddanmark: et lignende mønster i Danmark
Den irske sag har paralleller til den danske sag om Region Syddanmark, hvor et databrud ramte omkring 23.000 personer. Selvom detaljerne er forskellige, deler sagerne en fælles kerne: offentlige sundhedsmyndigheder med store, historisk vokseværk-prægede it- og arkivstrukturer, der ikke altid er blevet moderniseret i takt med, at datamængderne og kravene er vokset. Datatilsynet i Danmark har gennem 2026 skærpet sin praksis over for både private og offentlige dataansvarlige, og sundhedssektoren indgår som et af de områder, tilsynet holder særligt øje med, ligesom Norge og andre nordiske lande er set med skærpede GDPR-bøder.
Forskellen mellem den danske og den irske sag ligger i typen af brud. Region Syddanmark-sagen handlede om digitale data, mens HSE-sagen fra august 2026 specifikt vedrører fysiske papirjournaler. Det er en påmindelse om, at datasikkerhed ikke kan reduceres til firewalls og adgangskontrol i it-systemer. Så længe sundhedsvæsenet fortsat opbevarer papirbaserede journaler, og det gør de fleste europæiske sundhedsmyndigheder i et vist omfang, skal den samme beskyttelse gælde for de fysiske arkiver som for de digitale.
Det samlede billede: GDPR-bøder i EU passerer nye milepæle
HSE-sagen indgår i et år, hvor GDPR-håndhævelsen i Europa fortsætter med at vokse. Ifølge GDPR Enforcement Tracker Report er der frem til marts 2026 registreret i alt 2.685 bøder i databasen, en stigning på 440 sager i forhold til året før, og de samlede bøder siden forordningens ikrafttræden i maj 2018 er nu passeret 6 milliarder euro. Tælles sager med ufuldstændige oplysninger med, stiger det samlede antal registrerede sager til 3.062.
| Nøgletal | Værdi | Kilde/periode |
|---|---|---|
| Samlede GDPR-bøder i EU/EEA siden maj 2018 | Over 6 mia. € | GDPR Enforcement Tracker, marts 2026 |
| Antal registrerede bøder | 2.685 (3.062 inkl. ufuldstændige sager) | GDPR Enforcement Tracker, marts 2026 |
| Bøder specifikt i sundhedssektoren | 265 bøder, ca. 32,3 mio. € | CMS Law, opgjort 2026 |
| Eksempel: en uges håndhævelse (14.-21. aug. 2026) | 19 afgørelser fra 7 tilsyn i 7 lande, 46.400 € i bøder | thedpo.eu ugeoversigt |
Det interessante ved ugeoversigten fra midten af august 2026 er, at hovedparten af bøderne i den konkrete uge, fire ud af syv, ikke handlede om selve databehandlingen, men om manglende samarbejde med tilsynet i henhold til artikel 31 og artikel 58. HSE-sagen skiller sig derfor ud ved at gå direkte til kernen af databeskyttelsen: sikkerheden omkring selve opbevaringen af personoplysninger.
Hvorfor papirjournaler stadig er et problem i en digital tid
Det kan virke overraskende, at en sag om papirarkiver stadig kan udløse en bøde på over en halv million euro i 2026, hvor de fleste diskussioner om datasikkerhed handler om cloud-infrastruktur, AI-systemer og ransomware. Men netop derfor er sagen instruktiv. Mange organisationer bruger store ressourcer på at sikre deres digitale systemer, mens ældre fysiske arkiver bliver overladt til tredjepartsleverandører uden samme grad af kontrol eller opfølgning.
GDPR skelner ikke mellem digitale og fysiske data. Så snart oplysningerne kan henføres til en identificerbar person, gælder de samme krav om passende sikkerhed, uanset om oplysningerne ligger i en database eller i en flyttekasse på et lager. For organisationer med lange historikker, som netop sundhedsvæsenet, betyder det, at en fuld digitalisering ikke nødvendigvis løser problemet. Overgangsperioden, hvor gamle papirarkiver og nye digitale systemer eksisterer side om side, er ofte det mest sårbare tidspunkt rent sikkerhedsmæssigt.
Markedspåvirkning: hvad betyder sagen for leverandører og sundhedsudbydere
For virksomheder, der leverer arkiverings- og lagerløsninger til offentlige og private sundhedsudbydere, sender sagen et klart signal. Det er ikke nok blot at opbevare materiale fysisk sikkert mod brand og tyveri, kontrakterne skal også dokumentere, hvordan persondatasikkerheden er sikret gennem hele opbevaringskæden, og hvordan et eventuelt brud opdages og indberettes rettidigt. Databehandleraftaler med eksterne lagerudbydere bliver dermed et område, hvor sundhedsorganisationer i hele Europa bør forvente skærpet due diligence fra deres egne tilsynsmyndigheder.
For it-leverandører til sundhedssektoren, herunder virksomheder der arbejder med digitalisering af papirarkiver, kan sagen fungere som et konkret argument for at fremskynde digitaliseringsprojekter. Når risikoen ved at opbevare papir eksternt bliver prissat gennem bøder som HSE’s, bliver business casen for at scanne og destruere gamle arkiver mere håndgribelig for beslutningstagere, der ellers har udskudt den slags investeringer.
Historisk kontekst: fra GDPR’s ikrafttræden til i dag
Da GDPR trådte i kraft den 25. maj 2018, var der usikkerhed om, hvor hårdt reglerne reelt ville blive håndhævet, og om sundhedssektoren, med sin blanding af offentlig finansiering og kritisk samfundsfunktion, ville blive skånet. Otte år senere viser tallene noget andet. DLA Pipers årlige GDPR-undersøgelse har tidligere vist, at de europæiske tilsynsmyndigheder modtog i gennemsnit 443 anmeldelser om brud på persondatasikkerheden om dagen, en stigning på 22 procent år for år, hvilket understreger, at antallet af sager fortsat vokser, ikke kun bødernes størrelse. Se også vores sammenligning af GDPR vs. CCPA og deres forskellige bødeniveauer.
HSE har ikke kun været involveret i GDPR-sager i 2026. Organisationen har tidligere fået afgørelser fra DPC helt tilbage i 2020, og mønstret gentager sig: en stor, decentral organisation med mange systemer og arbejdsgange, hvor det tager år at rette op på strukturelle problemer, selv efter en første advarsel fra tilsynet. Det er en udvikling, som også danske myndigheder bør holde sig for øje, i takt med at Datatilsynet skærper sin egen praksis over for både regioner og kommuner.
Konkurrencesammenligning: hvordan tilsyn i Irland og Danmark håndterer sundhedsdata
DPC i Irland og Datatilsynet i Danmark opererer under samme EU-forordning, men med forskellige håndhævelsesstile. DPC har historisk fået kritik for at være for langsom over for de store techvirksomheder, der har europæisk hovedkvarter i Irland, men over for offentlige irske institutioner som HSE viser 2026 et andet billede: to selvstændige afgørelser mod samme organisation inden for få måneder, begge med konkrete bøder og bindende påbud.
Det danske Datatilsyn har i sager som Region Syddanmark og den bredere opgørelse over 9.849 databrud vist en tilsvarende vilje til at følge op på sundhedssektoren, men med en anden tilgang: fokus på systematisk rapportering af brud, og på at sammenligne regioner og kommuner med hinanden for at identificere mønstre. Begge tilgange peger i samme retning, nemlig at sundhedsdata får en særstatus i håndhævelsen, uanset om tilsynet vælger den enkeltsagsorienterede model som i Irland eller den mere strukturelle model som i Danmark.
Hvad det betyder for danske og nordiske sundhedsmyndigheder
Selvom HSE-sagen er irsk, er relevansen for Danmark og resten af Norden tydelig. Danske regioner og hospitaler sidder med samme udfordring som HSE: store mængder ældre papirjournaler, ofte opbevaret hos eksterne arkivvirksomheder, kombineret med et stigende krav om digital sikkerhed under både GDPR og det nyere NIS2-direktiv. NIS2 stiller yderligere krav til risikostyring og hændelseshåndtering for organisationer, der regnes som samfundskritiske, og sundhedsvæsenet er netop en af de sektorer, der er omfattet. Læs mere om databeskyttelse og digitale rettigheder i vores samling af artikler om onlineprivatliv.
For danske sundhedsmyndigheder betyder det, at en gennemgang af eksterne opbevaringsaftaler for papirjournaler bør stå højt på listen over compliance-opgaver i den kommende tid. Det handler ikke kun om at undgå en bøde svarende til HSE’s, men om at undgå den tillidskrise, der typisk følger, når patienter opdager, at deres helbredsoplysninger ikke har været beskyttet som lovet.
Fem forudsigelser for GDPR-håndhævelse i sundhedssektoren
- Flere tilsynsmyndigheder vil i 2027 rette specifikt fokus mod fysiske arkiver og eksterne lagerleverandører, ikke kun digitale systemer, som en direkte konsekvens af HSE-sagen.
- Antallet af bøder i sundhedssektoren vil fortsætte med at stige fra de nuværende 265 registrerede sager, i takt med at flere ældre brud fra 2018-2022 når frem til endelige afgørelser.
- Databehandleraftaler med arkiverings- og lagerselskaber vil blive et fast revisionspunkt hos både offentlige og private sundhedsudbydere i Danmark og Irland.
- Digitaliseringsprojekter, der scanner og destruerer gamle papirarkiver, vil få lettere ved at få finansiering, fordi risikoen nu har et konkret prismærke via sager som HSE’s.
- NIS2-kravene vil i stigende grad blive kædet sammen med GDPR-sager mod sundhedsorganisationer, så en enkelt hændelse kan udløse sanktioner efter flere regelsæt på samme tid.
Ofte stillede spørgsmål
Hvor stor er bøden mod HSE, og hvornår blev den offentliggjort?
DPC pålagde HSE en bøde på 645.000 euro. Selve afgørelsen er dateret 28. august 2026, men blev offentliggjort af DPC og EDPB den 2. september 2026.
Hvad handlede sagen om?
Sagen omhandlede HSE’s behandling af personoplysninger i papirjournaler, der blev opbevaret og opmagasineret hos eksterne lagerfaciliteter uden tilstrækkelig sikring, hvilket førte til et brud på persondatasikkerheden.
Er dette den eneste GDPR-bøde, HSE har fået i 2026?
Nej. HSE fik tidligere på året, den 15. juni 2026, en separat bøde på 300.000 euro for sikkerhedsbrist, der muliggjorde et ransomware-angreb mod laboratoriesystemet på Midlands Regional Hospital i Tullamore.
Hvilke GDPR-artikler blev overtrådt?
Afgørelsen henviser til artikel 5 (principper for databehandling), artikel 32 (sikkerhed i forbindelse med behandling), artikel 33 (anmeldelse af brud til tilsynsmyndigheden) og artikel 34 (underretning af de registrerede).
Hvor mange GDPR-bøder er der samlet set udstedt i sundhedssektoren i EU?
Ifølge CMS Law’s GDPR Enforcement Tracker Report er der frem til 2026 udstedt 265 bøder mod hospitaler, apoteker, læger og medicinalleverandører i 27 lande, med en samlet sum på cirka 32,3 millioner euro.
Hvordan sammenligner sagen sig med danske GDPR-sager i sundhedssektoren?
Sagen minder om den danske Region Syddanmark-sag, hvor et databrud ramte omkring 23.000 personer. Begge sager viser, at store offentlige sundhedsorganisationer med historisk vokseværk i it- og arkivstrukturer er sårbare over for GDPR-håndhævelse.
Hvad skal sundhedsorganisationer gøre for at undgå lignende bøder?
De bør gennemgå databehandleraftaler med eksterne lagerleverandører, sikre at fysiske arkiver har samme sikkerhedsniveau som digitale systemer, og have klare procedurer for at opdage og indberette brud inden for 72-timers fristen i artikel 33.
Hvor stort er det samlede GDPR-bødebeløb i EU siden 2018?
Ifølge GDPR Enforcement Tracker Report er de samlede bøder siden forordningens ikrafttræden i maj 2018 passeret 6 milliarder euro, fordelt på over 2.685 registrerede sager frem til marts 2026.
