Den 23. marts 2026 afsagde Vestre Landsret en dom, der satte to tal på Danmarks tilgang til databeskyttelse: 500.000 kroner i bøde til Region Syddanmark og cirka 23.000 borgere, hvis oplysninger lå åbne i halvandet år. Seks måneder tidligere havde samme domstol sendt en anden regning, 1,5 millioner kroner til møbelkæden ILVA. Begge sager blev afgjort ved en domstol, ikke af Datatilsynet selv, og det er præcis pointen. Danmark straffer GDPR-brud gennem straffesystemet frem for administrative bøder, en model der adskiller landet fra stort set resten af EU og som nu bliver testet af to af de mest omtalte sager i flere år.
Sagen fra Odense: 23.000 borgere og en sårbarhed, ingen opdagede i halvandet år
Kernen i sagen mod Region Syddanmark var en forsknings- og klinisk database tilknyttet Børne- og Ungdomspsykiatrien i Odense. Databasen indeholdt besvarelser fra spørgeskemaer, blandt andet navne og fødselsdatoer, men ingen CPR-numre. Problemet lå i adgangskontrollen. Fra 4. januar 2019 til 23. august 2020 kunne brugere ændre i URL-adressen og på den måde tilgå oplysninger om andre end dem selv, i alt ramte det personoplysninger for omkring 23.000 personer, herunder børn tilknyttet psykiatrisk behandling.
Vestre Landsret lagde vægt på, at regionen burde have kendt til sårbarheden. Der var nemlig indberettet en lignende hændelse allerede i 2018, uden at det førte til de nødvendige tekniske ændringer. Retten fandt derfor, at regionen ikke havde sikret et passende beskyttelsesniveau efter GDPR artikel 32, som handler om behandlingssikkerhed. Byretten i Kolding havde 23. december 2024 idømt regionen en samlet bøde på 1 million kroner for to forhold. Landsretten stadfæstede skylden i det ene forhold og fastholdt her en bøde på 500.000 kroner, som Datatilsynet selv beskrev i sin meddelelse 25. marts 2026.
Den anden anklage: Google-indekseret kræftpræsentation frikendte regionen
Det andet forhold handlede om en PowerPoint-præsentation om kræftbehandling, uploadet allerede i 2011. Filen indeholdt skjulte personoplysninger, deriblandt CPR-numre, og blev indekseret af Google frem til 5. februar 2020. Her drejede det sig om oplysninger vedrørende 3.915 patienter. På dette punkt vurderede Vestre Landsret, at regionens sikkerhedsniveau faktisk havde været tilstrækkeligt, og regionen blev frifundet for denne del af anklagen.
Resultatet blev en halvering af den oprindelige bøde, fra 1 million til 500.000 kroner, fordi kun ét af de to forhold endte med domfældelse. Nedenfor er de to sager stillet op mod hinanden.
| Forhold | Sag 1: Forskningsdatabase | Sag 2: PowerPoint-fil |
|---|---|---|
| Periode | 4. januar 2019 – 23. august 2020 | 2011 – 5. februar 2020 |
| Berørte personer | Ca. 23.000 | 3.915 |
| Type sårbarhed | Adgang via manipuleret URL | Skjulte data, indekseret af Google |
| Datatype | Navn, fødselsdato (ikke CPR) | CPR-numre |
| Byrettens dom (23/12-2024) | Skyldig, 500.000 kr. | Skyldig, 500.000 kr. |
| Landsrettens dom (23/3-2026) | Skyldig, 500.000 kr. | Frifundet |
ILVA-sagen: 1,5 millioner kroner for kundedata, der blev liggende for længe
Seks måneder før Region Syddanmark-dommen havde Vestre Landsret afgjort en sag mod møbelkæden ILVA A/S, en del af Jysk Group. Den 2. september 2025 blev virksomheden idømt en bøde på 1,5 millioner kroner for ulovlig opbevaring af kundeoplysninger, altså data der blev gemt længere end nødvendigt og uden gyldigt grundlag. Byretten havde oprindeligt sat bøden til 100.000 kroner, men landsretten forhøjede den markant, i overensstemmelse med Datatilsynets indstilling, som beskrevet af advokatfirmaet Littler Danmark.
Springet fra 100.000 til 1,5 millioner kroner illustrerer noget centralt: domstolene følger ikke automatisk byrettens udgangspunkt, og Datatilsynets anbefalede bødeniveau vejer tungt, uanset om resultatet bliver en skærpelse som hos ILVA eller en formildelse som hos Region Syddanmark. Sagen hænger desuden sammen med en afgørelse fra EU-Domstolen (sag C-383/23, ILVA), der slog fast, at hele koncernens omsætning kan indgå, når en bøde skal beregnes, selv i lande hvor det er domstole og ikke myndigheden selv, der fastsætter beløbet.
Derfor går GDPR-sager i Danmark gennem retssystemet, ikke Datatilsynet
I de fleste EU-lande kan databeskyttelsesmyndigheden selv udstede en administrativ bøde direkte til virksomheden, med mulighed for efterfølgende at anke til domstolene. Sådan fungerer det ikke i Danmark. Datatilsynet har ikke beføjelse til at pålægge bøder. I stedet undersøger myndigheden sagen, vurderer om der er sket en overtrædelse, og anbefaler i alvorlige tilfælde en politianmeldelse med et konkret forslag til bødestørrelse.
Herfra overtager politiet efterforskningen, og sagen rejses som en straffesag ved byretten, med mulighed for anke til landsretten, som det skete i begge de sager, der er beskrevet her. Det betyder i praksis, at et GDPR-brud i Danmark juridisk behandles på linje med andre strafbare forhold, med de krav til bevisførelse og den sagsbehandlingstid, det medfører. Det forklarer også, hvorfor sager som Region Syddanmarks kan tage over fem år fra brud til endelig dom, databruddet startede i 2019, og landsretsdommen kom først i 2026.
Danmark mod Irland, Frankrig og Italien: To vidt forskellige håndhævelsesmodeller
Forskellen bliver tydelig, når man sammenligner med de lande, der driver den europæiske bødestatistik. Ifølge CMS’ GDPR Enforcement Tracker Report, opdateret 1. marts 2026, er der siden 2018 registreret 2.685 bøder i EU til en samlet værdi af omkring 6,11 milliarder euro, en stigning på 440 sager og 487,6 millioner euro alene i det seneste år. Den irske myndighed står bag ni af de ti største bøder nogensinde, heriblandt Metas bøde på 1,2 milliarder euro, som stadig er den højeste enkeltbøde under GDPR. Spanien topper til gengæld antallet af sager med 1.048 bøder, men med markant lavere gennemsnitsbeløb end Irland.
Danmark optræder slet ikke på listen over de mest aktive lande, og det er ikke fordi danske virksomheder og myndigheder overholder reglerne perfekt. Det skyldes modellen. Når en bøde kun kan komme efter en politianmeldelse og en retssag, bliver antallet af sager naturligt lavere, og beløbene mindre synlige internationalt, selvom de regnet i kroner kan opleves som alvorlige for den ramte organisation.
| Land | Håndhævelsesmodel | Hvem fastsætter bøden | Kendt eksempel |
|---|---|---|---|
| Danmark | Straffesag via politi og domstole | Byret/landsret | ILVA: 1,5 mio. kr. Region Syddanmark: 500.000 kr. |
| Irland | Administrativ bøde | Data Protection Commission | Meta: 1,2 mia. euro |
| Frankrig | Administrativ bøde | CNIL | Blandt de to lande med over 1 mia. euro i samlede bøder |
| Spanien | Administrativ bøde | AEPD | 1.048 bøder, lavere gennemsnit |
| Italien | Administrativ bøde | Garante | Hurtigst stigende bødeniveau ifølge CMS-rapporten |
Datatilsynets ni fokusområder for 2026: Fra AI-overvågning til autoudfyld
Mens de to retssager blev afgjort, offentliggjorde Datatilsynet 7. januar 2026 sine ni fokusområder for tilsyn i 2026, opdelt i to hovedtemaer. Det første tema handler om overvågning gennem nye teknologier, det andet om datasikkerhed, borgernes rettigheder og særlige tilsynsforpligtelser. Sammen tegner de et billede af, hvor Datatilsynet forventer at finde de næste sager, som i sidste ende kan ende ved domstolene på samme måde som Region Syddanmark og ILVA.
| # | Fokusområde | Tema |
|---|---|---|
| 1 | AI til overvågning og kontrol af borgere i pleje | Ny teknologi |
| 2 | Måle- og overvågningsenheder til hjemmebehandling | Ny teknologi |
| 3 | Danske hjemmesiders sporing af borgere | Ny teknologi |
| 4 | Overvågning af ansatte | Ny teknologi |
| 5 | Sikker brug af autoudfyld i mail og beskeder | Datasikkerhed |
| 6 | Tilsyn med store databehandlere | Datasikkerhed |
| 7 | Gennemsigtighed og oplysningspligt | Rettigheder |
| 8 | Behandling i fælleseuropæiske informationssystemer | Særlige forpligtelser |
| 9 | Tilsyn med PNR-data (passageroplysninger) | Særlige forpligtelser |
Punkt fem er værd at hæfte sig ved. Datatilsynet peger direkte på, at gentagne databrud skyldes autoudfyld-funktioner i mail- og beskedsystemer, altså menneskelige fejl forstærket af software, snarere end avancerede angreb. Det er en påmindelse om, at de fleste GDPR-sager i Danmark ikke handler om hackere, men om utilstrækkelig kontrol med almindelige it-systemer, præcis som i Region Syddanmarks tilfælde.
Hvad betyder sagerne for danske myndigheder og virksomheder
For offentlige institutioner sender Region Syddanmark-dommen et klart signal. Regioner og kommuner driver et væld af ældre it-systemer og forskningsdatabaser, ofte bygget før GDPR trådte i kraft i 2018, og domstolen accepterede ikke argumentet om, at systemet var gammelt. Afgørende var, at regionen kendte til en lignende sårbarhed fra 2018 og ikke handlede på den. Det rejser spørgsmålet om, hvor mange andre offentlige databaser der i dag har kendte, men uafhjulpne sikkerhedshuller. Sagen minder om det bredere billede, Datatilsynet tegnede sidste år i sin opgørelse over indberettede databrud, hvor gamle systemer går igen som en tilbagevendende årsag.
For private virksomheder er ILVA-sagen mindst lige så relevant. Sagen handlede ikke om et hack eller en lækage, men om noget langt mere hverdagsagtigt, kundedata der blev gemt for længe. Mange danske virksomheder har lignende datalagre fra loyalitetsprogrammer, gamle webshop-konti og kundeserviceoprettelser, hvor sletning aldrig blev automatiseret. Med en bøde, der blev femtendoblet fra byret til landsret, er beskeden, at Datatilsynets anbefalede bødeniveau ikke er vejledende i praksis, det er udgangspunktet domstolene lægger sig tæt op ad.
Compliance- og forsikringsbranchen mærker allerede presset
De to sager falder sammen med, at Datatilsynet for 2026 har udpeget ni konkrete fokusområder, hvilket giver compliance-afdelinger og eksterne databeskyttelsesrådgivere et usædvanligt præcist kort over, hvor tilsynet vil lede. Rådgivningsbranchen omkring GDPR i Danmark, advokatkontorer som Littler og Bird & Bird samt specialiserede compliance-bureauer, har allerede offentliggjort analyser af begge domme inden for få uger efter afsigelsen, hvilket i sig selv viser, hvor stor kommerciel interesse der er i at rådgive kunder om risikoen.
Cyberforsikringsselskaber, der dækker ansvar ved databrud, står også over for et nyt datapunkt. Når en dansk domstol kan hæve en anbefalet bøde fra 100.000 til 1,5 millioner kroner, som i ILVA-sagen, bliver det sværere at prissætte risikoen ud fra tidligere sager. Det samme gør sig gældende for offentlige institutioner, hvor en eventuel bøde i sidste ende betales af skatteydernes penge, ikke af et forsikringsselskab. Presset ligner det, danske virksomheder allerede kender fra NIS2-reglerne, hvor højere bøder også har flyttet compliance fra en juridisk formalitet til en post på ledelsens risikobudget.
Historisk kontekst: Fra GDPR i 2018 til straffesagerne i 2025-2026
GDPR trådte i kraft i maj 2018 og gav på papiret danske virksomheder og myndigheder samme regler som resten af EU. Men allerede fra start valgte Danmark den strafferetlige model, delvist af hensyn til den danske forvaltningsret, hvor administrative bøder til private traditionelt kræver en klar lovhjemmel, som lovgiver ikke gav Datatilsynet ved implementeringen. Resultatet er otte år, hvor antallet af danske GDPR-sager, der ender med en egentlig bøde, kan tælles i enkeltcifre om året, mens lande som Spanien og Irland har opbygget en løbende strøm af afgørelser.
De to sager fra 2025 og 2026 markerer derfor ikke en ny lov eller reform, men et modent eksempel på, hvordan den eksisterende danske model fungerer, når den endelig får en sag hele vejen igennem retssystemet. Tidslinjen for Region Syddanmark, brud opdaget i 2019-2020, byretsdom i 2024, landsretsdom i 2026, illustrerer samtidig hvor lang tid der typisk går, sammenlignet med lande hvor en administrativ bøde kan komme inden for måneder efter en afgørelse fra myndigheden selv. Norge har på sin side valgt en model tættere på resten af EU, hvilket Elkjøp-sagen illustrerede, da Datatilsynet i Norge selv kunne udstede en bøde på 20 millioner norske kroner uden om domstolene.
Kritikken: Er den danske model for langsom og for lidt synlig?
Kritikere af den danske model peger på to problemer. Det første er sagsbehandlingstiden. Når en sag først skal gennem Datatilsynets undersøgelse, dernæst politiets efterforskning, og til sidst to retsinstanser, går der ofte flere år, før en afgørelse foreligger, og den præventive effekt svækkes tilsvarende. Det andet problem er synlighed. Fordi bøderne sjældent når de samme beløb som i Irland eller Frankrig, jævnfør sagen mod Uber, der blev pålagt 825 millioner euro af den hollandske myndighed, og fordi de danske sager optræder i domstolsafgørelser frem for i en offentlig bødeliste hos myndigheden, er det langt sværere for danske virksomheder at følge med i, hvilken adfærd der reelt bliver straffet.
Til gengæld peger fortalere for modellen på, at en strafferetlig proces giver stærkere retssikkerhed for den anklagede part, med krav om bevis ud over enhver rimelig tvivl og mulighed for at føre vidner, fremfor en forvaltningsafgørelse der kan opleves som mere ensidig. Region Syddanmarks delvise frifindelse i landsretten er selv et eksempel på, at systemet kan gå begge veje, ikke kun mod flere eller højere bøder, hvilket også fremgår af den internationale dækning fra DataGuidance.
Sådan undgår din organisation at ende for retten
Begge sager har konkrete læringspunkter, som ikke kræver et helt nyt compliance-program, men derimod systematisk opfølgning på kendte problemer.
- Luk gamle sårbarheder, selv de “mindre” af slagsen. Region Syddanmarks sag byggede netop på en type sårbarhed, der allerede var indberettet i 2018.
- Gennemgå adgangsstyring i alle systemer, hvor et brugerid eller en URL kan ændres manuelt, ikke kun i de systemer, der klassificeres som “kritiske”.
- Automatisér sletning af kundedata efter faste tidsfrister, i stedet for at basere sletning på manuelle rutiner, som ILVA-sagen viste kan gå galt.
- Tjek offentligt tilgængelige filer og dokumenter for indlejrede personoplysninger, særligt ældre PowerPoint- og PDF-filer, der kan blive indekseret af søgemaskiner.
- Følg Datatilsynets ni fokusområder for 2026 direkte, da de fungerer som den mest præcise vejledning til, hvor næste tilsynssag sandsynligvis opstår. Sammenlign også kravene med tilsynets skærpede krav til cookie-samtykke, som hører under samme myndighed.
Fem forudsigelser for GDPR-håndhævelse i Danmark og Norden
Baseret på de to sager og Datatilsynets offentliggjorte prioriteter er der en række udviklinger, der med rimelig sandsynlighed tegner sig for resten af 2026 og ind i 2027.
- Flere sager om AI-baseret overvågning i pleje- og sundhedssektoren når retssystemet, drevet direkte af fokusområde et og to i Datatilsynets 2026-liste.
- Offentlige myndigheder bliver de næste i søgelyset frem for private virksomheder, fordi regioner og kommuner driver flest ældre, sårbare systemer med store mængder følsomme data.
- Bødeniveauet for private virksomheder fortsætter opad, i takt med at domstolene, som i ILVA-sagen, i stigende grad følger Datatilsynets anbefalede beløb frem for byrettens oprindelige, lavere niveau.
- Automatiseret dataminimering, herunder sletningsrutiner og adgangskontrol, bliver et fast punkt i revisioner og due diligence, efter at ILVA-sagen har vist den konkrete prisforskel mellem manuel og automatiseret sletning.
- Debatten om at give Datatilsynet direkte bødekompetence, som i resten af EU og som beskrevet i vores sammenligning af GDPR og den amerikanske CCPA, blusser op igen, særligt hvis flere sager viser sig at tage over fem år fra brud til endelig dom.
Ofte stillede spørgsmål om GDPR-bøder i Danmark
Kan Datatilsynet selv give en virksomhed en bøde?
Nej. Datatilsynet kan undersøge sager, udstede påbud og vejledning, men kan ikke selv pålægge en administrativ bøde. I alvorlige sager anbefaler myndigheden i stedet en politianmeldelse med et konkret forslag til bødestørrelse, hvorefter det er domstolene, der afgør skyldsspørgsmålet og fastsætter den endelige bøde.
Hvorfor blev Region Syddanmarks bøde halveret i landsretten?
Byretten i Kolding dømte regionen skyldig i to forhold i december 2024, med en samlet bøde på 1 million kroner. Vestre Landsret stadfæstede kun det ene forhold, som handlede om en sårbar forskningsdatabase, og frifandt regionen for det andet forhold om en Google-indekseret PowerPoint-fil. Det halverede den samlede bøde til 500.000 kroner.
Hvad gjorde ILVA galt i sin GDPR-sag?
ILVA A/S, en del af Jysk Group, opbevarede kundeoplysninger i strid med GDPR’s regler om dataminimering og opbevaringsbegrænsning, altså data blev gemt længere end nødvendigt uden gyldigt grundlag. Vestre Landsret fastsatte bøden til 1,5 millioner kroner den 2. september 2025, en markant forhøjelse fra byrettens oprindelige 100.000 kroner.
Hvor mange GDPR-bøder er der givet i EU siden 2018?
Ifølge CMS’ GDPR Enforcement Tracker Report, opdateret 1. marts 2026, er der registreret 2.685 bøder siden maj 2018 til en samlet værdi af omkring 6,11 milliarder euro. Irland står bag ni af de ti største enkeltbøder, mens Spanien har flest sager i antal.
Hvorfor har Danmark så få GDPR-sager sammenlignet med andre EU-lande?
Det skyldes primært håndhævelsesmodellen. Fordi en dansk GDPR-sag kræver en politianmeldelse og en dom, i modsætning til en direkte administrativ bøde fra myndigheden, bliver antallet af sager naturligt lavere, og processen tager længere tid, ofte flere år fra brud til endelig afgørelse.
Hvad er Datatilsynets fokusområder for 2026?
Datatilsynet offentliggjorde 7. januar 2026 ni fokusområder, blandt andet AI til overvågning i pleje, IoT-måleudstyr i hjemmebehandling, sporing på danske hjemmesider, overvågning af ansatte, autoudfyld-relaterede databrud, tilsyn med store databehandlere, gennemsigtighed, fælleseuropæiske informationssystemer og PNR-data.
Kan en dansk myndighed ende med en bøde på samme niveau som Meta i Irland?
Det er usandsynligt under den nuværende model. Danske bøder fastsættes af domstole efter straffesagens karakter og har historisk ligget i hundredtusindvis til nogle få millioner kroner, langt fra de milliardbeløb, som Irlands Data Protection Commission har pålagt selskaber som Meta.
Skal virksomheder anke, hvis Datatilsynet anbefaler en politianmeldelse?
Det afhænger af sagen. ILVA-sagen viser, at en anke til landsretten kan resultere i en højere bøde, hvis retten følger Datatilsynets indstilling snarere end byrettens oprindelige niveau. Omvendt viser Region Syddanmark-sagen, at en anke også kan føre til hel eller delvis frifindelse. Beslutningen bør derfor bero på en konkret juridisk vurdering af bevisstyrken i den enkelte sag.
