GDPR-böter på 225,9 miljoner euro i Q2 – en ökning med 230 procent

Finbolds genomgång av andra kvartalet 2026 visar att den europeiska tillsynen enligt GDPR tog fart ordentligt. Mellan den 1 april och den 30 juni utfärdades böter på sammanlagt 225 879 175 euro (260,59 miljoner dollar). Det motsvarar ungefär 2,48 miljoner euro (2,86 miljoner dollar) per dag.

Kvartalssumman var omkring 230 procent högre än Q1:s 68,18 miljoner euro. Därmed uppgick de totala GDPR-böterna under första halvåret 2026 till cirka 295 miljoner euro (340,5 miljoner dollar).

Samtidigt är det viktigt att sätta siffran i perspektiv: ett fåtal mycket stora beslut stod för en betydande del av totalsumman. Utvecklingen visar alltså den ekonomiska omfattningen av tillsynen, men behöver inte betyda att varje enskild bot har blivit större.

Q2-böterna var mer än tre gånger så höga som under Q1

Period	Rapporterade GDPR-böter	Ungefärligt dagligt genomsnitt
Q1 2026	68,18 miljoner euro	757 600 euro
Q2 2026	225,88 miljoner euro	2,48 miljoner euro
H1 2026	Cirka 295 miljoner euro	–

Finbolds sammanställning för årets första kvartal visade ett dagligt genomsnitt på cirka 757 600 euro. Värdet av tillsynen ökade därmed kraftigt under Q2, även om kvartalsstatistik kan påverkas starkt av enstaka beslut med mycket höga belopp.

Yango-fallet stod för den största boten

Nederländerna stod för kvartalets största enskilda ärende: en bot på 100 miljoner euro mot MLU B.V., det europeiska bolaget bakom taxitjänsten Yango. Den nederländska dataskyddsmyndigheten fann brister i skyddet vid överföring av personuppgifter till Ryssland och beordrade bolaget att stoppa överföringar som inte uppfyllde GDPR:s krav.

Fallet visar att internationella dataöverföringar kräver mer än att det finns ett avtal på plats. Organisationer måste bedöma om mottagarlandet och de praktiska omständigheterna kring överföringen faktiskt ger ett skydd som i huvudsak motsvarar det som krävs enligt EU:s dataskyddsregler. Det nederländska beslutet kopplades specifikt till otillräckliga garantier vid överföringar till länder utanför EU/EES.

Yango-boten motsvarade omkring 44 procent av hela Q2-summan. Koncentrationen förklarar en stor del av kvartalets kraftiga ökning – och visar varför gränsöverskridande dataflöden bör ingå i företagens finansiella riskhantering.

Frankrike, Italien och Storbritannien stod också för stora sanktioner

Andra betydande ärenden under kvartalet var bland annat:

• Frankrike: Telekomoperatörerna Free Mobile och Free fick tillsammans 42 miljoner euro i böter, varav 27 miljoner euro riktades mot Free Mobile. Ärendena gällde brister i skyddet av abonnentuppgifter.
• Italien: Intesa Sanpaolo bötfälldes med 31,8 miljoner euro för brister i skyddet av kundernas bankuppgifter.
• Storbritannien: Den brittiska dataskyddsmyndigheten Information Commissioner’s Office (ICO) bötfällde Reddit med 14,47 miljoner pund efter att ha konstaterat att företaget använde barns personuppgifter på ett olagligt sätt och saknade tillräckligt robusta ålderskontroller. Reddit överklagade sanktionsbeslutet.

Reddit-ärendet understryker att barns integritet är ett fortsatt högriskområde. Ålderskontroller, laglig behandling av barns uppgifter och åtgärder för att minska förutsebara risker kan alla hamna i centrum för myndigheternas granskning.

Vilka GDPR-brister väcker mest uppmärksamhet?

Mönstret under Q2 handlade inte om en enda typ av överträdelse. De tydligaste områdena var följande:

Otillräckliga säkerhetsåtgärder

Säkerhetsbrister fanns med i flera av de största ärendena, bland annat de franska telekomböterna och det italienska bankärendet. Företag som hanterar stora mängder kundinformation behöver säkerhetsåtgärder som står i proportion till uppgifternas känslighet, behandlingens omfattning och den operativa miljön.

Behandling utan tillräcklig rättslig grund

Bristande rättslig grund hör fortfarande till de vanligaste orsakerna bakom betydande GDPR-böter, enligt CMS:s sammanfattning av GDPR Enforcement Tracker. Företag bör kunna koppla varje väsentlig behandling till en dokumenterad rättslig grund och visa att grunden överensstämmer med hur uppgifterna faktiskt används.

Bristande skydd vid internationella överföringar

Yango-fallet placerar överföringar till länder utanför EU/EES bland de tydligaste högriskområdena i Q2-statistiken. En bedömning av en överföring bör omfatta det faktiska informationsflödet, vilka mottagare som får tillgång till uppgifterna, myndigheters möjliga åtkomst i mottagarlandet och om kompletterande skyddsåtgärder fungerar i praktiken – inte bara om den formella dokumentationen finns.

Brister i skyddet av barns uppgifter

ICO:s beslut mot Reddit visar behovet av åldersanpassad utformning, tillförlitliga ålderskontroller och en väl underbyggd bedömning av hur barns personuppgifter får användas.

Medie- och finanssektorn har en koncentrerad riskexponering

Medie- och finansbolag stod för sex av de tio största böterna under Q2, enligt Finbolds sammanställning. Även teknik-, telekom- och andra konsumentinriktade branscher hanterar ofta personuppgifter i stor skala eller i komplexa, sammankopplade system.

Det betyder inte att alla företag i dessa sektorer löper samma risk. Den största exponeringen uppstår snarare när stora datamängder kombineras med beteendeprofilering, känsliga uppgifter, många användare, gränsöverskridande infrastruktur eller komplicerade relationer med leverantörer och andra tredje parter.

Fem prioriteringar för företag som verkar i Europa

Q2:s tillsynsmönster pekar ut fem praktiska prioriteringar:

1. Kartlägg behandlingar och rättsliga grunder. Håll en aktuell översikt över vilka uppgifter som samlas in, varför de behandlas, vem som får dem och vilken rättslig grund som stöder varje användning.
2. Testa säkerhetsåtgärderna mot verkliga risker. Granska åtkomsthantering, autentisering, övervakning, lagringstider, incidenthantering och leverantörskontroller – inte bara de skriftliga policyerna.
3. Stärk skyddet för barns uppgifter. Gör ålderskontroller, samtycke, riskbedömningar och åldersanpassade skydd till en del av produkt- och compliancearbetet när barn kan använda tjänsten.
4. Gör om bedömningen av internationella överföringar. Dokumentera riskbedömningar, kontrollera varje mottagares roll och inför kompletterande skydd när avtalsvillkor inte räcker.
5. Lyft högriskbehandling till ledningen. De största böternas storlek visar att dataskydd är en finansiell och operativ fråga – inte bara en juridisk checklista.

Slutsatsen från Q2 2026

De rapporterade GDPR-böterna på 225,9 miljoner euro under Q2 visar hur snabbt ett enda stort myndighetsbeslut kan förändra tillsynsbilden. Yango-sanktionen stod för nästan hälften av kvartalets böter, medan ärenden inom telekom, finans och barns integritet visar att myndigheterna granskar både grundläggande säkerhet och om personuppgifter över huvud taget används på ett lagligt sätt.

För företag som verkar i Europa är lärdomen tydlig: GDPR-kontroller bör behandlas som en del av den övergripande riskhanteringen. Laglig behandling, informationssäkerhet, skydd för barn och internationella dataöverföringar måste testas löpande – och kunna styrkas med dokumentation som håller vid en myndighetsgranskning.