En gdpr klage indgives digitalt til Datatilsynet via klage.datatilsynet.dk med MitID, og det koster ikke noget. Du kan klage, hvis en virksomhed eller myndighed har brudt persondataforordningen – for eksempel ved at ignorere din indsigtsanmodning. Sagsbehandlingstiden var i 2024 gennemsnitligt 69 dage for klagesager, men komplekse sager kan tage betydeligt længere.
Log på klage.datatilsynet.dk med MitID, beskriv kort hvad der er sket, og vedhæft dokumentation som mails, screenshots eller kvitteringer, hvis du har dem. Du behøver ikke advokat, og du skal ikke betale et gebyr – Datatilsynet er en offentlig tilsynsmyndighed, ikke en domstol. Mange danskere tror fejlagtigt, at en klage automatisk giver erstatning, men det er ikke tilfældet: Datatilsynet fører tilsyn og kan pålægge bøder, men personlig erstatning skal du søge et andet sted. Denne guide gennemgår, hvordan du klager korrekt, hvad Datatilsynet kan gøre for dig, og hvad du gør, hvis du vil have penge for din skade.
Sådan indgiver du en gdpr klage til Datatilsynet
Klagen indgives digitalt via Datatilsynets klageportal, og hele processen tager typisk 10-15 minutter at gennemføre, hvis du allerede har din dokumentation klar.
- Gå ind på klage.datatilsynet.dk og log på med MitID.
- Angiv navn og kontaktoplysninger på den virksomhed eller myndighed, du klager over.
- Beskriv konkret, hvad der er sket, og hvornår det skete – jo mere præcist, desto hurtigere kan sagsbehandleren vurdere sagen.
- Vedhæft dokumentation: e-mails, skærmbilleder, afvisningsbreve eller korrespondance med den indklagede part.
- Angiv, om du tidligere har henvendt dig direkte til virksomheden om problemet, og hvad svaret var.
- Indsend klagen. Du modtager en kvittering og et sagsnummer, du kan bruge til opfølgning.
Hvornår kan du klage over brud på dine persondata?
Du kan indgive en gdpr klage i mange forskellige situationer, men de mest almindelige klagegrunde hos Datatilsynet handler om manglende svar, ulovlig videregivelse eller overvågning uden hjemmel.
- Virksomheden har ikke svaret på din indsigtsanmodning inden for fristen på en måned.
- Du har fået afslag på indsigt, sletning eller berigtigelse uden en saglig begrundelse.
- Dine oplysninger er lækket ved et sikkerhedsbrud, og du er ikke blevet underrettet.
- Du modtager markedsføring på mail eller sms, selvom du aldrig har givet samtykke.
- En arbejdsgiver, udlejer eller forening overvåger eller registrerer dig uden lovligt grundlag.
- Dine oplysninger er videregivet til en tredjepart, uden at du er blevet informeret.
Hvad Datatilsynet kan og ikke kan gøre for dig
Datatilsynet er en tilsynsmyndighed, og dens vigtigste opgave er at sikre, at virksomheder og myndigheder overholder databeskyttelsesloven og GDPR-forordningen – ikke at tilkende dig penge. Tilsynet kan give påbud, offentlig kritik eller pålægge bøder på op til 20 millioner euro eller 4 procent af virksomhedens globale årsomsætning, alt efter hvad der er højest. I praksis rammer de største bøder store virksomheder med systematiske overtrædelser, mens mindre sager typisk ender med et påbud om at rette op på praksis.
Det vigtige at vide er, at Datatilsynet ikke kan tvinge en virksomhed til at betale dig erstatning. Hvis du har lidt et økonomisk tab eller en dokumenteret ikke-økonomisk skade – for eksempel angst efter et alvorligt datalæk – skal kravet rejses efter GDPR-forordningens artikel 82 ved domstolene, eventuelt med bistand fra en advokat eller via fri proces, hvis din økonomi berettiger dertil.
| Sagstype | Typisk sagsbehandlingstid | Hvad Datatilsynet kan gøre |
|---|---|---|
| Simpel klage (manglende svar på anmodning) | 2-4 måneder | Påbud om at besvare anmodningen |
| Datalæk hos en virksomhed | 4-8 måneder | Kritik, påbud eller bøde |
| Systematisk overtrædelse (fx ulovlig markedsføring) | 6-12 måneder | Bøde og offentliggjort afgørelse |
| Krav om personlig erstatning | Behandles ikke af Datatilsynet | Skal rejses ved domstolene, jf. GDPR art. 82 |
5 fejl der forsinker eller afviser din klage
- Klagen mangler konkret dokumentation – en påstand uden beviser er sværere at behandle.
- Du har ikke forsøgt at kontakte virksomheden direkte først, hvilket kan forlænge sagen unødigt.
- Klagen forveksler Datatilsynets kompetence med domstolenes – du beder om erstatning, som tilsynet ikke kan give.
- Beskrivelsen er for generel til, at sagsbehandleren kan identificere den konkrete overtrædelse.
- Du venter for længe med at klage, så beviser som mails og logfiler ikke længere er tilgængelige.
Regneeksempel: Sofie klager over uønsket nyhedsbrev
Sofie fra Odense modtager i flere måneder markedsføringsmails fra en webshop, hun aldrig har handlet hos. Hun beder skriftligt om at blive slettet fra listen, men mailene fortsætter. Hun indgiver en gdpr klage via klage.datatilsynet.dk med skærmbilleder af mailene og sin afmeldingsanmodning som dokumentation. Efter cirka 3 måneder får hun besked om, at Datatilsynet har givet virksomheden et påbud om at stoppe markedsføringen og dokumentere sit samtykkegrundlag fremover. Sofie får ingen erstatning fra sagen, men slipper for mailene – og virksomheden risikerer en bøde, hvis mønsteret gentager sig med andre kunder.
Hvad hvis du vil have erstatning, ikke kun en påtale?
Hvis din sag handler om et konkret tab – for eksempel identitetstyveri efter et datalæk – bør du overveje at rejse et separat erstatningskrav ved domstolene sideløbende med din klage til Datatilsynet. De to spor supplerer hinanden: Datatilsynets afgørelse kan bruges som dokumentation i en efterfølgende retssag, men den er ikke en forudsætning for at anlægge sag. Har du forsikring med retshjælpsdækning, kan den ofte dække udgifterne til advokatbistand i en sådan sag – tjek din retshjælpsforsikring, før du går videre.
Klage over en datalæk: hvad har du krav på at vide?
Har en virksomhed mistet kontrollen over dine data – for eksempel ved et hackerangreb eller en fejlsendt fil med kundelister – har den pligt til at anmelde bruddet til Datatilsynet senest 72 timer efter, den blev opmærksom på det. Vurderer virksomheden, at bruddet indebærer høj risiko for dine rettigheder, for eksempel ved lækket CPR-nummer eller helbredsoplysninger, skal den desuden underrette dig direkte og uden unødig forsinkelse. Modtager du aldrig en sådan underretning, selvom du senere hører om lækket – for eksempel gennem medierne – er det i sig selv en god grund til at indgive en gdpr klage, da manglende underretning er en selvstændig overtrædelse af reglerne.
Sådan følger du op, mens sagen behandles
Når du har indsendt din klage, får du et sagsnummer, du kan bruge til at følge op skriftligt, hvis der går flere måneder uden nyt. Datatilsynet kontakter typisk både dig og den indklagede virksomhed undervejs for at indhente supplerende oplysninger – svarer virksomheden ikke inden for den fastsatte frist, kan det i sig selv skærpe sagens alvor. Vær opmærksom på, at Datatilsynet ikke oplyser dig om alle interne overvejelser undervejs, men du har krav på at få den endelige, begrundede afgørelse tilsendt, uanset om klagen giver medhold eller afvises.
Klage over en offentlig myndighed frem for en privat virksomhed
Reglerne gælder på samme måde, uanset om du klager over en privat webshop eller en kommune, et jobcenter eller en anden offentlig myndighed. I praksis ser Datatilsynet dog ofte strengere på sager, hvor en myndighed har videregivet følsomme oplysninger uden hjemmel, netop fordi borgere sjældent har mulighed for at fravælge kontakten med det offentlige. Handler din sag i virkeligheden om selve den kommunale afgørelse – ikke om databehandlingen bag den – hører den snarere under vores guide om klage over kommunen.
Sådan vurderer Datatilsynet størrelsen på en eventuel bøde
Bødeniveauet fastsættes ikke tilfældigt. Datatilsynet lægger blandt andet vægt på overtrædelsens karakter og varighed, om den var forsætlig eller uagtsom, hvor mange personer der er berørt, og om virksomheden tidligere har fået kritik for lignende forhold. En virksomhed, der handler hurtigt for at begrænse skaden – for eksempel ved straks at lukke et sikkerhedshul og informere de berørte – kan opnå en mildere reaktion end en virksomhed, der har ignoreret gentagne advarsler. Det er dog i sidste ende domstolene, der endeligt fastsætter bødens størrelse i de sager, hvor Datatilsynet indstiller til bødeforlæg, da Danmark – i modsætning til de fleste andre EU-lande – har valgt en model, hvor tilsynsmyndigheden ikke selv kan udstede bøder direkte til virksomheder.
Klage over cookies og sporing på hjemmesider
En stadig større andel af klagerne til Datatilsynet handler ikke om klassisk datalæk, men om ulovlig brug af cookies og tracking på hjemmesider – for eksempel når en hjemmeside indsamler samtykke til markedsføringscookies på en måde, hvor «nej tak» er sværere at finde eller klikke på end «ja tak». Denne type sager behandles i praksis ofte i samarbejde mellem Datatilsynet og Forbrugerombudsmanden, fordi de også kan udgøre vildledende markedsføring efter markedsføringsloven. Vil du klage over en konkret hjemmesides cookiebanner, kan det derfor være relevant at overveje, om sagen også bør anmeldes til Konkurrence- og Forbrugerstyrelsen samtidig med din gdpr klage til Datatilsynet.
Ofte stillede spørgsmål
Koster det noget at klage til Datatilsynet?
Nej, det er gratis at indgive en gdpr klage til Datatilsynet, uanset om klagen fører til en afgørelse eller bliver afvist. Du skal ikke betale for sagsbehandlingen, og du behøver ikke advokat for at klage. Det gælder også, hvis du senere vælger at trække klagen tilbage undervejs i forløbet.
Hvor lang tid har jeg til at klage?
Der er ingen fast lovbestemt frist, men du bør klage uden unødig forsinkelse, mens dokumentationen stadig er tilgængelig. Vent du flere år, kan sagen være svær at oplyse tilstrækkeligt, fordi mails slettes, medarbejdere skifter job, og systemlogfiler typisk kun opbevares i en begrænset periode.
Kan jeg klage anonymt?
Nej, Datatilsynet skal kunne identificere dig for at behandle sagen og eventuelt kontakte dig undervejs. Din identitet videregives dog ikke automatisk til den indklagede virksomhed.
Hvad sker der, hvis Datatilsynet afviser min klage?
Du får en begrundet afgørelse. Er du uenig, kan afgørelsen som udgangspunkt ikke ankes administrativt, men du kan i visse tilfælde indbringe sagen for domstolene.
Kan en virksomhed straffe mig for at klage til Datatilsynet?
Nej. Det er ulovligt at udsætte dig for repressalier, fordi du har udnyttet din ret til at klage. Sker det alligevel – for eksempel en opsigelse med tydelig sammenhæng til klagen – kan det rejse en selvstændig sag, uafhængigt af udfaldet af den oprindelige gdpr klage.
Skal jeg først klage til virksomheden selv?
Det er ikke et krav, men det anbefales. En dokumenteret henvendelse til virksomheden styrker din klage og viser, at du har givet parten mulighed for at rette op, før du inddrager Datatilsynet.
Kan jeg klage over en udenlandsk virksomhed, der behandler mine data?
Ja, hvis virksomheden retter sig mod danske forbrugere eller behandler data om personer i Danmark, er den omfattet af GDPR, og du kan klage til Datatilsynet, uanset hvor virksomheden har hovedsæde. Datatilsynet samarbejder med søstermyndigheder i andre EU-lande gennem en fælles mekanisme, hvis sagen involverer flere lande på tværs af grænserne.
Handler din sag om at få indsigt i, hvilke data en virksomhed ligger inde med om dig, kan du læse mere om indsigt i egne persondata. Har du i stedet en almindelig forbrugerklage uden persondata involveret, hører den snarere hjemme hos Konkurrence- og Forbrugerstyrelsen. Se også vores samlede oversigt over retssystem, klage og forbrugerret, hvor du finder guides til beslægtede emner som forbrugerklager og retshjælp.