Antalet personuppgiftsincidenter i Europa ökade med 22 procent under 2025

DLA Pipers årliga GDPR‑rapport visar en uppgång av personuppgiftsincidenter med 22 procent det senaste året, vilket motsvarar i genomsnitt 443 rapporterade incidenter per dag. Det är första gången sedan 2018 som det dagliga snittet passerar 400, efter flera år av relativ stabilitet. Samtidigt ligger tillsyns- och sanktionsnivåerna fortsatt högt. Under 2025 utfärdade Europas dataskyddsmyndigheter sanktionsavgifter på sammanlagt cirka 1,2 miljarder euro, i nivå med föregående år.

Anna Jussil Broms, partner och Head of Intellectual Property and Technology på DLA Piper i Sverige, kommenterar:

"Den fortsatta ökningen av rapporterade incidenter visar hur snabbt riskmiljön utvecklas. Mot bakgrund av nya regelverk och skärpta krav på regelefterlevnad behöver många organisationer arbeta mer systematiskt med styrning, informationssäkerhet och resiliens för att möta både regulatoriska och operativa risker."

Irland fortsätter att toppa statistiken, med sammanlagda sanktionsavgifter om 4,04 miljarder euro sedan GDPR trädde i kraft i maj 2018. Trots ännu ett aktivt tillsynsår kvarstår 2023 års sanktionsavgift om 1,2 miljarder euro mot Meta Platforms Ireland Limited som den största sanktionen hittills.

En ny era av cyberhot tar form

Även om ökningen inte kan kopplas till en enskild orsak måste utvecklingen ses mot bakgrund av ett år präglat av geopolitisk oro, mer avancerade AI‑drivna riskfaktorer och flera omfattande cyberincidenter som orsakat betydande operativa störningar för globala organisationer.

Den kraftiga ökningen av anmälda incidenter indikerar en förhöjd risknivå och understryker behovet av att prioritera säkerhet och stärka den operativa motståndskraften. Nederländerna, Tyskland och Polen är fortsatt de länder som rapporterat flest personuppgiftsincidenter under perioden.

Gustav Lundin, partner på DLA Piper i Sverige, kommenterar:

” Rapporten bekräftar att cybersäkerhetsfrågorna intensifieras. För svenska organisationer innebär det att både tekniska och organisatoriska skyddsåtgärder behöver ses över för att hålla jämna steg med de risker och krav som växer fram.”

1,2 miljarder euro i GDPR‑böter – i nivå med 2024

Under året uppgick GDPR‑sanktionerna i Europa till cirka 1,2 miljarder euro, i stort sett identiskt med föregående år. Även utan en ökning återspeglar siffran en fortsatt hög tillsynsnivå snarare än en avmattning. Sanktionsnivåerna visar också att tillsynsmyndigheterna fortsatt är beredda att utfärda betydande ekonomiska sanktioner, trots kritik från aktörer utanför EU. Precis som tidigare år koncentreras de största sanktionsavgifterna till teknik- och sociala medieföretag, där nio av de tio högsta GDPR‑böterna hittills riktats mot aktörer i denna sektor.

Ett breddat tillsynsfokus

Även om stora teknikföretag fortsatt mottar de mest omfattande sanktionsavgifterna riktas tillsynsmyndigheternas fokus i allt högre grad mot fler branscher, bland annat finansiella tjänster, telekommunikation, energisektorn och teknikleverantörer. Vidare, medan dataöverföringar till USA fortsatt varit ett centralt tillsynsområde under flera år, markerar 2025 det första året då en större sanktion riktats mot en överföring till ett tredjeland utanför USA. Den irländska dataskyddsmyndigheten utfärdade en sanktionsavgift om 530 miljoner euro mot ett medieföretag för att inte ha säkerställt en i praktiken likvärdig skyddsnivå vid överföring av personuppgifter till Kina. Sanktionen illustrerar att GDPR:s regler om internationella dataöverföringar är globalt tillämpliga och sträcker sig långt bortom det transatlantiska sammanhanget.