Digitaliseringsstyrelsen får eneansvar for at håndhæve EU's Data Act

Digitaliseringsstyrelsen er nu officielt udpeget som den eneste danske myndighed med ansvar for at håndhæve EU's Data Act. Det står klart, efter at Folketinget den 11. december 2025 vedtog den danske datadelingslov – lov nr. 1618 – som trådte i kraft den 17. december 2025. Loven etablerer de nationale rammer for tilsyn med forordningen, der allerede har været direkte gældende i Danmark siden den 12. september 2025, men som hidtil har manglet en national håndhæver.

Udpegningen markerer et markant skifte fra principielle EU-regler til konkret dansk tilsynspraksis. For virksomheder, der producerer eller anvender forbundne produkter, cloud-tjenester eller SaaS-løsninger, betyder det, at overtrædelser af Data Act nu kan få direkte konsekvenser i form af påbud, offentlig kritik og i sidste ende bøder. Dermed bliver compliance ikke længere et spørgsmål om at afvente europæisk praksis, men om at forholde sig til en aktiv dansk tilsynsmyndighed.

Baggrund: Fra EU-forordning til dansk lov

Data Act har til formål at sikre fair adgang til data fra forbundne produkter – ofte omtalt som Internet of Things (IoT) – såsom biler, industrielle maskiner og smart home-enheder. Forordningen skal også gøre det lettere at skifte mellem cloud- og SaaS-tjenester ved at stille krav om dataportabilitet og gennemsigtighed. Selvom forordningen har været direkte gældende i Danmark siden september 2025, har den danske stat ikke haft en udpeget myndighed til at føre tilsyn og gribe ind over for overtrædelser.

Det ændrede sig med lovforslag L 16, som blev fremsat i efteråret 2025 og førstebehandlet i Folketinget den 6. november 2025. Juridiske eksperter fra advokatfirmaet Bird & Bird vurderede allerede på daværende tidspunkt, at lovforslagets indhold sandsynligvis ikke ville blive ændret væsentligt i den endelige lov. Den vurdering holdt stik: Den vedtagne datadelingslov følger i store træk det oprindelige forslag og udpeger Digitaliseringsstyrelsen som eneansvarlig myndighed uden en separat datakoordinator.

Håndhævelsesbeføjelser og sanktioner

Med datadelingsloven har Digitaliseringsstyrelsen fået en række konkrete beføjelser til at håndhæve Data Act. Ifølge lovens §§ 7-9 kan styrelsen udstede påbud, udtale kritik og offentliggøre afgørelser over for virksomheder, der overtræder reglerne. Det giver myndigheden mulighed for både at pålægge konkrete handlinger og at skabe offentlig opmærksomhed omkring virksomheders manglende efterlevelse.

Som sanktionsform er bøder foreslået, men de kan kun pålægges via domstolene. Det betyder, at Digitaliseringsstyrelsen ikke selv kan udstede bødeforlæg, men skal indbringe sager for retten, hvis en virksomhed ikke efterkommer et påbud eller groft overtræder forordningen. Denne model svarer til den, der kendes fra flere andre danske tilsynsområder, hvor myndigheden har undersøgelses- og påbudskompetence, mens domstolene fastsætter den økonomiske straf.

At Digitaliseringsstyrelsen er eneansvarlig myndighed uden en datakoordinator er værd at bemærke. Det giver en klar og entydig indgang for virksomheder, der har spørgsmål eller ønsker vejledning, men det betyder også, at styrelsen samler både vejlednings- og tilsynsopgaven under ét tag. Det kan skabe en mere ensartet praksis, men stiller også større krav til styrelsens kapacitet og faglige bredde på et område, der spænder fra tekniske IoT-data til komplekse cloud-kontrakter.

Konsekvenser for danske virksomheder

For danske virksomheder betyder den nye håndhævelseslov et øget behov for compliance – særligt inden for cloud- og SaaS-aftaler. Kravene om dataportabilitet og fair adgang skal nu håndteres konkret i kontrakter og tekniske løsninger. Det indebærer blandt andet, at virksomheder skal sikre, at brugere af deres forbundne produkter kan få adgang til de data, produkterne genererer, og at skift mellem cloud-udbydere ikke blokeres af tekniske eller kontraktuelle barrierer.

Digitaliseringsstyrelsen oplyser, at siderne om Data Act løbende opdateres med ny vejledning. Det er et signal om, at myndigheden forventer at spille en aktiv rolle i at udmønte forordningens krav i dansk kontekst. For virksomheder betyder det, at de bør følge med i styrelsens fortolkninger og anbefalinger, da de kan få betydning for, hvordan tilsynet i praksis vil blive ført.

Set fra et dansk perspektiv er konsekvenserne bredere end blot juridiske forpligtelser. Data Act skal fremme innovation og konkurrence ved at give mindre aktører adgang til data, som hidtil har været låst hos producenter eller store cloud-udbydere. For danske produktionsvirksomheder, der anvender industrielle maskiner, kan det betyde nye muligheder for at udnytte data på tværs af leverandører. For softwarevirksomheder og cloud-udbydere kan det omvendt betyde øgede krav til åbenhed og interoperabilitet, hvilket kan udfordre eksisterende forretningsmodeller.

Reaktioner og det videre forløb

Hos Bird & Bird vurderede man allerede under lovbehandlingen, at indholdet i den danske datadelingslov sandsynligvis ikke ville ændres væsentligt i forhold til lovforslaget. Den endelige lov har bekræftet denne forventning, hvilket giver virksomheder en vis forudsigelighed i forhold til de regler, de skal efterleve. Alligevel er der fortsat åbne spørgsmål om, hvordan Digitaliseringsstyrelsen konkret vil prioritere sit tilsyn, og hvor hurtigt de første sager vil komme.

Digitaliseringsstyrelsen har allerede signaleret, at den løbende vil opdatere sin vejledning om Data Act. Det efterlader et klart billede af en myndighed, der forbereder sig på at tage rollen som aktiv håndhæver alvorligt. For danske virksomheder er det derfor klogt at begynde en systematisk gennemgang af relevante kontrakter og tekniske systemer – ikke mindst inden for cloud- og SaaS-området, hvor kravene om dataportabilitet og fair adgang vil blive mødt med størst opmærksomhed.

Fremadrettet bliver det interessant at følge, om Digitaliseringsstyrelsen vælger at prioritere vejledning og dialog i den første periode, eller om den hurtigt vil markere sig med konkrete påbud og offentliggjorte afgørelser. Uanset tilgangen er én ting sikkert: Med en eneansvarlig dansk myndighed på plads er Data Act ikke længere en fjern EU-forordning, men en regulering med direkte praktisk betydning for danske virksomheder – og med en myndighed, der har både vilje og beføjelse til at håndhæve den.