GDPR-bøder offentliggjort i september og oktober 2026: sikkerhed, databehandlere og menneskers rettigheder
Syv GDPR-afgørelser fra Norge, Irland, Frankrig, Sverige, Grækenland og Italien: svag sikkerhed, manglende databehandleraftaler og ignorerede anmodninger.
Fra begyndelsen af september til midten af oktober 2026 videreformidlede Det Europæiske Databeskyttelsesråd (EDPB) en række GDPR-bøder fra nationale myndigheder. Ud over de store sager mod Uber og Google, som vi dækkede i GDPR-håndhævelse i 2026, skiller to temaer sig ud: svag sikkerhed, og samtykker og anmodninger, der ikke blev respekteret.
Sikkerhed og databehandlere
- HSE, 645.000 euro, Irland (28. august 2026). Ubudne gæster fik adgang til patientjournaler på papir i tidligere psykiatriske hospitaler. Bøder, en irettesættelse og påbud.
- Hôpital Privé de la Loire, 500.000 euro, Frankrig (3. september 2026). En angriber fik adgang til oplysninger om 524.867 patienter: ingen flerfaktorgodkendelse for eksterne brugere, adgang ikke begrænset til behandlingsteamet, ingen detektion i realtid, og de 202.246 "tillidspersoner", hvis oplysninger også blev stjålet, blev ikke underrettet.
- Miljödata, 1,8 mio. svenske kroner, Sverige (22. september 2026). Et cyberangreb på en it-leverandør ramte 2,2 millioner mennesker; ingen tilstrækkelig kontrol ved installation af ny software og ingen overvågning i realtid.
- Grækenlands ministerium for social samhørighed og familie, 200.000 euro, og dets databehandler E.E.T.A.A., 150.000 euro (28. juli 2026). Forældede systemer trods kendte risici og mangler efter artikel 28; begge skal indgå en databehandleraftale.
Samtykke og menneskers rettigheder
- Xandr, 92 mio. norske kroner (ca. 8,6 mio. euro), Norge (2. oktober 2026). Annoncevirksomheden behandlede i realtidsbudgivning oplysninger om brugere af en datingapp for homoseksuelle, biseksuelle, trans- og queerpersoner uden gyldigt retsgrundlag. Den støttede sig på appens samtykke, som var ugyldigt: hver fælles dataansvarlig skal selv kontrollere samtykket. Det er den norske myndigheds hidtil største bøde, og den er endelig.
- EXTIA, 300.000 euro, Frankrig (21. juli 2026). Af 265 anmodninger om sletning i 2024 blev 12 aldrig behandlet, og 166 personer fik aldrig besked om udfaldet.
- BBVA, 5.508.000 euro, Italien (3. juli 2026). En kunde gjorde indsigelse mod markedsføring i bankens app, men fik reklamenotifikationer i syv måneder på grund af en synkroniseringsfejl mellem interne systemer.
Hvad du kan gøre nu
Tjek flerfaktorgodkendelse og overvågning af systemer med følsomme oplysninger, en underskrevet databehandleraftale med hver leverandør, og at en anmodning eller indsigelse når frem til det system, der skal handle på den.
Dazr Compliance samler GDPR-sikkerhedskontroller, et leverandørregister med links til databehandleraftaler og revisionsdatoer, fortegnelsen efter artikel 30 og et register over brud med et 72-timersur ét sted, med påmindelser når en gennemgang forfalder.
Kilder
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Kun til orientering, ikke juridisk rådgivning. Senest opdateret 7. november 2026.
Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål