Fra 1. september 2026 vil organisationer, der får bøder for GDPR-overtrædelser i Holland, ikke længere kunne holde deres navn ude af overskrifterne. En ny lovbestemmelse, artikel 21b, vil kræve, at den hollandske datatilsynsmyndighed (Autoriteit Persoonsgegevens, eller AP) offentliggør sanktioner sammen med navnet på den organisation, der straffes. Det, der engang var en skønsmæssig praksis, bliver nu en juridisk forpligtelse, og den ændring har reelle konsekvenser for, hvordan virksomheder, foreninger og eventarrangører håndterer personoplysninger.

Hvad artikel 21b faktisk ændrer

Under det nuværende system har den hollandske datatilsynsmyndighed fleksibilitet i, hvordan den offentliggør håndhævelsessager. Bøder og korrigerende foranstaltninger offentliggøres nogle gange, nogle gange opsummeres uden at nævne overtræderen, og nogle gange udelades helt fra offentlig kommunikation. Artikel 21b fjerner den skønsmæssighed. Når reglen træder i kraft, vil AP være forpligtet til at nævne den sanktionerede part, hver gang den udsteder en GDPR-straf.

Dette er en markant afvigelse fra, hvordan håndhævelse af privatsfære typisk har fungeret i Holland. Bøder har altid været en økonomisk risiko, men fra september 2026 bliver de også en garanteret omdømmemæssig begivenhed. En offentliggjort sanktion med en virksomheds navn på er søgbar, delelig og permanent på en måde, som en stille økonomisk straf aldrig var. For organisationer, der er afhængige af offentlig tillid, kunderelationer eller partnerskaber med større institutioner, kan den synlighed betyde lige så meget som selve bøden.

Det er værd at bemærke, at denne udvikling er specifik for Holland og for GDPR-håndhævelsesmekanismer snarere end en ændring af selve indholdet af forordningen. Reglerne om, hvad der tæller som en overtrædelse, lovlige grundlag for behandling af data eller frister for anmeldelse af brud, ændrer sig ikke. Det, der ændrer sig, er gennemsigtigheden omkring, hvem der bliver fanget og straffet, og hvor synligt det bliver for offentligheden, for konkurrenter og for potentielle kunder, der laver due diligence.

Hvorfor eventarrangører skal være opmærksomme nu

Kildeartiklen om denne ændring peger specifikt på eventarrangører som en gruppe, der bør få styr på tingene, før reglen træder i kraft. Det giver mening: Events indsamler rutinemæssigt deltagerdata gennem registreringsformularer, billetplatforme, lead-capture-værktøjer til sponsorer og marketinglister. Hvert af disse berøringspunkter er en potentiel kilde til GDPR-eksponering, hvad enten det er gennem utilstrækkeligt samtykkesprog, uklare politikker for dataopbevaring eller tredjepartsleverandører, der håndterer data uden passende aftaler.

Indtil nu kunne en arrangør, der ikke levede op til GDPR-kravene, måske absorbere en bøde i stilhed. Efter september 2026 vil den samme arrangørs navn blive offentligt knyttet til overtrædelsen, synligt for fremtidige deltagere, udstillere og sponsorer, der vurderer, om de vil samarbejde igen. For en branche bygget på gentagne forretninger og omdømme er det en anden slags risikoberegning.

Praktisk oprydning før deadline inkluderer at gennemgå registrerings- og billetformularer for klart samtykkesprog, revidere hvilke data der indsamles og hvorfor, bekræfte at dataebehandlingsaftaler med billetplatforme og marketingværktøjer er opdaterede, og kontrollere at opbevaringsperioder for data faktisk bliver overholdt snarere end bare dokumenteret. Intet af dette kræver en juridisk eftersyn, men det kræver, at nogen faktisk tjekker i stedet for at antage, at overholdelse er på plads.

Et mønster af deadlines på tværs af databeskyttelsesregimer

Holland er ikke alene om at stramme håndhævelsessynligheden omkring en bestemt dato. Tilsynsmyndigheder i andre jurisdiktioner har sat lignende overholdelsesdeadlines, som organisationer arbejder imod. Zimbabwe's telekommunikationsregulator har for eksempel bekræftet, at den vil begynde aktivt at håndhæve databeskyttelsesloven fra september 2026, en tidslinje der lander i samme måned som den hollandske ændring. Schweiz tog et lignende skridt år tidligere, da dens reviderede føderale databeskyttelseslov trådte i kraft for virksomheder i september 2023, hvilket gav virksomheder en fast dato at arbejde hen imod snarere end en åben forventning om overholdelse.

Den fælles tråd er, at regulatorer i stigende grad foretrækker konkrete deadlines og offentlig ansvarlighed frem for stille, sag-til-sag-håndhævelse. Organisationer, der venter, til en regel allerede er i kraft, har tendens til at have mindre plads til at rette problemer, før de bliver offentlig kendte.

Hvad dette betyder for dig

Hvis du driver en organisation, der behandler personoplysninger i Holland, hvad enten det er en eventvirksomhed, en lille virksomhed eller en nonprofitorganisation, er den praktiske effekt af artikel 21b ligetil: enhver fremtidig GDPR-bøde vil bære dit navn i offentlige registre. Det ændrer ikke dine underliggende juridiske forpligtelser, men det hæver indsatsen for at få overholdelse rigtigt fra starten. Omdømmemæssig skade fra en navngiven bøde kan vare længere end den økonomiske straf selv, især for organisationer, hvis kunder eller partnere nemt kan søge efter offentlige håndhævelsesregistre, før de underskriver en kontrakt.

For enkeltpersoner, hvis data indsamles af disse organisationer, er ændringen argumenterbart en nettogevinst. Større gennemsigtighed omkring, hvem der er blevet sanktioneret, giver forbrugere og eventdeltagere mere information, når de beslutter, hvilke virksomheder de vil stole på med deres personlige oplysninger.

Vigtigste pointer

Før 1. september 2026 ankommer, bør organisationer, der opererer i Holland, især dem der håndterer deltager-, kunde- eller medlemsdata gennem registrerings- og billet systemer, gennemgå samtykkesproget på alle dataindsamlingsformularer, bekræfte at dataebehandlingsaftaler med tredjepartsleverandører er opdaterede, verificere at datopbevaringspraksis matcher skriftlige politikker, og håndtere kendte overholdelsesmangler nu snarere end efter en sanktion bliver offentlig. At handle tidligt er forskellen mellem stille at rette et problem og at få det permanent knyttet til din organisations navn i offentlige håndhævelsesregistre.