Datatilsynets praksis: afgørelser, der ændrede danske hjemmesider

Kort svar: Datatilsynets og de europæiske tilsyns praksis har på få år ændret, hvordan danske hjemmesider håndterer samtykke, tracking og tredjepartskald. Afgørelser om samtykkebannere, cookie walls, analyseværktøjer efter Schrems II, eksterne fonte, sletning og databrud har hver især defineret, hvad god praksis betyder i dag. Du behøver ikke læse afgørelserne selv, men du bør kende mønstrene: tracking før samtykke, ukendte tredjelandsoverførsler og data uden sletterutine er de klassiske sager – og alle tre kan forebygges med faste rutiner.

Fagligt gennemgået: 2. oktober 2026

Lovtekst fortæller, hvad man skal; afgørelser fortæller, hvad der faktisk håndhæves. Her er de praksislinjer, der har formet danske hjemmesiders hverdag – med konkrete, offentliggjorte eksempler – så du kan tjekke dit eget site mod dem på en eftermiddag.

Vigtigt: Guiden er mønstergenkendelse, ikke juridisk rådgivning. Praksis udvikler sig løbende, så slå konkrete afgørelser op hos Datatilsynet, og få rådgivning, hvis du står i en konkret sag.

Sådan virker tilsynets afgørelser

Datatilsynet kan bl.a. udtale kritik eller alvorlig kritik, give påbud og forbud – og i alvorlige sager indstille en virksomhed til bøde. I Danmark kan tilsynet ikke selv udstede bøder: Det politianmelder sagen med en indstilling, og bøden pålægges derefter ved et bødeforelæg, som virksomheden kan vedtage, eller af domstolene.

Mange sager starter med en enkelt klage fra en borger, andre med et anmeldt databrud eller et af tilsynets egne tilsyn. Afgørelserne offentliggøres på datatilsynet.dk under afgørelser, hvor du kan søge efter emne.

Samtykkesagerne

Mønsteret: tracking og cookies sat før samtykke, afvisningsmuligheder gemt væk og samtykke, der ikke reelt var frivilligt eller informeret.

Eksempler fra Datatilsynet:

• DMI (februar 2020): Alvorlig kritik af samtykkeløsningen på dmi.dk. Brugerne kunne ikke lige så let afvise som acceptere, og de fik ikke tilstrækkelig klar information om, hvilke tredjeparter der modtog data. Samtidig udgav tilsynet en vejledning om behandling af personoplysninger om hjemmesidebesøgende.
• Den Blå Avis (februar 2022): Alvorlig kritik – hverken den tidligere eller den nuværende samtykkeløsning levede op til kravene til samtykke.
• JP/Politiken, eb.dk (oktober 2022): Alvorlig kritik af samtykkeløsningen.

Læringen: „Informér og fortsæt“ er ikke samtykke, afvis skal være lige så let som accept, og manipulerende design tæller imod. Kør bannertesten – privat vindue, afvis alt, tjek netværksfanen – efter hver ændring. Det er præcis den test, en klager også kan køre.

Cookie walls: hvornår er „betal eller accepter“ i orden?

I februar 2023 traf Datatilsynet afgørelser om cookie walls hos Gul og Gratis og Jysk Fynske Medier. Ifølge tilsynet kan en cookie wall være lovlig, når der er et reelt alternativ til samtykke i form af adgang mod betaling, når prisen ikke er urimeligt høj, og når den betalte adgang i vid udstrækning svarer til den, man får ved at give samtykke. Behandling til statistik skal enten være nødvendig for det betalte alternativ eller have sit eget samtykke.

Læringen: Selv en løsning, der som udgangspunkt kan være lovlig, skal designes præcist. Bland ikke formål sammen i ét samtykke.

Overførselssagerne

Efter Schrems II fulgte en række europæiske sager om analyseværktøjer. Datatilsynet omtalte i januar 2022 det østrigske datatilsyns afgørelse om Google Analytics, og i juli 2023 understregede tilsynet, at EU-USA-dataaftalen ikke i sig selv gør brugen lovlig: Grundlag, databehandleraftale og de registreredes rettigheder skal stadig være på plads.

Fonte er det andet klassiske eksempel. En tysk domstol (Landgericht München I) gav i januar 2022 en besøgende erstatning, fordi et website havde sendt hans IP-adresse til Google via dynamisk indlæste Google Fonts uden grundlag.

Læringen: Fællesnævneren er data, der rejste, uden at ejeren vidste det eller kunne begrunde det. Kend dine datastrømme (kortlægningen), luk de unødvendige (selvhostede fonte, selvhostet måling), og dokumentér grundlaget for resten (DPF eller standardkontraktbestemmelser).

Når det bliver til en bødeindstilling

I oktober 2023 indstillede Datatilsynet Texas Andreas Petersen A/S til en bøde på mindst 200.000 kr. Ifølge tilsynet havde virksomheden indsamlet og videregivet personoplysninger om besøgende på sin hjemmeside via cookies, der sendte data til Google og Meta, uden et lovligt grundlag. En indstilling er ikke en endelig bøde – den pålægges først ved et vedtaget bødeforelæg eller en dom.

Læringen: Tracking-pixels og marketingcookies er ikke kun et cookiespørgsmål – de er en videregivelse af persondata, der kræver grundlag. Sagen viser også, at web-sager kan ende som bødesager, ikke kun som kritik.

Dataminimering og sletning

Tilsynet har gentagne gange forholdt sig til data, der bare lå: gamle kundedata uden sletterutine, oplysninger, der ikke blev slettet efter tilbagetrækning af samtykke, og ansøgninger efter afsluttede rekrutteringer.

I to afgørelser fra 2021 om rekruttering accepterede tilsynet forskellige opbevaringsfrister, fordi de var begrundet i, hvor længe det var nødvendigt at dokumentere et korrekt rekrutteringsforløb. Pointen er ikke et bestemt tal, men at der findes en begrundet frist.

Læringen står i formular-guiden og kundedata-guiden: konkrete frister pr. datatype, automatisk håndhævelse – og forsigtighed med fritekstfelter, hvor folk skriver oplysninger, ingen har bedt om. „Så længe det er nødvendigt“ uden tal er ikke en sletteplan.

Databrud og sikkerhed

Brudsager – lækkede lister, åbne databaser, mails til forkerte modtagere – vurderes typisk på to akser:

1. Var sikkerheden passende? Opdateringer, adgangsstyring og kryptering – altså sikkerheds-hubbens grundrutiner.
2. Blev bruddet håndteret? GDPR kræver som udgangspunkt anmeldelse til Datatilsynet inden 72 timer, efter at man er blevet opmærksom på et brud, og i visse tilfælde underretning af de berørte – jf. guiden om henvendelser fra myndigheder.

Et beredskab, der er på plads før bruddet, gør det langt lettere at overholde fristen og at dokumentere, at I handlede ordentligt.

Tjek dit site mod mønstrene

Eftermiddagsøvelsen:

1. Bannertesten: privat vindue, afvis alt.
2. Netværksfanen: Hvilke eksterne kald sker før samtykke – fonte, analyse, pixels, videoer?
3. Sletterutiner: Findes der frister, og kører automatikken?
4. Fritekstfelter: Hvilke har I, og hvad ender der reelt i dem?
5. Beredskab: Kan I anmelde et brud inden 72 timer med den viden, I har i dag?

Hullerne, du finder, har alle en guide i lovkravs-hubben eller i datasuverænitets-hubben. Det er pointen med at læse praksis: Den er en gratis revisionsliste fra dem, der håndhæver.

Læs afgørelser som ejer – ikke som jurist

Det betaler sig at læse en håndfuld afgørelser om året med ejerens briller. Spring juraen over, og find tre ting i hver sag: Hvad gjorde virksomheden – eller glemte den? Hvordan kom sagen i gang – klage, brud eller tilsyn? Og hvilken aftale, indstilling eller rutine ville have gjort sagen udramatisk?

Gør det til en fast vane: Følg Datatilsynets nyheder, skim de overskrifter, der ligner jeres virkelighed (hjemmesider, webshops, nyhedsbreve), og tag én ting med hjem hver gang. Del gerne læringen med én linje på næste teammøde – „tilsynet har lige afgjort en sag om X, vi gør sådan her“.

Læs også

• Hub: Datasuverænitet: dine data i Danmark og EU
• Cookiebanner efter reglerne
• Klage fra Datatilsynet eller Forbrugerombudsmanden
• Google Fonts, CDN’er og persondata
• GDPR i formularer
• Webhotel hos Hostious – dansk virksomhed med servere i Europa og dansk support døgnet rundt

Ofte stillede spørgsmål om Datatilsynets praksis

Hvor finder jeg Datatilsynets afgørelser?

På datatilsynet.dk under afgørelser, hvor du kan søge efter emne. De web-relaterede linjer er sammenfattet som mønstre i denne guide.

Rammer sagerne også små virksomheder?

Ja. Mange sager starter med én klage over én hjemmeside. Størrelse beskytter ikke; orden gør.

Hvad er det hyppigste mønster i web-sagerne?

Tracking og tredjepartskald før samtykke – og dataoverførsler, ejeren ikke kendte. Begge afsløres af den samme simple test: privat vindue, afvis alt, læs netværksfanen.

Kan Datatilsynet selv give bøder?

Nej, ikke i Danmark. Tilsynet kan selv udtale kritik og give påbud, men bøder kræver en politianmeldelse med indstilling, hvorefter bøden pålægges ved et vedtaget bødeforelæg eller af domstolene.