GDPR-tillsyn 2026: stora sanktionsavgifter och nya förfaranden

Publicerad 19 oktober 2026 · Uppdaterad 22 oktober 2026 · Av Dazr

Google fick 403 miljoner euro i avgift för platsdata, snabbare gränsöverskridande ärenden från april 2027 och GDPR-ändringar som ännu bara är förslag.

Åtta år efter att GDPR började tillämpas ger tillsynen fortfarande stora beslut, och hanteringen av gränsöverskridande ärenden håller på att ändras.

Nya beslut

Uber, 824,99 miljoner euro (publicerat 8 oktober 2026). Den nederländska dataskyddsmyndigheten (AP) konstaterade att Uber stängde av förares konton genom helt automatiserade beslut, tillfälligt vid misstänkt bedrägeri eller låga betyg och permanent vid ihållande låga betyg, i strid med artikel 22, och att förarna inte informerades tillräckligt (artikel 13). Ärendet började med klagomål från 171 franska förare till CNIL och gäller åren 2018 till 2022. Uber har överklagat, så beslutet har inte vunnit laga kraft.
Google, 403 miljoner euro (21 september 2026). Irländska Data Protection Commission (DPC) konstaterade som ansvarig tillsynsmyndighet att Google hade brutit mot GDPR vid behandlingen av platsdata i Webb- och appaktivitet, Platshistorik och Platsnoggrannhet: laglighet och korrekthet, öppenhet, ansvarsskyldighet och lagringstid. Google ska göra behandlingen förenlig med reglerna inom sex månader.
TikTok, 530 miljoner euro (2 maj 2025). DPC konstaterade att TikTok inte hade visat att uppgifter om användare i EES, som anställda i Kina hade fjärråtkomst till, hade ett i huvudsak likvärdigt skydd (artikel 46.1), och att integritetspolicyn inte namngav de berörda länderna (artikel 13.1 f).

Tillsammans visar de att automatiserade beslut, överföringar till tredjeland, öppenhet och att inte spara uppgifter längre än nödvändigt är där de stora avgifterna kommer ifrån.

Snabbare gränsöverskridande ärenden från 2 april 2027

Förordning (EU) 2025/2518 lägger till förfaranderegler för gränsöverskridande GDPR-ärenden. Den offentliggjordes den 12 december 2025 och tillämpas från den 2 april 2027. Den harmoniserar när ett klagomål kan prövas, ger klagande och företag rätt att höras och att ta del av preliminära slutsatser, och sätter tidsfrister: i princip 15 månader för en utredning, med 12 månaders förlängning i komplexa ärenden, och ett förenklat förfarande för enkla ärenden. GDPR:s materiella regler ändras inte.

Den digitala omnibus som kommissionen föreslog i november 2025 innehåller ändringar av GDPR, till exempel en högre tröskel och en längre tidsfrist för att anmäla personuppgiftsincidenter till myndigheterna och en gemensam rapporteringspunkt för incidenter. EDPB och EDPS stödde delar i sitt gemensamma yttrande från februari 2026 och uttryckte oro över andra. Det är förslag: i dag gäller fortfarande tidsfristen på 72 timmar för att anmäla en incident.

Vad ni kan kontrollera

Ert register över behandlingar och lagringstiderna, särskilt för platsdata och andra känsliga uppgifter.
Bedömningar av överföringar för all åtkomst utanför EES, även fjärrsupport.
Integritetspolicyer som tydligt anger mottagare och länder.
En incidentrutin som klarar tidsfristen på 72 timmar.
Där programvara fattar beslut om människor, till exempel att spärra ett konto: en verklig mänsklig prövning och en tydlig förklaring till de berörda.

Källor

Endast för information, inte juridisk rådgivning. Senast uppdaterad 22 oktober 2026.

Ämnen: GDPR, Tillsyn, EU

Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål