EDPB's retningslinjer 04/2026: hvornår et GDPR-brud fører til en bøde
EDPB fastlægger fem trin, som myndighederne bruger til at afgøre, om et GDPR-brud giver bøde eller en irettesættelse. Høringssvar senest 13. november 2026.
Den 17. september 2026 vedtog Det Europæiske Databeskyttelsesråd (EDPB) retningslinjer 04/2026. De beskriver, hvordan de nationale tilsynsmyndigheder afgør, om et brud på GDPR skal straffes med en administrativ bøde eller håndteres med et andet korrigerende tiltag, fx en irettesættelse eller et påbud. EDPB offentliggjorde dem den 21. september 2026. Høringssvar kan sendes til og med 13. november 2026 kl. 23.59 CET.
Retningslinjerne erstatter de gamle WP29-retningslinjer om administrative bøder og supplerer EDPB's retningslinjer om beregning af bødens størrelse.
De fem trin
- Kan bruddet straffes med bøde? Myndigheden skal have hjemmel i GDPR eller i national ret.
- Kan denne part få en bøde? Om den dataansvarlige eller databehandleren hæfter, afhænger af, hvem den overtrådte bestemmelse forpligter.
- Forsæt eller uagtsomhed? Et culpøst brud er en betingelse for en bøde.
- Er bruddet mindre alvorligt? Myndigheden vejer de skærpende og formildende omstændigheder i artikel 83, stk. 2. Et mindre alvorligt brud fører som hovedregel ikke til bøde, og der kan i stedet gives en irettesættelse. Er det ikke mindre alvorligt, er der en stærk formodning for, at der pålægges en bøde.
- Vil en bøde være effektiv, proportionel og afskrækkende? Her kan myndigheden i den konkrete sag finde grund til at fravige den generelle tilgang.
Retningslinjerne forklarer også de øvrige korrigerende beføjelser (advarsler, irettesættelser, påbud, begrænsninger herunder forbud og tilbagetrækning af certificering) og giver 14 praktiske eksempler.
Også endelige: DSA og GDPR
På samme plenarmøde vedtog EDPB den endelige udgave af retningslinjer 3/2025 om samspillet mellem forordningen om digitale tjenester (DSA) og GDPR for formidlingstjenester, der behandler personoplysninger.
Hvad du kan gøre nu
I trin 4 afgør faktorerne i artikel 83, stk. 2, om det bliver en irettesættelse eller en bøde: blandt andet de tiltag, du tog for at begrænse skaden, dit samarbejde med myndigheden, tidligere overtrædelser og de berørte kategorier af oplysninger. Det tæller at kunne dokumentere det hurtigt.
Dazr Compliance samler den dokumentation ét sted: din fortegnelse over behandlingsaktiviteter (artikel 30), konsekvensanalyser (DPIA) med en log over hver ændring, tilbagevendende GDPR-kontroller og et register over brud med et 72-timersur. Vil du kommentere retningslinjerne, så brug EDPB's høringsformular senest 13. november.
Kilder
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Kun til orientering, ikke juridisk rådgivning. Senest opdateret 7. november 2026.
Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål