Datatilsynet og GDPR-bøder: udvalgte danske sager frem til 2025

I Danmark skal bødestraf efter GDPR indtil videre afgøres ved domstolene. Datatilsynet kan politianmelde og indstille til bøde; indstillingen er hverken en dom eller et beløb, som virksomheden allerede har betalt. Derfor skal man læse hver sag i to led: Hvad anbefalede tilsynet, og hvad blev det dokumenterede udfald? Denne gennemgang vælger oplysende sager fra 2019–2025. Den er ikke et fuldstændigt register over alle danske bøder i kalenderåret 2025. Status nedenfor er kontrolleret mod Datatilsynets offentliggjorte sagsoversigt den 27. september 2026.

Udvalgte danske GDPR-sager og deres processtatus

Netcompany: en stor indstilling, endnu ingen oplyst dom

Datatilsynet indstillede i januar 2024 Netcompany til en bøde på mindst 15 mio. kr. for forhold ved udviklingen af mit.dk. Ifølge tilsynet var der ikke indbygget passende sikkerhedsforanstaltninger i designet, og der var ikke udarbejdet en konsekvensanalyse. Det er tilsynets vurdering i en politianmeldelse; Datatilsynets bødeoversigt angiver fortsat sagen som verserende. Beløbet er derfor ikke en idømt bøde. Sagen viser betydningen af designbeslutninger og dokumenteret risikovurdering, men den beviser ikke, at alle lignende fejl automatisk udløser samme beløb.

ILVA (IDdesign A/S): opbevaring og koncernomsætning

ILVA – dengang IDdesign A/S – var genstand for en tidlig dansk GDPR-bødesag om opbevaring af kundeoplysninger i et ældre it-system. Datatilsynet indstillede til mindst 1,5 mio. kr. Byretten idømte i 2021 100.000 kr.; Vestre Landsret idømte den 2. september 2025 1,5 mio. kr.. EU-Domstolens forudgående svar fastslog, at virksomhedsbegrebet ved beregning af maksimum kan omfatte den samlede økonomiske enhed, og at reel økonomisk formåen også indgår i vurderingen. Det betyder ikke, at enhver bøde mekanisk beregnes som en fast procentdel af koncernomsætningen; overtrædelsens forhold og proportionalitet skal stadig bedømmes.

Taxa 4x35: opbevaringsbegrænsning og dataminimering

Taxa 4x35 blev i 2019 indstillet til en bøde på 1,2 mio. kr. Selskabet havde gemt kundeoplysninger knyttet til knap ni millioner taxature i fem år, selvom formålet kun krævede to. Datatilsynet lagde vægt på to forhold: at anonymiseringen var utilstrækkelig (telefonnumre forblev knyttet til turene), og at oplysningerne dermed ikke var minimeret. Byretten idømte 100.000 kr., blandt andet fordi der var tale om uagtsomhed uden økonomisk vinding, men Østre Landsret hævede bøden til 250.000 kr.

Danske Bank og Arp-Hansen: forskellige udfald efter indstilling

De to sager viser, at en byretsafgørelse heller ikke altid er sidste ord. Danske Bank blev i 2022 indstillet til 10 mio. kr., fordi banken ifølge tilsynet ikke kunne dokumentere sletteregler eller manuel sletning i mere end 400 systemer. Sagen endte med tiltalefrafald: anklagemyndigheden vurderede, at en anden straffesag allerede dækkede strafbehovet. Det er hverken frifindelse i GDPR-spørgsmålet eller en idømt GDPR-bøde. Arp-Hansen Hotel Group blev i 2020 indstillet til 1,1 mio. kr. Byretten gav i første omgang en advarsel, men Østre Landsret idømte i 2023 en bøde på 1 mio. kr.. En oversigt, som kun gengiver byrettens advarsel, er derfor forældet.

Hvad kan sagerne fortælle danske virksomheder?

Sagerne dokumenterer ikke en enkel, generel stigning i danske GDPR-bøder. Netcompanys høje indstilling er fortsat en verserende sag, mens dommene i Taxa 4x35, Arp-Hansen og ILVA har forskellige begrundelser og beløb. Det sikre læsegreb er at skelne mellem anmeldelse, tiltale, byretsdom, anke og endeligt kendt udfald. ILVA viser, at den økonomiske enhed kan få betydning for maksimum og bødeudmåling; Taxa 4x35 viser, at retten kan lande betydeligt under indstillingen. Datatilsynet fremhæver selv, at beløbet skal være effektivt, proportionalt og afskrækkende i den konkrete sag.

For danske virksomheder peger de udvalgte sager især på opbevaring, dokumentation og sikkerhed. En ajourført fortegnelse kan hjælpe med at finde behandlinger uden slettefrist, men fortegnelsen sletter ikke selv data fra gamle systemer. Beslutningen skal omsættes til tekniske rutiner, kontrol af resultatet og ansvar hos systemejeren. Se også den overordnede ramme i databeskyttelse i Danmark og tilsynets rolle i guiden til Datatilsynet.

Hvad kan en virksomhed lære af sagerne?

Ser man på tværs af de nævnte sager, fylder manglende sletning i ILVA, Taxa 4x35, Danske Bank og Arp-Hansen. En fortegnelse kan angive frister og ansvar, mens opbevaringsbegrænsning kræver, at fristerne faktisk virker i systemerne. Netcompany-indstillingen vedrører ifølge Datatilsynet indbygget sikkerhed og konsekvensanalyse; en konsekvensanalyse kræves, når den planlagte behandling sandsynligvis indebærer høj risiko. Håndtering af et eventuelt brud er en separat pligt, som beskrives i guiden om brudanmeldelse. Disse kontroller kan mindske risiko, men ingen af dem garanterer mod en sag.

Sådan læses en dansk bødesag korrekt

Begynd med datoen og ordet, der beskriver myndighedens skridt. En afgørelse fra Datatilsynet kan indeholde kritik og politianmeldelse, men overskriften »indstilles til bøde« betyder, at et beløb er tilsynets forslag. Se derefter efter en opdatering om politiets beslutning, anklagemyndighedens tiltale og eventuelle domme. En byretsdom kan blive anket. Hvis den offentlige kilde kun oplyser, at sagen verserer, bør den ikke omskrives til »bøde på X kroner«. Det gælder, selv om beløbet ofte gentages i medier og leverandørmateriale.

Datatilsynets samlede bødeside skelner mellem afgjorte og verserende sager. Listen er efter tilsynets egen beskrivelse en oversigt over nogle sager, ikke en fuldstændig database. Den giver et godt startpunkt for status, men et manglende navn på listen beviser ikke, at der aldrig har været en sag. En sags egen side kan indeholde en vigtig senere opdatering, sådan som Danske Bank-siden gør. Gem derfor kilde, offentliggjort dato og dato for statuskontrol sammen med det beløb, du bruger i en intern præsentation.

En anden sondring er, om beløbet er angivet som »mindst«, »op til« eller et bestemt beløb. I Netcompany-sagen er indstillingen »ikke under 15 mio. kr.«, mens Danske Bank-indstillingen var 10 mio. kr. Begge kan kun forstås sammen med processtatus. En sum af indstillinger er ikke en sum af bøder. Vær ligeledes forsigtig med at rangordne sager uden at angive, om sammenligningen gælder forslag, byretsdomme, landsretsdomme eller betalte bøder.

Fra dom til kontrol i eget system

ILVA-sagen er særlig relevant, hvis virksomheden stadig har et gammelt kunde- eller medlemsregister. Spørg systemejeren, om formålet med hver oplysning stadig eksisterer, hvor slettefristen er besluttet, og om systemet faktisk kan udføre den. Et dokument med en frist er ikke bevis for sletning. Udfør en stikprøve på poster, der burde være udløbet, og noter antallet af fund, årsagen og rettelsen. Hvis data er kopieret til rapporter eller eksportfiler, skal vurderingen også omfatte disse steder. Guiden om opbevaringsbegrænsning forklarer forskellen mellem legitim opbevaring og blot teknisk fortsat lagring.

Taxa 4x35 viser en anden praktisk fejl: en virksomhed kan mene, at data er anonymiseret, mens et telefonnummer fortsat gør en person identificerbar. Test derfor den konkrete datastruktur, ikke blot navnet på en »anonymiseringsfunktion«. Hvis et indirekte kendetegn stadig kan kobles til rejser, køb eller lokationer, er behandlingen fortsat relevant for GDPR. En metode til anonymisering bør beskrive, hvilke felter der slettes eller ændres, hvilke koblingsnøgler der findes, og hvem der realistisk kan bruge dem. Det er en vurdering af identifikationsmuligheder, ikke et spørgsmål om at fjerne en enkelt kolonne.

I større organisationer opstår problemet ofte i grænsefladerne mellem systemer. Slettebeslutningen ligger måske hos juridisk afdeling, mens handlingen skal udføres i applikation, datalager, supportværktøj og leverandørens miljø. Lav en oversigt, der forbinder behandlingsformålet med systemejer, konkret frist, teknisk slettevej og kontrolbevis. En kortlægning af it-systemer og afhængigheder kan hjælpe med at finde de uventede kopier. Hvis en leverandør udfører sletningen, skal instruktion og bekræftelse passe til databehandleraftalen. Det er arbejdsmetoder, ikke en liste over forhold, som en bestemt domstol har pålagt alle virksomheder.

Når sikkerhed og konsekvensanalyse er temaet

Netcompany-indstillingen viser, hvorfor man bør behandle sikkerhedsdesign som en beslutning før lancering. Definér adgangsmønstre, mulige fejlsituationer og kontrol af, at en bruger kun ser sin egen post. Dokumentér, hvilke tests der blev udført, hvad de viste, og hvad der blev rettet. Et nyt interface oven på gamle adgangsregler kræver særlig opmærksomhed, fordi den synlige skærm kan se korrekt ud, mens bagvedliggende tilladelser er for brede. Den konkrete sag vedrører mit.dk; den må ikke gøres til bevis for, at enhver kodefejl i andre produkter er samme overtrædelse.

Hvis behandlingen sandsynligvis indebærer høj risiko for de registreredes rettigheder og frihedsrettigheder, kræver artikel 35 en konsekvensanalyse før behandlingen. Start med at vurdere pligten, beskriv dernæst risici og foranstaltninger. Den særskilte DPIA-guide gennemgår både Datatilsynets nationale liste og det individuelle højrisikokriterium. Sikkerhedsvurdering og DPIA hænger sammen, men den ene erstatter ikke automatisk den anden. En risikovurdering skal handle om mulige skader for personerne, ikke blot om risikoen for en bøde til virksomheden.

Hvad beløbet ikke fortæller

GDPR artikel 83 kræver blandt andet blik for overtrædelsens karakter, varighed, skyld, konsekvenser og afhjælpning. Tilsynets anbefaling er resultatet af en sådan konkret vurdering; domstolen foretager sin egen. ILVA-sagen præciserer virksomhedsbegrebets betydning for bødemaksimum og økonomisk formåen. Den giver ikke en generel formel, hvor man multiplicerer koncernomsætningen med en fast sats for alle opbevaringsfejl. Den samme overtrædelsestype kan derfor føre til forskellige beløb eller andre sanktioner afhængigt af faktum.

For en ledelse, der skal prioritere forbedringer, er det mere nyttigt at spørge, hvilke kontroller der kan dokumenteres, end at lave et gennemsnit af indstillinger. Find først de behandlinger med lang opbevaring, mange registrerede eller følsomt indhold. Undersøg dernæst, om den fastsatte frist faktisk er implementeret og kontrolleret. Et sted med høje risici kan også kræve en konsekvensanalyse, mens et brud kræver en særskilt vurdering efter anmeldelsesreglerne. Notér åbne fejl med ansvarlig og konkret næste kontrol. Sagsoversigten kan inspirere spørgsmålene, men er ikke en erstatning for vurderingen af egne data og systemer.

Brug dommene uden at overfortolke dem

Et internt notat om en offentlig sag bør anføre, hvilke forhold dommen faktisk vedrører, og hvilke der blot er tilsynets påstande. Notér også om sagen blev afgjort i byret eller landsret, og hvornår status sidst blev kontrolleret. Det er især vigtigt, når en virksomhed bruger en sag som argument for at ændre slettepolitik eller budgettere sikkerhed. Det konkrete beløb siger mindre om virksomhedens egen risiko end oplysninger om systemernes indretning, antallet af berørte personer, varigheden og reaktionen efter fundet. En kort, kildebelagt analyse kan derfor give bedre beslutningsstøtte end en tabel over de højeste indstillinger.

Ofte stillede spørgsmål

Er Netcompanys 15 mio. kr. en dansk GDPR-bøde?

Nej. Tilsynets indstilling var på mindst 15 mio. kr., og Datatilsynets bødeoversigt fører stadig sagen blandt de verserende. ILVA blev idømt 1,5 mio. kr. af Vestre Landsret i september 2025. Denne side er et udvalg af sager og dokumenterer ikke en rangliste over alle faktisk idømte danske bøder.

Hvorfor er de danske bøder lavere end i andre EU-lande?

En direkte sammenligning på tværs af lande kræver samme periode, type overtrædelse og opgørelse af idømte bøder. I Danmark er forskellen mellem indstilling og dom særlig vigtig. Det kan ikke udledes af de udvalgte sager alene, at danske bøder generelt er lavere, eller at de nødvendigvis er på vej op.

Kan en virksomhed slippe for en indstillet bøde?

Ja. Danske Banks indstilling på 10 mio. kr. førte til et tiltalefrafald af den særlige grund, der er beskrevet ovenfor. Arp-Hansen fik derimod en bøde på 1 mio. kr. i landsretten efter en byretsadvarsel. En indstilling afgør aldrig i sig selv sagens endelige udfald.

Konklusion

Dette udvalg viser, hvorfor tal for danske GDPR-sager skal mærkes med deres procestrin og dato. Netcompanys beløb er en indstilling i en verserende sag; ILVA og Arp-Hansen har dokumenterede landsretsdomme; Danske Bank endte med tiltalefrafald. Virksomheder kan bruge sagerne til at kontrollere egne sletteprocesser, risikovurderinger og dokumentation, men bør ikke behandle beløbene som en automatisk bødetakst.

Læs videre:

• Datatilsynet
• Opbevaringsbegrænsning (art. 5 GDPR)