Når det blir gebyr og når ikke: EDPB skriver ned delen som manglet

Skillet mellom de to dokumentene er det eneste man må forstå ordentlig. Retningslinjene fra 2022 svarer på spørsmålet «hvor mye»: man går ut fra alvoret, finner et utgangspunkt, anvender faktorene i artikkel 83 nr. 2 og ser på omsetningen. 04/2026 svarer på et spørsmål som kom først og som ingen hadde skrevet ned ordnet: «kommer man i det hele tatt til et gebyr, og hvorfor ikke til en irettesettelse, et pålegg eller en begrensning». Fram til i går var den delen praksis, altså ulik fra tilsyn til tilsyn.

Metoden har fem trinn, lest i rekkefølge: hvert av dem kan avslutte saken før det neste.

• Først: tilsynet kontrollerer at det påberopte bruddet i det hele tatt kan føre til gebyr, med grunnlag i GDPR eller i nasjonal rett.
• Dernest: det kontrollerer at den undersøkte parten kan være adressat. Om den behandlingsansvarlige eller databehandleren svarer, avhenger av hvem den brutte bestemmelsen binder.
• For det tredje: det vurderer om bruddet er begått forsettlig eller uaktsomt. Skyld er et vilkår for gebyret, ikke en rabattfaktor.
• For det fjerde: det veier skjerpende og formildende omstendigheter. Er bruddet mindre alvorlig, ilegges som hovedregel ikke gebyr og det gis en irettesettelse; er det ikke mindre alvorlig, foreligger en sterk presumsjon for at gebyr skal ilegges.
• For det femte: det kontrollerer at gebyret er effektivt, forholdsmessig og avskrekkende i den konkrete saken, og om det er grunn til å fravike den vanlige tilnærmingen.

Tredje trinn fortjener samme oppmerksomhet, av motsatt grunn. Skyld fremstilles som et vilkår: uten forsett eller uaktsomhet ilegges ikke gebyr. Det ser ut som en god nyhet for den behandlingsansvarlige, og delvis er det det, men det slår straks om i en praktisk byrde. Fravær av skyld påstås ikke, det vises: med datoen da en risiko ble oppdaget, rådet personvernombudet ga, beslutningen tatt av organet som kunne ta den, tiltaket som ble gjennomført. En virksomhet som ikke etterlater spor av dette, har ingen måte å skille seg fra en uaktsom på, for utenfra ligner de to svært mye.

Den mest nyttige delen av dokumentet for dem som gjør jobben, er de fjorten praktiske eksemplene: saker bygget for å vise hvordan et tilsyn velger mellom irettesettelse, pålegg, begrensning, forbud, tilbaketrekking av sertifisering og gebyr, og når det kombinerer dem. Det materialet er verdt mer enn mange sider med prinsipper, fordi det gjør grensen mellom situasjoner lesbar.

Én siste ting, og den har en frist. Teksten er på offentlig høring til 13. november 2026: hvem som helst kan sende innspill, ikke bare bransjeorganisasjoner. For et kontor med klienter i flere stater er det en konkret anledning, for nettopp ulikheten mellom nasjonale tilsyn er problemet disse retningslinjene sier de vil lukke.