Morten Lyhne Petersen
Datatilsynet advarede i januar for anden gang på et år om TikTok, mens Bruxelles’ bøder trækker i langdrag.
Mere end et år efter EU’s hidtil største bøde til en kinesisk platform kan TikTok stadig lovligt sende danske brugeres data til Kina. Det er kernen i den advarsel Datatilsynet udsendte 8. januar 2026, efter selskabet ved en irsk domstol fik lov at fortsætte overførslerne, mens en appel behandles. Datatilsynets vurdering står fast: overførslerne er ulovlige.
Situationen fanger et paradoks. GDPR er verdens skrappeste databeskyttelseslov, den kinesiske stat har direkte adgang til data hos landets virksomheder, og alligevel er der ikke meget en dansk forbruger kan gøre andet end at slukke for appen selv. Her er kortlægningen af hvad der overføres, hvad loven siger, og hvor langt håndhævelsen reelt rækker.
Seks kinesiske selskaber, fem EU-lande, én klage
Grundlaget for hele sagen blev lagt 16. januar 2025, da den østrigske privatlivsorganisation noyb indgav seks samlede GDPR-klager mod TikTok, AliExpress, Shein, Temu, WeChat og Xiaomi. Klagerne blev fordelt geografisk: TikTok og Xiaomi ind for det græske tilsyn, Shein i Italien, AliExpress i Belgien, WeChat i Holland og Temu i Østrig.
Fire af selskaberne, TikTok, AliExpress, Shein og Xiaomi, oplyser direkte i deres privatlivspolitikker at data sendes til Kina. De to øvrige, Temu og WeChat, omtaler blot “tredjelande” uden at nævne Kina ved navn. Fordi ingen af selskaberne svarede fyldestgørende på indsigtsanmodninger, antager noyb at også de sender data samme vej.
Klagerne angriber to søjler i forordningen. Kapitel V, herunder artikel 44 og 46, kræver at data kun må sendes til lande hvor beskyttelsesniveauet svarer til EU’s. Kina har ingen såkaldt adækvatafgørelse fra Kommissionen. Samtidig kræver artikel 58, stk. 2, litra j, at tilsynsmyndighederne kan pålægge suspension af ulovlige overførsler, og det er præcis den sanktion noyb har bedt om ved siden af bøder på op til 4 procent af global omsætning.
Regningen bliver stor på papiret
Med noybs egne omsætningstal ville den øvre grænse ramme hårdt. AliExpress omsatte ifølge organisationen for 3,68 milliarder euro, hvilket giver en teoretisk bøde på op til 147 millioner euro, cirka 1,1 milliarder kroner. Temu omsatte for 33,84 milliarder euro, og loftet er dermed op mod 1,35 milliarder euro, altså i omegnen af 10 milliarder kroner.
Sådanne tal er dog teoretiske indtil et tilsyn træffer afgørelse. Til gengæld faldt der en meget konkret dom i den beslægtede TikTok-sag: 2. maj 2025 slog den irske databeskyttelsesmyndighed DPC til med en bøde på 530 millioner euro, knap fire milliarder danske kroner. Beløbet var delt i 485 millioner for brud på artikel 46, stk. 1, om overførsler og 45 millioner for brud på artikel 13, stk. 1, litra f, om gennemsigtighed. Til sammenligning fik TikTok i september 2023 en bøde på 345 millioner euro for håndteringen af mindreåriges data.
DPC’s stedfortrædende kommissær Graham Doyle formulerede det så knivskarpt som en jurist kan: TikTok havde ifølge afgørelsen ikke sikret sig at europæiske brugeres data i Kina fik “et beskyttelsesniveau der i det væsentlige svarer til det der er garanteret i EU”. Dommen indeholdt også en frist på seks måneder til at bringe behandlingen i overensstemmelse med kapitel V, ellers ville alle overførsler til Kina blive suspenderet.
Hvad der faktisk kommer frem til Kina
Sagen mod TikTok blev interessant af en anden grund: hvad de irske tilsynsfolk fandt undervejs. Ifølge DPC’s egen redegørelse blev EU/EØS-brugeres data fjernadgang tilgået af medarbejdere i Kina og opbevaret på servere i Singapore og USA, mens selskabet var underlagt kinesisk lovgivning, herunder cybersikkerhedsloven og efterretningsloven. Værre blev det i april 2025, hvor TikTok måtte indrømme at “begrænsede” mængder EU-data faktisk havde ligget på kinesiske servere siden februar, stik imod tidligere oplysninger til myndigheden. Den erkendelse fik DPC til i juli 2025 at åbne en helt ny undersøgelse af selskabet.
Xiaomi tegner et andet billede. Ifølge selskabets egne transparensrapporter, refereret af Cybernews, pakker telefonerne blandt andet statistiske aktivitetsdata sammen og sender dem videre til servere drevet af det kinesiske internetselskab Tencent. Dele af trafikken går til servere i Singapore, men flere af de tilhørende webdomæner er registreret i Beijing. Selskabet erkender selv i sine rapporter at kinesiske myndigheder anmoder om personoplysninger i stor skala, og at Xiaomi som hovedregel efterkommer det.
Temu er blevet undersøgt uden for Europa og har fået juridiske øretæver af den grund. Sydkorea idømte i maj 2025 selskabet en bøde på cirka 978.000 dollars, omkring 6,8 millioner kroner, for at overføre koreanske brugeres oplysninger til blandt andet Kina, Singapore og Japan uden at oplyse det. Amerikanske delstatsanklagere har derudover peget på at Temu, der ejes af PDD Holdings, samler wi-fi- og GPS-data ind i et omfang der rækker langt ud over hvad en shoppingapp har brug for.
Hvorfor Kina overhovedet er “utrygt”
Kernen i hele det juridiske sammenstød er en enkelt paragraf i kinesisk lovgivning. Artikel 7 i landets nationale efterretningslov fra 2017 pålægger alle organisationer og borgere at “støtte, bistå og samarbejde” med det statslige efterretningsarbejde. Cybersikkerhedsloven fra samme år tvinger derudover netværksoperatører til at opbevare data lokalt og udlevere dem på statens forlangende.
Kombinationen betyder at et kinesisk selskab reelt ikke kan afvise en anmodning om adgang til brugerdata. Det er derfor EU’s regler behandler Kina som et såkaldt utrygt tredjeland, og det er grunden til at noybs jurister mener enhver overførsel til landet grundlæggende er ulovlig, uanset hvilke tekniske foranstaltninger platformene tilbyder.
Kleanthi Sardeli, databeskyttelsesjurist hos noyb, satte i en anden af organisationens klager fingeren på den asymmetri der ligger under det hele: “Tech-virksomheder elsker at indsamle så meget data om dig som muligt, men nægter samtidig kategorisk at give dig fuld adgang som EU-loven kræver.” Den klage viste hvordan TikTok afleverede data i et ustruktureret format, AliExpress sendte en ødelagt fil der kun kunne åbnes én gang, og WeChat slet ikke svarede på indsigtsanmodninger.
Bøden er stor, men den udløber i retten
TikToks svar på maj-afgørelsen kom fra selskabets europæiske chef for offentlig politik, Christine Grahn. Ifølge The Hacker News sagde hun at dommen “ikke afspejler de nuværende beskyttelsesforanstaltninger”, og hun henviste til Project Clover, selskabets europæiske datacenter-initiativ. Grahns kernepåstand: TikTok “har aldrig modtaget en anmodning om europæiske brugerdata fra de kinesiske myndigheder og har aldrig udleveret europæiske brugerdata til dem”.
Netop denne påstand står nu til prøvelse ved en irsk domstol. Selskabet fik ved appel medhold i en midlertidig ordning: overførslerne må fortsætte indtil sagen er endeligt afgjort, forudsat at brugerne får besked. Den besked landede hos danske TikTok-brugere i december 2025. Det er baggrunden for at Datatilsynet igen måtte trække kortet frem i januar 2026 og gentage advarslen: den midlertidige tilladelse ændrer intet ved myndighedernes vurdering af at overførslerne er ulovlige.
Det er her paradokset bider. En bøde på fire milliarder kroner burde være en effektiv stopordre, men indtil ankesagen er kørt til dørs, kan TikTok fortsætte som før. Og imens verserer noyb-klagerne fra januar 2025 stadig hos tilsynsmyndighederne i Grækenland, Italien, Belgien, Holland og Østrig, uden en eneste afgørelse til fordel for danske borgere.
Sådan udnytter du reelt dine GDPR-rettigheder
For dig som forbruger giver GDPR faktisk nogle brugbare håndtag, selv når håndhævelsen halter. Artikel 15, retten til indsigt, giver dig ret til at bede en tjeneste udlevere alle oplysninger den har om dig, inklusive hvilke lande data er sendt til. Artikel 17, retten til at blive glemt, giver dig ret til at kræve din konto og dine data slettet. Anmodningen skal besvares inden for en måned, og et manglende eller ubrugeligt svar er i sig selv et brud, hvilket noyb bruger som løftestang.
Datatilsynets råd til danske brugere er derudover meget lavpraktisk. Myndigheden anbefaler at gennemgå appens tilladelser for kamera, mikrofon, kontakter og placering og lukke det ned man ikke bruger. Undlad at dele følsomme personoplysninger, hverken om dig selv eller andre. Og overvej reelt om appen er værd at have installeret. For arbejdstelefoner går tilsynet et skridt videre og henviser til Center for Cybersikkerheds anbefaling fra 2023 om helt at undlade at installere TikTok på offentligt udstyr.
For Xiaomi-brugere er billedet mere komplekst, fordi det er selve operativsystemet der sender data. Her handler det først og fremmest om at slå så mange telemetri- og analysefunktioner fra som muligt i indstillingerne, og for Temu-brugere om at nægte adgang til placering, kontakter og filer med mindre det er strengt nødvendigt for et bestemt køb. Bekymrer man sig for hvor meget mobile apps overhovedet indsamler, er det generelt en anbefalelsesværdig disciplin at gå indstillingerne igennem én gang om året.
Loven trækker sig fremad, men i sneglefart
Det uskønne svar på artiklens indledende spørgsmål er at EU faktisk kan gøre en hel del, men gør det langsomt. Rammen findes: kapitel V i GDPR forbyder overførslerne, artikel 58 giver tilsynene magt til at stoppe dem, og de 4 procent af global omsætning er en reel afskrækkelse. TikTok-bøden viser at maskineriet kan levere.
Men samme sag viser også svaghederne. Halvandet år efter noybs klager er der endnu ikke faldet afgørelser i sagerne mod Xiaomi, Temu, Shein, AliExpress eller WeChat. TikTok-bødens praktiske virkning er suspenderet af en domstol. Og selv når en bøde til sidst træder i kraft, tjener platformene den mange gange hjem, mens sagen kører.
Så længe det er tilfældet, ligger det største håndtag hos den enkelte bruger. Ikke fordi det er retfærdigt, men fordi det er det redskab der virker med det samme.
