GDPR-gebyrer publisert i september og oktober 2026: sikkerhet, databehandlere og menneskers rettigheter
Sju GDPR-vedtak fra Norge, Irland, Frankrike, Sverige, Hellas og Italia: svak sikkerhet, manglende databehandleravtaler og ignorerte forespørsler.
Fra begynnelsen av september til midten av oktober 2026 formidlet Personvernrådet (EDPB) en rekke overtredelsesgebyrer etter GDPR fra nasjonale tilsynsmyndigheter. I tillegg til de store sakene mot Uber og Google som vi omtalte i GDPR-håndheving i 2026, skiller to temaer seg ut: svak sikkerhet, og samtykker og forespørsler som ikke ble respektert.
Sikkerhet og databehandlere
- HSE, 645 000 euro, Irland (28. august 2026). Inntrengere kom til pasientjournaler på papir i tidligere psykiatriske sykehus. Gebyrer, en irettesettelse og pålegg.
- Hôpital Privé de la Loire, 500 000 euro, Frankrike (3. september 2026). En angriper fikk tilgang til opplysninger om 524 867 pasienter: ingen flerfaktorautentisering for eksterne brukere, tilgang ikke begrenset til behandlingsteamet, ingen sanntidsdeteksjon, og de 202 246 "tillitspersonene", hvis opplysninger også ble stjålet, ble ikke varslet.
- Miljödata, 1,8 millioner svenske kroner, Sverige (22. september 2026). Et dataangrep på en IT-leverandør rammet 2,2 millioner mennesker; ingen tilstrekkelige kontroller ved installasjon av ny programvare og ingen overvåking i sanntid.
- Hellas' departement for sosial samhørighet og familie, 200 000 euro, og databehandleren E.E.T.A.A., 150 000 euro (28. juli 2026). Utdaterte systemer til tross for kjente risikoer og mangler etter artikkel 28; begge må inngå en databehandleravtale.
Samtykke og menneskers rettigheter
- Xandr, 92 millioner kroner (om lag 8,6 millioner euro), Norge (2. oktober 2026). Reklameselskapet behandlet i sanntidsbudgivning opplysninger om brukere av en datingapp for homofile, bifile, trans- og skeive personer uten gyldig behandlingsgrunnlag. Det støttet seg på appens samtykke, som var ugyldig: hver felles behandlingsansvarlig må selv kontrollere samtykket. Det er Datatilsynets høyeste gebyr til nå, og vedtaket er endelig.
- EXTIA, 300 000 euro, Frankrike (21. juli 2026). Av 265 krav om sletting i 2024 ble 12 aldri behandlet, og 166 personer fikk aldri vite utfallet.
- BBVA, 5 508 000 euro, Italia (3. juli 2026). En kunde protesterte mot markedsføring i bankens app, men fikk reklamevarsler i sju måneder på grunn av en synkroniseringsfeil mellom interne systemer.
Hva du kan gjøre nå
Sjekk flerfaktorautentisering og overvåking for systemer med sensitive opplysninger, en signert databehandleravtale med hver leverandør, og at en forespørsel eller protest når fram til systemet som skal handle på den.
Dazr Compliance samler GDPR-sikkerhetskontroller, et leverandørregister med lenker til databehandleravtaler og gjennomgangsdatoer, protokollen etter artikkel 30 og et avviksregister med en 72-timersklokke på ett sted, med påminnelser når en gjennomgang skal gjøres.
Kilder
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 7. november 2026.
Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska