GDPR-avgifter publicerade i september och oktober 2026: säkerhet, biträden och människors rättigheter
Sju GDPR-beslut från Norge, Irland, Frankrike, Sverige, Grekland och Italien: svag säkerhet, saknade biträdesavtal och ignorerade begäranden.
Från början av september till mitten av oktober 2026 förmedlade Europeiska dataskyddsstyrelsen (EDPB) en rad sanktionsavgifter enligt GDPR från nationella myndigheter. Utöver de stora fallen mot Uber och Google som vi skrev om i GDPR-tillsyn 2026 sticker två teman ut: svag säkerhet, och samtycken och begäranden som inte respekterades.
Säkerhet och personuppgiftsbiträden
- HSE, 645 000 euro, Irland (28 augusti 2026). Inkräktare kom åt journaler på papper i tidigare psykiatriska sjukhus. Sanktionsavgifter, en reprimand och förelägganden.
- Hôpital Privé de la Loire, 500 000 euro, Frankrike (3 september 2026). En angripare kom åt uppgifter om 524 867 patienter: ingen flerfaktorsautentisering för externa användare, åtkomst inte begränsad till vårdteamet, ingen upptäckt i realtid, och de 202 246 "förtroendepersonerna", vars uppgifter också stals, informerades inte.
- Miljödata, 1,8 miljoner kronor, Sverige (22 september 2026). En cyberattack mot en it-leverantör drabbade 2,2 miljoner människor; inga tillräckliga kontroller vid installation av ny programvara och ingen övervakning i realtid.
- Greklands ministerium för social sammanhållning och familj, 200 000 euro, och dess personuppgiftsbiträde E.E.T.A.A., 150 000 euro (28 juli 2026). Föråldrade system trots kända risker och brister enligt artikel 28; båda måste ingå ett personuppgiftsbiträdesavtal.
Samtycke och människors rättigheter
- Xandr, 92 miljoner norska kronor (cirka 8,6 miljoner euro), Norge (2 oktober 2026). Annonsföretaget behandlade i realtidsbudgivning uppgifter om användare av en dejtingapp för homosexuella, bisexuella, trans- och queerpersoner utan giltig rättslig grund. Det förlitade sig på appens samtycke, som var ogiltigt: varje gemensamt personuppgiftsansvarig måste själv kontrollera samtycket. Det är den norska myndighetens hittills högsta avgift och den har vunnit laga kraft.
- EXTIA, 300 000 euro, Frankrike (21 juli 2026). Av 265 begäranden om radering 2024 hanterades 12 aldrig, och 166 personer fick aldrig veta utfallet.
- BBVA, 5 508 000 euro, Italien (3 juli 2026). En kund invände mot marknadsföring i bankens app men fick reklamnotiser i sju månader på grund av ett synkroniseringsfel mellan interna system.
Vad du kan göra nu
Kontrollera flerfaktorsautentisering och övervakning för system med känsliga uppgifter, ett undertecknat biträdesavtal med varje leverantör och att en begäran eller invändning når det system som ska agera på den.
Dazr Compliance samlar GDPR-säkerhetskontroller, ett leverantörsregister med länkar till biträdesavtal och granskningsdatum, registret enligt artikel 30 och ett incidentregister med en 72-timmarsklocka på ett ställe, med påminnelser när en granskning ska göras.
Källor
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Endast för information, inte juridisk rådgivning. Senast uppdaterad 7 november 2026.
Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål