Kraftig økning i personvernsbrudd i Europa – 443 meldinger daglig

I snitt ble det meldt 443 brudd på personopplysningssikkerheten hver dag i perioden 28. januar 2025 til 27. januar 2026, noe som er 22 prosent flere enn året før.

Tallene fremgår av DLA Pipers årlige GDPR Fines and Data Breach Survey, som viser et vedvarende høyt håndhevingsnivå under personvernregelverket i Europa. I samme periode ila europeiske tilsynsmyndigheter virksomheter bøter for om lag EUR 1,2 milliarder, på nivå med året før. Samlet har GDPR-bøtene i Europa nå nådd EUR 7,1 milliarder siden regelverket trådte i kraft i 2018.

Økningen i meldte brudd kommer etter flere år med relativt stabile tall, og må ses i sammenheng med et skjerpet trusselbilde preget av geopolitisk uro, mer avanserte cyberangrep og økt bruk av kunstig intelligens.

Høy rapporteringsfrekvens i Norge
Rapporten viser at Norge har et relativt høyt antall meldte personvernsbrudd sett i forhold til folketallet, sammenlignet med mange andre europeiske land. I perioden 28. januar 2025 til 27. januar 2026 ble det meldt 3 585 brudd i Norge, tilsvarende 65,07 meldinger per 100 000 innbyggere. Samlet er det meldt 19 475 personvernsbrudd siden 2018. Samtidig er det samlede bøtenivået i Norge relativt lavt, med GDPR-bøter på til sammen om lag EUR 11,8 millioner siden regelverket trådte i kraft.

– Tallene i årets rapport viser at norske virksomheter i stor grad etterlever plikten til å melde personvernsbrudd, og at rapporteringsnivået i Norge er høyt sammenlignet med mange andre europeiske land. Samtidig ser vi at Datatilsynet fortsatt prioriterer færre, men mer komplekse og alvorlige saker, noe som bidrar til et relativt lavere samlet bøtenivå, sier Ketil Sellæg Ramberg, partner og advokat i DLA Piper Norway.

– Utviklingen understreker at personvern og informasjonssikkerhet ikke bare er et compliance-spørsmål, men et strategisk ansvar for ledelse og styre. Med et stadig mer krevende trusselbilde og økt regulatorisk oppmerksomhet, må norske virksomheter være forberedt på både flere hendelser og strengere forventninger til hvordan de håndteres, sier Ramberg.

Fortsatt høyt bøtenivå under GDPR
Irland er fortsatt Europas mest aktive håndhever av GDPR. Irish Data Protection Commission har siden 2018 ilagt bøter for totalt EUR 4,04 milliarder, og stod også for den høyeste boten i 2025 – EUR 530 millioner – knyttet til ulovlig overføring av personopplysninger til et tredjeland utenfor EU.

Den høyeste GDPR-boten noensinne er fortsatt boten på EUR 1,2 milliarder ilagt Meta Platforms Ireland Limited i 2023.

Bredere regulatorisk fokus
Selv om de største bøtene fortsatt ilegges teknologiselskaper og sosiale medier-selskaper, viser rapporten at tilsynsmyndighetene i økende grad retter oppmerksomheten mot andre sektorer, blant annet finans, telekom, energi og teknologitjenester. Mangelfulle tekniske og organisatoriske sikkerhetstiltak, manglende åpenhet og ulovlige internasjonale dataoverføringer er blant de mest sentrale bruddene.

Hovedfunn i rapporten

• En ny rapport fra DLA Piper viser en kraftig økning i meldte personvernsbrudd i Europa, med i gjennomsnitt 443 meldinger per dag i perioden 28. januar 2025 til 27. januar 2026 – 22 prosent flere enn året før
• Europeiske tilsynsmyndigheter ila virksomheter GDPR-bøter for om lag EUR 1,2 milliarder i perioden, på nivå med året før
• Samlede GDPR-bøter i Europa har nå nådd EUR 7,1 milliarder siden regelverket trådte i kraft i 2018
• Irish Data Protection Commission er fortsatt Europas mest aktive håndhever, med bøter på totalt EUR 4,04 milliarder siden 2018
• Den høyeste boten i 2025 var EUR 530 millioner, ilagt for brudd på reglene om internasjonal overføring av personopplysninger
• Norge har en høy rapporteringsfrekvens, med 3 585 meldte personvernsbrudd i perioden og 65,07 meldinger per 100 000 innbyggere, samtidig som det samlede bøtenivået er relativt lavt
• Selv om de største bøtene fortsatt ilegges teknologiselskaper og sosiale medier-selskaper, viser rapporten et bredere regulatorisk fokus mot blant annet finans, telekom, energi og teknologitjenester
• Boten på EUR 1,2 milliarder mot Meta Platforms Ireland Limited i 2023 er fortsatt den høyeste som er ilagt under GDPR
  
  

Metode og datagrunnlag

Tallene i rapporten bygger på offentlig tilgjengelige data fra europeiske personvernmyndigheter. Ikke alle land publiserer fullstendig statistikk over meldte personvernsbrudd, og enkelte har kun levert data for deler av perioden som er analysert. Der fullstendige tall ikke foreligger, er data ekstrapolert basert på gjennomsnittlige daglige meldinger frem til 27. januar 2026.

I noen tilfeller kan rapporterte brudd knytte seg til regelverket før GDPR trådte i kraft. Endringer i hvordan personvernsbrudd registreres og rapporteres i enkelte land kan også påvirke sammenlignbarheten med tidligere år.