EDPB:s riktlinjer 04/2026: när en överträdelse av GDPR leder till sanktionsavgift
EDPB anger fem steg för hur myndigheter avgör om en överträdelse av GDPR ger sanktionsavgift eller reprimand. Synpunkter senast 13 november 2026.
Den 17 september 2026 antog Europeiska dataskyddsstyrelsen (EDPB) riktlinjer 04/2026. De beskriver hur nationella tillsynsmyndigheter avgör om en överträdelse av GDPR ska leda till en administrativ sanktionsavgift eller hanteras med en annan korrigerande åtgärd, till exempel en reprimand eller ett föreläggande. EDPB publicerade dem den 21 september 2026. Synpunkter kan lämnas till 13 november 2026 kl. 23.59 CET.
Riktlinjerna ersätter de gamla WP29-riktlinjerna om administrativa sanktionsavgifter och kompletterar EDPB:s riktlinjer om hur avgiftens storlek beräknas.
De fem stegen
- Kan överträdelsen leda till sanktionsavgift? Myndigheten behöver stöd i GDPR eller i nationell rätt.
- Kan den här parten påföras avgift? Om den personuppgiftsansvarige eller personuppgiftsbiträdet ansvarar beror på vem den överträdda bestämmelsen gäller.
- Uppsåt eller oaktsamhet? En klandervärd överträdelse är ett villkor för sanktionsavgift.
- Är överträdelsen mindre? Myndigheten väger de försvårande och förmildrande omständigheterna i artikel 83.2. En mindre överträdelse leder som regel inte till sanktionsavgift, och en reprimand kan ges i stället. Är den inte mindre finns en stark presumtion för att en avgift påförs.
- Är en avgift effektiv, proportionell och avskräckande? Här kan myndigheten i det enskilda fallet se skäl att avvika från det allmänna förhållningssättet.
Riktlinjerna förklarar också de övriga korrigerande befogenheterna (varningar, reprimander, förelägganden, begränsningar inklusive förbud och återkallande av certifiering) och ger 14 praktiska exempel.
Också slutliga: DSA och GDPR
Vid samma plenarmöte antog EDPB den slutliga versionen av riktlinjer 3/2025 om samspelet mellan förordningen om digitala tjänster (DSA) och GDPR, för förmedlingstjänster som behandlar personuppgifter.
Vad du kan göra nu
I steg 4 avgör faktorerna i artikel 83.2 om det blir en reprimand eller en sanktionsavgift: bland annat åtgärder ni vidtog för att begränsa skadan, ert samarbete med myndigheten, tidigare överträdelser och vilka kategorier av uppgifter som berörs. Det räknas att kunna visa det snabbt.
Dazr Compliance samlar det underlaget på ett ställe: registret över behandlingar (artikel 30), konsekvensbedömningar (DPIA) med en logg över varje ändring, återkommande GDPR-kontroller och ett incidentregister med en 72-timmarsklocka. Vill du lämna synpunkter på riktlinjerna, använd EDPB:s formulär före den 13 november.
Källor
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Endast för information, inte juridisk rådgivning. Senast uppdaterad 7 november 2026.
Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål