De europæiske tilsynsmyndigheder uddelte i 2024 GDPR-bøder for i alt 1,2 milliarder euro, der svarer til godt ni milliarder kroner.
Det er et markant fald på 33 procent i forhold til året før, hvor bødetotalen lød på knap 1,8 milliarder euro, svarende til mere end 13,4 milliarder kroner.
Men selvom den samlede sum for bøder er faldet, så viser den årlige GDPR-rapport fra advokathuset DLA Piper, at GDPR-reglerne bliver håndhævet med bredere fokus end tidligere.
Danmark stadig i bund, mens Irland fortsat topper
Siden GDPR trådte i kraft i 2018, har de irske myndigheder udstedt bøder for samlet 3,5 milliarder euro – flest af alle lande i Europa.
Det skyldes især, at en række tech-giganter har europæisk hovedsæde i Irland, herunder Meta og LinkedIn, som igen i 2024 modtog millionbøder.
I den modsatte ende af skalaen finder vi Danmark.
Ifølge DLA Pipers opgørelse er danske virksomheder og myndigheder kun blevet idømt bøder for i alt 274.855 euro siden 2018, svarende til lidt mere end to millioner kroner, hvilket placerer de danske bøder blandt de laveste i Europa.
Kun i Estland, Slovenien og Liechtenstein har man idømt bøder til mindre beløb end i Danmark.
I Danmark skyldes det i høj grad en særregel, der siger, at Datatilsynet ikke selv kan udstede bøder, men i stedet må politianmelde sager, som herefter behandles i retssystemet.
Mange danske GDPR-sager venter derfor stadig på dom.
En af de danske sager, der dog førte til dom i 2024, er sagen mod Region Syddanmark, som havde kørt i mange år.
Dommen faldt i december 2024, hvor regionen blev idømt en bøde på én million kroner for grove brud på GDPR, hvor uautoriserede fik adgang til personfølsomme oplysninger om tusindvis af borgere – herunder børn tilknyttet psykiatrien.
Det er den største bøde nogensinde til en offentlig myndighed i Danmark.
En anden dansk GDPR-sag, der efter mere end tre års sagsbehandling fik sin afslutning, var sagen mod Kræftens Bekæmpelse.
Her endte Byretten i København med at afgøre, at fire grove brud på GDPR skulle koste en bøde på 75.000 kroner.
Det er langt mindre end Datatilsynets oprindelige krav, som fulgte med den politianmeldelse, som tilsynet foretog for flere år siden.
Her forlangte Datatilsynet, at de fire overtrædelser skulle koste Kræftens Bekæmpelse 800.000 kroner i bøde.
Bøderne rammer bredere – og nu også ledere
Et centralt nybrud i 2024 er ifølge rapporten det øgede fokus på ledelsesansvar.
Den hollandske databeskyttelsesmyndighed efterforsker eksempelvis i øjeblikket, om topledelsen i selskabet Clearview AI kan holdes personligt ansvarlige for brud på GDPR.
Det er første gang, et tilsyn undersøger muligheden for personlige bøder.
"2024 er året, hvor GDPR-håndhævelse blev personligt," lyder det i rapporten.
Det varsler ifølge rapporten en ny tendens, hvor myndighederne ikke blot går efter virksomhederne, men også efter de personer i ledelsen, der har haft mulighed for at forhindre ulovlig databehandling, men undlod det.
Samtidig fremgår det, at selvom de største bøder stadig rammer tech-giganterne, så har datatilsynene i 2024 også intensiveret bødeindsatsen overfor finans-, energi- og sundhedssektoren.
Det sker særligt ved brud på GDPR’s grundlæggende principper som lovlighed, integritet og fortrolighed.
Eksempelvis fik et italiensk energiselskab en bøde på 5 millioner euro for at bruge forældede kundedata i salgsarbejdet.
I Spanien fik en storbank to bøder på tilsammen 6,2 millioner euro for utilstrækkelige sikkerhedsforanstaltninger.
Går efter AI og dataoverførsler
I rapporten kan man også se, at der er sket en markant stigning i tilsynenes interesse for AI og databrug.
Det irske datatilsyn har i 2024 skredet ind overfor både X (tidligere Twitter) og Meta, som begge havde planer om at bruge brugerdata til at træne AI-modeller.
I begge tilfælde måtte virksomhederne suspendere dataindsamlingen.
Samtidig har EU's datatilsynsmyndigheder slået fast, at den såkaldte ”consent or pay”-model, hvor brugere skal betale for at undgå målrettet reklame, sjældent kan forsvares under GDPR.
Meta har allerede indledt en retssag mod den fælleseuropæiske afgørelse.
På trods af flere og større bøder er antallet af indrapporterede databrud kun steget minimalt.
I gennemsnit blev der anmeldt 363 brud per dag i 2024 – mod 335 året før.
Holland, Tyskland og Polen topper listen over flest indberetninger, mens Danmark med 53.802 indberetninger siden 2018 ligger på en femteplads lige efter Storbritannien.
Ifølge DLA Piper kan det være tegn på, at organisationer bliver mere forsigtige med at melde brud ind af frygt for efterfølgende sanktioner.