TL;DR
På plenumsmøtet som ble kunngjort 21. september 2026 vedtok EDPB retningslinjer 04/2026 om hvordan tilsynsmyndigheter avgjør om de skal ilegge overtredelsesgebyr, alene eller sammen med de andre korrigerende tiltakene i art. 58 nr. 2. Fem trinn: rettslig grunnlag for gebyret, ansvarlig part, forsett eller uaktsomhet, skjerpende og formildende forhold, effektivitet og forholdsmessighet. Mindre brudd: som hovedregel ikke gebyr, eventuelt irettesettelse. Ikke-mindre brudd: sterk presumsjon for gebyr. Fjorten praktiske eksempler. De erstatter Artikkel 29-gruppens retningslinjer fra 2017 og utfyller retningslinjer 04/2022 om beregning av beløpet. Høring til 13. november 2026. Samme møte vedtok endelig versjon av retningslinjer 3/2025 om forholdet mellom DSA og GDPR.
Hva som endres
Retningslinjer 04/2022 forklarer hvordan gebyrets størrelse beregnes. Trinnet før manglet: når en myndighet må ilegge gebyr, og når et annet tiltak er nok. De nye retningslinjene fyller dette hullet og erstatter det gamle dokumentet fra Artikkel 29-gruppen. De beskriver også hvert korrigerende tiltak — advarsler, irettesettelser, pålegg, begrensninger og forbud, tilbakekall av sertifisering — med formål og samspill med gebyr.
De fem trinnene
- RETTSLIG GRUNNLAG. Myndigheten kontrollerer at bruddet kan gi gebyr etter GDPR eller nasjonal rett.
- HVEM SOM ER ANSVARLIG. Behandlingsansvarlig eller databehandler, etter hvem bestemmelsen som er brutt binder: sikkerhetskravet i art. 32 binder for eksempel begge.
- FORSETT ELLER UAKTSOMHET. Ingen skyld, ikke gebyr. Det er linjen EU-domstolen allerede trakk i Deutsche Wohnen (C-807/21, 5. desember 2023).
- SKJERPENDE OG FORMILDENDE FORHOLD. Er bruddet mindre, som hovedregel ikke gebyr og høyst irettesettelse; er det ikke mindre, er det en sterk presumsjon for gebyr.
- EFFEKTIVT, FORHOLDSMESSIG, AVSKREKKENDE. Den siste kontrollen, med rom for å fravike standardtilnærmingen når saken tilsier det.
Presumsjonen som teller
Det skarpeste punktet er trinn fire. Utenfor mindre brudd er gebyr ikke lenger et alternativ som må begrunnes, men regelen, som bare fravikes av gode grunner. Den som regnet med en første irettesettelse «av velvilje», har mindre å gå på.
Hvorfor det også gjelder små virksomheter
Retningslinjene skal samordne de europeiske tilsynsmyndighetene: samme brudd bør få samme reaksjon i Roma, Lisboa eller Stockholm. For en virksomhet blir det enda mer forutsigbart hva som veier i trinn fire — samarbeid, tiltak som allerede er truffet, eksisterende dokumentasjon, rask utbedring. Og nettopp det bygges på forhånd, ikke under en tilsynssak.
Hva det betyr for personvernombudet
Fire grep
Én: skyld er et vilkår og vurderes ut fra hva virksomheten visste og hadde gjort. Protokoll, DPIA, risikovurderinger og daterte rutiner viser at uaktsomhet mangler eller er liten. To: dokumenter korrigerende tiltak med dato og ansvarlig, fordi de teller som formildende. Tre: en irettesettelse er ikke «ingenting»: den blir liggende i saken og veier som presedens. Fire: høringsinnspill kan gis til 13. november 2026. I DPO Workspace holder protokolldiagnosen og aktivitetshistorikken allerede datoer, avgjørelser og begrunnelser samlet.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
