Bøde-trappen i artikel 83
GDPR har to niveauer af maksimumsbøder:
Niveau 1 (op til 10 millioner euro eller 2 % af global årsomsætning): overtrædelser af de grundlæggende pligter — dokumentation, sikkerhed (art. 32), databehandleraftaler (art. 28), dataregistrering, brudnotifikation (art. 33-34).
Niveau 2 (op til 20 millioner euro eller 4 %): overtrædelser af selve behandlingsprincipperne, rettigheder og lovlig grundlag — behandling uden samtykke eller anden hjemmel, manglende information, overtrædelse af sletteretten.
Maksima er sjælde. Myndighederne skal afpasse efter grovhed, varighed, antal berørte, om det var forsætligt, og samarbejdet under sagen. For små virksomheder ender de fleste sager med en bøde i tusind-kroners-klassen plus en ordre om at rette det — men det er ikke gratis, og offentliggørelsen koster ry.
💶 Største kendte
De historiske topbøder (Meta, Amazon) ligger i hundredmillioner-euro klassen. De rammer platform-modellen — ikke småsites. Men principperne bag dem gælder alle.
🇩🇰 Danske sager
Datatilsynet udstedte kritik og bøder typisk i intervallet 10.000–500.000 kr til private virksomheder — oftest for utilstrækkelig sikkerhed, manglende adgangsstyring og forkert grundlag.
📣 Tilsynskampagner
Koordinerede EU-tilsyn rammer temaer årligt: cloud-tjenester, cookies, brug af AI, dataminejer. Næste kampagne er offentlig i forvejen — følg med og vær foran.
De fejl der faktisk udløser bøder
Gennemgang af kendte sager viser at samme håndfuld fejl går igen — især for mindre virksomheder:
1. Manglende adgangsstyring. Fælles login, tidligere medarbejdere med adgang, ukrypterede mapper. Den hyppigste danske bøde-årsag.
2. Behandling uden grundlag. Markedsføring til kundelistes uden samtykke eller relevans, tracking før samtykke, data brugt til nye formål uden vurdering.
3. Brud ikke anmeldt. 72-timers-reglen (art. 33). At opdage et brud og tie er en separat overtrædelse oven i selve bruddet.
4. Utilstrækkelige DBA'er. Behandling hos leverandører uden artikel 28-aftale.
5. Overovervågning af medarbejdere. Logning og video uden hjemmel — fast tema i nordiske sager.
🍪 Cookies
Ikke-bøde men aktivt håndhævet: myndigheder i hele EU sender påbud om tracking før samtykke. Cookie-banneret er det mest synlige compliance-element på ethvert site.
🔒 Sikkerhed først
Artikel 32 er proportionalt: MFA, opdateringer, backups og adgangsliste. Et lille site kan dokumentere dette på en dag — og undgå den mest almindelige bødekategori.
📝 Dokumentér
En kort behandlingsoversigt (art. 30) og en incidentplan er billig forsikring. Myndigheder møder dokumenteret proportionalitet med lempelige udfald.
Hvad betyder det for webbureauet?
To roller igen: du kan selv blive påbanket for dine egne behandlinger, og du kan trækkes ind i klient-sager som den der byggede og driftede systemet.
Den realistiske plan for et lille bureau:
• Standard-DBA ind og ud, underbehandlerliste, gemte leverandør-DPA'er.
• Adgangsstyringsrutine: per-person konti, MFA, offboarding samme dag.
• Cookie-samtykke korrekt konfigureret på alle klient-sites du driver.
• En side incidentplan der matcher 72-timers-reglen — også for klienters sites.
• Kort art. 30-oversigt over dine egne behandlinger.
Det er en uges arbejde første gang, og derefter vedligeholdelse. Til gengæld kan du svare "ja, dokumenteret" på de sikkerhedsspørgsmål større klienter nu stiller — hvilket i sig selv vinder arbejde.