EDPB antar riktlinjer med metod för när sanktionsavgift ska påföras

De nya EDPB-riktlinjerna är ett viktigt steg i att ytterligare anpassa hur dataskyddsmyndigheter bestämmer om en administrativ sanktionsavgift ska påföras, utöver eller i stället för andra korrigerande åtgärder.

– GDPR utökade avsevärt dataskyddsmyndigheternas korrigerande befogenheter, där sanktionsavgifter är ett viktigt instrument för att se till att GDPR följs. Riktlinjerna bekräftar vårt åtagande att ge större tydlighet och säkerställa en konsekvent tillämpning av GDPR i hela Europa, säger EDPB:s vice ordförande, Jelena Virant Burnik.

Enligt de nya riktlinjerna ska dataskyddsmyndigheterna följa en metod bestående av fem steg när de bestämmer om de ska utfärda en administrativ sanktionsavgift eller inte:

1. Dataskyddsmyndigheten kontrollerar att överträdelsen kan leda till en sanktionsavgift, genom att hitta stöd antingen direkt i GDPR eller i nationell lag.
2. Dataskyddsmyndigheten säkerställer att tillsynsobjektet kan påföras en sanktionsavgift för den aktuella överträdelsen. Om den personuppgiftsansvariga eller personuppgiftsbiträdet är ansvarigt, beror på vilken bestämmelse som har överträtts och till vem den riktar sig.
3. Dataskyddsmyndigheten bedömer om överträdelsen har begåtts uppsåtligen eller av oaktsamhet, eftersom det är en förutsättning för att en sanktionsavgift ska kunna utfärdas.
4. Dataskyddsmyndigheten bedömer relevanta försvårande och förmildrande omständigheter. Om det är en mindre överträdelse kommer det i allmänhet inte att påföras någon sanktionsavgift, och en reprimand kan utfärdas istället. Om det inte är en mindre överträdelsen talar det starkt för att en sanktionsavgift ska påföras.
5. Dataskyddsmyndigheten bedömer om det skulle vara effektivt, proportionerligt och avskräckande att utfärda en sanktionsavgift. I den bedömningen kan dataskyddsmyndigheten överväga att göra avsteg, i det enskilda fallet, från huvudregeln att påföra (eller inte påföra) en sanktionsavgift beroende på om det är fråga om en mindre överträdelse.

– Riktlinjerna ger dataskyddsmyndigheterna praktisk vägledning i form av en tydlig metod för att avgöra när en sanktionsavgift ska påföras, utöver eller i stället för övriga korrigerande åtgärder. Riktlinjerna innehåller också ett flertal exempel som bland annat illustrerar vad som kan utgöra en mindre överträdelse, säger Petra Wierup, senior jurist på IMY:s enhet för EU-samarbete, som lett arbetet med de nya riktlinjerna.

Dessa riktlinjer utgör ett komplement till EDPB:s riktlinjer 04/2022 om beräkning av sanktionsavgifter och ersätter Artikel 29-gruppens riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter enligt GDPR.

Riktlinjerna är nu ute för offentligt samråd fram till den 13 november 2026, vilket ger intressenter möjlighet att lämna synpunkter.