GDPR-böter ökade med 230 procent till 225,88 miljoner euro under andra kvartalet 2026

Finbolds research, publicerad den 20 augusti 2026, visar att tillsynen enligt EU:s allmänna dataskyddsförordning, GDPR, tog fart kraftigt under årets andra kvartal. Myndigheter utfärdade böter på 225 879 175 euro (260,59 miljoner dollar) mellan april och juni – ungefär 230 procent mer än de 68,18 miljoner euro (73,63 miljoner dollar) som noterades under första kvartalet. Det innebär att böterna under årets första hälft uppgick till omkring 295 miljoner euro (340,5 miljoner dollar).

Utslaget över kvartalet motsvarar det cirka 2,48 miljoner euro (2,86 miljoner dollar) i böter per dag.

Nederländerna stod för nästan hälften av totalsumman

Nederländerna hade den högsta rapporterade summan med 100,25 miljoner euro, vilket motsvarar nästan 49 procent av totalen. Därefter följde Frankrike med 52 miljoner euro, Italien med 45,50 miljoner euro och Storbritannien med omkring 18 miljoner euro.

Den nederländska summan dominerades av en bot på 100 miljoner euro mot MLU B.V., operatören bakom taxitjänsten Yango och efterträdaren till Ridetech International B.V. Den nederländska dataskyddsmyndigheten konstaterade att personuppgifter om användare och förare i Finland och Norge hade överförts till Ryssland utan tillräckligt skydd. Överföringarna skulle stoppas om inte GDPR-kompatibla skyddsåtgärder infördes.

Därför är Yango-fallet viktigt

Fallet illustrerar en central risk vid internationella dataöverföringar: standardavtalsklausuler, så kallade SCC-klausuler, löser inte automatiskt alla problem. Enligt den tillgängliga rapporteringen tog den nederländska myndigheten bland annat hänsyn till rysk tillgång till krypteringsnycklar samt gemensam nederländsk-rysk ledning. Sådana omständigheter kan öka risken för åtkomst till uppgifterna och återidentifiering.

Den nederländska tillsynsmyndighetens vägledning slår fast att personuppgifter bara får föras över till tredjeländer – länder utanför Europeiska ekonomiska samarbetsområdet, EES – om landet erbjuder en tillräcklig skyddsnivå, om lämpliga skyddsåtgärder används eller om ett särskilt undantag gäller. Standardavtalsklausuler är en möjlig skyddsåtgärd, men företaget måste fortfarande säkerställa att skyddet fungerar i den konkreta situationen.

Franska böter fokuserade på säkerhetsbrister

Frankrikes totalsumma på 52 miljoner euro omfattade flera betydande fall. FREE MOBILE fick en bot på 27 miljoner euro och moderbolaget FREE 15 miljoner euro efter ett omfattande dataintrång. IQVIA Operations France bötfälldes med 15 miljoner euro efter brister kopplade till hälsodata.

Tillsammans visar fallen den ekonomiska exponering som uppstår när organisationer inte skyddar känsliga uppgifter eller saknar effektiva säkerhetskontroller. De visar också att tillsynen kan omfatta flera närstående bolag när ansvaret för databehandling och informationssäkerhet är fördelat inom en koncern.

Italienska böter handlade främst om bankdata

Italien noterade 45,50 miljoner euro i GDPR-böter. Den största delen var en bot på 31,8 miljoner euro mot Intesa Sanpaolo för brister i skyddet av kundernas bankuppgifter. Poste Italiane och PostePay fick dessutom böter på 6,62 miljoner euro respektive 5,88 miljoner euro för brister i hanteringen av bankappar.

De italienska fallen placerar finanssektorn bland de branscher som löper störst risk när åtkomstkontroller, datastyrning eller digitala tjänster inte skyddar kunduppgifter tillräckligt väl.

Reddit bötfälldes för bristande ålderskontroll

Storbritanniens dataskyddsmyndighet Information Commissioner’s Office, ICO, utfärdade en bot på 14,47 miljoner pund (16,61 miljoner euro) mot Reddit för otillräcklig ålderskontroll och olaglig behandling av barns personuppgifter.

Fallet breddar bilden av GDPR-tillsynen bortom dataintrång och internationella överföringar. Plattformar som behandlar uppgifter om barn måste också kunna visa att ålderskontrollerna och behandlingen har rättslig grund och ger ett lämpligt skydd.

Vilka överträdelser och sektorer återkom oftast?

Finbolds genomgång visar att säkerhetsbrister och avsaknad av rättslig grund för behandlingen stod bakom i princip alla större böter i analysen av andra kvartalet.

Bland de tio största böterna förekom medie- och finanssektorn tre gånger vardera. Transport- och energisektorn stod för två av de tio största sanktionerna vardera, däribland det största nederländska fallet mot Yango.

Mönstret är viktigt för organisationer som främst ser GDPR-risk som en teknisk säkerhetsfråga. Fallen under andra kvartalet visar att tillsynsmyndigheterna också granskar grunderna för hur personuppgifter används: om behandlingen är laglig, om skyddsåtgärderna fungerar i praktiken, om internationella överföringar kan försvaras och om företagen har tillräcklig kontroll över partner och koncernbolag.

Vad innebär siffrorna för företag?

Den kraftiga ökningen betyder inte att alla organisationer löper samma risk, och undersökningen är en sammanställning av rapporterade tillsynsbeslut – inte en prognos över framtida böter. Den ger ändå en tydlig signal: stora sanktioner kan uppstå genom brister som spänner över juridiska, operativa, tekniska och organisatoriska kontroller.

För företag som behandlar personuppgifter är följande områden särskilt viktiga att se över:

• Rättslig grund: Dokumentera varför varje större behandling är tillåten och kontrollera att den angivna grunden motsvarar den faktiska användningen.
• Säkerhetskontroller: Testa om åtkomstbegränsningar, kryptering, övervakning och rutiner för incidenthantering verkligen skyddar uppgifterna.
• Internationella överföringar: Bedöm den faktiska juridiska och tekniska miljön i mottagarlandet i stället för att enbart förlita er på avtalsformuleringar.
• Tillsyn över tredje parter: Säkerställ tydliga personuppgiftsbiträdesavtal, ansvarsfördelningar och kontrollrutiner för leverantörer och närstående bolag.
• Barns uppgifter och ålderskontroll: Kontrollera att ålderssäkring och barnskydd stödjer en laglig och proportionerlig behandling.

Finbolds viktigaste slutsats är att GDPR-tillsynen har blivit en konkret finansiell risk för organisationer med svag datastyrning. De största fallen handlade inte om isolerade tekniska fel, utan om grundläggande brister i laglig behandling, säkerhet, skydd vid internationella överföringar och uppföljning av ansvar.