Den største GDPR-bøde, en dansk domstol har stadfæstet, er på 1,5 mio. kr. Den faldt i landsretten i september 2025 og gik til en detailkæde, der havde opbevaret oplysninger om tidligere kunder for længe. I den anden ende af skalaen ligger bøder og bødeindstillinger på 50.000 til 250.000 kr. til mindre virksomheder.
Loftet ligger langt højere. Efter GDPR’s artikel 83 kan en bøde nå op på 20 mio. euro eller 4 procent af den globale årlige omsætning, alt efter hvad der er højest. Artiklen her gennemgår, hvordan systemet fungerer i Danmark, hvad sagerne har handlet om, og hvor ofte en medarbejders fejl er udgangspunktet.
Sådan fastsættes en GDPR-bøde i Danmark
I de fleste EU-lande udsteder tilsynsmyndigheden selv bøderne. Danmark har valgt en anden model. Datatilsynet undersøger sagen, anmelder den til politiet og indstiller et bødebeløb. Derefter rejser anklagemyndigheden sagen, og det er domstolene, der afgør, om der skal betales, og hvor meget.
Derfor findes der to slags tal, og de bliver tit blandet sammen i omtalen: det beløb, Datatilsynet har indstillet, og det beløb, en domstol har idømt.
Forordningen arbejder med to niveauer:
- op til 10 mio. euro eller 2 procent af den globale årsomsætning for blandt andet mangelfuld sikkerhed, manglende databehandleraftaler og manglende anmeldelse af brud
- op til 20 mio. euro eller 4 procent for overtrædelser af de grundlæggende principper, de registreredes rettigheder og reglerne om overførsel til lande uden for EU
Datatilsynet har beskrevet sin beregningsmodel i en bødevejledning for virksomheder. Den tager udgangspunkt i overtrædelsens karakter og virksomhedens omsætning og justerer for skærpende og formildende forhold, blandt andet om overtrædelsen var forsætlig, hvor mange personer der var berørt, og om virksomheden har samarbejdet.
Sagerne, der har tegnet bødeniveauet
Datatilsynet fører en samlet oversigt over bødesager, opdelt i afgjorte og verserende sager. Tabellen viser et udsnit uden navne.
| Type organisation | Hvad gik galt | Indstillet af Datatilsynet | Udfald |
|---|---|---|---|
| Detailkæde | Oplysninger om flere hundrede tusinde tidligere kunder lå i et ældre system uden sletning | 1,5 mio. kr. | 100.000 kr. i byretten i 2021, hævet til 1,5 mio. kr. i landsretten i 2025 |
| Transportvirksomhed | Kundedata blev gemt længere end nødvendigt | 1,2 mio. kr. | 100.000 kr. i byretten, hævet til 250.000 kr. i landsretten i 2025 |
| It-leverandør | Sikkerheden i en offentlig digital løsning | Mindst 15 mio. kr. | Verserer. Den hidtil største indstilling |
| Privat sundhedsvirksomhed | Sikkerhed omkring helbredsoplysninger | Mindst 1,5 mio. kr. | Verserer |
| Rådgivningsvirksomhed | Utilstrækkelig sikkerhed ved adgang til it-systemer | 500.000 kr. | Verserer |
Sagen mod detailkæden er den vigtigste. Byretten vurderede, at overtrædelsen var uagtsom, og tog udgangspunkt i selskabets egen omsætning. Landsretten forelagde spørgsmålet for EU-Domstolen, som i februar 2025 slog fast, at bøden skal beregnes ud fra hele koncernens omsætning. Landsretten fandt derefter overtrædelsen forsætlig og fulgte Datatilsynets indstilling. Dansk Erhverv har lavet en gennemgang af dommen.
I flere år satte byretterne Datatilsynets indstillinger kraftigt ned. De to landsretsdomme fra 2025 peger i den modsatte retning, og for selskaber i større koncerner kan koncernomsætningen trække niveauet betydeligt op.
Hvad udløser en bøde?
Ser man på sagerne under ét, går fire typer overtrædelser igen.
Manglende sletning. De to landsretssager handlede begge om oplysninger, der blev liggende, efter at formålet var væk. Ingen af sagerne begyndte med et læk. De begyndte med et tilsynsbesøg.
Utilstrækkelig sikkerhed. Systemer, hvor oplysningerne ikke var beskyttet godt nok mod, at uvedkommende kunne få adgang.
Utilsigtet videregivelse. Oplysninger, der ender hos de forkerte, fordi en fil, en mail eller et medie bliver delt ved en fejl.
De registreredes rettigheder. Virksomheder, der ikke svarer, når en person beder om indsigt i sine oplysninger.
Hvor ofte er det en medarbejders fejl?
Datatilsynet modtog 9.849 anmeldelser om brud på persondatasikkerheden i 2025, og tilsynet skriver i sin vejledning om de 10 typiske brud, at størstedelen angår utilsigtet deling af personoplysninger med forkerte modtagere. Den type brud begynder som regel ved en enkelt medarbejder: en fejlsendt mail, en forkert vedhæftet fil, et link delt for bredt.
Langt de fleste af de anmeldelser ender uden bøde. Datatilsynet reagerer oftest med kritik eller påbud. Når en menneskelig fejl alligevel fører til en bødeindstilling, er det sjældent fejlen i sig selv, der bliver lagt vægt på. Det er, at virksomheden ikke havde gjort nok for at forhindre den: ingen retningslinjer, ingen tekniske spærringer, ingen træning.
Den enkelte medarbejder kan også selv blive straffet. Datatilsynet har en særskilt bødevejledning for fysiske personer, som blandt andet dækker ansatte, der slår op i registre uden arbejdsmæssig grund.
Bøden er sjældent hele regningen
Et brud koster også, når der ikke falder nogen bøde. Der skal bruges timer på at undersøge hændelsen, anmelde den inden for 72 timer, underrette de berørte og svare på henvendelser. Kunder og samarbejdspartnere stiller spørgsmål. Datatilsynets afgørelser offentliggøres med virksomhedens navn, også når de ender med kritik.
Hvad kan I gøre?
Sagerne peger på en ret kort liste:
- Fastlæg slettefrister, og kontrollér, at sletningen sker. Det gælder især gamle systemer, der ikke længere bruges aktivt.
- Lav en risikovurdering, og dokumentér den. Vi har skrevet en trin for trin-guide til risikovurdering efter GDPR.
- Hav en fast procedure for anmodninger om indsigt, så de ikke strander i en indbakke.
- Træn medarbejderne, og gem dokumentationen. Når Datatilsynet vurderer en sag, ser tilsynet på, hvilke organisatoriske foranstaltninger der var på plads, og dokumenteret træning er en af dem.
Det sidste punkt er det, vi arbejder med hos Grape. Vores GDPR træning er udviklet i samarbejde med specialister i databeskyttelsesret og scenarierne kan tilpasses jeres organisation, så medarbejderne øver sig på de situationer, hvor fejlene typisk sker hos jer. Vil I vide mere om den danske ramme, har vi samlet den i artiklen om GDPR i Danmark.
