Bøtene i henhold til personvernforordningen fortsetter å øke ettersom europeiske regulatorer skjerper sin respons på datahendelser. Ifølge GDPR Enforcement Tracker pådro firmaer seg over 330 bøter i 2025. Advokatfirmaet DLA Piper hevder at de totalt beløp seg til 1.2 milliarder euro.

Sosialemediefirmaet TikTok ble rammet av den største GDPR-boten i 2025. Boten på 530 millioner euro, som ble utstedt i Irland, gjaldt deling av europeiske brukerdata med ansatte i Kina. I fjor opprettholdt også Luxembourgs datatilsynsmyndighet en GDPR-bot på 746 millioner euro fra 2021 mot Amazon etter at de samlet inn brukerdata for reklameformål uten brukerens samtykke. En anke fra Amazon ble avvist, noe som tyder på at europeiske personverntilsyn tar håndhevingen av GDPR på alvor.

Den fortsatte utbredelsen av GDPR-bøter kan tilskrives en rekordøkning i varsler om datainnbrudd, som firmaer må utstede innen 72 timer etter en datahendelse. DLA Piper fant at i 2025 nådde disse varslene 400 per dag for første gang siden GDPR ble implementert i 2018. Mellom januar 2024 og januar 2026 toppet de 443 – en økning på 22 % fra 363. DLA Piper tilskriver dette hacking drevet av global geopolitisk ustabilitet, økt pressedekning av nettkriminalitet og fremveksten av lover og regler om datainnbrudd som pålegger varsling av hendelser.

Det er tydelig at datatilsynsmyndighetene ikke er forberedt på å ignorere brudd på GDPR nå som loven har vært på plass i åtte år. Men hva kan de gjøre for å overholde regelverket, siden data er livsnerven i moderne organisasjoner, og GDPR-bøter ikke bare utgjør en økonomisk risiko, men også en større skade for bedrifter?

Regulatorer strammer ned

En viktig årsak til den nylige bølgen av GDPR-bøter er at regulatorer mener at bedrifter har hatt mer enn nok tid til å forstå loven og sette den ut i livet, ifølge Lucas von Stockhausen, administrerende direktør for sikkerhetsteknikk hos applikasjonssikkerhetsfirmaet Black Duck.

Han forteller IO at personvernmyndighetene har fått nok av unnskyldninger brukt av firmaer som ikke overholder regelverket, og nå fokuserer på å holde dem ansvarlige. Å ignorere dette kan føre til «betydelige straffer» for selskaper, der regulatorer kan bøtelegge selskaper på opptil 20 millioner euro eller 4 % av den globale årlige omsetningen for de verste bruddene.

Til tross for at regulatorer fortsetter å slå ned på brudd på GDPR ved å utstede bøter, er mange bedrifter fortsatt uvitende om dette. Jake Moore, global rådgiver for cybersikkerhet hos antivirusprogramvareprodusenten ESET, sier at databeskyttelse er en «avkrysningsboksøvelse» for mange organisasjoner – når det faktisk burde være integrert i alle områder av en moderne virksomhet.

Han sier at dette resulterer i «svake tilgangskontroller» og manglende evne til å huske plasseringen av sensitive data. Følgelig kan data lett havne i hendene på uautoriserte parter, og hvis bedrifter er usikre på hvor de lagret en bestemt del av data, vil de ha problemer med å oppfylle forespørsler om datasletting. Disse problemene setter bedrifter i fare for GDPR-bøter.

Men manglende overholdelse av GDPR setter ikke bare bedrifter i fare for kostbare bøter – det kan skade alle aspekter av et selskaps drift. Jo Brianti, en spesialist på databeskyttelse, sier at oppryddingsarbeid kan føre til «driftsforstyrrelser» når ledere må bruke allerede strakte tidsplaner på oppryddingsarbeid. Ledere kan til og med bli ansvarlige for bøter selv hvis de visste om GDPR-feil og ikke grep inn, legger hun til.

Hun sier at det å neglisjere GDPR også kan skade bedrifters omdømme, utsette dem for kostbare søksmål anlagt av berørte kunder, gjøre det vanskeligere for bedrifter å operere i forskjellige markeder ved å forstyrre «plattformforpliktelser og grenseoverskridende dataflyt» og dukke opp i due diligence-rapporter, noe som fører til tap av salg og andre forretningsmuligheter.

AI endrer spillefeltet

Den økende bruken av kunstig intelligens-teknologi i bedrifter bidrar også til økende GDPR-bøter. Ettersom AI trenes på store datasett for å fungere og forbedres over tid, er risikoen for datalekkasjer og påfølgende regulatoriske tiltak betydelig.

Og fordi mange bedrifter bruker AI-systemer utviklet av tredjeparts teknologileverandører, har de ikke alltid kontroll over hvordan dataene de legger inn i disse applikasjonene lagres og beskyttes. Ifølge von Stockhausen fra Black Duck betyr dette at det er en reell risiko for utilsiktet dataeksponering og påfølgende håndheving av GDPR.

Han sier til IO: «Effektivitetsgevinstene kan være enorme, men fra et GDPR-perspektiv er den sentrale risikoen tydelig: organisasjoner må kunne garantere at AI-resultater ikke avslører personopplysninger.»

Når det gjelder å sikre AI-systemer og dataene de er avhengige av, forventes det ikke bare at bedrifter følger GDPR-retningslinjene. Det finnes også et voksende lovgivningslandskap dedikert til AI. Det er enkelt for bedrifter å behandle GDPR og AI-samsvar som separate enheter, men dette kan virke kontraintuitivt.

ESETs Moore forklarer at fordi databeskyttelse og AI-styring bruker identiske datasett, er det bedre for bedrifter å «behandle dem som én sammenhengende disiplin med tydelig eierskap». Dette kan føre til forenklede arbeidsmengder og ingen dobbeltarbeid, noe som gjør det mindre sannsynlig at ansatte forsømmer data. Moore sier at det kan føre til færre bøter for bedrifter.

Brianti er en annen sterk tilhenger av en samlet tilnærming til data- og IT-styring, og forklarer at regulatorer nå «konvergerer GDPR med en bredere digital pakke». Hun bruker EUs lov om digitale tjenester og digitale markeder, samt oppdateringer av eksisterende data- og AI-relaterte lover som eksempler.

Ifølge Brianti kan manglende overholdelse av noen av disse lovene føre til «ringvirkninger på tvers av flere regulatoriske rammeverk». Hun forteller IO: «Dette gjør GDPR fra en juridisk silo til en strategisk risiko som påvirker selskapsstyring, investorenes risikoprofiler, due diligence ved oppkjøp og omdømmehåndtering.»

Å få riktig samsvar

Etter hvert som regulatorer fortsetter å håndheve GDPR, sier von Stockhausen fra Black Duck at deres primære forventning er at bedrifter har implementert en «tydelig» strategi for personvern som forklarer årsakene bak innsamling av personopplysninger, om dataene faktisk er nødvendige, og deres metoder for datalagring og beskyttelse.

«Regulatorer ser etter selskaper som håndterer personopplysninger bevisst, ansvarlig og med en klar forståelse av risikoene», sier han. «De som ikke gjør det, blir i økende grad gransket.»

Men han sier at den viktigste måten å overholde GDPR på er å være konstant årvåken når det gjelder personvern og sikkerhetsrisikoer. For å gjøre dette, sier han at bedrifter må håndheve «påviselige sikkerhetstiltak», kontinuerlig overvåke truslene som utgjøres av nye teknologier og tilpasse eksisterende strategier for personvern deretter.

For bedrifter som er usikre på hvor de skal begynne, anbefaler Brianti å integrere beste praksis som er beskrevet i profesjonelle standarder og rammeverk i daglige prosesser for å oppfylle regulatoriske krav som GDPR. Hun sier at ISO 27001 er flott for håndtering av informasjonssikkerhetsrelaterte problemer og ISO 27701 for personvern. Cyber ​​Essentials og NIST 800-53 er to av hennes toppvalg.

Andre anbefalinger fra Brianti for å sikre samsvar med GDPR inkluderer: logging av plasseringen av personopplysninger og måten de behandles på i en inventarliste; innføring av prinsipper for personvern gjennom design slik at produkter alltid er datasikre; definering av roller og ansvar knyttet til databeskyttelse; opplæring av ansatte i viktigheten av databeskyttelse; dokumentering av alle beslutninger som tas om databeskyttelse; avgjørelse av datarisikoer gjennom konsekvensanalyser; lagring av disse vurderingene og alt relatert til data i ett enkelt miljø; og sikring av at alle hendelsesresponsaktiviteter er samordnet.

Det er lett å tenke på manglende samsvar med GDPR som bare å betale en bot og gå videre. Men det er bare ønsketenkning. Håndheving av GDPR kan være et stort slag for forretningsdrift og vekst. Derfor bør det behandles som en strategisk prioritet, snarere enn en avkrysningsøvelse bare for å glede byråkrater. Og når samsvar med GDPR er i tråd med andre IT-relaterte styringsaktiviteter, kan bedrifter være trygge på at de vil holde regulatorer fornøyde og beskytte seg mot et raskt skiftende cybertrussellandskap.