Der bliver skrevet meget om millionbøder for cookies. Virkeligheden i Danmark er en anden — og mere nuanceret. Ingen dansk virksomhed er blevet politianmeldt for at bryde cookiebekendtgørelsen. Til gengæld er tilsynet reelt, systematisk og stigende. Her er hvad der faktisk sker, trin for trin.
Tallet stammer fra GDPR og gælder overtrædelser af databeskyttelsesforordningen. Det er ikke sanktionsrammen for cookiebekendtgørelsen. Overtrædelse af cookiebekendtgørelsen straffes efter § 5 med bøde — uden en omsætningsbaseret beregningsmodel.
Tilsynsprocessen trin for trin
Digitaliseringsstyrelsens tilsyn er dialogbaseret. Du bliver hørt, før der sker noget, og du får mulighed for at rette op.
1. Tilsynet igangsættes
Enten på baggrund af en borgerklage eller som del af et emnebaseret tilsyn. Styrelsen udvælger emner ud fra en risiko- og væsentlighedsvurdering — antallet af brugere, karakteren af de data der indsamles, om tjenesten retter sig mod sårbare grupper som børn eller ældre, og om emnet har almen interesse.
2. Screening
Styrelsen bruger et program, der åbner hjemmesiden i en browser og scanner tjenesten i 30 sekunder for at registrere, hvilke teknologier der sættes, før brugeren har givet samtykke. Derefter filtreres de teknisk nødvendige teknologier, styrelsen kender, fra. Resultatet bliver et bilag med de teknologier, der ikke burde være der.
3. Høringsbrev
Ved konstaterede mangler sendes et høringsbrev med bilag, herunder et skema du skal udfylde. Fristen er som udgangspunkt 14 dage. Du behøver ikke at have ændret løsningen inden fristen — du kan i stedet svare.
Svarer du ikke, lægger styrelsen til grund, at du er enig i de påtalte mangler, og udsender påbud.
4. Påbud
Er manglerne ikke udbedret ved høringsfristens udløb, udstedes et påbud. Det er en forvaltningsretlig afgørelse, der stiller krav om at rette de konkrete mangler inden for en frist på fire uger.
Anvender du teknologier før samtykke, skal du i denne fase kunne redegøre for, at de er teknisk nødvendige. Alle teknologier skal opdeles efter formål — for eksempel markedsføring eller statistik — og efter funktion.
5. Opfølgning og rykker
Efter påbudsfristen genbesøger styrelsen tjenesten. Er manglerne ikke udbedret, sendes en rykker med ny frist.
6. Politianmeldelse
Rettes manglerne ikke inden rykkerfristen, vil styrelsen — afhængigt af overtrædelsens karakter — politianmelde virksomheden med henblik på at sanktionere med bøde.
Hjemlen bag sanktionen
Digitaliseringsstyrelsen kan ikke selv udstede bøder. Kæden ser sådan ud:
| Led | Bestemmelse |
|---|---|
| Forbuddet | Cookiebekendtgørelsens § 3, stk. 1 |
| Undtagelser | Cookiebekendtgørelsens § 4 |
| Straffen | Cookiebekendtgørelsens § 5: "Med bøde straffes den, der overtræder § 3" |
| Hjemmel til straffen | Telelovens § 81, stk. 2 |
| Klageinstans | Teleklagenævnet, telelovens § 76 |
Hvad tilsynstallene viser
Tallene er offentlige, og de er mere interessante end retorikken:
| År | Tjenester under tilsyn | Afsluttet i høring | Endte i påbud | Overholdt loven efter tilsyn |
|---|---|---|---|---|
| 2024 | 123 (100 sites, 23 apps) | 90 % | 10 % | 100 % |
| 2025 | 146 (131 sites, 15 apps) | 50 % | 11,6 % | 100 % |
Læg mærke til den sidste kolonne. Alle tjenester endte med at overholde loven. Systemet er indrettet til at få folk til at rette ind — ikke til at straffe.
De typiske mangler er de samme år efter år: sporingsteknologi sat før brugeren kan give samtykke, uklassificerede sporingsteknologier, og manglende cookiebanner.
Digitaliseringsstyrelsen undersøgte 200 tilfældigt udvalgte .dk-sider. Samtlige indsamlede data, før brugeren havde givet samtykke. 42,2 % havde uklassificerede cookies, 27,6 % manglede oplysninger i banneret, og 18,1 % havde slet ikke noget banner. 196 af virksomhederne rettede efterfølgende op.
Er der nogensinde faldet en dansk cookiebøde?
Nej — ikke som kan dokumenteres. Der findes ingen offentliggjort dansk bøde, dom eller bødeforlæg for overtrædelse af cookiebekendtgørelsen.
Dansk Erhverv oplyste i september 2023 på baggrund af oplysninger fra Digitaliseringsstyrelsen, at styrelsen indtil da ikke havde politianmeldt nogen virksomheder, fordi alle havde rettet ind efter anvisningerne.
At styrelsen godt politianmelder, når det er nødvendigt, viser andre sager på teleområdet. I marts 2025 politianmeldte styrelsen teleselskabet OiSTER med indstilling til en bøde på 750.000 kr. — dog for brud på persondatasikkerheden i telesektoren, ikke for cookieregler.
Datatilsynets spor: påbud med strafansvar
Datatilsynet håndhæver GDPR-siden og kan give påbud. Tilsynet kan ikke selv udstede administrative bøder — det skal ske ved domstolene efter politianmeldelse og en indstilling til beløb.
Det alvorlige er, hvad der sker, hvis du ignorerer et påbud. Efter databeskyttelseslovens § 41, stk. 2, nr. 4 straffes den, der undlader at efterkomme et påbud fra Datatilsynet, med bøde eller fængsel i op til 6 måneder. Den henvisning står ordret i både GulogGratis- og Jysk Fynske Medier-afgørelserne.
Hvad bøder faktisk ligger på i Danmark
Til kalibrering — ingen af disse er cookiesager, men de viser det danske niveau:
- Arp-Hansen Hotel Group: Østre Landsret idømte i september 2023 en bøde på 1 mio. kr. for ikke at slette omkring 500.000 kundeprofiler efter egne slettefrister
- ILVA: Vestre Landsret idømte i september 2025 en bøde på 1,5 mio. kr. Landsretten forelagde undervejs to præjudicielle spørgsmål for EU-Domstolen, som i februar 2025 fastslog, at "virksomhed" i bødebestemmelserne skal forstås som i konkurrencereglerne — bødens maksimum beregnes altså af hele virksomhedens samlede globale omsætning
- Region Syddanmark: Vestre Landsret idømte i marts 2026 en bøde på 500.000 kr. Regionen havde i over halvandet år ikke sikret mod, at borgere, der selv havde login til en database, kunne ændre URL-adressen og dermed tilgå helbredsoplysninger om cirka 23.000 andre registrerede. Regionen var tiltalt for to forhold og blev frifundet i det ene
Den højeste kendte danske bødeindstilling er Netcompany med mindst 15 mio. kr. Ingen af sagerne på Datatilsynets bødesagsoversigt handler om cookies eller sporing.
Hvad du realistisk risikerer
Sandsynligheden for en bøde er i praksis lav. Det du reelt risikerer er:
- Et høringsbrev med 14 dages frist og et skema, der skal udfyldes teknologi for teknologi
- Arbejdstid til at kortlægge og klassificere alt, hvad der sættes på dit site
- Et påbud med fire ugers frist, hvis du ikke retter op
- Offentlig omtale — Datatilsynets afgørelser offentliggøres med navn
- Ugyldigt samtykke, som betyder at de data du har indsamlet, ikke lovligt kan bruges
Det sidste punkt er det, der oftest overses. Er samtykket ugyldigt, er det ikke kun banneret der er et problem — hele det datagrundlag, du har bygget markedsføring og analyse på, står på et ulovligt fundament.
Kort opsummeret
- Processen er: klage eller emnetilsyn → 30 sekunders scanning → høringsbrev med 14 dages frist → påbud med 4 ugers frist → rykker → politianmeldelse
- Sanktionshjemlen er cookiebekendtgørelsens § 5, ikke GDPR's 4 %
- Ingen dansk cookiebøde er dokumenteret — alle virksomheder har hidtil rettet ind
- 11,6 % af tilsynene i 2025 endte i påbud, og 100 % overholdt loven efter tilsyn
- Ignorerer du et påbud fra Datatilsynet, er strafferammen bøde eller fængsel i op til 6 måneder
- Den reelle risiko er arbejdstid, offentlig omtale og et ugyldigt datagrundlag
Vil du undgå de tre typiske mangler? Start med automatisk blokering før samtykke og korrekt klassificering. Se udbyderne side om side.
Kilder
- Bekendtgørelse nr. 1148 af 9. december 2011, § 3, § 4 og § 5 — retsinformation.dk
- Tilsynsprocessen — digst.dk
- Påbud — digst.dk
- Vores tilsyn — tilsynstal for 2024 og 2025 — digst.dk
- Danske hjemmesider indsamler data uden samtykke, august 2024 — digst.dk
- Digitaliseringsministeren bebuder muligt skærpet tilsyn, september 2023 — danskerhverv.dk
- Bødesager — datatilsynet.dk
- Landsretten giver bøde på 1 mio. kr. til hotelkæde, september 2023 — datatilsynet.dk
- Vestre Landsret har afsagt dom i straffesagen mod ILVA A/S, september 2025 — datatilsynet.dk
- Digitaliseringsstyrelsen politianmelder teleselskabet OiSTER, marts 2025 — digst.dk
