En sag hos Datatilsynet kan ende på flere måder, og ordene er ikke lige alvorlige. Tilsynet kan afslutte sagen uden bemærkninger, udtale kritik eller alvorlig kritik, give påbud eller forbud og indgive politianmeldelse med indstilling om bøde. Reaktionerne bygger på databeskyttelsesforordningens art. 58, stk. 2, og Datatilsynet beskriver dem i sine årsberetninger og på siden om tilsyn. Artiklen forklarer forskellen og det, I gør, når afgørelsen ligger i indbakken. Beløb nævnes ikke, og konkrete sager er et spørgsmål til advokat.
Kritik og alvorlig kritik
Kritik betyder, at Datatilsynet finder, at behandlingen ikke har levet op til reglerne. Alvorlig kritik er samme konstatering med større vægt. I en sag fra oktober 2024 udtalte tilsynet alvorlig kritik og lagde bl.a. vægt på, at en søgning fortsatte, efter virksomheden havde set, at den angik en privat konto. Hvordan I har handlet undervejs, kan altså indgå i vurderingen.
Kritik pålægger jer ikke i sig selv at gøre noget bestemt. Den er alligevel en afgørelse, I skal tage alvorligt. Datatilsynet kan offentliggøre udtalelser og afgørelser efter § 33 i databeskyttelsesloven, og kritikken ligger i sagen, hvis tilsynet senere vender tilbage. Kunder kan også spørge til den. Ledelsen bør derfor have afgørelsen på bordet og beslutte, hvad der skal rettes, også selv om teksten ikke kræver noget.
Påbud og forbud
Et påbud er et krav om at gøre noget bestemt, typisk inden for en frist. Det kan handle om at svare på en anmodning, ændre en behandling eller bringe en proces i orden. Et forbud standser en behandling helt eller delvist. Begge dele griber direkte ind i driften, og de skal håndteres som et projekt med ejer, plan og dato.
Følg et påbud til punkt og prikke, og fortæl tilsynet, når det er gennemført, hvis det er det, der bliver bedt om. Undladt efterkommelse af et påbud er selvstændigt strafbart efter § 41, stk. 2. Kan fristen ikke holdes, så skriv til tilsynet, før den løber ud.
Her viser forskellen på rådgivning og udførelse sig. DPO’en kan rådgive om, hvad påbuddet kræver, og kontrollere, at det er gennemført. Selve gennemførelsen ligger hos virksomheden og dens IT.
Kan Datatilsynet give bøder?
I Danmark er hovedvejen til en GDPR-bøde, at Datatilsynet indgiver en politianmeldelse med indstilling om bøde. Sagen behandles derefter af politi og anklagemyndighed og kan ende ved domstolene, som fastsætter bøden efter art. 83, stk. 9. Størrelsen afhænger af den enkelte sag. I 2025 indgav tilsynet 2 sådanne anmeldelser, mens der kom 20.536 nye sager ind samme år. Tallene står i tilsynets årsberetning og viser, at politianmeldelse er en sjælden reaktion. De siger intet om, hvordan en bestemt sag vil ende.
Databeskyttelseslovens § 41 er straffebestemmelsen. Stk. 1 giver bøde eller fængsel indtil 6 måneder for overtrædelse af en række af forordningens artikler, bl.a. art. 5 til 7, 9, 12 til 22, 25 til 39 og 44 til 49. Efter stk. 3 skal art. 83, stk. 2, følges, når straffen fastsættes. Her indgår bl.a. overtrædelsens karakter, alvor og varighed, om den var forsætlig eller uagtsom, hvad virksomheden gjorde for at begrænse skaden, tidligere overtrædelser, samarbejdet med tilsynet og de typer oplysninger, der er berørt. Stk. 6 gør det muligt at straffe juridiske personer, altså selve virksomheden. Forældelsesfristen er 5 år efter stk. 7.
Loven kender også en anden vej. Efter § 42 kan Datatilsynet, hvis en overtrædelse ikke skønnes at medføre højere straf end bøde, tilkendegive i et bødeforelæg, at sagen kan afgøres uden retssag. Det kræver, at den pågældende erklærer sig skyldig og vedtager bøden. Vi har ikke undersøgt, hvor ofte tilsynet bruger den mulighed, så her står kun, at bestemmelsen findes. Får I et bødeforelæg, så tal med en advokat, før I svarer.
Når I er uenige
Der er ingen administrativ klageinstans over Datatilsynet, jf. § 30. De kan indbringes for domstolene, og tilsynets virksomhed hører under Folketingets Ombudsmand. Er I uenige i selve afgørelsen, er det en vurdering, I bør tage med en advokat. Står der faktuelle fejl i den, kan I påpege dem over for tilsynet. Vær opmærksom på, at uenighed ikke i sig selv standser et påbud. Spørg advokaten, hvad der gælder i den konkrete sag.
Når afgørelsen er offentlig
Datatilsynet offentliggør en del afgørelser, ofte uden at virksomheden nævnes ved navn. Hvorvidt jeres navn kommer frem, ved I først, når I læser, hvad tilsynet skriver. Aftal derfor på forhånd, hvem der svarer kunder og medarbejdere. Et kort og faktuelt svar virker bedst: det, der skete, og det, I har rettet. Kommer sagen ind i en kundeforespørgsel, skal svaret passe med det, I har skrevet til tilsynet.
Det, ledelsen skal gøre med afgørelsen
Læs afgørelsen sammen med DPO’en, hvis I har en. Find de konkrete punkter, og skriv dem op som opgaver. Det er nyttigt at spørge, om samme fejl kan findes andre steder. En kritik af en bestemt mail, adgang eller leverandør handler sjældent om det ene tilfælde.
DPO’en bør rapportere status til øverste ledelse, som art. 38, stk. 3, lægger op til, og ledelsen bør notere sin beslutning. Vælger ledelsen at gøre noget andet end det, DPO’en anbefaler, skal begrundelsen stå skrevet, se uenighed mellem ledelse og DPO. Erstatning til den berørte person er et separat spørgsmål efter art. 82 og § 40 og hører ikke under tilsynets reaktioner.
Det gør I nu
Har I en afgørelse, så lav en liste over kravene med ansvarlig og dato i dag, og send den til ledelsen. Har I ingen, så læs to eller tre offentliggjorte afgørelser fra jeres branche på Datatilsynets side. Spørg bagefter, hvad tilsynet ville finde hos jer.
Det skal I lade være med
- At gemme en kritik væk, fordi den ikke kræver noget · det, der gik galt, er der stadig.
- At lade et påbuds frist løbe ud i stilhed · skriv til tilsynet, før den udløber.
- At sætte tal på en mulig bøde ud fra overskrifter · spørgsmålet hører hjemme hos en advokat.
Det skal I kræve af den eksterne
- ☐ En klar gennemgang af, hvad afgørelsen kræver.
- ☐ En prioriteret liste over rettelser, set ud fra risikoen for de berørte.
- ☐ Kontrol af, at rettelserne er gennemført, når I melder dem færdige.
- ☐ Henvisning til advokat, når sagen bliver et spørgsmål om straf eller erstatning.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 38, 58, 82 og 83.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 30, 33, 40, 41 og 42.
- Datatilsynet: Generelt om tilsyn: reaktioner.
- Datatilsynet: Rettigheder og pligter ved tilsyn: domstole og Ombudsmanden.
- Datatilsynet: Årsberetning 2025: antal sager og politianmeldelser.
- Datatilsynet: afgørelse af 25. oktober 2024, j.nr. 2024-31-0529: alvorlig kritik.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sådan fører Datatilsynet tilsyn · Det, tilsynene har fundet hos DPO’er
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
