Yango-fallet stod för den största boten

Nederländerna stod för kvartalets största enskilda ärende: en bot på 100 miljoner euro mot MLU B.V., det europeiska bolaget bakom taxitjänsten Yango. Den nederländska dataskyddsmyndigheten fann brister i skyddet vid överföring av personuppgifter till Ryssland och beordrade bolaget att stoppa överföringar som inte uppfyllde GDPR:s krav.

Fallet visar att internationella dataöverföringar kräver mer än att det finns ett avtal på plats. Organisationer måste bedöma om mottagarlandet och de praktiska omständigheterna kring överföringen faktiskt ger ett skydd som i huvudsak motsvarar det som krävs enligt EU:s dataskyddsregler. Det nederländska beslutet kopplades specifikt till otillräckliga garantier vid överföringar till länder utanför EU/EES.

Yango-boten motsvarade omkring 44 procent av hela Q2-summan. Koncentrationen förklarar en stor del av kvartalets kraftiga ökning – och visar varför gränsöverskridande dataflöden bör ingå i företagens finansiella riskhantering.

Frankrike, Italien och Storbritannien stod också för stora sanktioner

Andra betydande ärenden under kvartalet var bland annat:

• Frankrike: Telekomoperatörerna Free Mobile och Free fick tillsammans 42 miljoner euro i böter, varav 27 miljoner euro riktades mot Free Mobile. Ärendena gällde brister i skyddet av abonnentuppgifter.
• Italien: Intesa Sanpaolo bötfälldes med 31,8 miljoner euro för brister i skyddet av kundernas bankuppgifter.
• Storbritannien: Den brittiska dataskyddsmyndigheten Information Commissioner’s Office (ICO) bötfällde Reddit med 14,47 miljoner pund efter att ha konstaterat att företaget använde barns personuppgifter på ett olagligt sätt och saknade tillräckligt robusta ålderskontroller. Reddit överklagade sanktionsbeslutet.

Reddit-ärendet understryker att barns integritet är ett fortsatt högriskområde. Ålderskontroller, laglig behandling av barns uppgifter och åtgärder för att minska förutsebara risker kan alla hamna i centrum för myndigheternas granskning.

Vilka GDPR-brister väcker mest uppmärksamhet?

Mönstret under Q2 handlade inte om en enda typ av överträdelse. De tydligaste områdena var följande:

Otillräckliga säkerhetsåtgärder

Säkerhetsbrister fanns med i flera av de största ärendena, bland annat de franska telekomböterna och det italienska bankärendet. Företag som hanterar stora mängder kundinformation behöver säkerhetsåtgärder som står i proportion till uppgifternas känslighet, behandlingens omfattning och den operativa miljön.

Behandling utan tillräcklig rättslig grund

Bristande rättslig grund hör fortfarande till de vanligaste orsakerna bakom betydande GDPR-böter, enligt CMS:s sammanfattning av GDPR Enforcement Tracker. Företag bör kunna koppla varje väsentlig behandling till en dokumenterad rättslig grund och visa att grunden överensstämmer med hur uppgifterna faktiskt används.

Bristande skydd vid internationella överföringar

Yango-fallet placerar överföringar till länder utanför EU/EES bland de tydligaste högriskområdena i Q2-statistiken. En bedömning av en överföring bör omfatta det faktiska informationsflödet, vilka mottagare som får tillgång till uppgifterna, myndigheters möjliga åtkomst i mottagarlandet och om kompletterande skyddsåtgärder fungerar i praktiken – inte bara om den formella dokumentationen finns.

Brister i skyddet av barns uppgifter

ICO:s beslut mot Reddit visar behovet av åldersanpassad utformning, tillförlitliga ålderskontroller och en väl underbyggd bedömning av hur barns personuppgifter får användas.

Medie- och finanssektorn har en koncentrerad riskexponering

Medie- och finansbolag stod för sex av de tio största böterna under Q2, enligt Finbolds sammanställning. Även teknik-, telekom- och andra konsumentinriktade branscher hanterar ofta personuppgifter i stor skala eller i komplexa, sammankopplade system.

Det betyder inte att alla företag i dessa sektorer löper samma risk. Den största exponeringen uppstår snarare när stora datamängder kombineras med beteendeprofilering, känsliga uppgifter, många användare, gränsöverskridande infrastruktur eller komplicerade relationer med leverantörer och andra tredje parter.

Fem prioriteringar för företag som verkar i Europa

Q2:s tillsynsmönster pekar ut fem praktiska prioriteringar:

1. Kartlägg behandlingar och rättsliga grunder. Håll en aktuell översikt över vilka uppgifter som samlas in, varför de behandlas, vem som får dem och vilken rättslig grund som stöder varje användning.
2. Testa säkerhetsåtgärderna mot verkliga risker. Granska åtkomsthantering, autentisering, övervakning, lagringstider, incidenthantering och leverantörskontroller – inte bara de skriftliga policyerna.
3. Stärk skyddet för barns uppgifter. Gör ålderskontroller, samtycke, riskbedömningar och åldersanpassade skydd till en del av produkt- och compliancearbetet när barn kan använda tjänsten.
4. Gör om bedömningen av internationella överföringar. Dokumentera riskbedömningar, kontrollera varje mottagares roll och inför kompletterande skydd när avtalsvillkor inte räcker.
5. Lyft högriskbehandling till ledningen. De största böternas storlek visar att dataskydd är en finansiell och operativ fråga – inte bara en juridisk checklista.

Slutsatsen från Q2 2026

De rapporterade GDPR-böterna på 225,9 miljoner euro under Q2 visar hur snabbt ett enda stort myndighetsbeslut kan förändra tillsynsbilden. Yango-sanktionen stod för nästan hälften av kvartalets böter, medan ärenden inom telekom, finans och barns integritet visar att myndigheterna granskar både grundläggande säkerhet och om personuppgifter över huvud taget används på ett lagligt sätt.

För företag som verkar i Europa är lärdomen tydlig: GDPR-kontroller bör behandlas som en del av den övergripande riskhanteringen. Laglig behandling, informationssäkerhet, skydd för barn och internationella dataöverföringar måste testas löpande – och kunna styrkas med dokumentation som håller vid en myndighetsgranskning.

Yango-fallet stod för den största boten

Nederländerna stod för kvartalets största enskilda ärende: en bot på 100 miljoner euro mot MLU B.V., det europeiska bolaget bakom taxitjänsten Yango. Den nederländska dataskyddsmyndigheten fann brister i skyddet vid överföring av personuppgifter till Ryssland och beordrade bolaget att stoppa överföringar som inte uppfyllde GDPR:s krav.

Fallet visar att internationella dataöverföringar kräver mer än att det finns ett avtal på plats. Organisationer måste bedöma om mottagarlandet och de praktiska omständigheterna kring överföringen faktiskt ger ett skydd som i huvudsak motsvarar det som krävs enligt EU:s dataskyddsregler. Det nederländska beslutet kopplades specifikt till otillräckliga garantier vid överföringar till länder utanför EU/EES.

Yango-boten motsvarade omkring 44 procent av hela Q2-summan. Koncentrationen förklarar en stor del av kvartalets kraftiga ökning – och visar varför gränsöverskridande dataflöden bör ingå i företagens finansiella riskhantering.

Frankrike, Italien och Storbritannien stod också för stora sanktioner

Andra betydande ärenden under kvartalet var bland annat:

• Frankrike: Telekomoperatörerna Free Mobile och Free fick tillsammans 42 miljoner euro i böter, varav 27 miljoner euro riktades mot Free Mobile. Ärendena gällde brister i skyddet av abonnentuppgifter.
• Italien: Intesa Sanpaolo bötfälldes med 31,8 miljoner euro för brister i skyddet av kundernas bankuppgifter.
• Storbritannien: Den brittiska dataskyddsmyndigheten Information Commissioner’s Office (ICO) bötfällde Reddit med 14,47 miljoner pund efter att ha konstaterat att företaget använde barns personuppgifter på ett olagligt sätt och saknade tillräckligt robusta ålderskontroller. Reddit överklagade sanktionsbeslutet.

Reddit-ärendet understryker att barns integritet är ett fortsatt högriskområde. Ålderskontroller, laglig behandling av barns uppgifter och åtgärder för att minska förutsebara risker kan alla hamna i centrum för myndigheternas granskning.

Vilka GDPR-brister väcker mest uppmärksamhet?

Mönstret under Q2 handlade inte om en enda typ av överträdelse. De tydligaste områdena var följande:

Otillräckliga säkerhetsåtgärder

Säkerhetsbrister fanns med i flera av de största ärendena, bland annat de franska telekomböterna och det italienska bankärendet. Företag som hanterar stora mängder kundinformation behöver säkerhetsåtgärder som står i proportion till uppgifternas känslighet, behandlingens omfattning och den operativa miljön.

Behandling utan tillräcklig rättslig grund

Bristande rättslig grund hör fortfarande till de vanligaste orsakerna bakom betydande GDPR-böter, enligt CMS:s sammanfattning av GDPR Enforcement Tracker. Företag bör kunna koppla varje väsentlig behandling till en dokumenterad rättslig grund och visa att grunden överensstämmer med hur uppgifterna faktiskt används.

Bristande skydd vid internationella överföringar

Yango-fallet placerar överföringar till länder utanför EU/EES bland de tydligaste högriskområdena i Q2-statistiken. En bedömning av en överföring bör omfatta det faktiska informationsflödet, vilka mottagare som får tillgång till uppgifterna, myndigheters möjliga åtkomst i mottagarlandet och om kompletterande skyddsåtgärder fungerar i praktiken – inte bara om den formella dokumentationen finns.

Brister i skyddet av barns uppgifter

ICO:s beslut mot Reddit visar behovet av åldersanpassad utformning, tillförlitliga ålderskontroller och en väl underbyggd bedömning av hur barns personuppgifter får användas.

Medie- och finanssektorn har en koncentrerad riskexponering

Medie- och finansbolag stod för sex av de tio största böterna under Q2, enligt Finbolds sammanställning. Även teknik-, telekom- och andra konsumentinriktade branscher hanterar ofta personuppgifter i stor skala eller i komplexa, sammankopplade system.

Det betyder inte att alla företag i dessa sektorer löper samma risk. Den största exponeringen uppstår snarare när stora datamängder kombineras med beteendeprofilering, känsliga uppgifter, många användare, gränsöverskridande infrastruktur eller komplicerade relationer med leverantörer och andra tredje parter.

Fem prioriteringar för företag som verkar i Europa

Q2:s tillsynsmönster pekar ut fem praktiska prioriteringar:

1. Kartlägg behandlingar och rättsliga grunder. Håll en aktuell översikt över vilka uppgifter som samlas in, varför de behandlas, vem som får dem och vilken rättslig grund som stöder varje användning.
2. Testa säkerhetsåtgärderna mot verkliga risker. Granska åtkomsthantering, autentisering, övervakning, lagringstider, incidenthantering och leverantörskontroller – inte bara de skriftliga policyerna.
3. Stärk skyddet för barns uppgifter. Gör ålderskontroller, samtycke, riskbedömningar och åldersanpassade skydd till en del av produkt- och compliancearbetet när barn kan använda tjänsten.
4. Gör om bedömningen av internationella överföringar. Dokumentera riskbedömningar, kontrollera varje mottagares roll och inför kompletterande skydd när avtalsvillkor inte räcker.
5. Lyft högriskbehandling till ledningen. De största böternas storlek visar att dataskydd är en finansiell och operativ fråga – inte bara en juridisk checklista.

Slutsatsen från Q2 2026

De rapporterade GDPR-böterna på 225,9 miljoner euro under Q2 visar hur snabbt ett enda stort myndighetsbeslut kan förändra tillsynsbilden. Yango-sanktionen stod för nästan hälften av kvartalets böter, medan ärenden inom telekom, finans och barns integritet visar att myndigheterna granskar både grundläggande säkerhet och om personuppgifter över huvud taget används på ett lagligt sätt.

För företag som verkar i Europa är lärdomen tydlig: GDPR-kontroller bör behandlas som en del av den övergripande riskhanteringen. Laglig behandling, informationssäkerhet, skydd för barn och internationella dataöverföringar måste testas löpande – och kunna styrkas med dokumentation som håller vid en myndighetsgranskning.