Den største bøde: Yango og dataoverførsler til Rusland

Den største enkeltstående sag i kvartalet kom fra Nederlandene. Det nederlandske datatilsyn idømte MLU B.V. – det europæiske selskab bag taxiappen Yango – en bøde på 100 millioner euro. Myndigheden fandt problemer med de garantier, der blev brugt ved overførsel af persondata til Rusland, og beordrede selskabet til at standse overførsler, når GDPR-kravene ikke var opfyldt.

Sagen viser, at internationale dataoverførsler kræver mere end de rigtige kontrakter på papiret. Virksomheder skal vurdere, om både modtagerlandet og de praktiske forhold omkring overførslen reelt giver en beskyttelse, der svarer til EU’s databeskyttelsesniveau. Den nederlandske afgørelse var specifikt knyttet til utilstrækkelige garantier ved overførsler til tredjelande.

Yango-bøden udgjorde cirka 44 procent af alle GDPR-bøder i andet kvartal. Det forklarer en stor del af kvartalets kraftige stigning og understreger samtidig, hvorfor grænseoverskridende dataflows bør indgå i virksomheders økonomiske risikostyring.

Frankrig, Italien og Storbritannien stod også for store sager

Blandt de øvrige markante afgørelser var:

• Frankrig: Telekomselskaberne Free Mobile og Free fik tilsammen bøder for 42 millioner euro, herunder en bøde på 27 millioner euro til Free Mobile. Sagerne handlede blandt andet om mangler i beskyttelsen af abonnentdata.
• Italien: Banken Intesa Sanpaolo blev idømt en bøde på 31,8 millioner euro for mangelfuld beskyttelse af kundernes bankdata.
• Storbritannien: Det britiske Information Commissioner’s Office (ICO) gav Reddit en bøde på 14,47 millioner pund, efter myndigheden fandt, at virksomheden havde brugt børns personoplysninger ulovligt og ikke havde indført tilstrækkeligt robuste alderskontroller. Reddit har anket bøden.

Reddit-sagen viser, at børns privatliv fortsat er et område med høj håndhævelsesrisiko. Alderskontrol, lovlig behandling af børns oplysninger og tiltag, der begrænser forudsigelige skader, kan alle blive genstand for myndighedernes granskning.

Hvilke GDPR-overtrædelser fylder mest?

Kvartalets sager var ikke begrænset til én bestemt type fejl. De mest fremtrædende temaer var følgende.

Utilstrækkelig informationssikkerhed

Sikkerhedsbrister indgik i flere af de store sager, herunder bøderne til de franske teleselskaber og afgørelsen mod den italienske bank. Virksomheder, der håndterer store mængder kundeoplysninger, skal have sikkerhedsforanstaltninger, der passer til behandlingens følsomhed, omfang og konkrete driftsforhold.

Manglende eller utilstrækkeligt behandlingsgrundlag

Et utilstrækkeligt juridisk grundlag for databehandling er fortsat blandt de hyppigste årsager til større GDPR-bøder, ifølge CMS’ GDPR Enforcement Tracker. Virksomheder bør kunne koble hver væsentlig behandlingsaktivitet til et dokumenteret behandlingsgrundlag og vise, at grundlaget faktisk passer til den måde, oplysningerne bruges på.

Svage garantier ved internationale dataoverførsler

Yango-sagen placerer dataoverførsler til tredjelande blandt de tydeligste højrisikoområder i andet kvartal. En vurdering af en overførsel bør omfatte det faktiske informationsflow, de modtagende selskaber, myndigheders adgang i modtagerlandet og effekten af eventuelle supplerende sikkerhedsforanstaltninger – ikke blot om standarddokumenterne er underskrevet.

Manglende beskyttelse af børn

ICO’s afgørelse mod Reddit understreger behovet for alderssvarende design, pålidelige processer til alderskontrol og en veldokumenteret tilgang til lovlig brug af børns personoplysninger.

Medier og finanssektoren har en særlig eksponering

Medie- og finansvirksomheder stod for seks af de ti største bøder i andet kvartal i Finbolds opgørelse. Teknologi, telekommunikation og andre forbrugervendte brancher behandler også ofte persondata i stor skala eller i komplekse, tæt forbundne systemer.

Det betyder ikke, at alle virksomheder i disse brancher har samme risikoniveau. Den største eksponering opstår typisk, når store datamængder kombineres med adfærdsprofilering, følsomme oplysninger, mange brugere, grænseoverskridende infrastruktur eller komplicerede leverandør- og koncernstrukturer.

Fem områder virksomheder i Europa bør prioritere

Udviklingen i andet kvartal peger på fem praktiske prioriteter:

1. Kortlæg behandlingsaktiviteter og behandlingsgrundlag. Sørg for et opdateret overblik over, hvilke data der indsamles, hvorfor de behandles, hvem der modtager dem, og hvilket juridisk grundlag der gælder.
2. Test sikkerhedsforanstaltningerne i praksis. Gennemgå adgangsstyring, autentificering, overvågning, opbevaringsperioder, hændelseshåndtering og leverandørkontroller – ikke kun de skriftlige politikker.
3. Styrk beskyttelsen af børns data. Hvor børn kan bruge en tjeneste, bør alderskontrol, samtykke, risikovurdering og alderssvarende sikkerhedsforanstaltninger indgå i produkt- og compliancegennemgangen.
4. Revurder internationale overførsler. Dokumentér vurderinger af overførselsrisici, kontrollér hver modtagers rolle, og indfør supplerende garantier, når kontraktvilkår alene ikke er tilstrækkelige.
5. Løft højrisikobehandling til ledelsesniveau. Størrelsen på de største bøder viser, at databeskyttelse er et økonomisk og operationelt spørgsmål – ikke blot et juridisk afkrydsningspunkt.

Hovedpointen fra andet kvartal 2026

De rapporterede 225,9 millioner euro i GDPR-bøder i andet kvartal viser, hvor hurtigt én stor afgørelse kan ændre billedet. Yango-sagen stod for næsten halvdelen af kvartalets bøder, mens sagerne mod teleselskaber, finansvirksomheder og Reddit viser, at myndighederne både undersøger sikkerhedspraksis og selve grundlaget for virksomhedernes brug af persondata.

For virksomheder, der opererer i Europa, er budskabet klart: GDPR-kontroller bør behandles som en del af den samlede virksomhedsrisiko. Lovlig behandling, informationssikkerhed, børns rettigheder og internationale dataoverførsler skal løbende testes og understøttes af dokumentation, der kan holde til myndighedernes kontrol.

Den største bøde: Yango og dataoverførsler til Rusland

Den største enkeltstående sag i kvartalet kom fra Nederlandene. Det nederlandske datatilsyn idømte MLU B.V. – det europæiske selskab bag taxiappen Yango – en bøde på 100 millioner euro. Myndigheden fandt problemer med de garantier, der blev brugt ved overførsel af persondata til Rusland, og beordrede selskabet til at standse overførsler, når GDPR-kravene ikke var opfyldt.

Sagen viser, at internationale dataoverførsler kræver mere end de rigtige kontrakter på papiret. Virksomheder skal vurdere, om både modtagerlandet og de praktiske forhold omkring overførslen reelt giver en beskyttelse, der svarer til EU’s databeskyttelsesniveau. Den nederlandske afgørelse var specifikt knyttet til utilstrækkelige garantier ved overførsler til tredjelande.

Yango-bøden udgjorde cirka 44 procent af alle GDPR-bøder i andet kvartal. Det forklarer en stor del af kvartalets kraftige stigning og understreger samtidig, hvorfor grænseoverskridende dataflows bør indgå i virksomheders økonomiske risikostyring.

Frankrig, Italien og Storbritannien stod også for store sager

Blandt de øvrige markante afgørelser var:

• Frankrig: Telekomselskaberne Free Mobile og Free fik tilsammen bøder for 42 millioner euro, herunder en bøde på 27 millioner euro til Free Mobile. Sagerne handlede blandt andet om mangler i beskyttelsen af abonnentdata.
• Italien: Banken Intesa Sanpaolo blev idømt en bøde på 31,8 millioner euro for mangelfuld beskyttelse af kundernes bankdata.
• Storbritannien: Det britiske Information Commissioner’s Office (ICO) gav Reddit en bøde på 14,47 millioner pund, efter myndigheden fandt, at virksomheden havde brugt børns personoplysninger ulovligt og ikke havde indført tilstrækkeligt robuste alderskontroller. Reddit har anket bøden.

Reddit-sagen viser, at børns privatliv fortsat er et område med høj håndhævelsesrisiko. Alderskontrol, lovlig behandling af børns oplysninger og tiltag, der begrænser forudsigelige skader, kan alle blive genstand for myndighedernes granskning.

Hvilke GDPR-overtrædelser fylder mest?

Kvartalets sager var ikke begrænset til én bestemt type fejl. De mest fremtrædende temaer var følgende.

Utilstrækkelig informationssikkerhed

Sikkerhedsbrister indgik i flere af de store sager, herunder bøderne til de franske teleselskaber og afgørelsen mod den italienske bank. Virksomheder, der håndterer store mængder kundeoplysninger, skal have sikkerhedsforanstaltninger, der passer til behandlingens følsomhed, omfang og konkrete driftsforhold.

Manglende eller utilstrækkeligt behandlingsgrundlag

Et utilstrækkeligt juridisk grundlag for databehandling er fortsat blandt de hyppigste årsager til større GDPR-bøder, ifølge CMS’ GDPR Enforcement Tracker. Virksomheder bør kunne koble hver væsentlig behandlingsaktivitet til et dokumenteret behandlingsgrundlag og vise, at grundlaget faktisk passer til den måde, oplysningerne bruges på.

Svage garantier ved internationale dataoverførsler

Yango-sagen placerer dataoverførsler til tredjelande blandt de tydeligste højrisikoområder i andet kvartal. En vurdering af en overførsel bør omfatte det faktiske informationsflow, de modtagende selskaber, myndigheders adgang i modtagerlandet og effekten af eventuelle supplerende sikkerhedsforanstaltninger – ikke blot om standarddokumenterne er underskrevet.

Manglende beskyttelse af børn

ICO’s afgørelse mod Reddit understreger behovet for alderssvarende design, pålidelige processer til alderskontrol og en veldokumenteret tilgang til lovlig brug af børns personoplysninger.

Medier og finanssektoren har en særlig eksponering

Medie- og finansvirksomheder stod for seks af de ti største bøder i andet kvartal i Finbolds opgørelse. Teknologi, telekommunikation og andre forbrugervendte brancher behandler også ofte persondata i stor skala eller i komplekse, tæt forbundne systemer.

Det betyder ikke, at alle virksomheder i disse brancher har samme risikoniveau. Den største eksponering opstår typisk, når store datamængder kombineres med adfærdsprofilering, følsomme oplysninger, mange brugere, grænseoverskridende infrastruktur eller komplicerede leverandør- og koncernstrukturer.

Fem områder virksomheder i Europa bør prioritere

Udviklingen i andet kvartal peger på fem praktiske prioriteter:

1. Kortlæg behandlingsaktiviteter og behandlingsgrundlag. Sørg for et opdateret overblik over, hvilke data der indsamles, hvorfor de behandles, hvem der modtager dem, og hvilket juridisk grundlag der gælder.
2. Test sikkerhedsforanstaltningerne i praksis. Gennemgå adgangsstyring, autentificering, overvågning, opbevaringsperioder, hændelseshåndtering og leverandørkontroller – ikke kun de skriftlige politikker.
3. Styrk beskyttelsen af børns data. Hvor børn kan bruge en tjeneste, bør alderskontrol, samtykke, risikovurdering og alderssvarende sikkerhedsforanstaltninger indgå i produkt- og compliancegennemgangen.
4. Revurder internationale overførsler. Dokumentér vurderinger af overførselsrisici, kontrollér hver modtagers rolle, og indfør supplerende garantier, når kontraktvilkår alene ikke er tilstrækkelige.
5. Løft højrisikobehandling til ledelsesniveau. Størrelsen på de største bøder viser, at databeskyttelse er et økonomisk og operationelt spørgsmål – ikke blot et juridisk afkrydsningspunkt.

Hovedpointen fra andet kvartal 2026

De rapporterede 225,9 millioner euro i GDPR-bøder i andet kvartal viser, hvor hurtigt én stor afgørelse kan ændre billedet. Yango-sagen stod for næsten halvdelen af kvartalets bøder, mens sagerne mod teleselskaber, finansvirksomheder og Reddit viser, at myndighederne både undersøger sikkerhedspraksis og selve grundlaget for virksomhedernes brug af persondata.

For virksomheder, der opererer i Europa, er budskabet klart: GDPR-kontroller bør behandles som en del af den samlede virksomhedsrisiko. Lovlig behandling, informationssikkerhed, børns rettigheder og internationale dataoverførsler skal løbende testes og understøttes af dokumentation, der kan holde til myndighedernes kontrol.