Et overtredelsesgebyr fra Datatilsynet må leses sammen med begrunnelsen og sakens videre behandling. Et varslet beløp er ikke et vedtak, et vedtak kan være påklaget, og en dom som opprettholder et gebyr er ikke nødvendigvis rettskraftig samme dag. Disse forskjellene er avgjørende når en virksomhet bruker tidligere saker til å vurdere egne plikter.
Denne gjennomgangen tar utgangspunkt i Grindr- og Telenor-sakene som fikk avgjørelser eller offentlig omtale i 2025. NAV-saken fra 2024 brukes som en historisk sammenligning om klage og begrunnelse. Gjennomgangen er kontrollert i september 2026 og er et utvalg, ikke en fullstendig årsstatistikk eller rangering. Formålet er å vise hvordan opplysningene kan omsettes til konkrete kontroller av samtykke, ansvar, tilgang og dokumentasjon.
Skill mellom gebyr, pålegg og tvangsmulkt
Et overtredelsesgebyr er en administrativ sanksjon for et regelbrudd. Et pålegg krever at virksomheten gjør eller stanser noe, for eksempel retter et ulovlig forhold. En tvangsmulkt skal bidra til at et pålegg blir oppfylt og kan løpe etter at oppfyllelsesfristen er utløpt. Et oppgitt dagsbeløp for tvangsmulkt bør derfor ikke sammenlignes direkte med et samlet overtredelsesgebyr.
Personopplysningslovens kapittel om sanksjoner og tvangsmulkt supplerer forordningen. Paragraf 26 åpner også for overtredelsesgebyr til offentlige myndigheter og organer. Paragraf 29 gjelder tvangsmulkt ved manglende oppfyllelse av pålegg. At en virksomhet betaler et gebyr, betyr ikke at den dermed kan fortsette behandlingen eller unnlate å gjennomføre pålagte tiltak.
For intern rapportering bør hver reaksjon få sin egen beskrivelse. Registrer hva som er ilagt, hvilke bestemmelser som er brukt, hvilken periode forholdet gjelder og hvilken frist som følger av vedtaket. Et saksnummer og en lenke til avgjørelsen gjør det mulig å etterprøve opplysningene senere. Uten dette kan et beløp fra en gammel pressemelding bli stående i risikorapporter lenge etter at saken har endret karakter.
Grindr: lagmannsrettens avgjørelse i 2025
Datatilsynets melding av 21. oktober 2025 opplyser at Borgarting lagmannsrett opprettholdt gebyret på 65 millioner kroner. Gebyret ble opprinnelig ilagt i desember 2021. Personvernnemnda opprettholdt vedtaket i 2023, og Oslo tingrett opprettholdt det i 2024, før behandlingen i lagmannsretten.
Saken gjaldt deling av brukeropplysninger med annonsepartnere uten gyldig samtykke. Ifølge meldingen la lagmannsretten også til grunn at opplysninger om bruk av appen var særlige kategorier av personopplysninger. Dette gjør saken relevant for virksomheter som mener at tekniske identifikatorer eller informasjon om tjenestebruk ikke kan avsløre beskyttelsesverdige forhold.
Meldingen opplyser uttrykkelig om en ankefrist på én måned og om kravet til samtykke fra Høyesteretts ankeutvalg for videre behandling. Den dokumenterer dermed utfallet i lagmannsretten, men fastslår ikke alene at avgjørelsen senere ble rettskraftig. En oversikt bør beholde denne forskjellen og ikke gjøre publiseringsdatoen til datoen for endelig avslutning.
Kontroller samtykket der opplysningene faktisk deles
Den praktiske vurderingen begynner med dataflyten. Finn ut hvilke opplysninger som sendes fra nettstedet eller appen, hvilke mottakere som får dem, og hvilke formål mottakerne bruker dem til. En personvernerklæring kan beskrive en behandling uten at brukeren har samtykket til den. Det må derfor være mulig å skille selve informasjonen fra handlingen som eventuelt uttrykker samtykke.
Når behandlingen bygger på samtykke, må virksomheten kunne vise at valget var frivillig, spesifikt, informert og utvetydig. For behandling av særlige kategorier kreves dessuten en anvendelig betingelse etter artikkel 9; uttrykkelig samtykke er én mulig betingelse, ikke en generell løsning for alle situasjoner. Gjennomgangen av samtykke etter artikkel 7 gir et utgangspunkt for å kontrollere både formuleringen og måten valget innhentes på.
Prøv også tilbaketrekkingen i praksis. Det er ikke tilstrekkelig at et valg endres på skjermen dersom en annonsetjeneste eller et eksportert kunderegister fortsetter å bruke opplysningene på samme grunnlag. Avklar hvilke systemer som må oppdateres, hvem som følger opp mottakere, og hvilken begrenset dokumentasjon som skal beholdes for å vise hva som har skjedd. Tiltakene må tilpasses det konkrete behandlingsforholdet.
Telenor: organisering og dokumentert ansvar
Datatilsynets vedtak om Telenor ASA er datert 10. mars 2025 og ble omtalt i en melding publisert 14. mars. Vedtaket omfattet pålegg, irettesettelse og et overtredelsesgebyr på fire millioner kroner. Gebyret gjaldt manglende egnede organisatoriske tiltak og retningslinjer etter artikkel 24, mens reaksjonene også berørte personvernombudets rolle og rapporteringslinje.
Det publiserte vedtaket krevde blant annet en dokumentert vurdering av om selskapet skulle ha personvernombud og en revidert behandlingsprotokoll. Dette er mer presist enn å beskrive saken som en generell bot for ikke å ha et ombud.
Ved gjennomgangen i september 2026 opplyser statusfeltet på Datatilsynets side at vedtaket er påklaget og behandles hos Personvernnemnda. Samme side inneholder fortsatt en eldre, motstridende opplysning om klageveien. Saken omtales derfor her som et ilagt, bestridt gebyr, uten en ubetinget konklusjon om endelighet eller hvilken klagevei som gjelder.
Et personvernombud må ha en fungerende rolle
Virksomheten må først vurdere om vilkårene i artikkel 37 utløser plikt til å utpeke personvernombud. Offentlige myndigheter og organer omfattes med unntaket for domstolenes dømmende virksomhet. For andre virksomheter er blant annet arten og omfanget av kjerneaktivitetene relevant, herunder regelmessig og systematisk overvåking i stor skala eller behandling i stor skala av særlige kategorier etter artikkel 9 eller opplysninger om straffedommer og lovovertredelser etter artikkel 10. Antall ansatte alene avgjør ikke spørsmålet.
Der virksomheten har personvernombud etter forordningen, må rollen fungere i organisasjonen. Ombudet skal involveres på riktig tidspunkt, få nødvendige ressurser og kunne rapportere direkte til høyeste ledelsesnivå. Andre oppgaver må vurderes for interessekonflikter. Det er virksomhetens ansvar å legge til rette for dette; en stillingstittel eller en ekstern kontrakt viser ikke alene at ordningen oppfyller kravene.
En konkret kontroll kan ta utgangspunkt i den siste større endringen av et system. Når ble ombudet involvert, hvilke råd ble gitt, og hvem tok beslutningen? Hvis et råd ikke ble fulgt, bør begrunnelsen kunne finnes igjen. Slik dokumentasjon gir ledelsen innsikt i beslutningene og gjør det mulig å skille ombudets rådgivning fra ledelsens ansvar for behandlingen.
NAV: historisk sammenligning om klage og sikkerhet
I PVN-2024-17 behandlet Personvernnemnda NAVs klage over Datatilsynets vedtak av 18. mars 2024. Vedtaket omfattet flere pålegg og et overtredelsesgebyr på 20 millioner kroner. Nemndas avgjørelse er datert 17. desember 2024, selv om nettsiden ble publisert senere.
Nemnda opphevet gebyret og bestemte deler av påleggene. Begrunnelsen om gebyret viste blant annet til uklar rettsanvendelse, redegjørelsen for faktum og mangelfull vurdering av skyld. Samtidig ble flere andre underpålegg stående, og nemnda godtok pålegget om systematisk loggkontroll når det ble lest i sin sammenheng. Utfallet var derfor ikke en generell frifinnelse fra kravene til tilgangsstyring og sikkerhet.
For en virksomhet som leser saken, er skillet mellom de enkelte vedtakspunktene sentralt. At ett punkt oppheves, betyr ikke at alle tiltak bortfaller. Den operative konklusjonen må leses sammen med begrunnelsen, slik at virksomheten vet hvilke plikter som fortsatt gjelder.
Tilgangsstyring må bygge på faktiske arbeidsoppgaver
Begynn med å beskrive hvem som trenger tilgang til hvilke opplysninger for å utføre en oppgave. Et generelt prinsipp om tjenstlig behov må kunne oversettes til konkrete roller, godkjenninger og kontroller. Det bør også finnes en prosess for midlertidige tilganger og for å fjerne rettigheter når oppgaver endres eller en ansatt slutter.
Skillet mellom aktive og historiske saker er særlig viktig. Et lovlig behov for å bevare et dokument betyr ikke at alle som tidligere hadde tilgang, fortsatt trenger det. Virksomheten bør bestemme hvem som kan åpne eldre saker, i hvilke situasjoner og med hvilken kontroll. Dette kan redusere unødvendig eksponering uten å slette materiale som må oppbevares.
Logger må ha et klart formål og en plan for oppfølging. Å lagre mange hendelser hjelper lite hvis ingen kan undersøke et mistenkelig oppslag eller forklare hvilke hendelser som faktisk registreres. Samtidig inneholder logger ofte personopplysninger og trenger egne tilgangs- og sletteregler. Kontrollopplegget må være risikobasert og forholdsmessig, ikke en ubegrenset innsamling for enhver tenkelig fremtidig undersøkelse.
Gebyrets størrelse krever en konkret vurdering
Artikkel 83 krever at overtredelsesgebyr i det enkelte tilfellet skal være virkningsfullt, forholdsmessig og avskrekkende. Relevante momenter omfatter blant annet overtredelsens art, alvor og varighet, antall berørte, skade, skyld, tiltak for å begrense skade, tidligere overtredelser og samarbeid med tilsynet. Det må vurderes både om gebyr skal ilegges og hvilket beløp som er passende.
For bestemte brudd er den øvre rammen ti millioner euro eller, for foretak, to prosent av samlet global årsomsetning i foregående regnskapsår dersom dette er høyere. For andre brudd gjelder tjue millioner euro eller fire prosent etter samme prinsipp. Hvilken ramme som gjelder, avhenger av bestemmelsene som er overtrådt. Prosenten er derfor verken en automatisk sats eller et generelt tak som alltid erstatter eurobeløpet.
To saker med samme beløp kan ha svært ulike faktiske og rettslige forutsetninger. En offentlig virksomhet, et lite selskap og et internasjonalt foretak kan ikke sammenlignes bare ved å dele gebyret på antall ansatte. For intern prioritering er det mer nyttig å vurdere risikoen for de registrerte, om ulovlig behandling fortsetter, og hvilke tiltak som vil rette forholdet.
Rettigheter og dokumentasjon må virke i hverdagen
En forespørsel om innsyn kan komme til kundeservice, en leder eller en tidligere kontaktperson. Virksomheten bør ha en rutine som fører den videre til riktig ansvarlig uten at den registrerte må kjenne organisasjonskartet. Ved valg av programvare for innsynsbegjæringer bør dere undersøke hvordan frister, søk, kvalitetssikring og sikker utlevering faktisk kan håndteres.
Det normale utgangspunktet er svar uten ugrunnet opphold og senest innen én måned. Ved nødvendig forlengelse på grunn av kompleksitet eller antall forespørsler må den registrerte informeres innen den første måneden, med begrunnelse. Hvis virksomheten ikke vil følge opp, skal den uten opphold og senest innen én måned forklare hvorfor og opplyse om klage og rettslig prøving. En travel innboks gir ikke i seg selv en ny frist.
Dokumentasjonen bør vise den faktiske behandlingen på det aktuelle tidspunktet. En behandlingsprotokoll kan knytte aktivitetene til formål, datakategorier, mottakere og sletteregler. Den må oppdateres når relevante forhold endres. For behandlingsansvarlige og databehandlere er innholdskravene forskjellige, og en standardmal bør ikke brukes uten å tilpasses rollen.
Dokumenter vurderingen før en tjeneste tas i bruk
Ved innkjøp av en ny tjeneste bør virksomheten beskrive den planlagte bruken før avtalen signeres. Hvem legger inn opplysninger, hvilke opplysninger vil leverandøren kunne se, og hvilke standardinnstillinger blir aktivert? Et produkt som fungerer tilfredsstillende i en demonstrasjon, kan ha andre personvernkonsekvenser når det kobles til faktiske kunde- eller ansattregistre. Vurderingen må derfor omfatte de integrasjonene og funksjonene som faktisk skal brukes.
Avklar også leverandørens rolle for de ulike behandlingene. En databehandleravtale etter artikkel 28 er nødvendig når leverandøren behandler opplysninger på virksomhetens vegne, men den løser ikke spørsmålet om virksomhetens eget behandlingsgrunnlag. Egne formål hos leverandøren krever en særskilt vurdering. Dokumenter underleverandører, tilgang for støttepersonell og eventuelle overføringer utenfor EØS, og undersøk hvilke garantier som gjelder for de konkrete overføringene.
Før innføringen bør dere avgjøre om behandlingen sannsynligvis medfører høy risiko og dermed krever en vurdering av personvernkonsekvenser etter artikkel 35. Ikke alle nye systemer utløser dette kravet, men en generell produktbeskrivelse kan heller ikke erstatte vurderingen av deres bruk. Hvis høy risiko består uten tilstrekkelige tiltak, kreves forhåndsdrøfting med tilsynsmyndigheten etter artikkel 36. Bevar vurderingen sammen med beslutningen, slik at senere endringer kan sammenlignes med de opprinnelige forutsetningene.
Når virksomheten mottar et varsel eller vedtak
Start med å avklare dokumenttypen, fristen og hva myndigheten ber om. Bevar den relevante dokumentasjonen, men unngå å opprette unødvendige kopier av hele personregistre. Lag en etterprøvbar tidslinje med kildehenvisninger: når startet behandlingen, hvilke vurderinger forelå, hvilke hendelser oppstod, og hvilke tiltak ble gjennomført? Skill dokumenterte fakta fra antakelser og senere forklaringer.
Rett faktiske feil med konkrete opplysninger. Hvis en tilgang var fjernet før kontrollen, bør dato og systembevis kunne fremlegges. Hvis et tiltak ble gjennomført etterpå, bør det beskrives som nettopp en senere forbedring. Etterfølgende retting kan være relevant, men gjør ikke automatisk den tidligere behandlingen lovlig eller opphever behovet for å vurdere ansvar.
Personvernnemndas beskrivelse av saksgangen forklarer den ordinære klageprosessen gjennom Datatilsynet og videre til nemnda. Det finnes særregler og unntak, blant annet i grenseoverskridende saker. Kontroller derfor klageveiledningen og hjemmelen i den konkrete saken fremfor å anta at alle vedtak følger samme spor. Vår guide til Datatilsynet gir bakgrunn om myndighetens oppgaver og kontakt med tilsynet.
Bruk sakene til å prioritere forbedringer
Velg et begrenset antall behandlingsaktiviteter med reell betydning for de registrerte. Undersøk først om virksomheten har et gyldig grunnlag, om informasjonen stemmer, og om tilganger og deling er nødvendige. Deretter vurderes om dokumentasjon, tekniske tiltak og oppfølging samsvarer. Denne rekkefølgen gjør det lettere å oppdage om problemet ligger i selve behandlingen eller i bevisene for at den er forsvarlig.
Når dere sammenligner GDPR-programvare, bruk egne arbeidsoppgaver som utgangspunkt: oppdatere protokollen, følge opp en rettighetsforespørsel eller dokumentere en beslutning. Undersøk tilgangsstyring, eksport, leverandørvilkår og hvem som skal vedlikeholde informasjonen. Et verktøy kan støtte arbeidet, men overtar ikke virksomhetens rettslige vurderinger eller ansvar.
En vurdering av pris og kostnader bør omfatte innføring, intern tid og løpende oppfølging, ikke bare lisensen. Kjøpet er ingen forsikring mot overtredelsesgebyr. Det relevante spørsmålet er om tiltaket reduserer en identifisert risiko og hjelper virksomheten å oppfylle sine plikter. For regelverkets norske ramme kan dere bruke guiden til personvern og GDPR i Norge sammen med de konkrete avgjørelsene.
Slik holder dere en intern saksoversikt oppdatert
Gi hver sak en ansvarlig person og en dato for siste kontroll. Registrer avgjørelsesdato separat fra publiseringsdato, og noter om beløpet er varslet, ilagt, opprettholdt, redusert eller opphevet. Når en kilde bare beskriver ett trinn i saken, bør oversikten si det. Fravær av en ny pressemelding er ikke dokumentasjon på at en klagefrist utløp uten klage.
Knytt deretter saken til én eller flere konkrete handlinger i virksomheten. Et spørsmål om samtykke kan føre til en kontroll av mottakere og tilbaketrekking; et spørsmål om organisatoriske tiltak kan føre til en gjennomgang av ansvar og rapportering. Sett en frist og vurder om endringen faktisk virker. Da blir avgjørelsene et grunnlag for forbedring, samtidig som sakens beløp og prosessuelle status beholdes i riktig sammenheng.