Håndhævelse af GDPR i 2026: store bøder og nye procedurer

Udgivet 19. oktober 2026 · Opdateret 22. oktober 2026 · Af Dazr

Google fik en bøde på 403 mio. euro for lokationsdata, hurtigere grænseoverskridende sager fra april 2027 og GDPR-ændringer, der stadig kun er forslag.

Otte år efter at GDPR begyndte at gælde, giver håndhævelsen stadig store afgørelser, og behandlingen af grænseoverskridende sager er ved at blive ændret.

Nye afgørelser

Uber, 824,99 mio. euro (offentliggjort 8. oktober 2026). Den nederlandske databeskyttelsesmyndighed (AP) fandt, at Uber deaktiverede chaufførers konti gennem fuldt automatiserede afgørelser, midlertidigt ved mistanke om svindel eller lave bedømmelser og permanent ved vedvarende lave bedømmelser, i strid med artikel 22, og at chaufførerne ikke blev informeret tilstrækkeligt (artikel 13). Sagen begyndte med klager fra 171 franske chauffører til CNIL og dækker 2018 til 2022. Uber har anket, så afgørelsen er ikke endelig.
Google, 403 mio. euro (21. september 2026). Den irske Data Protection Commission (DPC) fandt som ledende tilsynsmyndighed, at Google havde overtrådt GDPR i behandlingen af lokationsdata i Web- og appaktivitet, Placeringshistorik og Placeringsnøjagtighed: lovlighed og rimelighed, gennemsigtighed, ansvarlighed og opbevaring. Google skal bringe behandlingen i overensstemmelse inden for seks måneder.
TikTok, 530 mio. euro (2. maj 2025). DPC fandt, at TikTok ikke havde vist, at data om brugere i EØS, som medarbejdere i Kina havde fjernadgang til, havde en i det væsentlige tilsvarende beskyttelse (artikel 46, stk. 1), og at privatlivspolitikken ikke nævnte de berørte lande (artikel 13, stk. 1, litra f).

Tilsammen viser de, at automatiserede afgørelser, overførsler til tredjelande, gennemsigtighed og at opbevare data længere end nødvendigt er dér, hvor de store bøder kommer fra.

Hurtigere grænseoverskridende sager fra 2. april 2027

Forordning (EU) 2025/2518 tilføjer procedureregler for grænseoverskridende GDPR-sager. Den blev offentliggjort den 12. december 2025 og gælder fra 2. april 2027. Den harmoniserer, hvornår en klage kan antages, giver klagere og virksomheder ret til at blive hørt og til at se foreløbige konklusioner, og fastsætter frister: som udgangspunkt 15 måneder til en undersøgelse, med 12 måneders forlængelse i komplekse sager, og en enklere procedure for enkle sager. De materielle regler i GDPR ændres ikke.

Den digitale omnibus, som Kommissionen foreslog i november 2025, indeholder ændringer af GDPR, fx en højere tærskel og en længere frist for at anmelde brud på persondatasikkerheden til myndighederne og ét fælles indberetningssted for hændelser. EDPB og EDPS støttede dele af det i deres fælles udtalelse fra februar 2026 og udtrykte bekymring over andre. Der er tale om forslag: i dag gælder fristen på 72 timer for at anmelde et brud stadig.

Hvad I kan tjekke

Jeres fortegnelse over behandlingsaktiviteter og opbevaringsperioder, især for lokationsdata og andre følsomme data.
Vurderinger af overførsler for al adgang uden for EØS, også fjernsupport.
Privatlivspolitikker, der tydeligt nævner modtagere og lande.
En procedure for brud, der overholder fristen på 72 timer.
Hvor software træffer afgørelser om mennesker, for eksempel ved at spærre en konto: en reel menneskelig vurdering og en klar forklaring til de berørte.

Kilder

Kun til orientering, ikke juridisk rådgivning. Senest opdateret 22. oktober 2026.

Emner: GDPR, Håndhævelse, EU

Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål