Europeiska dataskyddsstyrelsen (European Data Protection Board, EDPB) har antagit nya riktlinjer med en femstegsmetod för hur dataskyddsmyndigheter ska bedöma om en administrativ sanktionsavgift ska påföras enligt dataskyddsförordningen (GDPR).
De nya riktlinjerna syftar till att harmonisera hur dataskyddsmyndigheter beslutar om administrativa sanktionsavgifter, antingen som en självständig åtgärd eller tillsammans med andra korrigerande åtgärder enligt GDPR. Integritetsskyddsmyndigheten (IMY) har lett arbetet med riktlinjerna.
Enligt riktlinjerna ska dataskyddsmyndigheterna följa en metod i fem steg. Först ska myndigheten kontrollera att överträdelsen kan leda till en sanktionsavgift enligt GDPR eller nationell lag. Därefter ska myndigheten bedöma om den som är föremål för tillsyn kan påföras en sanktionsavgift för den aktuella överträdelsen och om det är den personuppgiftsansvarige eller personuppgiftsbiträdet som är ansvarigt.
I nästa steg bedöms om överträdelsen har begåtts uppsåtligen eller av oaktsamhet. Myndigheten ska därefter bedöma relevanta försvårande och förmildrande omständigheter. Vid en mindre överträdelse ska sanktionsavgift i allmänhet inte påföras och en reprimand kan i stället utfärdas. Om överträdelsen inte är mindre talar det starkt för att en sanktionsavgift ska påföras.
Det femte steget innebär att myndigheten ska bedöma om en sanktionsavgift skulle vara effektiv, proportionerlig och avskräckande. Riktlinjerna innehåller även en genomgång av de korrigerande befogenheter som nationella dataskyddsmyndigheter har, däribland varningar, reprimander, förelägganden, begränsningar och återkallelse av certifiering. EDPB har dessutom tagit fram 14 praktiska exempel som illustrerar hur myndigheterna kan bedöma olika situationer och vilka korrigerande åtgärder som kan bli aktuella.
Riktlinjerna kompletterar EDPB riktlinjer 04/2022 om beräkning av sanktionsavgifter och ersätter Artikel 29-gruppens tidigare riktlinjer om tillämpning och fastställande av administrativa sanktionsavgifter enligt GDPR. De nya riktlinjerna är föremål för offentligt samråd till och med den 13 november 2026.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: EDPB.
