TL;DR
Syyskuun 21. päivänä 2026 tiedotetussa täysistunnossa tietosuojaneuvosto hyväksyi ohjeet 04/2026 siitä, miten viranomaiset päättävät seuraamusmaksun määräämisestä yksinään tai 58 artiklan 2 kohdan muiden korjaavien valtuuksien rinnalla. Viisi vaihetta: maksun oikeusperuste, vastuussa oleva taho, tahallisuus tai tuottamus, raskauttavat ja lieventävät seikat, tehokkuus ja oikeasuhteisuus. Vähäinen rikkomus: yleensä ei maksua, ehkä huomautus. Muu kuin vähäinen: vahva olettama seuraamusmaksusta. Neljätoista käytännön esimerkkiä. Ohjeet korvaavat 29 artiklan työryhmän vuoden 2017 ohjeet ja täydentävät ohjeita 04/2022 maksun laskemisesta. Kuuleminen 13.11.2026 asti. Samassa istunnossa hyväksyttiin lopullinen versio ohjeista 3/2025 DSA:n ja tietosuoja-asetuksen suhteesta.
Mikä muuttuu
Ohjeet 04/2022 kertovat, miten seuraamusmaksun suuruus lasketaan. Sitä edeltävä vaihe puuttui: milloin viranomaisen on määrättävä maksu ja milloin muu toimenpide riittää. Uudet ohjeet täyttävät aukon ja korvaavat 29 artiklan työryhmän vanhan asiakirjan. Ne kuvaavat myös jokaisen korjaavan valtuuden — varoitukset, huomautukset, määräykset, rajoitukset ja kiellot, sertifioinnin peruuttaminen — tarkoituksineen ja suhteessa seuraamusmaksuun.
Viisi vaihetta
- OIKEUSPERUSTE. Viranomainen tarkistaa, voiko rikkomuksesta määrätä maksun tietosuoja-asetuksen tai kansallisen lain nojalla.
- KUKA VASTAA. Rekisterinpitäjä tai käsittelijä sen mukaan, ketä rikottu säännös velvoittaa: esimerkiksi 32 artiklan tietoturva velvoittaa molempia.
- TAHALLISUUS TAI TUOTTAMUS. Ilman syyllisyyttä ei maksua. Tämä on linja, jonka unionin tuomioistuin veti jo Deutsche Wohnen -tuomiossa (C-807/21, 5.12.2023).
- RASKAUTTAVAT JA LIEVENTÄVÄT SEIKAT. Vähäisestä rikkomuksesta yleensä ei maksua, enintään huomautus; muusta on vahva olettama maksun määräämisestä.
- TEHOKAS, OIKEASUHTEINEN, VAROITTAVA. Viimeinen tarkistus, jossa voidaan poiketa vakiotavasta, jos tapaus sitä perustelee.
Olettama, jolla on merkitystä
Terävin kohta on neljäs vaihe. Vähäisiä rikkomuksia lukuun ottamatta seuraamusmaksu ei ole enää perusteltava vaihtoehto vaan sääntö, josta poiketaan vain hyvästä syystä. Joka luotti ensimmäiseen ”kohteliaisuushuomautukseen”, liikkumavara kapenee.
Miksi se koskee myös pieniä organisaatioita
Ohjeilla yhdenmukaistetaan eurooppalaisia viranomaisia: saman rikkomuksen pitäisi saada sama vastaus Roomassa, Lissabonissa tai Tukholmassa. Organisaatiolle tämä tekee entistä ennustettavammaksi sen, mikä painaa neljännessä vaiheessa — yhteistyö, jo toteutetut toimet, olemassa oleva dokumentaatio, nopeat korjaukset. Juuri ne rakennetaan etukäteen, ei tutkinnan aikana.
Mitä se tarkoittaa tietosuojavastaavalle
Neljä siirtoa
Yksi: syyllisyys on edellytys, ja sitä arvioidaan sen perusteella, mitä organisaatio tiesi ja oli tehnyt. Seloste, vaikutustenarvioinnit, riskianalyysit ja päivätyt menettelyt osoittavat, ettei tuottamusta ole tai se on lievä. Kaksi: kirjaa korjaavat toimet päivämäärineen ja vastuuhenkilöineen, koska ne lasketaan lieventäviksi seikoiksi. Kolme: huomautus ei ole ”ei mitään”: päätös jää asiakirjoihin ja painaa ennakkotapauksena. Neljä: kommentteja voi antaa 13.11.2026 asti. DPO Workspacessa selosteen diagnoosi ja toimintahistoria pitävät jo päivämäärät, päätökset ja perustelut yhdessä.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
