EDPBs retningslinjer 04/2026: når et brudd på GDPR fører til gebyr
EDPB fastsetter fem trinn for når et brudd på GDPR gir overtredelsesgebyr eller irettesettelse. Innspill innen 13. november 2026.
Den 17. september 2026 vedtok Personvernrådet (EDPB) retningslinjer 04/2026. De beskriver hvordan nasjonale tilsynsmyndigheter avgjør om et brudd på GDPR skal føre til overtredelsesgebyr eller håndteres med et annet korrigerende tiltak, for eksempel en irettesettelse eller et pålegg. EDPB publiserte dem 21. september 2026. Innspill kan sendes til 13. november 2026 kl. 23.59 CET.
Retningslinjene erstatter de gamle WP29-retningslinjene om overtredelsesgebyr og utfyller EDPBs retningslinjer om beregning av gebyrets størrelse.
De fem trinnene
- Kan bruddet gi gebyr? Myndigheten trenger hjemmel i GDPR eller i nasjonal rett.
- Kan denne parten ilegges gebyr? Om den behandlingsansvarlige eller databehandleren er ansvarlig, avhenger av hvem den overtrådte bestemmelsen gjelder for.
- Forsett eller uaktsomhet? Et skyldig brudd er et vilkår for gebyr.
- Er bruddet mindre alvorlig? Myndigheten veier de skjerpende og formildende omstendighetene i artikkel 83 nr. 2. Et mindre alvorlig brudd fører som hovedregel ikke til gebyr, og en irettesettelse kan gis i stedet. Er det ikke mindre alvorlig, er det en sterk presumsjon for at gebyr ilegges.
- Vil et gebyr være effektivt, forholdsmessig og avskrekkende? Her kan myndigheten i den enkelte saken se grunn til å fravike den generelle tilnærmingen.
Retningslinjene forklarer også de øvrige korrigerende myndighetene (advarsler, irettesettelser, pålegg, begrensninger inkludert forbud og tilbaketrekking av sertifisering) og gir 14 praktiske eksempler.
Også endelige: DSA og GDPR
På samme plenumsmøte vedtok EDPB den endelige versjonen av retningslinjer 3/2025 om samspillet mellom forordningen om digitale tjenester (DSA) og GDPR, for formidlingstjenester som behandler personopplysninger.
Hva du kan gjøre nå
I trinn 4 avgjør faktorene i artikkel 83 nr. 2 om det blir irettesettelse eller gebyr: blant annet tiltakene dere gjorde for å begrense skaden, samarbeidet med myndigheten, tidligere brudd og hvilke kategorier opplysninger som er berørt. Det teller å kunne dokumentere dette raskt.
Dazr Compliance samler den dokumentasjonen på ett sted: protokollen over behandlingsaktiviteter (artikkel 30), vurderinger av personvernkonsekvenser (DPIA) med en logg over hver endring, gjentakende GDPR-kontroller og et avviksregister med en 72-timersklokke. Vil du gi innspill på retningslinjene, bruk EDPBs høringsskjema innen 13. november.
Kilder
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 7. november 2026.
Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska