Andreas MoenDen nederlandske datatilsynsmyndigheten Autoriteit Persoonsgegevens (AP) ilagt i mai 2026 en bøte på 100 millioner euro mot MLU B.V., selskapet bak taxiappen Yango – en tjeneste som frem til 2024 var en del av det russiske teknologikonsernet Yandex. Begrunnelsen er alvorlig: appen oversendte personopplysninger om norske og finske brukere til Russland uten tilstrekkelig rettslig grunnlag. Norske og finske datatilsynsmyndigheter deltok aktivt som «berørte tilsynsmyndigheter» i den felles etterforskningen som startet i 2023. For deg som brukte Yango i Norge, reiser dette konkrete spørsmål om hvilke rettigheter du har – og hva du bør gjøre nå.
Hva skjedde med dataene dine?
Yango ble lansert i Norge og Finland av MLU B.V., et nederlandsk selskap hvor Yandex NV eier 70 prosent. Etter Russlands fullskala invasjon av Ukraina i 2022 ble Yandex gradvis delt opp i separate selskaper, men de operasjonelle systemene som behandlet taxidata – GPS-sporing, betalingsinformasjon og kjørehistorikk – var fortsatt knyttet til servere og ingeniørteam i Russland.
APs etterforskning fant at Yango oversendte personopplysninger til Russland uten å ha på plass de sikkerhetstiltakene GDPR krever ved dataoverføring til land utenfor EU/EØS. Det norske Datatilsynet bidro aktivt i prosessen og hadde allerede i 2025 advart om at russiske myndigheter potensielt kunne overvåke norske borgeres bevegelser gjennom appens GPS-data. Yango stanset tjenestene i Norge og Finland i løpet av 2025, men appen var ifølge rapporter fra mai 2026 fortsatt tilgjengelig for nedlasting i de norske appbutikkene.
MLU B.V. bestrider konklusjonene og har anket bøten. Status på appellen er per oktober 2026 fortsatt uavklart.
Russland er ikke et trygt tredjeland – slik ser loven på saken
GDPR, som er integrert i norsk lov gjennom personopplysningsloven, forbyr overføring av personopplysninger til land utenfor EU/EØS med mindre det foreligger et tilstrekkelig beskyttelsesnivå. EU-kommisjonen har aldri utstedt en adekvansbeslutning for Russland – landet anses dermed ikke som et trygt tredjeland etter europeisk personvernrett.
For at en slik overføring lovlig skal kunne skje, krever GDPR artikkel 46 at selskapet benytter standardkontraktsklausuler (SCCs) eller andre godkjente mekanismer, og at de faktisk sikrer at mottakerlandet kan beskytte dataene i praksis. I Russland gir SORM-lovgivningen – den russiske sikkerhetstjenesten FSBs lovbestemte tilgangsrett til telekommunikasjonsdata – myndighetene mulighet til å kreve innsyn i data lagret av selskaper som opererer der. Europeiske domstoler har etter Schrems II-avgjørelsen fra EU-domstolen i 2020 slått fast at SCCs ikke er tilstrekkelige dersom mottakerlandets lov gir myndighetene slik overvåkningstilgang.
Datatilsynet la i sine advarsler til grunn at dataene oversendt til Russland inkluderte GPS-koordinater for henteadresser og destinasjoner, kjøretidspunkter og betalingsinformasjon. For en bruker som tok taxi til et legekontor, et advokatkontor eller et krisesenter, kan slike opplysninger avsløre sensitive livsforhold.
Ekspertens vurdering: hva bøten betyr for individuelle norske brukere
Da vedtaket ble kjent i mai 2026, understreket personvernadvokater i Europa at bøten er en bekreftelse på at datatilsynsmyndigheter kan holde selskaper ansvarlige for ulovlige tredjelandsoverføringer – og at individuelle brukere kan ha rett til kompensasjon.
GDPR artikkel 82 fastsetter at den som har lidt skade som følge av en behandling i strid med forordningen, har rett til erstatning fra den behandlingsansvarlige. Skaden kan være materiell (direkte tap) eller immateriell (psykisk belastning, stress, tap av kontroll over egne opplysninger). Europeisk rettspraksis etter 2022 viser en klar tendens til at domstoler tilkjenner erstatning for immaterielt tap i GDPR-saker – også der brukeren ikke kan dokumentere at dataene ble misbrukt, men kun at de ble behandlet ulovlig.
Viktig å forstå: bøten mot MLU B.V. er et vedtak mot selskapet. Den erstatter ikke, og utelukker ikke, individuelle krav fra berørte brukere. Disse to rettslige sporene løper parallelt.
En sentral presisering: APs vedtak er ikke endelig så lenge anken behandles. Men norske og europeiske eksperter understreker at individuelle brukeres rettigheter etter GDPR eksisterer uavhengig av om selskapets anke fører frem. Retten til innsyn, retten til sletting og retten til kompensasjon etter artikkel 82 er ikke betinget av at bøtevedtaket er rettskraftig. Det er den ulovlige dataoverføringen – som allerede er dokumentert av AP – som utgjør grunnlaget for individuelle krav.
Se også: Xiaomi og GDPR: hva norske brukere bør vite om personvern og datasikkerhet 2026 for et parallelt eksempel på hvordan norske brukere kan håndtere tilsvarende situasjoner med teknologiselskaper utenfor EU.
Sofie fra Oslo: et konkret regnestykke
Ta utgangspunkt i Sofie, 32 år, fra Grünerløkka i Oslo. Hun brukte Yango jevnlig mellom 2022 og 2024 – i gjennomsnitt to til tre ganger per uke, noe som tilsvarer rundt 250 registrerte kjøreturer. Dataene hennes inkluderer GPS-sporing for henting og avlevering, betalingsinformasjon knyttet til kortet hun registrerte, og brukermønstre som avslører når og hvor hun reiste.
Scenario A – Sofie gjør ingenting: Dataene hennes forblir lagret i MLU B.V.s systemer. Dersom Yango-appen fortsatt er operasjonell i andre markeder, kan dataene fortsatt behandles i samsvar med selskapets praksis frem til 2025. Hun mottar ingen kompensasjon. Risikoen for misbruk forblir lav, men ikke eliminert.
Scenario B – Sofie krever sletting og vurderer kompensasjon:
- Innsynsbegjæring (GDPR art. 15): Sofie sender en skriftlig forespørsel til MLU B.V. MLU B.V. har en plikt til å svare innen 30 dager. Svaret gir henne oversikt over nøyaktig hvilke data som er lagret.
- Slettingsbegjæring (GDPR art. 17): Dersom MLU B.V. ikke lenger kan begrunne lagringen, plikter de å slette innen 30 dager. Ignorerer de henvendelsen, kan Sofie klage til Datatilsynet – kostnadsfritt.
- Kompensasjonskrav (GDPR art. 82): I sammenlignbare saker i Irland og Østerrika de siste to årene har individuelle brukere mottatt mellom 500 og 5 000 euro i immateriell erstatning. En norsk advokat med personvernekspertise kan vurdere om Sofies tilfelle er sterk nok til å fremme et krav, til en innledende kostnad på 1 500–3 500 kroner for en konsultasjon.
- Saksbehandlingstid: En klage til Datatilsynet tar gjerne 6–18 måneder. Rettssak i Forliksrådet kan ta 2–6 måneder og er kostnadsfritt under visse kravterskler.
Nøkkelen er om Sofies data faktisk ble oversendt til Russland i perioden 2022–2025 – noe APs vedtak sterkt indikerer. Dersom dette bekreftes gjennom innsynsbegjæringen, er rettsgrunnlaget for et kompensasjonskrav solid.
Tre konkrete steg du kan ta i dag
Disse stegene gjelder alle som brukte Yango i Norge og er bekymret for hva som skjedde med opplysningene sine.
Steg 1 – Krev innsyn og sletting. Send en e-post til MLU B.V. (oppgi gjerne dpo@yango.com som kontaktadresse for databeskyttelsesansvarlig) og krev innsyn i hvilke opplysninger som er registrert, samt at alle opplysninger slettes. Bruk GDPR artikkel 15 og 17 som hjemler. Behold kopi av all korrespondanse – det er viktig dokumentasjon dersom saken eskalerer.
Steg 2 – Klag til Datatilsynet dersom selskapet ikke svarer innen 30 dager, eller dersom svaret er utilfredsstillende. Du kan sende klage digitalt via datatilsynet.no. Datatilsynet behandler individuelle klager og kan pålegge etterlevelse.
Steg 3 – Vurder juridisk bistand dersom du mener du har lidt skade. En advokat med personvernkompetanse kan hjelpe deg å vurdere om du har et kompensasjonskrav etter GDPR artikkel 82, og hvilken fremgangsmåte som gir best resultat. På Expert Zoom kan du raskt komme i kontakt med advokater som spesialiserer seg på personvern og digitale rettigheter – uten lang ventetid.
Du kan også lese mer om GDPR-rettigheter og personvern i en norsk kontekst for bakgrunnsstoff om hvordan regelverket brukes i praksis.
Denne artikkelen er for informasjonsformål og utgjør ikke juridisk rådgivning. Hver situasjon er unik – for konkrete vurderinger bør du konsultere en kvalifisert advokat.
