Håndheving av GDPR i 2026: store bøter og nye prosedyrer
Google fikk 403 millioner euro i bot for posisjonsdata, raskere grenseoverskridende saker fra april 2027 og GDPR-endringer som fortsatt bare er forslag.
Åtte år etter at GDPR begynte å gjelde, gir håndhevingen fortsatt store vedtak, og behandlingen av grenseoverskridende saker er i ferd med å endres.
Nye vedtak
- Uber, 824,99 millioner euro (publisert 8. oktober 2026). Den nederlandske datatilsynsmyndigheten (AP) fant at Uber deaktiverte sjåførers kontoer gjennom helautomatiserte avgjørelser, midlertidig ved mistanke om svindel eller lave vurderinger og permanent ved vedvarende lave vurderinger, i strid med artikkel 22, og at sjåførene ikke ble godt nok informert (artikkel 13). Saken startet med klager fra 171 franske sjåfører til CNIL og gjelder 2018 til 2022. Uber har anket, så vedtaket er ikke endelig.
- Google, 403 millioner euro (21. september 2026). Den irske Data Protection Commission (DPC) fant som ledende tilsynsmyndighet at Google hadde brutt GDPR ved behandlingen av posisjonsdata i Nett- og appaktivitet, Posisjonslogg og Posisjonsnøyaktighet: lovlighet og rettferdighet, åpenhet, ansvar og lagringstid. Google må bringe behandlingen i samsvar med reglene innen seks måneder.
- TikTok, 530 millioner euro (2. mai 2025). DPC fant at TikTok ikke hadde vist at data om brukere i EØS, som ansatte i Kina hadde fjerntilgang til, hadde et i hovedsak likeverdig vern (artikkel 46 nr. 1), og at personvernerklæringen ikke nevnte landene det gjaldt (artikkel 13 nr. 1 bokstav f).
Til sammen viser de at automatiserte avgjørelser, overføringer til tredjeland, åpenhet og å ikke lagre data lenger enn nødvendig er der de store bøtene kommer fra.
Raskere grenseoverskridende saker fra 2. april 2027
Forordning (EU) 2025/2518 legger til saksbehandlingsregler for grenseoverskridende GDPR-saker i EU. Den ble kunngjort 12. desember 2025 og gjelder fra 2. april 2027. Den harmoniserer når en klage kan behandles, gir klagere og virksomheter rett til å uttale seg og til å se foreløpige konklusjoner, og setter frister: i utgangspunktet 15 måneder for en undersøkelse, med 12 måneders forlengelse i komplekse saker, og en enklere prosedyre for enkle saker. De materielle reglene i GDPR endres ikke.
Foreslåtte endringer i GDPR
Den digitale omnibusen som Kommisjonen foreslo i november 2025, inneholder endringer i GDPR, for eksempel en høyere terskel og en lengre frist for å melde brudd på personopplysningssikkerheten til myndighetene og ett felles meldepunkt for hendelser. EDPB og EDPS støttet deler i sin felles uttalelse fra februar 2026 og uttrykte bekymring for andre. Det er forslag: i dag gjelder fortsatt fristen på 72 timer for å melde et brudd.
Hva dere kan sjekke
- Protokollen over behandlingsaktiviteter og lagringstider, særlig for posisjonsdata og andre sensitive opplysninger.
- Vurderinger av overføringer for all tilgang fra utenfor EØS, også fjernstøtte.
- Personvernerklæringer som tydelig nevner mottakere og land.
- En rutine for avvik som holder fristen på 72 timer.
- Der programvare tar avgjørelser om mennesker, for eksempel å sperre en konto: en reell menneskelig vurdering og en tydelig forklaring til dem det gjelder.
Kilder
- Data Protection Commission: DPC fines Google EUR 403 million following inquiry into Google's processing of location data (21 September 2026)
- Data Protection Commission: DPC fines TikTok EUR 530 million (2 May 2025)
- Council of the EU: Council adopts new EU law to speed up handling of cross-border data protection complaints (17 November 2025)
- Regulation (EU) 2025/2518 on additional procedural rules for the enforcement of the GDPR
- EDPB: Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-making and insufficient information (8 October 2026)
- EDPB and EDPS: Joint Opinion 2/2026 on the Digital Omnibus
Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 22. oktober 2026.
Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska